---
title: "Politique d’usage de l’IA en entreprise : ce qu’elle doit contenir"
description: "Une politique d’usage de l’IA est le document interne court qui indique quels outils sont approuvés, ce qui ne doit jamais y être saisi, qui approuve une exception, ce qu’il advient des données et à quelle fréquence le texte est revu. C’est aussi la façon la plus directe de satisfaire l’obligation de l’article 4 du règlement sur l’intelligence artificielle."
url: "https://ainora.lt/fr/blog/politique-usage-ia-entreprise"
published: "2026-09-06"
author: "Justas Butkus"
---

# Politique d’usage de l’IA en entreprise : ce qu’elle doit contenir

> **L’essentiel**
>
> **Une politique d’usage de l’IA est un document interne court qui répond à cinq questions : quels outils sont approuvés, ce qui ne doit jamais y être saisi, qui approuve une exception, ce qu’il advient des données saisies, et à quelle fréquence le texte est revu.** Une page ou deux suffisent, et c’est même une condition de son efficacité : un document de dix pages n’est pas lu, donc il ne change aucun comportement. C’est aussi la façon la plus directe de satisfaire l’obligation de l’article 4 du règlement sur l’intelligence artificielle, qui demande des mesures proportionnées et non un certificat. Ceci constitue une information générale, pas un conseil juridique.

- **Article 4** - La disposition du règlement (UE) 2024/1689 qui demande de prendre des mesures pour favoriser le développement de la maîtrise de l’IA (Source: Règlement (UE) 2026/1744, art. 1er, pt 5 - https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ%3AL_202601744)
- **Aucun certificat** - La Commission écrit qu’un registre interne des formations et autres initiatives suffit (Source: Commission européenne, questions-réponses sur la maîtrise de l’IA - https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers)
- **2 février 2025** - Date d’application de l’article 4, inchangée par l’omnibus numérique sur l’IA (Source: Règlement (UE) 2026/1744, art. 113 modifié - https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ%3AL_202601744)
- **2 août 2026** - Date à partir de laquelle s’appliquent les pouvoirs d’exécution des autorités nationales compétentes (Source: Commission européenne, application du règlement IA - https://digital-strategy.ec.europa.eu/en/policies/enforcement-ai-act)

La plupart des entreprises françaises n’ont pas décidé de laisser leurs salariés utiliser des assistants génératifs : elles ont simplement omis de trancher. Entre les deux, il y a une différence de nature. Sans règle écrite, chaque personne répond seule à la question « puis-je coller ceci ? », et elle y répond selon son tempérament : les plus prudents renoncent à l’outil, les plus confiants y versent tout. Les deux résultats sont mauvais, et le second est celui qui finit devant un délégué à la protection des données.

Une politique d’usage ne sert donc pas à interdire. Elle sert à retirer la décision de l’épaule de chacun et à la poser une fois, par écrit, pour tout le monde. C’est aussi ce qui fait remonter l’usage : quand la limite est claire, les gens utilisent l’outil davantage, pas moins, parce que le risque personnel disparaît de l’équation.

## Qu’est-ce qu’une politique d’usage de l’IA ?

C’est un document interne, contraignant pour les salariés au même titre qu’une charte informatique, qui délimite l’usage des systèmes d’IA dans le travail. Il ne décrit pas la technologie et n’explique pas ce qu’est un modèle de langage : il répond à des questions opérationnelles, dans l’ordre où elles se posent devant un écran. Quel outil ai-je le droit d’ouvrir ? Que puis-je y mettre ? Que dois-je vérifier avant d’envoyer le résultat ? À qui je demande si mon cas n’est pas prévu ?

Il faut le distinguer de trois documents voisins avec lesquels il est souvent confondu. La **charte informatique** couvre le matériel et les accès, pas le contenu saisi dans un service tiers. Le **registre des traitements** du RGPD documente des traitements de données personnelles, ce qui est une autre question et une autre obligation. Une **analyse d’impact** porte sur un traitement précis. La politique d’usage de l’IA est le document du quotidien, celui qu’un nouvel arrivant lit en dix minutes.

## Que doit contenir la politique ?

Cinq blocs, dans cet ordre. Tout ce qui déborde de ces cinq blocs appartient à un autre document.

- **Les outils approuvés, nommés, avec le type de compte.** Pas « les outils d’IA générative » mais la liste réelle, et pour chacun la version qui est autorisée : compte professionnel de l’entreprise ou compte personnel. C’est la distinction la plus importante du document, parce que les paliers d’un même produit diffèrent sur la réutilisation des saisies, la durée de conservation et le lieu d’hébergement. Un salarié qui ignore sur quel palier il travaille ne peut pas décider correctement du sort d’un document.
- **Les classes de données et ce que chacune autorise.** Voir le tableau ci-dessous. C’est le cœur opérationnel.
- **L’obligation de vérification avant usage.** Qui vérifie quoi, et à quel moment, selon que la sortie part vers un client, vers un document contractuel ou vers une note interne.
- **La procédure d’exception.** Une personne nommée, un délai de réponse, et la trace écrite de la décision. Sans cela, la règle est contournée en silence dès la première urgence.
- **La revue et le responsable.** Une date de revue, un nom. Un document sans propriétaire devient faux en un trimestre et personne ne le remarque.

## Quelles données avec quel outil

C’est la section que les équipes consultent réellement, et c’est donc la seule qui doit tenir sur un écran. Le principe est de classer les données, pas les outils : un salarié se demande d’abord « qu’est-ce que j’ai entre les mains », et ensuite seulement « où puis-je le mettre ».

| Classe de données | Exemples | Outil public grand public | Outil professionnel de l’entreprise | Système interne |
| --- | --- | --- | --- | --- |
| Publiques | Contenu du site, plaquettes, offres d’emploi, communiqués | Autorisé | Autorisé | Autorisé |
| Internes non sensibles | Notes de réunion sans nom, modèles de documents, procédures | Non | Autorisé | Autorisé |
| Données personnelles | Noms, coordonnées, dossiers salariés, échanges clients identifiants | Non | Uniquement si le contrat et la base légale le permettent | Autorisé selon les habilitations |
| Confidentielles contractuelles | Contrats, prix négociés, documents sous accord de confidentialité | Non | Uniquement après vérification de la clause | Autorisé selon les habilitations |
| Catégories particulières | Santé, données biométriques, autres catégories de l’article 9 du RGPD | Non | Non, sauf régime dédié documenté | Uniquement dans un système prévu pour cela |
| Identifiants et secrets | Mots de passe, clés d’interface, jetons, données de paiement | Non | Non | Non |

Deux remarques sur ce tableau. D’abord, la colonne « outil public grand public » n’est pas une colonne de honte : elle existe parce que ces outils sont réellement utiles pour la classe publique et qu’une politique qui l’ignore sera contournée. Ensuite, la dernière ligne n’a pas de nuance : un identifiant collé dans une fenêtre de discussion est un identifiant à changer, quel que soit le palier du service.

## Ce qui ne doit jamais être saisi

Une politique gagne en autorité quand elle comporte une liste courte de choses absolues, sans exception ni procédure de dérogation. Trois ou quatre lignes suffisent, et elles doivent tenir dans la mémoire d’une personne qui ne relira pas le document.

- Les identifiants, mots de passe, clés d’interface et jetons d’accès, sous quelque forme que ce soit, y compris à l’intérieur d’un extrait de code collé pour être corrigé.
- Les données de paiement complètes.
- Les documents couverts par un accord de confidentialité, tant que la clause n’a pas été relue par la personne désignée dans la politique.
- Les catégories particulières de données au sens de l’article 9 du RGPD, en dehors d’un système explicitement prévu et documenté pour les traiter.

> **Le piège du copier-coller partiel**
>
> La fuite la plus fréquente n’est pas le versement volontaire d’un fichier confidentiel : c’est l’extrait. Un salarié colle « juste le paragraphe qui pose problème » d’un contrat, ou « juste la ligne d’erreur » d’un journal applicatif qui contient une clé. Une politique qui ne parle que de fichiers rate ce cas. Écrivez la règle sur le contenu, jamais sur le format du support.

## L’obligation de vérifier avant d’agir

Un système d’IA générative produit une réponse fausse avec exactement la même assurance qu’une réponse juste. Le lecteur ne dispose d’aucun signal interne pour les distinguer, ce qui rend la vérification structurellement nécessaire plutôt que recommandée. La politique doit donc dire qui vérifie, et à quel moment, en graduant selon la destination de la sortie.

- **Sortie interne informelle** (résumé de réunion, brouillon personnel) : la personne qui l’a produite relit, sans formalisme.
- **Sortie vers un client ou un partenaire** : relecture par une personne qui connaît le dossier, avant envoi. Les chiffres, les noms, les dates et les engagements sont revérifiés à la source.
- **Sortie à effet juridique ou financier** (clause, devis, réponse à un appel d’offres, courrier de mise en demeure) : validation par la fonction compétente, et mention dans le dossier que l’IA a été utilisée dans la production du document.
- **Toute citation d’une source** : la source est ouverte et lue. Une référence produite par un assistant et non ouverte est une référence non vérifiée, indépendamment de sa vraisemblance.

Cette gradation fait deux choses en même temps. Elle protège l’entreprise sur les sorties à risque, et elle évite d’imposer une procédure lourde là où elle ne sert à rien, ce qui est la cause habituelle de l’abandon des politiques internes.

## Qui approuve une exception

Toute politique rencontre un cas non prévu dans le mois qui suit sa publication. Ce qui décide de sa survie n’est pas sa rigueur, c’est l’existence d’une porte de sortie rapide. Trois éléments suffisent : un nom, un délai, une trace.

Le nom est une personne, pas une fonction abstraite, et de préférence quelqu’un qui connaît à la fois le métier et les contraintes de données. Le délai doit être court, deux jours ouvrés typiquement, sans quoi la personne contournera la règle plutôt que d’attendre. La trace est une ligne écrite quelque part : quel cas, quelle décision, quelle date. Cette trace est également ce qui alimente la revue périodique, parce qu’une exception demandée trois fois indique que la politique est mal écrite, pas que les salariés sont indisciplinés.

## En quoi la politique répond à l’article 4

L’article 4 du règlement sur l’intelligence artificielle demande aux fournisseurs et aux déployeurs de systèmes d’IA de prendre des mesures pour favoriser le développement de la maîtrise de l’IA de leur personnel et des autres personnes qui s’occupent du fonctionnement et de l’utilisation de ces systèmes pour leur compte, en tenant compte de leurs connaissances techniques, de leur expérience, de leur éducation et de leur formation, ainsi que du contexte d’utilisation prévu. Depuis la rédaction issue du règlement (UE) 2026/1744, entrée en vigueur le 27 juillet 2026, le texte ajoute expressément que cette obligation ne contraint pas à garantir un niveau spécifique de maîtrise de l’IA par un individu ([EUR-Lex, règlement (UE) 2026/1744](https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ%3AL_202601744)).

Une politique écrite est précisément une mesure de ce type, et c’est la plus économique. Elle est proportionnée par construction, puisqu’elle est écrite à partir des usages réels de l’entreprise. Elle est traçable, puisqu’elle est datée et versionnée. Et elle est utile indépendamment de toute considération réglementaire, ce qui est le meilleur test qu’une mesure de conformité puisse passer.

> **Ce que la Commission écrit sur la preuve**
>
> Interrogée sur la documentation exigée pour se conformer à l’article 4, la Commission européenne répond, dans la version anglaise de ses questions-réponses : « There is no need for a certificate. Organisations can keep an internal record of trainings and/or other guiding initiatives. » Sur le format d’une formation : « There is no one size fit all when it comes to AI literacy and no strict requirements or mandatory trainings are imposed. » Et sur l’organisation interne : « No, no specific governance structure is mandated to comply with article 4 of the AI Act. »
>
> Nous citons ici la version anglaise à dessein : les versions linguistiques de cette page, dont la française, sont des traductions automatiques par le service eTranslation, elles le signalent en tête de page, et plusieurs conservent des phrases antérieures à l’omnibus. Le détail de ce problème, et pourquoi il pollue une bonne partie du contenu français sur le sujet, est traité dans notre [audit de l’article 4](/fr/blog/reglement-ia-article-4-litteratie-ia).
>
>
>
> [Source: Commission européenne, questions-réponses sur la maîtrise de l’IA](https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers)

Un point de précision, parce qu’il est régulièrement présenté à l’envers dans les argumentaires commerciaux. L’article 4 ne figure pas dans la liste de l’article 99, paragraphe 4, du règlement, celle qui ouvre droit aux amendes pouvant atteindre 15 000 000 EUR ou 3 % du chiffre d’affaires. Il n’y figurait pas dans la rédaction d’origine et n’y figure pas davantage après l’insertion du point d bis) par l’omnibus. Cela ne veut pas dire qu’aucune conséquence n’est possible : l’article 99, paragraphe 1, oblige les États membres à prévoir des sanctions et d’autres mesures d’exécution, et l’omnibus a renforcé ce paragraphe. La formulation exacte est donc : aucun plafond d’amende européen ne se rattache à l’article 4, et toute conséquence relèverait du droit national.

## Comment rédiger la politique en une demi-journée

Une politique écrite en chambre par une direction juridique décrit un usage imaginaire. Une politique écrite pendant que les gens travaillent décrit l’usage réel, et c’est la seule qui survit. Voici la séquence que nous utilisons lorsque la rédaction se fait à l’intérieur d’un déploiement.

**Rédiger une politique d’usage de l’IA en entreprise**

1. **Recenser ce qui est déjà utilisé, sans sanction** - Une question posée à chaque équipe : quels outils utilisez-vous aujourd’hui, y compris ceux que personne n’a validés. La réponse honnête n’arrive que si la question ne s’accompagne d’aucune conséquence. C’est aussi la seule façon de découvrir les comptes personnels utilisés sur des documents professionnels.
2. **Trancher la liste des outils approuvés et le palier de compte** - Pour chaque outil retenu, décider explicitement du type de compte autorisé, parce que les paliers d’un même produit diffèrent sur la réutilisation des saisies, la conservation et le lieu d’hébergement. Un outil sans palier décidé est un outil non décidé.
3. **Écrire les classes de données avec les équipes concernées** - Le tableau des classes se remplit à partir de documents réels apportés par les participants, pas à partir de catégories théoriques. C’est l’étape qui fait apparaître les cas limites que personne n’avait anticipés, et ce sont eux qui rendent le document utile.
4. **Fixer la règle de vérification par destination** - Quatre niveaux au maximum, du brouillon interne à la sortie à effet juridique. Au-delà de quatre, la règle cesse d’être mémorisable et redevient une consultation de document, c’est-à-dire une règle non appliquée.
5. **Nommer un responsable et une date de revue** - Une personne, une date, et l’engagement que les demandes d’exception alimentent la revue suivante. Une politique sans propriétaire devient fausse en un trimestre et personne ne s’en aperçoit avant l’incident.
6. **Consigner la diffusion dans un registre interne** - Qui a reçu le document, quand, et quelles sessions ont eu lieu. La Commission indique qu’un registre interne des formations et autres initiatives suffit, et qu’aucun certificat n’est nécessaire. (Source: Commission européenne, questions-réponses - https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers)

Nous procédons ainsi parce que nous ne sommes pas un organisme de formation : nous construisons et exploitons les systèmes, et la politique se rédige au moment où l’équipe apprend à s’en servir. Le détail de cette approche est sur la page [formation IA pour entreprises](/fr/formation-ia-pour-entreprises). Lorsque l’entreprise déploie en parallèle un [assistant IA interne](/fr/assistant-ia-interne) connecté à ses propres documents, la politique gagne une sixième section : ce que l’assistant a le droit de consulter, selon quelles habilitations, et comment on signale une réponse devenue obsolète.

## Questions fréquentes

**Une politique d’usage de l’IA est-elle obligatoire en France ?**

Aucun texte n’impose ce document sous ce nom. Ce qui existe est l’article 4 du règlement sur l’intelligence artificielle, qui demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l’IA de leur personnel, en tenant compte du contexte d’utilisation. Une politique écrite est l’une de ces mesures, et la plus simple à démontrer. La Commission européenne précise qu’aucune structure de gouvernance particulière n’est imposée et qu’aucun certificat n’est nécessaire. Ceci constitue une information générale, pas un conseil juridique. (Source: Commission européenne, questions-réponses - https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers)

**Quelle longueur doit avoir le document ?**

Une à deux pages. La longueur est une caractéristique fonctionnelle, pas un détail de présentation : un document que personne ne lit ne modifie aucun comportement, et la seule preuve d’efficacité d’une politique interne est qu’un salarié sache y répondre de mémoire devant son écran. Tout ce qui relève du détail technique, des contrats fournisseurs ou du registre des traitements appartient à d’autres documents.

**Faut-il interdire purement et simplement les outils grand public ?**

C’est rarement la bonne réponse, et c’est souvent la moins efficace. Une interdiction générale n’élimine pas l’usage, elle le rend invisible : les gens continuent depuis leur téléphone personnel, et l’entreprise perd toute vue sur ce qui sort. Une politique par classes de données conserve l’outil pour les contenus publics, ferme la porte pour le reste et donne une procédure d’exception. L’usage devient alors observable, ce qui est le seul état à partir duquel on peut le maîtriser.

**Que faire des comptes personnels utilisés pour le travail ?**

Les traiter comme un problème de politique, pas comme une faute individuelle. La règle utile nomme le palier de compte autorisé pour chaque outil, parce que les paliers d’un même produit diffèrent sur la réutilisation des saisies, la durée de conservation et le lieu d’hébergement des données. Tant que l’entreprise n’a pas fourni un compte professionnel, exiger qu’il soit utilisé n’a pas de sens. Le recensement initial, mené sans sanction, est ce qui fait apparaître l’ampleur réelle du phénomène.

**Un manquement à l’article 4 expose-t-il à une amende ?**

Pas au titre du barème européen. L’article 4 ne figure pas dans la liste de l’article 99, paragraphe 4, ni avant ni après l’omnibus numérique sur l’IA, donc aucun plafond de 15 000 000 EUR ou de 3 % du chiffre d’affaires ne s’y rattache. En revanche l’article 99, paragraphe 1, oblige les États membres à prévoir des sanctions et d’autres mesures d’exécution, et l’omnibus a renforcé ce paragraphe. Une conséquence est donc possible, par le droit national. En France, le projet de loi qui porterait ce régime n’était pas adopté au 6 septembre 2026. (Source: Règlement (UE) 2024/1689, art. 99 - https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202401689)

**À quelle fréquence faut-il revoir la politique ?**

Une revue par semestre est un rythme réaliste, avec une revue supplémentaire déclenchée par un événement : ajout d’un outil, changement de palier de compte chez un fournisseur, incident, ou trois demandes d’exception portant sur le même cas. Ce dernier signal est le plus utile, parce qu’il indique que la politique est mal écrite plutôt que mal appliquée.

**La politique remplace-t-elle le registre des traitements du RGPD ?**

Non, ce sont deux documents distincts avec des finalités différentes. Le registre documente des traitements de données personnelles au titre du RGPD. La politique d’usage encadre le comportement des salariés face à des outils, y compris pour des contenus qui ne sont pas des données personnelles, comme un secret d’affaires ou un extrait de code contenant une clé. Les deux se recoupent sur la ligne des données personnelles, et sur celle-là seulement.

Plus sur Ainora

Pages plateforme et secteur en lien avec cet article.

- [Plateforme AINORAAperçu et fonctionnalités](/fr/plateforme)
- [IA pour le recouvrementVoix conforme pour les relances](/fr/recouvrement-creances-ia)
- [TarifsComment nous chiffrons chaque projet](/fr/tarifs)
- [ContactParlez à notre équipe](/fr/contact)