Avocat charte informatique et charte IA

Aucune loi ne l'impose sous ce nom. Mais l'article 32 du RGPD vous oblige à encadrer l'usage des données par vos équipes, et l'article L1222-4 du Code du travail vous interdit de collecter une information sur un salarié par un dispositif dont il n'a pas été informé. Sans charte, vous n'avez ni instructions écrites à opposer, ni information préalable à démontrer. Dans les entreprises d'au moins 50 salariés, le règlement intérieur est obligatoire : la charte s'y rattache naturellement comme adjonction. En dessous, elle reste le moyen le plus simple de prouver vos mesures de sécurité à un client, à un assureur ou à la CNIL.

Le règlement intérieur fixe la discipline et l'échelle des sanctions. La charte détaille les règles d'usage des outils. Dès qu'elle pose des obligations générales et permanentes assorties de sanctions, l'article L1321-5 du Code du travail la traite comme une adjonction au règlement intérieur : elle suit alors la même procédure, avec avis du CSE, communication à l'inspection du travail et publicité. Je recommande de faire renvoyer le règlement intérieur à la charte et de soumettre les deux ensemble. Vous gardez un texte technique lisible, mis à jour séparément, sans perdre la force disciplinaire.

D'abord, des sanctions annulées : lorsque le règlement intérieur fixe l'échelle des sanctions, une sanction qui n'y figure pas ne peut pas être prononcée (Cass. soc., 26 octobre 2010, n° 09-42.740). Ensuite, une preuve fragile : sans information préalable sur les journaux, leur exploitation contre un salarié est contestée. Enfin, un risque CNIL, dans les deux sens. L'absence de règles écrites pèse sur le respect de l'article 32 du RGPD, sanctionnable jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Un contrôle excessif, à l'inverse, a coûté 40 000 euros à une société de l'immobilier en décembre 2024.

Oui, si trois conditions sont réunies. La charte a été adoptée selon la procédure du règlement intérieur, la sanction figure dans l'échelle prévue, et la preuve du manquement est licite et datée. La procédure disciplinaire reste celle du droit commun : poursuites engagées dans les deux mois de la connaissance des faits, convocation, entretien, puis notification motivée. Le 29 mai 2024, la Cour de cassation a maintenu l'absence de cause réelle et sérieuse d'un licenciement fondé sur une charte : les pièces n'établissaient ni la date ni la fréquence des faits, et la sanction était disproportionnée. Je prépare donc la charte en pensant à la preuve.

La charte est d'abord rédigée et validée par la direction. Elle est ensuite soumise pour avis au CSE, avec, si elle annonce des moyens de contrôle de l'activité, la consultation prévue à l'article L2312-38 du Code du travail. Puis elle est communiquée à l'inspection du travail avec l'avis du CSE et portée à la connaissance de chaque salarié par tout moyen. Elle entre en vigueur au moins un mois après ces formalités de publicité. Le calendrier dépend surtout de celui de votre CSE : je le construis avec vous dès la première réunion, sans promettre de date avant de connaître ses échéances.

Dans une entreprise dotée d'un CSE, oui pour deux raisons. Une charte qui fixe des règles disciplinaires suit la procédure du règlement intérieur, qui exige l'avis du comité. Et tout outil permettant de contrôler l'activité des salariés impose une information et une consultation préalables à sa mise en œuvre. Un avis défavorable n'empêche pas l'adoption, mais l'absence de consultation fragilise la charte et peut conduire le comité à saisir le juge. Je prépare le dossier remis au CSE et les réponses aux questions prévisibles, notamment sur les journaux et les outils d'IA.

Je conseille le plus souvent une annexe IA rattachée à la charte informatique. Elle hérite ainsi de son opposabilité et peut évoluer seule quand vos outils changent. Elle liste les IA autorisées, les données qui ne doivent jamais y entrer, le contrôle humain des résultats et la conduite à tenir en cas d'erreur. Une charte IA autonome se justifie quand l'entreprise développe ou intègre de l'IA dans ses produits. Dans les deux cas, elle documente les mesures prises au titre de l'article 4 de l'AI Act. Je l'accompagne d'une courte formation des équipes concernées.

Oui, et c'est le cas le plus fréquent. Le RSSI ou le consultant connaît vos mesures de sécurité et rédige souvent la politique de sécurité. Je traite ce qu'il ne peut pas valider seul : la portée juridique des règles, leur proportionnalité, l'information des salariés, la procédure d'opposabilité et la preuve. Lors d'un audit, la charte devient une pièce du système de management, et je l'aligne alors sur le volet juridique d'une certification ISO 27001 ou ISO 42001. Je reprends vos documents existants plutôt que de repartir de zéro, et je signale chaque règle qui ne tiendrait pas devant un juge.