Constituer son dossier de preuves et faire vivre la conformité

1. Être en règle ne suffit pas : il faut pouvoir le montrer

Vous arrivez au bout de la semaine. Vous avez fait l’inventaire de vos usages de l’intelligence artificielle, vous avez trié ce qui relevait du risque inacceptable, du risque élevé ou du simple usage courant, vous avez formé vos salariés. Sur le fond, vous êtes en règle. Et pourtant, si un agent de contrôle poussait la porte de votre atelier à Issoire demain matin et vous demandait de démontrer que vous respectez l’article 4 du règlement européen sur l’intelligence artificielle, que lui donneriez-vous ?

C’est exactement là que la plupart des très petites entreprises trébuchent. Non pas parce qu’elles font mal les choses, mais parce qu’elles les font sans laisser de trace. Le plombier de Riom qui a passé deux heures un vendredi soir à expliquer à son apprenti pourquoi il ne faut jamais coller le nom d’un client dans un agent conversationnel a fait, sur le fond, exactement ce que le texte européen attend de lui. Mais s’il n’a rien écrit, rien daté, rien fait signer, il n’a juridiquement rien fait. Une conformité que l’on ne peut pas prouver est une conformité qui n’existe pas.

Ce que dit précisément l’article 4

Rappelons le texte, parce qu’il est court et que tout part de là. L’article 4 du règlement européen sur l’intelligence artificielle prévoit que les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA de leur personnel et des autres personnes qui s’occupent du fonctionnement et de l’utilisation de ces systèmes pour leur compte, en tenant compte de leurs connaissances techniques, de leur expérience, de leur éducation et de leur formation, ainsi que du contexte d’utilisation. Le considérant 20 du même règlement précise l’esprit : il s’agit de donner aux personnes concernées les notions nécessaires pour prendre des décisions éclairées sur les systèmes d’IA.

Cette obligation s’applique depuis le 2 février 2025. Elle n’est pas nouvelle, elle n’arrive pas, elle est là. Vous êtes en retard, comme la quasi-totalité des entreprises françaises de moins de dix salariés, et ce n’est pas grave tant que vous rattrapez le retard proprement.

Le mot qui change tout : « prendre des mesures »

Lisez à nouveau la phrase. Le texte ne dit pas que votre boulangère doit obtenir la note de 15 sur 20 à un examen d’intelligence artificielle. Il dit que l’employeur doit prendre des mesures. En droit français, on appelle cela une obligation de moyens, par opposition à une obligation de résultat. Vous ne devez pas prouver que vos salariés savent, vous devez prouver que vous avez fait ce qu’il fallait pour qu’ils sachent.

Cette nuance est décisive pour tout ce qui suit, et elle a même été renforcée. Le paquet législatif européen de simplification numérique, dit digital omnibus, a été voté par le Parlement européen le 16 juin 2026 et adopté par le Conseil le 29 juin 2026. Il reformule l’article 4 pour demander aux fournisseurs et déployeurs de prendre des mesures appropriées afin de soutenir le développement de la maîtrise de l’IA de leur personnel, plutôt que de garantir un niveau donné. Autrement dit, l’obligation de moyens est désormais explicite dans le texte lui-même.

On pourrait croire que cela vous arrange et que vous pouvez fermer ce cours. C’est l’inverse. Une obligation de moyens se prouve exclusivement par la trace de l’effort. Quand l’obligation porte sur un résultat, le résultat parle de lui-même. Quand elle porte sur un effort, seul le dossier parle. Le texte s’est assoupli sur le fond et s’est durci sur la forme.

Qui viendra vérifier, et à partir de quand

Le règlement confie le contrôle aux autorités nationales de surveillance du marché, et non à la Commission européenne. La Commission le rappelle noir sur blanc dans ses questions-réponses officielles sur la maîtrise de l’IA. Ces autorités disposent de leurs pouvoirs de surveillance à compter du 2 août 2026. Au moment où vous lisez ces lignes, c’est donc une question de jours.

Pour ce qui touche au travail et aux données personnelles, la Commission nationale de l’informatique et des libertés se positionne clairement. Dans ses thématiques prioritaires de contrôle pour 2026, publiées le 3 avril 2026, elle annonce que ses contrôles sur le recrutement préfigurent l’exercice de ses futures missions d’autorité de surveillance du marché dans le domaine du travail au titre du règlement sur l’IA. Traduit en français courant : la CNIL s’entraîne, et elle regarde du côté des outils qui traitent des dossiers de candidature.

Le risque réel, et il n’est pas celui que vous croyez

Soyons honnêtes, parce que beaucoup de discours commerciaux ne le sont pas. L’article 4 ne figure pas dans la liste des articles dont la violation entraîne une amende administrative spécifique. L’article 99 du règlement, qui organise les sanctions, énumère les manquements aux articles 16, 22, 23, 24, 26, 31, 33, 34 et 50 pour la tranche allant jusqu’à quinze millions d’euros ou trois pour cent du chiffre d’affaires mondial. L’article 4 n’y est pas. Personne ne viendra vous réclamer quinze millions d’euros parce que votre kiné de Besse n’a pas signé de charte.

Le même article 99 prévoit d’ailleurs que pour les petites et moyennes entreprises, jeunes pousses comprises, l’amende retenue est le plus faible des deux plafonds, et que l’autorité tient compte de la nature, de la gravité et de la durée du manquement ainsi que de la taille et du chiffre d’affaires de l’opérateur. Le règlement européen n’a pas été écrit pour asphyxier une entreprise de trois personnes.

Aucune certification n’est exigée, et c’est une bonne nouvelle

Point capital, souvent déformé par des offres commerciales agressives. La Commission européenne écrit explicitement dans ses questions-réponses qu’aucun certificat n’est nécessaire, et que les organisations peuvent tenir un registre interne de leurs formations et autres initiatives d’accompagnement. Il n’existe aucun label officiel « conforme article 4 », aucun organisme habilité à le délivrer, aucun tampon obligatoire.

Le Bureau européen de l’IA a bien publié un recueil vivant de pratiques de maîtrise de l’IA, alimenté par les signataires du pacte sur l’IA, dont la première version date du 4 février 2025. Mais il précise lui-même que reproduire les pratiques qui y figurent n’accorde pas automatiquement de présomption de conformité à l’article 4. C’est un catalogue d’inspiration, pas un référentiel opposable.

Autrement dit : si un prestataire vous vend une « certification obligatoire article 4 » à quinze cents euros, il vous vend du vent. Ce que l’on attend de vous, c’est un classeur. Un vrai classeur, ou un dossier bien rangé sur votre ordinateur, avec des documents datés dedans.

2. Les huit pièces du dossier de preuves

Voici le cœur pratique de cette leçon. Nous allons détailler ce que doit contenir votre dossier. Huit pièces, pas une de plus. Aucune n’exige de compétence juridique particulière. Toutes exigent une chose que les artisans et commerçants savent très bien faire quand on leur explique pourquoi : dater et classer.

Le tableau récapitulatif

Gardez ce tableau sous les yeux. Nous reprendrons chaque ligne dans le détail au fil des sections suivantes.

Le format : simple, daté, traçable

Aucune des huit pièces n’a de forme imposée. Ni police, ni gabarit, ni mention obligatoire au sens du droit. Deux exigences seulement, et elles valent pour tout le dossier.

Daté. Un document sans date ne prouve rien, parce qu’on ne peut pas établir qu’il existait avant l’événement contesté. Datez tout, y compris les brouillons que vous conservez.

Non modifiable après coup, ou au moins horodaté. Un fichier de traitement de texte que vous pouvez rouvrir et changer sans laisser de trace a une valeur probante faible. Un document exporté en PDF, envoyé par courriel à vos salariés et conservé dans la boîte d’envoi a une valeur nettement supérieure, parce que le courriel horodate. C’est l’astuce la plus rentable de ce cours : envoyez-vous à vous-même, ainsi qu’à vos salariés, chaque pièce du dossier par courriel au moment où vous la créez. Le serveur de messagerie devient votre huissier.

3. Le registre des usages de l’IA

Première pièce, et la plus structurante. Si vous ne deviez en produire qu’une seule, ce serait celle-là, parce que tout le reste en découle logiquement.

De l’inventaire au registre

Au cours de la première leçon de ce module, vous avez dressé l’inventaire de vos usages : la liste brute de tout ce qui, dans votre entreprise, fait appel de près ou de loin à de l’intelligence artificielle. Cette liste comprenait probablement des choses évidentes, comme un agent conversationnel utilisé pour rédiger des devis, et des choses moins évidentes, comme la fonction de tri automatique de votre boîte mail ou le module de suggestion de votre logiciel de caisse.

Le registre, c’est cet inventaire mis au propre, complété et daté. La différence tient en trois ajouts : on nomme un responsable par usage, on qualifie le niveau de risque, et on indique quelles données entrent dans l’outil.

Les colonnes du registre

Voici la structure que nous recommandons pour une entreprise de moins de vingt salariés. Elle tient dans un tableur, ou même sur une feuille A3 punaisée dans le bureau.

Le piège du registre trop court

L’erreur la plus commune consiste à ne lister que les outils dont le nom contient « IA » ou « intelligence artificielle ». Une boulangère d’Ambert nous disait récemment n’utiliser aucune IA. En reprenant son organisation poste par poste, nous en avons trouvé quatre : le module de prévision de production de son logiciel de caisse, la reconnaissance automatique des factures fournisseurs dans son outil comptable, le filtre anti-spam évolué de sa messagerie, et l’application de retouche automatique dont elle se sert pour ses photos de vitrine sur les réseaux sociaux.

Aucun de ces quatre usages n’est problématique. Trois relèvent du risque minimal, et le quatrième pose surtout une question de transparence si les visuels retouchés donnent une impression trompeuse. Mais un registre qui aurait affiché « néant » aurait été un registre faux, et un registre faux est pire qu’un registre absent : il démontre que vous n’avez pas cherché.

Le registre des usages n’est pas le registre RGPD

Confusion majeure, à dissiper immédiatement. Vous allez peut-être vous retrouver avec deux registres, et ils ne servent pas à la même chose.

Le registre des activités de traitement découle de l’article 30 du règlement général sur la protection des données. Il recense les traitements de données personnelles, quels qu’ils soient, avec ou sans IA : votre fichier clients, votre paie, votre système de vidéosurveillance. La CNIL rappelle que cette obligation concerne tous les organismes, publics comme privés, quelle que soit leur taille. Une dérogation existe pour les organismes de moins de deux cent cinquante salariés, mais la CNIL souligne qu’elle est limitée à des cas très particuliers : restent obligatoirement inscrits les traitements non occasionnels comme la paie ou le fichier clients, les traitements présentant des risques comme la géolocalisation ou la vidéosurveillance, et les traitements portant sur des données sensibles comme la santé ou les infractions. Dans la pratique, une TPE qui a des salariés et des clients a un registre RGPD à tenir, point final.

Le registre des usages de l’IA, lui, ne découle d’aucun texte qui l’imposerait sous ce nom. Il est votre outil de preuve pour l’article 4 et votre boussole pour la classification des risques. Il recense des outils, là où le registre RGPD recense des traitements.

Les deux se croisent sans se confondre. Si votre agence immobilière de Clermont-Ferrand utilise un outil d’IA pour trier des candidatures locataires, vous avez à la fois une ligne au registre des usages de l’IA et une ligne au registre RGPD, puisque des données personnelles sont traitées. Si votre restaurateur d’Issoire utilise une IA pour générer des visuels de plats sans aucune donnée personnelle, il a une ligne au registre des usages et rien au registre RGPD.

4. Le plan de formation et ses justificatifs

Deuxième, troisième, quatrième et cinquième pièces du dossier. Elles forment un ensemble cohérent que l’on peut traiter d’un bloc : ce sont les preuves que vous avez transmis quelque chose à quelqu’un.

Le plan de formation : une page suffit

Oubliez l’image du plan de formation d’un grand groupe, avec ses catalogues et ses budgets prévisionnels. Pour une TPE, le plan de formation à l’IA tient sur une page et répond à quatre questions : qui, quoi, quand, comment.

Ce document est important pour une raison précise. Le texte européen demande de tenir compte des connaissances techniques, de l’expérience, de l’éducation et de la formation des personnes concernées. Cela signifie que l’on n’attend pas de vous une formation identique pour tout le monde. Un plan qui différencie les besoins prouve que vous avez réfléchi. Un plan uniforme prouve que vous avez acheté une prestation sur étagère.

Concrètement, pour un cabinet comptable de huit personnes, le plan pourrait tenir dans ce tableau.

Datez ce document, signez-le, rangez-le. Il vaut à lui seul une longue explication orale devant un contrôleur, parce qu’il montre le raisonnement et pas seulement l’action.

Les programmes et supports pédagogiques

Troisième pièce. Il s’agit de conserver ce que vous avez effectivement transmis. Deux cas de figure.

Si vous passez par un organisme externe, exigez et conservez le programme détaillé, le support de présentation et, le cas échéant, l’attestation de l’organisme. Ces documents vous sont dus. Un prestataire sérieux les fournit sans qu’on les réclame. Un prestataire qui refuse de communiquer son programme n’est pas un prestataire sérieux.

Si vous formez en interne, ce qui est parfaitement admis et souvent préférable dans une petite structure, votre support peut être très simple. Une note de trois pages, un diaporama de quinze diapositives, ou même un compte rendu écrit de la réunion suffisent. Ce qui compte, c’est que le document existe, qu’il soit daté, et que son contenu corresponde à vos usages réels tels qu’ils figurent au registre.

Un contenu générique acheté sur internet et qui parle de conduite autonome et de diagnostic médical alors que vous êtes restaurateur à Besse dessert votre dossier. Il montre que vous avez coché une case sans adapter. Prenez le support générique si vous voulez, mais ajoutez-y deux ou trois diapositives sur vos propres outils.

Les émargements et attestations

Quatrième pièce, la plus bête et la plus souvent oubliée. Une feuille avec la date, l’intitulé de la session, sa durée, le nom du formateur, et la liste des participants avec leur signature en face de leur nom.

Pour une session à distance, un relevé de connexion ou un simple courriel de confirmation envoyé à chaque participant après la séance et conservé fait l’affaire. Pour un salarié formé seul par le dirigeant, une attestation de suivi signée par les deux parties convient parfaitement. Le formalisme n’a pas d’importance, la traçabilité en a.

Les évaluations de fin de formation

Cinquième pièce, et celle qui fait la différence entre un dossier moyen et un bon dossier. Elle répond à la question que le contrôleur posera après avoir vu l’émargement : ils étaient là, d’accord, mais ont-ils compris ?

Nul besoin d’un examen. Dix questions à choix multiple, ou cinq questions ouvertes courtes, remplies à la main en dix minutes en fin de séance et conservées. Voici un exemple de trame que vous pouvez adapter à votre métier.

• Citez deux types d’informations que vous ne devez jamais saisir dans un outil d’IA grand public.
• Un texte produit par l’IA vous paraît juste. Que faites-vous avant de l’envoyer à un client ?
• Vrai ou faux : si l’outil affirme une chose avec assurance, c’est qu’elle est vérifiée.
• À qui signalez-vous un incident lié à un usage de l’IA dans l’entreprise ?
• Donnez un exemple d’usage de l’IA autorisé dans votre poste, et un exemple d’usage interdit.

Corrigez rapidement, notez sur la copie si le point est acquis, datez, rangez. Si une réponse est fausse chez plusieurs personnes, vous savez ce qu’il faut reprendre. C’est le seul mécanisme d’amélioration réelle de tout ce dispositif, et il est gratuit.

5. Le modèle de charte d’usage de l’IA, clause par clause

Sixième pièce, et le cœur battant du dossier. La charte est le document que vos salariés liront réellement, celui qu’ils signeront, et celui qui produira un effet concret sur les comportements.

Avertissement indispensable. Le modèle qui suit est un point de départ pédagogique. Il n’est pas un document contractuel prêt à l’emploi, et il ne remplace pas l’avis d’un conseil juridique. Avant de le diffuser, faites-le relire par un avocat en droit social, votre organisation professionnelle ou votre expert-comptable si celui-ci propose ce type d’accompagnement. Chaque entreprise a ses particularités : une convention collective, un règlement intérieur existant, des engagements contractuels envers ses clients. Une clause mal calibrée peut être inopposable, voire créer une contrainte que vous ne souhaitiez pas.

Le modèle rédigé

CHARTE D’USAGE DE L’INTELLIGENCE ARTIFICIELLE

[Raison sociale] — Version 1 — [Date] — Applicable à compter du [date d’entrée en vigueur]

Préambule

L’entreprise recourt à des outils d’intelligence artificielle pour faciliter certaines tâches. Ces outils rendent des services réels, et présentent des risques réels. La présente charte définit ce qui est autorisé, ce qui est interdit, et ce qui est attendu de chacun. Elle s’applique à l’ensemble des salariés, apprentis, stagiaires et intervenants extérieurs agissant pour le compte de l’entreprise, quel que soit le matériel utilisé, y compris personnel.

Elle est prise notamment en considération de l’article 4 du règlement (UE) 2024/1689 sur l’intelligence artificielle, du règlement (UE) 2016/679 sur la protection des données à caractère personnel, et des obligations de confidentialité de l’entreprise envers ses clients.

Article 1 — Outils autorisés

Seuls les outils figurant sur la liste annexée à la présente charte peuvent être utilisés dans le cadre professionnel. Cette liste précise, pour chaque outil, l’usage autorisé et les personnes habilitées.

L’utilisation d’un outil ne figurant pas sur cette liste est soumise à l’accord préalable et écrit de [nom et fonction du responsable désigné]. Cet accord peut être donné par simple courriel. Il est ensuite reporté à la liste annexée.

Cette règle vaut y compris pour les versions gratuites, les périodes d’essai et les fonctions d’intelligence artificielle nouvellement ajoutées à un logiciel déjà utilisé. L’ajout d’une fonction d’IA à un outil existant constitue un nouvel usage au sens de la présente charte.

L’utilisation d’outils d’IA sur un compte personnel pour traiter des données de l’entreprise est interdite, sauf autorisation expresse mentionnée sur la liste annexée.

Article 2 — Données dont la saisie est interdite

Il est interdit de saisir, coller, téléverser ou transmettre à un outil d’intelligence artificielle les informations suivantes :

a) les données permettant d’identifier une personne physique : nom, prénom, adresse postale, adresse électronique, numéro de téléphone, numéro de sécurité sociale, date de naissance, plaque d’immatriculation, photographie ;

b) les données sensibles au sens du règlement général sur la protection des données : santé, origine, opinions politiques, convictions religieuses, appartenance syndicale, orientation sexuelle, données biométriques, ainsi que les données relatives à des infractions ou condamnations ;

c) les informations couvertes par le secret professionnel ou par un engagement de confidentialité envers un client ou un partenaire ;

d) les documents contractuels non publics, les éléments de prix, les devis nominatifs, les conditions négociées ;

e) les identifiants, mots de passe, clés d’accès et coordonnées bancaires ;

f) les données relatives aux salariés de l’entreprise, y compris les éléments de rémunération et les éléments d’évaluation.

Lorsqu’un traitement nécessite de travailler sur un document contenant ces informations, celles-ci doivent être remplacées par des mentions neutres avant toute saisie. À titre d’exemple, « Monsieur Dupont, 12 rue des Écoles à Issoire » devient « le client ». La sortie de l’outil est ensuite complétée manuellement.

Toute dérogation à cet article suppose un outil dédié, contractuellement encadré, et figurant comme tel sur la liste annexée.

Article 3 — Relecture et validation humaine

Aucun contenu produit par un outil d’intelligence artificielle ne peut être diffusé, envoyé, publié, signé ou utilisé comme fondement d’une décision sans avoir été relu et validé par une personne compétente sur le sujet traité.

La relecture porte sur trois points : l’exactitude des faits, des chiffres, des références réglementaires et des noms cités ; la pertinence au regard de la demande et du contexte ; l’absence de propos inappropriés, discriminatoires ou contraires aux engagements de l’entreprise.

La personne qui diffuse le contenu en assume la responsabilité comme si elle l’avait rédigé elle-même. La mention selon laquelle un contenu a été produit par une IA ne constitue en aucun cas une excuse en cas d’erreur.

Les documents suivants font l’objet d’une double relecture par une seconde personne : [à compléter selon l’activité, par exemple les devis supérieurs à un certain montant, les courriers de réponse à une réclamation, les documents transmis à une administration].

Aucune décision produisant un effet juridique ou significatif sur une personne — recrutement, sanction, refus de prestation, refus de dossier — ne peut être prise sur le seul fondement d’un traitement automatisé.

Article 4 — Transparence envers les clients et les tiers

Lorsqu’un client interagit directement avec un système d’IA mis en place par l’entreprise, notamment un agent conversationnel sur le site internet ou un répondeur intelligent, il en est clairement informé dès le début de l’échange, et la possibilité de joindre une personne lui est indiquée.

Les contenus visuels ou sonores générés ou modifiés de manière substantielle par une IA et diffusés au public sont signalés comme tels lorsqu’ils sont susceptibles d’induire en erreur sur la réalité de ce qu’ils représentent. Une photographie de réalisation retouchée pour l’esthétique n’appelle pas de mention ; un visuel entièrement généré présenté comme une réalisation de l’entreprise en appelle une.

Lorsqu’un client demande si un document lui a été fourni avec l’aide d’une IA, il lui est répondu honnêtement.

L’entreprise ne présente jamais un contenu produit par une IA comme le résultat d’une expertise humaine individualisée lorsqu’il ne l’est pas.

Article 5 — Propriété intellectuelle et droits des tiers

Il est interdit de soumettre à un outil d’IA des contenus protégés par le droit d’auteur appartenant à des tiers — textes, images, plans, photographies, extraits d’ouvrages ou de normes — en vue de les reproduire, de les imiter ou de les transformer, sans disposer des droits nécessaires.

Il est interdit de demander à un outil de produire un contenu imitant le style identifiable d’un auteur, d’un artiste ou d’un concurrent nommément désigné.

Les contenus produits avec l’aide d’un outil d’IA dans le cadre professionnel sont destinés à l’usage de l’entreprise. Le salarié n’acquiert aucun droit particulier sur ces contenus du fait de leur mode de production.

Avant toute publication d’un visuel ou d’un texte généré, une vérification sommaire est effectuée afin de s’assurer qu’il ne reproduit pas une œuvre existante, notamment un logo, une marque ou une composition reconnaissable.

Les conditions d’utilisation de chaque outil autorisé sont consultables auprès de [responsable désigné]. Certaines réservent à l’éditeur des droits sur les contenus saisis : c’est l’une des raisons pour lesquelles l’article 2 existe.

Article 6 — Signalement des incidents et des doutes

Tout salarié signale sans délai à [nom et fonction du responsable désigné], par tout moyen écrit, les situations suivantes :

a) une information confidentielle a été saisie par erreur dans un outil d’IA ;

b) un contenu erroné produit par un outil a été diffusé à l’extérieur ;

c) un outil a produit un contenu choquant, discriminatoire ou manifestement faux ;

d) un doute existe sur le caractère autorisé d’un usage ;

e) une nouvelle fonction d’IA est apparue dans un logiciel utilisé.

Le signalement de bonne foi d’une erreur, y compris de sa propre erreur, ne peut donner lieu à aucune sanction. L’entreprise considère qu’un incident signalé rapidement est un incident maîtrisé. À l’inverse, la dissimulation d’un incident constitue un manquement.

Les signalements sont consignés dans un registre des incidents comportant la date, la description, les mesures prises et la date de clôture.

Article 7 — Formation et accompagnement

L’entreprise assure à chaque personne concernée une formation adaptée à ses usages, à son niveau de connaissances et à son poste, préalablement à toute utilisation autonome d’un outil d’IA. Cette formation est renouvelée en cas d’évolution significative des outils ou des usages, et dispensée à tout nouvel arrivant.

Chacun peut solliciter [responsable désigné] pour toute question relative à l’usage de l’IA, sans que cette demande puisse lui être reprochée.

Article 8 — Application, révision et sanctions

La présente charte est remise à chaque personne concernée contre signature. Elle est également affichée [lieu] et disponible [emplacement numérique].

Elle est réexaminée au moins une fois par an, ainsi qu’à l’occasion de tout événement le justifiant. Chaque version est datée et numérotée, et les versions antérieures sont conservées.

Le non-respect des présentes règles peut donner lieu aux sanctions prévues par [le règlement intérieur / le droit du travail applicable], en fonction de la gravité des faits.

Fait à [ville], le [date].

Pour l’entreprise : [nom, fonction, signature]

Le salarié, reconnaissant avoir reçu un exemplaire de la présente charte, en avoir pris connaissance et en accepter les termes : [nom, date, signature]

6. Donner à la charte une valeur juridique

Septième pièce du dossier. Une charte signée par tout le monde est déjà utile. Mais si vous voulez pouvoir sanctionner un manquement grave, il faut franchir une étape supplémentaire, et c’est le point le plus technique de cette leçon.

Le principe : une règle disciplinaire suit un formalisme

En droit du travail français, un document qui édicte des obligations générales et permanentes et prévoit des sanctions ne peut pas être un simple courrier. Les notes de service comportant des obligations générales et permanentes sont considérées comme des adjonctions au règlement intérieur et soumises aux mêmes formalités. Autrement dit, votre charte d’usage de l’IA, si elle prévoit des sanctions, entre dans cette catégorie.

Trois situations selon votre effectif

Vous avez moins de cinquante salariés et pas de règlement intérieur. C’est le cas de la très grande majorité des entreprises visées par ce cours. Le règlement intérieur n’est obligatoire qu’à partir de cinquante salariés pendant douze mois consécutifs, avec un délai supplémentaire de douze mois pour l’établir. Vous n’en avez donc pas, et vous n’avez pas à en créer un.

Dans ce cas, votre charte vaut par la signature de chacun. Elle constitue une consigne d’entreprise portée à la connaissance des salariés et acceptée par eux. Elle permet de caractériser un manquement en cas de faute, mais le régime disciplinaire applicable reste celui du droit commun. Faites simplement en sorte que la remise soit incontestable : signature sur un exemplaire papier conservé, ou courriel d’envoi avec accusé de réception.

Vous avez moins de cinquante salariés mais un règlement intérieur volontaire. Certaines entreprises en ont un par choix. Si c’est votre cas, la charte doit suivre le même formalisme que lui : consultation des représentants du personnel s’il en existe, communication aux salariés, transmission à l’inspecteur du travail, et entrée en vigueur au moins un mois après l’accomplissement de la dernière formalité.

Vous avez cinquante salariés ou plus. Le règlement intérieur est obligatoire, la charte doit lui être annexée en suivant intégralement la procédure : consultation du comité social et économique, communication par affichage ou intranet, transmission à l’inspection du travail accompagnée de l’avis du comité, et délai d’un mois minimum avant application. C’est plus long, et cela suppose l’appui d’un conseil.

Le cas de l’avenant au contrat de travail

Faut-il un avenant ? Dans l’immense majorité des cas, non. L’avenant devient nécessaire lorsque l’introduction de l’IA modifie un élément essentiel du contrat : la qualification, la rémunération, la durée du travail, ou une modification substantielle des attributions.

Un exemple concret. Une secrétaire médicale d’un cabinet de kinésithérapie à Clermont-Ferrand dont la mission de frappe de comptes rendus est remplacée par la relecture de transcriptions automatiques ne fait plus le même métier. Ses attributions changent en nature. Un avenant, ou à tout le moins un entretien formalisé par écrit, s’impose. À l’inverse, le même cabinet qui installe un outil de prise de rendez-vous intelligent ne modifie aucun contrat.

Règle pratique : si le salarié fait la même chose avec un outil en plus, une charte suffit. Si le salarié fait autre chose, parlez-en à un conseil.

7. Archiver, conserver, désigner un responsable

Vous avez huit pièces. Reste à savoir où elles vivent, combien de temps, et qui s’en occupe dans une entreprise qui n’a ni juriste, ni délégué à la protection des données, ni service qualité.

Où archiver

Le principe est celui du dossier unique. Créez un emplacement, un seul, appelé par exemple « Conformité IA », et n’en créez pas d’autre. À l’intérieur, huit sous-dossiers numérotés de 1 à 8 reprenant exactement les intitulés du tableau de la section 2. Cette numérotation n’est pas de la coquetterie : le jour d’un contrôle, elle vous permet de sortir la bonne pièce en dix secondes au lieu de fouiller sous le stress.

Papier ou numérique ? Les deux conviennent, avec une préférence pour le numérique doublé d’une sauvegarde. Si vous choisissez le numérique, trois précautions : que le dossier soit sauvegardé ailleurs que sur le seul ordinateur du bureau, que les signatures manuscrites soient scannées et non retapées, et que chaque fichier porte une date dans son nom, au format année-mois-jour pour que le tri soit chronologique.

Combien de temps conserver

Aucun texte ne fixe de durée de conservation propre au dossier article 4. Il faut donc raisonner par analogie et par prudence, en s’alignant sur les régimes voisins.

Cinq ans est la durée pivot à retenir si vous ne devez en mémoriser qu’une. Attention toutefois : si une pièce de votre dossier IA est aussi une pièce d’un autre régime, c’est la durée la plus longue qui s’applique. Le cas typique est le document unique d’évaluation des risques professionnels, dont le contenu peut mentionner les risques liés à l’usage de l’IA : lui et ses versions successives se conservent quarante ans à compter de son élaboration.

Point à surveiller : les données personnelles contenues dans les pièces ne se conservent pas indéfiniment. Une feuille d’émargement contient des noms et des signatures. Passé le délai utile, elle doit être détruite ou anonymisée, et cette durée figure alors dans votre registre RGPD.

Qui est responsable, sans service juridique

La réponse courte et un peu brutale : le dirigeant. L’obligation de l’article 4 pèse sur l’entreprise en tant que déployeur, et dans une TPE, c’est vous. Vous ne pouvez pas la déléguer à votre expert-comptable ni à votre prestataire informatique, même s’ils vous aident.

Ce que vous pouvez et devez faire, en revanche, c’est désigner un référent IA interne : la personne à qui l’on signale les incidents, celle qui tient le registre, celle qui déclenche la revue annuelle. Ce n’est pas une fonction réglementée, cela ne demande aucun diplôme, et cela peut représenter deux heures par an.

Articulation avec les régimes voisins

Trois croisements à connaître, pour ne pas dupliquer inutilement.

Le registre RGPD. Traité en section 3. Retenez la règle : dès qu’un usage d’IA traite des données personnelles, il apparaît dans les deux registres, avec un renvoi de l’un vers l’autre. Rien de plus.

Le document unique d’évaluation des risques professionnels. Il est obligatoire dès le premier salarié, sans seuil. Sa mise à jour est annuelle à partir de onze salariés, et à chaque aménagement modifiant les conditions de travail en deçà. Or l’introduction d’un outil d’IA qui change la façon de travailler est un aménagement de ce type. Les risques à y mentionner sont réels et souvent oubliés : intensification du rythme, perte de sens, charge mentale liée au contrôle permanent de sorties automatiques, isolement. Deux lignes suffisent, mais elles doivent y être. Le défaut de document unique est sanctionné par une amende pouvant atteindre 1 500 euros pour une personne physique et 7 500 euros pour une personne morale, montants doublés en cas de récidive au titre de l’amende administrative.

Le règlement intérieur. Traité en section 6. Obligatoire à partir de cinquante salariés. En dessous, la charte signée fait le travail.

8. Faire vivre la conformité : la revue annuelle et les déclencheurs

Dernière section, et la plus négligée. Un dossier constitué en juillet 2026 et jamais rouvert devient, en juillet 2028, une preuve à charge : il démontre que vous saviez et que vous avez cessé de vous en occuper.

La revue annuelle en une heure

Choisissez une date fixe, notez-la dans votre agenda avec un rappel, et tenez-la. Beaucoup de dirigeants la calent au moment du bilan comptable, quand on est déjà en posture de vérification. Voici le déroulé, minuté.

1. Minutes 0 à 15 — Le registre des usages. Ligne par ligne : cet outil est-il toujours utilisé ? Un nouveau est-il apparu ? Les personnes indiquées sont-elles les bonnes ? Le niveau de risque a-t-il changé ? Vous ajoutez, vous supprimez, vous datez la colonne « dernière revue ».
2. Minutes 15 à 25 — Les personnes. Qui est arrivé depuis un an, qui est parti, qui a changé de poste ? Chaque arrivant a-t-il signé la charte et suivi la formation ? Cette question est celle qui révèle le plus de trous.
3. Minutes 25 à 35 — Les incidents. Ouvrez le registre des incidents. Combien depuis la dernière revue ? Zéro incident sur douze mois n’est pas une bonne nouvelle en soi : cela signifie souvent que personne ne signale. Interrogez l’équipe.
4. Minutes 35 à 45 — La charte. Est-elle encore exacte ? La liste des outils annexée correspond-elle au registre ? Si vous modifiez quoi que ce soit, vous passez en version 2, vous datez, et vous faites re-signer.
5. Minutes 45 à 55 — La veille. Vingt minutes de lecture accumulées dans l’année suffisent. Nous détaillons ci-dessous quoi lire.
6. Minutes 55 à 60 — Le compte rendu. Une demi-page : date, participants, points examinés, décisions, prochaine revue. Signez. Rangez dans le sous-dossier 8. C’est la pièce qui prouve que le dispositif est vivant.

Cette dernière étape est celle que tout le monde saute et c’est la plus importante. Une revue non consignée n’a pas eu lieu.

Les déclencheurs de mise à jour hors calendrier

Cinq événements imposent de rouvrir le dossier sans attendre la date anniversaire.

Le troisième déclencheur est le plus sournois. Les éditeurs ajoutent des fonctions d’IA à des logiciels existants sans que le client ait rien demandé : un module de rédaction dans un outil de facturation, un résumé automatique dans une messagerie, une suggestion de réponse dans un logiciel de relation client. Le jour où cela arrive, un nouvel usage d’IA est entré chez vous sans passer par la porte. D’où la mention explicite à l’article 1 du modèle de charte.

La veille minimale

Vous n’avez ni le temps ni le goût de suivre l’actualité réglementaire européenne. Personne ne vous le demande. Voici la version minimale, réellement tenable.

• Abonnez-vous à la lettre d’information de la CNIL. C’est gratuit, en français, et cela couvre à la fois le RGPD et l’IA. La CNIL a par ailleurs annoncé, dans son programme de travail 2026, des travaux spécifiques sur le déploiement de l’IA dans le domaine du travail. C’est exactement votre sujet.
• Suivez votre organisation professionnelle ou votre chambre consulaire. Chambre de métiers, chambre de commerce, fédération de branche : elles traduisent la réglementation dans votre métier, ce qu’aucun texte européen ne fera.
• Interrogez votre expert-comptable une fois par an. La question tient en une phrase : « y a-t-il du nouveau côté IA qui me concerne ? »
• Gardez un œil sur les mises à jour de vos outils. Les notes de version, quand vous les recevez, méritent trente secondes de lecture en diagonale.

Quarante minutes par an au total. C’est le prix de la tranquillité.

🧭 Erreurs fréquentes et dépannage

« J’ai fait une formation, j’ai le certificat, je suis tranquille »

Le certificat d’un organisme prouve que vous avez suivi une formation. Il ne prouve rien sur vos salariés, ni sur vos usages réels, ni sur vos règles internes. Rappelons que la Commission européenne indique qu’aucun certificat n’est nécessaire. Un certificat sans registre ni charte est une pièce isolée dans un dossier vide.

« Mes salariés n’utilisent pas l’IA, je ne suis pas concerné »

Vérifiez avant d’affirmer. L’usage clandestin d’outils grand public sur des comptes personnels est massif et souvent invisible du dirigeant. Une question posée sans reproche en réunion d’équipe suffit à s’en apercevoir. Et si personne n’utilise rien, écrivez-le et datez-le : un registre portant la mention « aucun usage identifié à ce jour » est une preuve, une absence de registre n’en est pas une.

« Je n’ai pas de traces des formations faites l’an dernier »

Ne fabriquez jamais un émargement antidaté : c’est un faux, et le risque est sans commune mesure avec le problème que vous cherchez à résoudre. Rédigez à la place une note datée d’aujourd’hui, honnête : « les actions suivantes ont été menées en 2025 sans formalisation ; elles sont reprises et formalisées à compter de ce jour ». Puis refaites une session courte et faites signer. Un dossier qui reconnaît un retard et le corrige vaut infiniment mieux qu’un dossier truqué.

📋 Cas pratique 1 — La Boulangerie du Livradois, à Ambert

Contexte. Sylvie Chabrier dirige une boulangerie-pâtisserie de six salariés à Ambert. Elle emploie deux vendeuses, deux boulangers, une pâtissière et un apprenti de dix-sept ans. Elle a suivi le module précédent et se croit tirée d’affaire : elle a fait l’inventaire, tout est en risque minimal.

La situation. En mars 2026, un client lui signale que la page de son commerce sur un réseau social annonce une pâtisserie « sans gluten » qu’elle ne fabrique pas. En remontant le fil, elle découvre que son apprenti, chargé des publications, rédige les textes avec un agent conversationnel gratuit sur son téléphone personnel. L’outil a inventé une gamme de produits plausible. Personne n’avait relu.

Le raisonnement. Trois manquements se cumulent, et aucun ne relève de la mauvaise foi de l’apprenti. Premièrement, l’outil ne figure nulle part : il n’est pas au registre, parce que Sylvie n’avait interrogé que les logiciels professionnels, jamais les téléphones. Deuxièmement, aucune règle de relecture n’existait par écrit. Troisièmement, l’apprenti n’a reçu aucune formation, alors qu’il est précisément la personne la plus exposée : jeune utilisateur, aisé avec l’outil, sans recul sur la fiabilité. Et le sujet touche à l’allergène, c’est-à-dire à la sécurité alimentaire.

Ce qu’elle fait. Elle corrige la publication le jour même. Elle ajoute une ligne au registre pour l’agent conversationnel, avec la mention « usage : rédaction de publications ; utilisateur : apprenti ; relecture obligatoire par la gérante ». Elle rédige une charte de quatre pages à partir du modèle, en complétant l’article 3 sur la double relecture par une phrase spécifique : « toute publication mentionnant la composition, les allergènes ou les caractéristiques d’un produit est relue et validée par la gérante avant diffusion ». Elle réunit l’équipe un mardi après-midi pendant une heure, explique, fait signer les six exemplaires, remplit une feuille d’émargement, distribue cinq questions écrites, et consigne l’incident dans un registre créé pour l’occasion.

Conclusion. Coût total : une demi-journée et zéro euro de prestation. Le dossier de Sylvie contient désormais sept pièces sur huit — il lui manque la note de service, dont elle n’a pas besoin avec six salariés puisque la signature de chacun suffit. Surtout, elle a une preuve datée qu’un incident a été détecté, traité et suivi d’une mesure corrective. C’est le type de pièce qui vaut le plus cher devant un contrôleur, parce qu’elle démontre un dispositif qui fonctionne réellement.

📋 Cas pratique 2 — Contrôle simulé chez Sancy Habitat Conseil, à Clermont-Ferrand

Contexte. Sancy Habitat Conseil est une agence immobilière de quatorze salariés, avec un bureau à Clermont-Ferrand et une antenne au Mont-Dore. Elle utilise quatre outils d’IA : un générateur d’annonces, un module d’estimation de prix intégré à son logiciel métier, un agent conversationnel sur son site internet, et un outil de tri des dossiers de candidature locataire. Le gérant, Marc Delorme, a monté son dossier en septembre 2025 et l’a revu en septembre 2026.

La situation. En novembre 2026, à la suite de la plainte d’un candidat locataire estimant que son dossier a été écarté sans examen, l’agence reçoit une demande de la CNIL, agissant à la fois au titre de la protection des données et de ses missions de surveillance du marché dans le domaine du travail. Un contrôle sur place est annoncé.

Ce que l’agence sort de son dossier, dans l’ordre.

1. Le registre des usages, à jour de septembre 2026, quatre lignes. La ligne du tri de candidatures porte la mention « risque élevé — annexe III, accès au logement — décision humaine obligatoire ». Elle prouve que l’agence avait identifié le point sensible d’elle-même.
2. Le registre RGPD, avec la fiche de traitement « gestion des candidatures locatives », sa finalité, sa durée de conservation de trois mois après attribution, et le renvoi « voir registre IA ligne 4 ».
3. Le plan de formation de septembre 2025 et sa mise à jour de septembre 2026, montrant que les trois négociateurs qui manipulent l’outil ont reçu une formation spécifique de trois heures sur la non-discrimination et l’obligation de réexamen humain.
4. Les supports de cette formation, dont une diapositive listant les critères qu’il est interdit de prendre en compte.
5. Les émargements des deux sessions, et l’attestation individuelle d’un négociateur arrivé en janvier 2026, formé à part.
6. Les évaluations, dix questions, dont une portant précisément sur la conduite à tenir quand l’outil classe un dossier en bas de liste.
7. La charte, version 2, signée par les quatorze salariés, dont l’article 3 stipule qu’aucun refus de dossier ne peut être fondé sur le seul classement automatique, et que tout dossier écarté fait l’objet d’un motif écrit par le négociateur.
8. La note de service annexée au règlement intérieur — l’agence a plus de cinquante salariés dans son groupe — avec l’avis du comité social et économique et l’accusé de transmission à l’inspection du travail.
9. Le calendrier et le compte rendu de revue de septembre 2026, signé, mentionnant en point divers : « vérifier auprès de l’éditeur les critères utilisés par le module de tri — relance envoyée le 14 septembre ».
10. Le registre des incidents, deux entrées, dont une de mai 2026 : un négociateur avait signalé que l’outil semblait défavoriser systématiquement les dossiers avec garant hors département. L’agence avait interrogé l’éditeur et suspendu l’usage automatique du critère.

Le raisonnement du contrôleur. Sur le fond, la question de savoir si le tri a été discriminatoire reste entière et sera instruite. Mais sur le plan de l’organisation, l’agence démontre trois choses en dix minutes : elle avait identifié l’usage comme sensible avant le contrôle ; elle avait formé et outillé les personnes concernées ; elle avait détecté et traité un signal faible de sa propre initiative, six mois avant la plainte. La dernière pièce, l’incident de mai, est celle qui pèse le plus lourd, parce qu’elle est impossible à fabriquer après coup.

Conclusion. Le dossier ne rend pas l’agence invulnérable et ne préjuge pas de l’issue sur le fond. Il déplace le débat : on ne discute plus de savoir si l’entreprise s’est occupée du sujet, on discute d’un point technique précis. C’est toute la différence entre une entreprise qui subit un contrôle et une entreprise qui y participe. Et ces dix pièces représentent, cumulées sur quinze mois, environ six heures de travail.

🏋️ Exercices

Exercice 1 — Le test des dix secondes

Sans rien préparer, chronométrez-vous. Ouvrez votre ordinateur et essayez de retrouver, en dix secondes, la preuve que votre dernier salarié embauché a été informé des règles d’usage de l’IA. Si vous n’y arrivez pas, vous savez par où commencer. Notez le temps réel qu’il vous a fallu.

Exercice 2 — Compléter l’article 3

Reprenez le modèle de charte, article 3, dernière ligne à compléter. Écrivez la liste des documents de votre activité qui devraient faire l’objet d’une double relecture. Contrainte : entre deux et cinq éléments, formulés de manière assez précise pour qu’un nouveau salarié sache immédiatement si un document en fait partie.

Exercice 3 — La revue à blanc

Bloquez une heure dans votre agenda, dès cette semaine, et déroulez la revue annuelle de la section 8 même si votre dossier est incomplet. À la fin, rédigez le compte rendu d’une demi-page. Vous venez de produire la huitième pièce, et vous savez précisément ce qu’il manque aux sept autres.

🧩 Adapter à votre activité

Plombier, électricien, artisan du bâtiment. Le point sensible est le devis et le descriptif technique. Une erreur de norme ou de référence produit par un outil engage votre responsabilité décennale. Complétez l’article 3 par : tout devis et tout document mentionnant une norme technique. Votre registre comptera souvent deux ou trois lignes seulement.

Boulangerie, restauration, métiers de bouche. Le point sensible est l’allergène et la composition. Complétez l’article 3 par toute communication portant sur la composition des produits. Ajoutez la retouche d’images de plats à votre registre : c’est un usage réel qui relève de la transparence.

Cabinet comptable, conseil, professions du chiffre. Le point sensible est le secret professionnel, et l’article 2 devient votre article central. Vos clients vous confient des données qui ne vous appartiennent pas. Prévoyez des outils professionnels contractuellement encadrés, et interdisez fermement les versions grand public. La double relecture porte sur tout document destiné à une administration.

Agence immobilière. Le point sensible est le tri de candidatures, qui peut relever du haut risque. Traitez-le comme dans le cas pratique 2 : motif écrit systématique, réexamen humain, interrogation de l’éditeur sur les critères.

Kinésithérapeute, professions de santé. Le point sensible est la donnée de santé, qui est une donnée sensible. Aucun outil grand public ne doit jamais voir un nom de patient. Si vous utilisez une transcription automatique de comptes rendus, l’outil doit être un dispositif professionnel avec hébergement de données de santé conforme, et cela figure explicitement à votre registre.

Association sportive. Le point sensible est le mineur. Photos, listes d’adhérents, certificats médicaux : rien de tout cela n’entre dans un outil grand public. Votre charte s’applique aussi aux bénévoles, ce qui suppose une adaptation du vocabulaire puisqu’ils ne sont pas salariés. Faites-la valider par votre fédération.

🚀 Aller plus loin

• Les questions-réponses de la Commission européenne sur la maîtrise de l’IA, publiées par la direction générale des réseaux de communication. C’est la source primaire, courte, et la seule qui fasse foi sur ce que l’on attend de vous.
• Le recueil vivant de pratiques de maîtrise de l’IA du Bureau européen de l’IA, alimenté par les signataires du pacte sur l’IA. Utile pour piocher des idées d’actions, en gardant en tête qu’il n’accorde aucune présomption de conformité.
• Les recommandations de la CNIL sur l’IA, notamment celles de février et juillet 2025, et son programme de travail 2026 qui annonce les chantiers sur l’IA au travail.
• Votre chambre de métiers ou de commerce. Beaucoup proposent des permanences gratuites et des modèles adaptés aux métiers locaux.
• Un avocat en droit social, pour la relecture de la charte. Comptez une consultation courte. C’est la seule dépense que nous recommandons formellement dans ce module.

🔑 L’essentiel à retenir

• Une conformité que l’on ne peut pas prouver n’existe pas. L’article 4 est une obligation de moyens : seule la trace de l’effort la démontre.
• Huit pièces suffisent : registre des usages, plan de formation, supports, émargements, évaluations, charte signée, note de service ou avenant, calendrier de revue.
• Aucune certification n’est exigée. La Commission européenne indique qu’un registre interne des formations suffit.
• Datez tout, faites signer ce qui engage, et envoyez-vous chaque pièce par courriel au moment où vous la créez.
• Le registre des usages de l’IA n’est pas le registre RGPD. Deux fichiers, un renvoi de l’un vers l’autre.
• La charte tient en trois à cinq pages. Au-delà, elle n’est pas lue, donc pas appliquée.
• En dessous de cinquante salariés, la signature de chacun suffit à rendre la charte opposable. Au-delà, elle s’annexe au règlement intérieur avec le formalisme correspondant.
• Cinq ans est la durée de conservation pivot, sauf pièces relevant d’un autre régime plus long.
• Une revue par an, une heure, un compte rendu d’une demi-page. Plus cinq déclencheurs qui imposent d’agir hors calendrier.
• Les autorités nationales de surveillance disposent de leurs pouvoirs de contrôle à compter du 2 août 2026.

📖 Glossaire

• Article 4. Disposition du règlement européen sur l’IA imposant aux fournisseurs et déployeurs de prendre des mesures pour assurer un niveau suffisant de maîtrise de l’IA de leur personnel. Applicable depuis le 2 février 2025.
• Déployeur. Celui qui utilise un système d’IA sous sa propre autorité, dans un cadre professionnel. C’est votre situation dans la quasi-totalité des cas.
• Obligation de moyens. Obligation de mettre en œuvre les efforts nécessaires, sans garantir un résultat. Se prouve par la trace des actions entreprises.
• Registre des usages de l’IA. Document interne recensant les outils d’IA utilisés, leurs usages, leurs utilisateurs et leur niveau de risque. Non imposé nommément par un texte, mais pièce centrale de la preuve.
• Registre des activités de traitement. Document imposé par l’article 30 du RGPD, recensant les traitements de données personnelles.
• Document unique d’évaluation des risques professionnels. Document obligatoire dès le premier salarié, recensant les risques pour la santé et la sécurité. Ses versions successives se conservent quarante ans.
• Note de service. Document interne édictant des obligations. Lorsqu’elle porte des obligations générales et permanentes, elle est considérée comme une adjonction au règlement intérieur et suit le même formalisme.
• Autorité de surveillance du marché. Autorité nationale chargée de contrôler l’application du règlement sur l’IA. Ses pouvoirs s’exercent à compter du 2 août 2026.
• Digital omnibus. Paquet européen de simplification adopté en juin 2026, qui reporte certaines échéances relatives aux systèmes à haut risque et reformule l’article 4 en obligation de moyens explicite.

❓ Questions fréquentes

Je suis seul, sans salarié. Suis-je concerné ?

L’article 4 vise le personnel et les personnes agissant pour le compte de l’entreprise. Sans salarié ni sous-traitant utilisant vos outils, l’obligation de formation perd l’essentiel de son objet. Nous recommandons malgré tout de tenir un registre des usages : il vous sert le jour où vous embauchez, il répond aux questions de vos clients et de votre assureur, et il coûte trente minutes.

Mes salariés utilisent l’IA sur leur téléphone personnel. Puis-je l’interdire ?

Vous pouvez encadrer l’usage professionnel quel que soit le matériel, et le modèle de charte le prévoit expressément à son article 1. Ce que vous ne pouvez pas faire, c’est contrôler l’usage strictement privé de leur matériel personnel. La frontière est l’activité professionnelle, pas l’appareil.

Que se passe-t-il si je n’ai rien fait au 2 août 2026 ?

Vous n’encourez pas d’amende automatique : l’article 4 ne figure pas dans la liste des manquements sanctionnés par une amende spécifique à l’article 99. Le risque est indirect et se matérialise lors d’un autre événement, qu’il s’agisse d’un contrôle sur un autre fondement, d’un litige avec un salarié ou d’une réclamation client. Commencez par le registre, c’est la pièce qui rattrape le plus de retard en le moins de temps.

Le modèle de charte de cette leçon est-il utilisable tel quel ?

Non, et c’est important. Il s’agit d’un support pédagogique conçu pour vous montrer la structure et le niveau de précision attendus. Il doit être adapté à votre activité, complété aux endroits signalés, et relu par un conseil juridique avant diffusion. Ce n’est pas un document contractuel prêt à l’emploi.