Charte informatique et IA : interdire ou encadrer ChatGPT, et mettre la charte à jour

La plupart des chartes informatiques en vigueur ont été écrites avant ChatGPT. Elles parlent de logiciels à installer, de navigation sur internet et de messagerie, pas de contrats collés dans un assistant en ligne ni de résumés de réunion produits par la visioconférence. Le dirigeant qui découvre ces usages a deux options, interdire ou encadrer, et chacune produit des effets juridiques qu'on mesure mal : une interdiction diffusée par courriel ne permet de sanctionner personne, et une autorisation écrite dans la charte a déjà servi au juge pour retenir l'introduction d'une nouvelle technologie, avec suspension des outils sous astreinte de 1 000 euros par jour. Voici comment choisir, puis comment mettre la charte à jour sans perdre son opposabilité.

Interdire ChatGPT en entreprise : ce que produit une interdiction

L'employeur choisit les outils de travail. Interdire l'usage professionnel de ChatGPT ou de tout assistant d'IA générative relève de son pouvoir de direction, et aucun texte ne lui impose d'autoriser un outil qu'il n'a pas retenu. La question n'est donc pas la licéité de l'interdiction, mais ce qu'elle produit en pratique.

Une interdiction doit suivre la procédure pour être sanctionnable

Un interdit général et permanent assorti d'une sanction est une règle de discipline au sens de l'article L1321-1 du Code du travail. L'article L1321-5 soumet « en toute hypothèse » au régime du règlement intérieur les notes de service et « tout autre document » qui posent ce type d'obligations. Le courriel de la direction qui annonce « ChatGPT est interdit à compter de lundi » informe les équipes. Il ne fonde pas, à lui seul, une sanction disciplinaire contre celui qui passe outre. Interdire exige donc la même procédure qu'encadrer : avis du CSE, publicité, communication à l'inspection du travail, entrée en vigueur un mois plus tard.

Une interdiction trop large se retourne contre l'entreprise

L'article L1121-1 interdit les restrictions aux droits des personnes qui ne seraient pas justifiées par la nature de la tâche ni proportionnées au but recherché. Interdire de traiter des données de l'entreprise dans un outil non autorisé se justifie sans difficulté. Interdire à un salarié d'utiliser une application d'IA sur son téléphone personnel, pendant sa pause et pour un usage privé, se défend beaucoup moins bien. La formule « tout usage de l'intelligence artificielle est interdit » pose un second problème : elle vise aussi le correcteur, la traduction automatique et les fonctions d'IA que l'éditeur de votre suite bureautique a activées par défaut. Une règle que l'entreprise enfreint elle-même chaque jour ne se sanctionne pas de façon crédible.

L'usage continue, mais il devient invisible

Une interdiction sans outil de remplacement ne supprime pas l'usage, elle le déplace vers des comptes personnels que la DSI ne voit pas. La cour d'appel de Paris a d'ailleurs relevé, dans un arrêt du 21 mai 2026 (pôle 1, chambre 2, RG 25/13234), qu'il importait peu que des outils d'IA aient été utilisés auparavant par les salariés, dès lors que cette utilisation était « occulte voire prohibée ». Avoir interdit ne dispense de rien le jour où l'entreprise décide d'introduire un outil.

L'interdiction garde sa place dans trois situations : un secteur où presque toutes les données sont sensibles, un contrat client qui proscrit le traitement des données par un outil d'IA, et la période transitoire pendant laquelle l'entreprise prépare son encadrement. Elle est alors ciblée, motivée et datée.

Point de vigilance. L'article L1321-5 permet une application immédiate en cas d'urgence, mais seulement pour les obligations relatives à la santé et à la sécurité, avec communication simultanée au secrétaire du CSE et à l'inspection du travail. Ne fondez pas une interdiction urgente de l'IA sur cette exception : le texte ne vise pas la protection des données.

Encadrer l'IA : outils autorisés, comptes professionnels, données interdites

La CNIL a pris position dans ses questions-réponses du 18 juillet 2024 sur l'usage d'un système d'IA générative : elle recommande à tout organisme d'encadrer cet usage par des « politiques ou chartes internes, définissant clairement les usages autorisés et les usages interdits ». Elle admet, pour des usages non confidentiels, un service grand public accessible avec des adresses électroniques professionnelles dédiées, à condition d'éviter les comptes créés avec des adresses personnelles et de désactiver, le cas échéant, la réutilisation des données par le fournisseur. La charte devient alors l'instruction que l'article 29 du RGPD exige : toute personne agissant sous l'autorité du responsable ne traite les données que sur son instruction.

Encadrer revient à trancher trois questions, et à les écrire.

• Quels outils. Une liste par usage et par formule souscrite. Le même assistant n'a pas le même régime en compte personnel et en offre entreprise : c'est la formule qui détermine ce que deviennent les saisies.
• Quels comptes. Compte nominatif ouvert avec l'adresse professionnelle, géré par l'entreprise. Le compte personnel, même remboursé en note de frais, est exclu pour toute donnée de l'entreprise.
• Quelles données. Ce qui ne doit jamais entrer, quel que soit l'outil : données de santé, dossiers de salariés, données de clients hors outil couvert par un accord de sous-traitance, code source et secrets, documents reçus sous accord de confidentialité.

L'encadrement sert aussi le secret des affaires. L'article L151-1 du Code de commerce ne protège une information que si son détenteur a pris des « mesures de protection raisonnables ». Une règle écrite, diffusée et appliquée sur les saisies dans les outils d'IA fait partie de ces mesures. Son absence fragilise l'action contre un concurrent le jour où l'information fuit.

Le détail des clauses d'une charte IA, section par section, est développé dans notre article charte IA interne et shadow AI. La suite traite de la manière de faire entrer ces règles dans un dispositif existant.

Ce qu'une charte informatique ancienne ne couvre pas sur l'IA

Avant d'écrire une ligne, relisez la charte en vigueur avec une question simple : si un salarié colle demain un contrat client dans un assistant grand public, quelle clause a-t-il enfreinte ? Dans une charte écrite avant 2023, la réponse est souvent incertaine.

Les clauses qui ne mordent plus

• « Aucun logiciel ne peut être installé sans autorisation. » Un assistant en ligne ne s'installe pas : il s'ouvre dans le navigateur. La clause ne vise pas l'usage, seulement l'installation.
• « L'usage d'internet est réservé à des fins professionnelles. » Utiliser un assistant pour rédiger une proposition commerciale est un usage professionnel. La clause est respectée alors que des données sortent.
• « Le salarié ne divulgue aucune information confidentielle à des tiers. » Le fournisseur d'un outil d'IA est-il un tiers destinataire ? Dans un cas grave, le juge pourra le retenir, mais il appréciera, et la règle n'a jamais été pensée pour ce geste.

Les sujets absents

Les fonctions d'IA activées dans des logiciels déjà autorisés (résumé automatique des réunions, rédaction assistée dans la messagerie), les extensions de navigateur qui lisent le contenu des pages, l'enregistrement et la transcription des échanges, la vérification des résultats avant qu'ils sortent de l'entreprise, la mention de l'assistance dans un livrable : rien de cela ne figure dans une charte de 2018. S'y ajoute le contrôle. Si l'entreprise compte exploiter les journaux du proxy pour repérer les connexions aux assistants non autorisés, l'article L1222-4 impose que le dispositif ait été porté préalablement à la connaissance des salariés. La charte mise à jour est le bon support de cette information.

Sur la jurisprudence, la prudence s'impose : aucune décision publiée sanctionnant un salarié pour l'usage de ChatGPT n'a été trouvée dans Judilibre au 3 novembre 2026. Les règles connues sur l'opposabilité d'une charte s'appliqueront, mais aucun juge n'a encore dit si une clause ancienne suffit à couvrir l'IA. Mieux vaut ne pas être le premier à le tester. Le statut général de la charte et ses étapes de rédaction sont repris dans notre article charte informatique : est-elle obligatoire et comment la rédiger.

Avenant à la charte informatique ou charte IA séparée

Le nom du document ne change rien à son régime. L'article L1321-5 vise « tout autre document » comportant des obligations générales et permanentes : un chapitre IA inséré dans la charte informatique, une charte IA autonome ou une « politique d'usage de l'IA » suivent la même procédure dès qu'ils posent des interdits sanctionnés. Le choix est d'organisation, pas de droit.

L'avenant à la charte existante

Un chapitre ajouté à la charte informatique réutilise ses définitions (données confidentielles, ressources informatiques, utilisateurs), son échelle de sanctions et ses règles de contrôle. Le salarié a un seul document à connaître. C'est la bonne solution pour une PME dont la charte est récente et bien construite. L'inconvénient apparaît à la mise à jour suivante : chaque évolution des règles sur l'IA rouvre la procédure pour un document entier.

La charte IA autonome

Un document séparé se lit mieux, se confie à un référent IA et évolue à son rythme. Il présente un risque : deux définitions de la donnée confidentielle, deux listes de sanctions, deux procédures de signalement d'incident. La charte IA doit donc renvoyer expressément à la charte informatique pour tout ce qui est commun, et ne régler que ce qui est propre à l'IA.

Le montage qui résiste aux changements d'outils

La liste des outils change plus vite que les règles. Le montage le plus robuste place dans la charte, soumise à la procédure, le principe (« seuls les outils inscrits sur la liste tenue par la DSI peuvent recevoir des données de l'entreprise »), les interdits de données et les sanctions, et renvoie la liste elle-même à une annexe tenue à jour. Ajouter un outil ne crée aucune obligation nouvelle pour les salariés. La Cour de cassation a jugé, dans un arrêt publié du 23 juin 2021 (n° 19-15.737), qu'un document interne qui se borne à rappeler les dispositions légales et réglementaires applicables, sans créer d'obligation générale et permanente nouvelle, n'est pas une adjonction au règlement intérieur. Le critère est donc la création d'une obligation nouvelle. Aucune décision n'a toutefois tranché ce montage pour une liste d'outils. La prudence commande de traiter le retrait d'un outil, qui crée un nouvel interdit, comme une modification soumise à la procédure.

La procédure de mise à jour de la charte informatique

L'article L1321-4, dans sa rédaction en vigueur depuis le 28 mai 2026, précise que ses règles s'appliquent « en cas de modification ou de retrait des clauses ». Mettre la charte à jour pour l'IA, c'est donc refaire la procédure, au moins pour les clauses modifiées.

1. Avis du CSE sur le texte modifié. L'avis est consultatif, mais il est un préalable : la charte ne peut être introduite qu'après avoir été soumise au CSE (article L1321-4).
2. Publicité par tout moyen auprès des personnes ayant accès aux lieux de travail (article R1321-1) : intranet, affichage, et de préférence remise individuelle contre accusé de lecture, qui facilite la preuve.
3. Communication à l'inspecteur du travail, accompagnée de l'avis du CSE, en même temps que la publicité.
4. Entrée en vigueur à une date postérieure d'au moins un mois aux formalités de publicité, indiquée dans le document.

Le dépôt au greffe du conseil de prud'hommes appelle une précaution. La loi n° 2026-403 du 26 mai 2026 a retiré cette formalité de l'article L1321-4, mais l'article R1321-2, qui l'organise, n'a pas été modifié au 3 novembre 2026. Déposer reste une précaution peu coûteuse.

En dessous de 50 salariés, le règlement intérieur n'est pas obligatoire (article L1311-2), mais l'article L1321-5 soumet ces documents à son régime « en toute hypothèse ». Quand un CSE existe, suivre la procédure reste la seule voie sûre avant de sanctionner. Les formalités, leurs preuves et ce que les juges annulent sont détaillés dans notre article charte informatique et sanctions disciplinaires.

Une erreur fréquente consiste à mettre à jour la charte en ligne, sans date ni version. Numérotez les versions, conservez l'ancienne, et indiquez dans la nouvelle les clauses modifiées : le jour d'un contentieux, il faudra prouver quelle règle était en vigueur à la date des faits.

Consulter le CSE quand la charte autorise l'IA

Dans une entreprise d'au moins 50 salariés, la mise à jour pour l'IA peut déclencher deux consultations distinctes, en plus de l'avis sur la charte elle-même.

• L'introduction de nouvelles technologies (article L2312-8, II, 4°) : le CSE est informé et consulté sur le projet de déploiement d'outils d'IA, qui ne se confond pas avec le texte de la charte.
• Les moyens de contrôle de l'activité (article L2312-38) : si la mise à jour s'accompagne d'une journalisation des usages ou d'un blocage des assistants non autorisés, le CSE est consulté avant la mise en œuvre.

La charte qui autorise peut valoir introduction

L'arrêt de la cour d'appel de Paris du 21 mai 2026 en donne l'illustration. Pour retenir l'introduction d'une nouvelle technologie, la cour relève que l'employeur « a autorisé et encadré le recours à des outils d'intelligence artificielle, tel ChatGPT par une Charte d'utilisation des moyens informatiques et des outils numériques », en plus d'un assistant rédactionnel déployé sur l'intranet. Le caractère facultatif de l'outil n'a rien changé. La cour confirme l'ordonnance du tribunal judiciaire de Créteil du 15 juillet 2025 : suspension de l'utilisation des outils d'IA jusqu'à l'achèvement de la consultation, astreinte de 1 000 euros par jour pendant trois mois, 5 000 euros de provision au CSE, auxquels s'ajoutent 3 000 euros de frais de procédure en appel.

La leçon pour la mise à jour est directe : la clause qui autorise un assistant n'est pas neutre. Elle constitue une pièce du dossier. Présentez au CSE, dans la même séquence, le projet d'outils et la charte qui l'encadre, avec des informations précises et écrites (article L2312-15). Ces décisions sont rendues en référé, et la Cour de cassation ne s'est pas encore prononcée sur un outil d'IA générative. Les critères qui déclenchent la consultation et la question de la phase pilote sont analysés dans notre article déployer l'IA en entreprise : faut-il consulter le CSE.

À défaut d'accord, le CSE est réputé avoir rendu un avis négatif à l'expiration d'un délai d'un mois, porté à deux mois en cas d'expertise (article R2312-6). L'introduction de nouvelles technologies est l'un des cas où le comité peut recourir à un expert habilité (article L2315-94, 2°).

Former et informer : l'article 4 de l'AI Act

Une charte ne remplit pas seule l'obligation de maîtrise de l'IA. L'article 4 du règlement (UE) 2024/1689, remplacé par le règlement (UE) 2026/1744 entré en vigueur le 27 juillet 2026, demande aux fournisseurs et aux déployeurs de prendre « des mesures pour favoriser le développement de la maîtrise de l'IA » de leur personnel et des autres personnes qui utilisent les systèmes pour leur compte. Il tient compte de leurs connaissances, de leur expérience et du contexte d'utilisation, sans contraindre à garantir un niveau donné pour chaque individu. Une entreprise qui met un assistant d'IA à la disposition de ses équipes, ou en autorise l'usage professionnel, est en principe déployeur au sens du règlement.

La mise à jour de la charte offre le bon moment pour agir. Le mois qui sépare la publicité de l'entrée en vigueur sert à présenter les règles par équipe, avec des exemples propres au métier : le commercial et ses fichiers clients, le développeur et le code, les RH et les données de salariés. Gardez la trace de chaque session : date, public, contenu. C'est la preuve des mesures prises, et c'est aussi celle de l'information des salariés si un manquement doit être sanctionné ensuite.

Pour les systèmes à haut risque, l'article 26, paragraphe 7, ajoute une obligation propre à l'employeur : informer les représentants des travailleurs et les travailleurs concernés avant de mettre le système en service sur le lieu de travail. Le tri de candidatures est l'exemple le plus courant. Les règles relatives aux systèmes à haut risque de l'annexe III ne s'appliquent qu'à partir du 2 décembre 2027, date fixée par le même règlement de 2026 (article 113). Une charte mise à jour aujourd'hui peut déjà réserver ce cas.

Calendrier type d'une mise à jour de la charte informatique pour l'IA

Prenons, à titre de scénario type, une entreprise de 70 salariés dotée d'un CSE, dont la charte date de 2019, et qui veut ouvrir un assistant en offre entreprise à tous ses services.

1. Semaines 1 et 2 : inventaire et décision. Usages réels (questionnaire, abonnements passés en notes de frais, fonctions activées dans les logiciels), choix de la posture, lecture des conditions de l'offre retenue et de son accord de sous-traitance.
2. Semaines 3 et 4 : rédaction. Avenant ou charte IA, annexe des outils, note d'information sur les contrôles, dossier du CSE sur le projet d'outils.
3. Semaines 5 à 9 : consultation. Un mois à défaut d'accord, deux si le comité désigne un expert.
4. Semaine 10 : publicité et communication à l'inspection du travail, le même jour, avec l'avis du CSE.
5. Semaines 10 à 14 : sessions par équipe, pendant le mois d'attente, puis entrée en vigueur de la charte et ouverture des comptes.

Comptez environ trois mois, quatre avec expertise. Ce calendrier est une hypothèse construite sur les délais légaux : la préparation peut être plus courte dans une petite structure, plus longue dans un groupe à plusieurs établissements. Pendant la période transitoire, une consigne écrite reste utile pour informer et montrer les mesures de protection prises, même si elle ne vaut pas encore règle disciplinaire générale.

Je construis ces mises à jour à partir des usages réellement constatés dans l'entreprise, pas d'un modèle : choix entre interdiction ciblée et encadrement, rédaction de l'avenant ou de la charte IA et de son annexe d'outils, dossier de consultation du CSE, calendrier d'opposabilité. Le détail de l'accompagnement figure sur ma page avocat charte informatique et charte IA. Si vos équipes utilisent déjà ces outils avec une charte qui n'en dit rien, échangeons sur votre situation avant la prochaine mise à jour.