La charte d’utilisation de l’IA est le document le plus demandé du sujet, et le seul dont le règlement ne parle jamais.
Le règlement ne mentionne aucune charte d’utilisation de l’IA. Les seuls documents de nature politique qu’il impose sont le système de gestion de la qualité de l’article 17, documenté « sous la forme de politiques, de procédures et d’instructions écrites », qui ne pèse que sur le fournisseur d’un système à haut risque, et la politique de respect du droit d’auteur de l’article 53, à la charge du fournisseur d’un modèle d’IA à usage général. Une charte n’est donc pas une obligation : c’est un support, qui peut servir des obligations réelles, à condition d’être écrite pour elles. Un document qui récite le règlement sans rien décider n’en sert aucune.
Cette page traite le document et son contenu. L’organisation qui l’adopte, et les responsabilités qu’elle répartit, sont sur la page consacrée à la gouvernance.
Une charte IA est-elle obligatoire, et à quoi sert-elle ?
Non, aucune disposition du règlement n’impose de charte. Elle n’est obligatoire nulle part, et elle ne prouve rien à elle seule. Ce qu’elle peut faire, c’est porter une partie de trois obligations déjà exigibles — la maîtrise de l’IA de l’article 4, les pratiques interdites de l’article 5 et la transparence de l’article 50 — et préparer celles du déployeur de l’article 26, qui ne le seront qu’au 2 décembre 2027.
Quatre obligations, et pour chacune ce que le document peut porter, ou pas.
L’article 4, maîtrise de l’IA. C’est le rattachement le plus direct, et le plus mal compris. L’article 4, paragraphe 1 dispose que les fournisseurs et les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA » du personnel et des autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes pour le compte de l’organisation.
Des mesures, pas un document. Une charte peut être l’une de ces mesures ; elle ne peut pas être la seule, parce qu’un texte diffusé ne développe aucune maîtrise à lui seul. Cette obligation est exigible depuis le 2 février 2025.
L’article 5, pratiques interdites. Une charte est le bon endroit pour nommer ce qui est interdit, non pas en recopiant les dix points, mais en les traduisant en usages reconnaissables dans votre activité. Ces interdictions sont exigibles depuis février 2025 et portent le plafond de sanction le plus élevé du règlement : jusqu’à 35 000 000 EUR ou, si l’auteur de l’infraction est une entreprise, 7 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 99, paragraphe 3). Deux s’y ajoutent le 2 décembre 2026.
L’article 50, transparence. Les obligations du déployeur sont celles qu’une charte peut faire respecter au quotidien : informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique, paragraphe 3 ; indiquer qu’un hypertrucage a été généré ou manipulé par une IA ; et faire de même pour un texte publié dans le but d’informer le public sur des questions d’intérêt public, les deux au paragraphe 4. Elles sont exigibles depuis le 2 août 2026. Attention à la répartition : marquer les contenus de synthèse et informer l’utilisateur qu’il parle à une IA incombent au fournisseur du système, pas à vous.
L’article 26, paragraphe 2, contrôle humain. Lorsqu’il deviendra applicable, il exigera que le contrôle humain soit confié à des personnes disposant « des compétences, de la formation et de l’autorité nécessaires ainsi que du soutien nécessaire ». Une charte peut nommer ces personnes et dire ce qu’elles ont le droit de refuser. C’est le seul endroit où elle porte une vraie décision.
Que faut-il écrire dans une charte IA ?
Le périmètre, les usages interdits traduits en langage d’entreprise, les règles d’usage, et qui décide. Chacun de ces points doit se rattacher à une obligation identifiable — sans quoi la charte devient un texte d’intention. Ce qui suit n’est pas une exigence du règlement : il n’en pose aucune sur ce document. C’est la liste des points qu’une charte peut porter avec un rattachement identifiable.
Le périmètre : quels systèmes, quels usages, quelles personnes. Y compris les usages informels et les prestataires : la définition du déployeur, article 3, point 4, vise l’utilisation « sous sa propre autorité », sans distinguer l’usage validé de l’usage toléré.
Les usages interdits, traduits. « Pas de notation sociale » ne dit rien à personne. « Nous n’utilisons pas de système qui note des personnes sur leur comportement social ou leurs caractéristiques personnelles lorsque cette note conduit à les traiter de façon préjudiciable ou défavorable, soit dans un contexte sans rapport avec celui où les données ont été collectées, soit d’une manière injustifiée ou disproportionnée par rapport à leur comportement » reprend les deux branches du point c) de l’article 5 dans une phrase qu’un salarié peut reconnaître.
La règle de divulgation des contenus. Qui doit indiquer qu’un contenu a été généré par IA, dans quels cas, sous quelle forme. C’est l’article 50, paragraphe 4, et c’est ce que la charte peut rendre opérationnel.
La responsabilité éditoriale, nommée. Pour les textes publiés en vue d’informer le public sur des questions d’intérêt public, l’exemption de l’article 50, paragraphe 4, second alinéa est cumulative : le contenu doit avoir fait l’objet « d’un processus d’examen humain ou de contrôle éditorial » et une personne physique ou morale doit assumer « la responsabilité éditoriale de la publication du contenu ». L’exemption tient à deux faits, pas à un document : un examen humain ou un contrôle éditorial réel, et une responsabilité éditoriale effectivement assumée. Une charte qui désigne cette personne aide à établir le second ; elle ne suffit ni à l’un ni à l’autre, et la Commission écarte d’ailleurs la simple existence d’une charte éditoriale comme preuve d’examen humain.
Ce qui doit remonter, et à qui. Un usage nouveau, un incident, un doute sur la qualification. C’est ce qui alimente le recensement, sans lequel rien d’autre ne tient.
Ce que la charte ne tranche pas. Le dire est plus utile que de faire semblant : la qualification d’un système en haut risque, la qualification RGPD, et le classement des rôles ne se décident pas dans une charte.
Qu’est-ce qu’il ne faut surtout pas y écrire ?
Qu’elle rend conforme. Aucun document interne ne confère de présomption. Les seules voies auxquelles le règlement attache un effet sont les normes harmonisées, les spécifications communes, les présomptions particulières de l’article 42 et la procédure d’évaluation de la conformité. Voir ce qui vaut preuve.
Qu’elle vaut code de conduite au sens de l’article 95. Ce dernier est un instrument prévu par le règlement, volontaire, qui n’ouvre aucune présomption, ne connaît aucune procédure d’adéquation (contrairement aux codes de bonne pratique des articles 56 et 50, paragraphe 7) et ne fait l’objet d’aucun registre. Une charte interne n’a même pas ce statut.
Qu’un usage est autorisé alors que l’article 5 l’interdit. Une charte ne crée aucun droit. Autoriser dans un document ce que le règlement prohibe n’a aucun effet, sinon d’établir que l’organisation le savait.
Une interdiction générale de l’IA générative. Le règlement ne la pose pas. Une charte qui l’écrit répond à un risque qu’elle a inventé, et se rend inapplicable : l’usage continuera, hors de tout cadre.
Un « niveau de maîtrise » garanti. Le texte lui-même écarte l’idée : l’obligation « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu ». Cette borne a été ajoutée par le règlement (UE) 2026/1744 et n’est en vigueur que depuis le 27 juillet 2026.
Charte, politique, procédure : trois objets à ne pas confondre
La charte engage, la politique organise, la procédure exécute. Les trois circulent sous des noms voisins et n’ont ni le même statut ni les mêmes effets. Trois objets circulent sous des noms voisins, et ils n’ont ni le même statut ni les mêmes effets.
| Objet | Ce que c’est | Effet juridique |
|---|---|---|
| Charte interne | Un document d’entreprise, hors du règlement | Aucun en propre ; peut servir de support à l’article 4 et de commencement de preuve |
| Code de conduite, article 95 | Instrument volontaire prévu par le règlement, pour appliquer volontairement aux systèmes autres qu’à haut risque tout ou partie des exigences du chapitre III, section 2 ; et, pour son paragraphe 2, des exigences spécifiques à tous les systèmes d’IA | Aucune présomption, aucune adéquation, aucun registre |
| Code de bonne pratique, articles 56 et 50, §7 | Instrument volontaire soumis à une évaluation d’adéquation par la Commission et le Comité IA | Facilite la démonstration de conformité, sans être une preuve concluante |
Et le volet données personnelles ?
Une charte IA croise presque toujours le RGPD, et c’est là qu’il faut être le plus prudent.
Les recommandations de la CNIL sur l’IA portent sur le RGPD, pour la seule phase de développement, et elles ne sont pas contraignantes. La CNIL le dit elle-même. Elles ne constituent à aucun moment de la doctrine sur l’IA Act. Une charte qui les cite doit le dire.
Et le piège de qualification vaut ici aussi : être fournisseur ou déployeur au sens de l’IA Act ne détermine ni la qualité de responsable de traitement, ni celle de sous-traitant. Les deux analyses se mènent séparément.
Qu’est-ce qui rend une charte réellement utile ?
Une charte utile décide quelque chose. Elle nomme des usages, désigne des personnes, dit ce qui remonte et à qui, et reconnaît ce qu’elle ne tranche pas.
Une charte inutile récite le règlement. Elle ne fait courir aucun risque juridique, mais elle ne remplit rien non plus, et elle donne le sentiment d’avoir traité un sujet qui reste entier.
Sur quoi cette page s’appuie
Les articles 3, 4, 5, 26, 50 et 95 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744, le texte qui fait foi restant celui publié au Journal officiel. Le règlement ne réglementant pas les chartes internes, la liste de contenus proposée ici est une grille de lecture rattachée disposition par disposition, et non une exigence du texte : la page le signale plutôt que de le laisser croire. Le statut des recommandations de la CNIL est celui qu’elles se donnent elles-mêmes.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026 et règlement (UE) 2026/1744, consultés le 27 août 2026.
Questions fréquentes
L’IA Act impose-t-il d’avoir une charte IA ?
Non. Aucune disposition mentionnant une charte d’utilisation de l’IA n’a été identifiée. Les deux seuls documents de nature politique que le règlement impose sont le système de gestion de la qualité de l’article 17, à la charge du fournisseur d’un système à haut risque, et la politique de respect du droit d’auteur de l’article 53, paragraphe 1, point c), à la charge du fournisseur d’un modèle d’IA à usage général. Une charte peut servir de support à des obligations qui existent, au premier rang desquelles les mesures de maîtrise de l’IA de l’article 4, mais l’article 4 impose des mesures qui favorisent le développement de la maîtrise de l’IA, et un document qui reste dans un intranet n’en développe aucune.
Une charte IA est-elle un code de conduite au sens de l’article 95 ?
Pas nécessairement, et il ne faut pas les confondre. Le code de conduite de l’article 95 est un instrument volontaire prévu par le règlement, qui n’ouvre aucune présomption de conformité, ne connaît aucune procédure d’adéquation, et ne fait l’objet d’aucun registre. Une charte interne est un document d’entreprise, qui n’a même pas ce statut. Ni l’une ni l’autre ne sont les codes de bonne pratique des articles 56 et 50, paragraphe 7.
Une charte peut-elle nous protéger en cas de contrôle ?
Elle ne renverse aucune charge de la preuve. Elle peut en revanche servir de commencement de preuve sur deux points précis : que des mesures de maîtrise de l’IA ont été prises, et qu’une responsabilité éditoriale est assumée pour les textes publiés, cette dernière étant une des deux branches de l’exemption de l’article 50, paragraphe 4, second alinéa.
Faut-il y interdire l’IA générative ?
Le règlement n’interdit pas l’IA générative, et une charte qui le ferait résoudrait un problème que le texte ne pose pas. Ce que le règlement interdit est listé à l’article 5, et se reconnaît à des usages précis. Une charte utile nomme ces usages ; elle ne prohibe pas une technologie.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.