Aucune disposition de l’AI Act n’impose de charte IA. Le règlement ne mentionne jamais ce document. Une charte n’est donc pas une obligation : c’est un support, qui peut servir des obligations réelles, à condition d’être écrite pour elles.
Ce qu’elle peut servir, aujourd’hui : la maîtrise de l’IA de l’article 4, les pratiques interdites de l’article 5, la transparence de l’article 50. Et, pour décembre 2027, le contrôle humain de l’article 26. La trame ci-dessous rattache chaque rubrique à l’obligation qu’elle sert. Un document qui récite le règlement sans rien décider n’en sert aucune.
Cette page traite le document et son contenu. L’organisation qui l’adopte, et les responsabilités qu’elle répartit, sont sur la page consacrée à la gouvernance.
Une charte IA est-elle obligatoire ?
Non. Les seuls documents de nature politique que le règlement impose sont le système de gestion de la qualité de l’article 17, documenté « sous la forme de politiques, de procédures et d’instructions écrites », qui ne pèse que sur le fournisseur d’un système à haut risque, et la politique de respect du droit d’auteur de l’article 53, à la charge du fournisseur d’un modèle d’IA à usage général.
Une charte peut porter une partie de quatre obligations. Voici lesquelles, et ce qu’elle peut en porter.
L’article 4, maîtrise de l’IA. C’est le rattachement le plus direct, et le plus mal compris. Les fournisseurs et les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA » du personnel et des autres personnes qui utilisent les systèmes pour leur compte. Des mesures, pas un document. Une charte peut être l’une de ces mesures ; elle ne peut pas être la seule, parce qu’un texte diffusé ne développe aucune maîtrise à lui seul. Exigible depuis le 2 février 2025.
L’article 5, pratiques interdites. Une charte est le bon endroit pour nommer ce qui est interdit, non pas en recopiant les points de l’article, mais en les traduisant en usages reconnaissables dans votre activité. Exigibles depuis février 2025, avec le plafond de sanction le plus élevé du règlement : jusqu’à 35 000 000 EUR ou, si l’auteur de l’infraction est une entreprise, 7 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 99, paragraphe 3). Deux interdictions s’y ajoutent le 2 décembre 2026.
L’article 50, transparence. Les obligations du déployeur sont celles qu’une charte peut faire respecter au quotidien : informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique (paragraphe 3) ; indiquer qu’un hypertrucage a été généré ou manipulé par une IA, et faire de même pour un texte publié dans le but d’informer le public sur des questions d’intérêt public (paragraphe 4). Exigibles depuis le 2 août 2026. Attention à la répartition : marquer les contenus de synthèse et informer l’utilisateur qu’il parle à une IA incombent au fournisseur du système, pas à vous.
L’article 26, paragraphe 2, contrôle humain. Quand il deviendra applicable, il exigera que le contrôle humain soit confié à des personnes disposant « des compétences, de la formation et de l’autorité nécessaires ainsi que du soutien nécessaire ». Une charte peut nommer ces personnes et dire ce qu’elles ont le droit de refuser. C’est le seul endroit où elle porte une vraie décision.
Que doit contenir une charte IA ? La trame en sept rubriques
Sept rubriques, et pour chacune une décision à prendre et une disposition qu’elle sert. Ce n’est pas une exigence du règlement, qui n’en pose aucune sur ce document. C’est la liste des points qu’une charte peut porter avec un rattachement identifiable.
| Rubrique | Ce qu’on y décide | Ce qu’elle sert |
|---|---|---|
| 1. Périmètre | Quels systèmes, quels usages, quelles personnes, prestataires compris | Définition du déployeur, art. 3, point 4 |
| 2. Outils et données | Quels outils sont autorisés, quelles données ne sont jamais saisies | RGPD, secret des affaires |
| 3. Usages interdits | Les interdictions de l’article 5, traduites dans votre activité | Art. 5 |
| 4. Contenus générés | Qui signale un contenu généré, dans quels cas, sous quelle forme | Art. 50, §4 |
| 5. Relecture et responsabilité éditoriale | Qui relit, qui assume la publication | Art. 50, §4, second alinéa |
| 6. Qui décide, qui contrôle | Les personnes chargées du contrôle humain et ce qu’elles peuvent refuser | Art. 26, §2, à partir de décembre 2027 |
| 7. Remontée et révision | Ce qui remonte, à qui, et quand la charte est revue | Inventaire, art. 4 |
1. Le périmètre
Quels systèmes, quels usages, quelles personnes. Y compris les usages informels et les prestataires : la définition du déployeur, article 3, point 4, vise l’utilisation « sous sa propre autorité », sans distinguer l’usage validé de l’usage toléré. Une charte qui ne couvre que les outils achetés laisse de côté ce que les équipes utilisent vraiment.
2. Les outils autorisés et les données à ne jamais saisir
La liste des outils change ; la règle sur les données ne change pas. Dites ce qui ne doit jamais entrer dans un outil externe : données personnelles, données de clients, secrets, documents couverts par une obligation de confidentialité. C’est le point où le RGPD et la charte se rejoignent, et il est traité plus bas.
3. Les usages interdits, traduits
« Pas de notation sociale » ne dit rien à personne. « Nous n’utilisons pas de système qui note des personnes sur leur comportement social ou leurs caractéristiques personnelles lorsque cette note conduit à les traiter de façon préjudiciable ou défavorable, soit dans un contexte sans rapport avec celui où les données ont été collectées, soit d’une manière injustifiée ou disproportionnée par rapport à leur comportement » reprend les deux branches de la notation sociale (article 5, paragraphe 1, point c) dans une phrase qu’un salarié peut reconnaître. Faites de même pour chaque interdiction qui peut concerner votre activité : la liste est sur la page consacrée aux pratiques interdites.
4. La divulgation des contenus générés
Qui doit indiquer qu’un contenu a été généré par IA, dans quels cas, sous quelle forme. C’est l’article 50, paragraphe 4, pour les hypertrucages et les textes d’intérêt public, et c’est ce que la charte peut rendre opérationnel. Le détail des cas est sur la page consacrée à l’article 50.
5. La relecture humaine et la responsabilité éditoriale
Pour les textes publiés en vue d’informer le public sur des questions d’intérêt public, l’exemption de l’article 50, paragraphe 4, second alinéa est cumulative : le contenu doit avoir fait l’objet « d’un processus d’examen humain ou de contrôle éditorial » et une personne physique ou morale doit assumer « la responsabilité éditoriale de la publication du contenu ».
L’exemption tient à deux faits, pas à un document. Une charte qui désigne la personne responsable aide à établir le second ; elle ne suffit ni à l’un ni à l’autre. La Commission écarte d’ailleurs la simple existence d’une charte éditoriale comme preuve d’examen humain.
6. Qui décide, qui contrôle
Nommez les personnes qui valident un nouvel usage, celles qui peuvent arrêter un outil, et celles qui exerceront le contrôle humain des systèmes à haut risque quand l’article 26 s’appliquera. Dites ce qu’elles ont le droit de refuser. Une charte qui ne nomme personne ne décide rien.
7. Ce qui remonte, et la révision
Un usage nouveau, un incident, un doute sur la qualification : à qui cela remonte, et dans quel délai. C’est ce qui alimente l’inventaire des systèmes d’IA, sans lequel rien d’autre ne tient. Fixez aussi la date de révision : les outils changent, le règlement aussi.
Ce que la charte ne tranche pas. Le dire est plus utile que de faire semblant : la qualification d’un système en haut risque, la qualification RGPD et le classement des rôles ne se décident pas dans une charte.
Qu’est-ce qu’il ne faut surtout pas y écrire ?
Qu’elle rend conforme. Aucun document interne ne confère de présomption. Les seules voies auxquelles le règlement attache un effet sont les normes harmonisées, les spécifications communes, les présomptions particulières de l’article 42 et la procédure d’évaluation de la conformité. Voir ce qui vaut preuve.
Qu’elle vaut code de conduite au sens de l’article 95. Ce dernier est un instrument prévu par le règlement, volontaire, qui n’ouvre aucune présomption, ne connaît aucune procédure d’adéquation (contrairement aux codes de bonne pratique des articles 56 et 50, paragraphe 7) et ne fait l’objet d’aucun registre. Une charte interne n’a même pas ce statut.
Qu’un usage est autorisé alors que l’article 5 l’interdit. Une charte ne crée aucun droit. Autoriser dans un document ce que le règlement prohibe n’a aucun effet, sinon d’établir que l’organisation le savait.
Une interdiction générale de l’IA générative. Le règlement ne la pose pas. Une charte qui l’écrit répond à un risque qu’elle a inventé, et se rend inapplicable : l’usage continuera, hors de tout cadre.
Un « niveau de maîtrise » garanti. Le texte lui-même écarte l’idée : l’obligation « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu ». Cette borne a été ajoutée par le règlement (UE) 2026/1744 et n’est en vigueur que depuis le 27 juillet 2026.
Des exemples de chartes à lire
Il n’existe pas de modèle officiel. Il existe des chartes publiques, consultables, qui montrent ce qu’une organisation décide quand elle écrit la sienne.
La charte éthique de la Cour de cassation, publiée le 22 octobre 2026. Elle s’adresse à tous ceux qui exercent à la Cour, magistrats, fonctionnaires et contractuels, et repose sur six principes : prééminence humaine, maîtrise humaine, responsabilité humaine, protection des données et confidentialité, priorité aux systèmes internes, amélioration continue. Elle exclut toute décision de justice produite de manière automatisée, interdit de verser dans un outil externe un document comportant des données personnelles, et prévoit sa propre révision au moins tous les deux ans. La Cour la présente comme un cadre « au-delà des exigences réglementaires ». Ce qu’une entreprise peut en retenir : la distinction entre outils internes et outils externes, la règle sur les données, et la date de révision.
Le portail des chartes IA de l’administration (ia.numerique.gouv.fr) répertorie une cinquantaine de chartes, guides et recommandations publics, dont la charte du Conseil d’État pour la juridiction administrative et le cadre d’usage de l’Éducation nationale. C’est la lecture la plus utile avant d’écrire : on y voit ce que des organisations comparables ont choisi de trancher.
Ces chartes sont écrites pour des juridictions et des administrations. Leurs choix ne se transposent pas tels quels ; leur méthode, si.
Charte, politique, code de conduite : trois objets à ne pas confondre
La charte engage, la politique organise, le code de conduite est un instrument du règlement. Trois objets circulent sous des noms voisins, et ils n’ont ni le même statut ni les mêmes effets.
| Objet | Ce que c’est | Effet juridique |
|---|---|---|
| Charte interne | Un document d’entreprise, hors du règlement | Aucun en propre ; peut servir de support à l’article 4 et de commencement de preuve |
| Code de conduite, article 95 | Instrument volontaire prévu par le règlement, pour appliquer volontairement aux systèmes autres qu’à haut risque tout ou partie des exigences du chapitre III, section 2 ; et, pour son paragraphe 2, des exigences spécifiques à tous les systèmes d’IA | Aucune présomption, aucune adéquation, aucun registre |
| Code de bonne pratique, articles 56 et 50, §7 | Instrument volontaire soumis à une évaluation d’adéquation par la Commission et le Comité IA | Facilite la démonstration de conformité, sans être une preuve concluante |
Et le volet données personnelles ?
Une charte IA croise presque toujours le RGPD, et c’est là qu’il faut être le plus prudent.
Les recommandations de la CNIL sur l’IA portent sur le RGPD, pour la seule phase de développement, et elles ne sont pas contraignantes. La CNIL le dit elle-même. Elles ne constituent à aucun moment de la doctrine sur l’AI Act. Une charte qui les cite doit le dire. Le détail est sur la page consacrée à la doctrine de la CNIL.
Et le piège de qualification vaut ici aussi : être fournisseur ou déployeur au sens de l’AI Act ne détermine ni la qualité de responsable de traitement, ni celle de sous-traitant. Les deux analyses se mènent séparément.
Comment la faire adopter ?
Une charte qui touche à l’organisation du travail ou qui emporte des sanctions relève des règles du droit du travail sur le règlement intérieur et la consultation des représentants du personnel ; ce point se vérifie avec votre conseil, il n’est pas traité ici. Une charte diffusée par courriel sans formation ne remplit pas l’article 4 : la formation est la mesure, la charte en est le support.
Sur quoi cette page s’appuie
Les articles 3, 4, 5, 26, 50 et 95 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744, le texte qui fait foi restant celui publié au Journal officiel. Le règlement ne réglementant pas les chartes internes, la trame proposée ici est une grille de lecture rattachée disposition par disposition, et non une exigence du texte. La charte de la Cour de cassation et le portail des chartes IA de l’administration sont cités d’après les sites officiels qui les publient. Le statut des recommandations de la CNIL est celui qu’elles se donnent elles-mêmes.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026, règlement (UE) 2026/1744, présentation de la charte éthique de la Cour de cassation et portail des chartes IA dans l’administration, consultés le 5 novembre 2026.
Questions fréquentes
Une charte IA est-elle obligatoire ?
Non. Aucune disposition de l'AI Act ne mentionne une charte d'utilisation de l'IA. Les deux seuls documents de nature politique que le règlement impose sont le système de gestion de la qualité de l'article 17, à la charge du fournisseur d'un système à haut risque, et la politique de respect du droit d'auteur de l'article 53, à la charge du fournisseur d'un modèle d'IA à usage général. Une charte peut servir de support à des obligations qui existent, au premier rang desquelles les mesures de maîtrise de l'IA de l'article 4.
Existe-t-il un modèle officiel de charte IA ?
Non. Ni le règlement ni la Commission n'en proposent. Des chartes publiques existent et peuvent servir d'exemples : celle de la Cour de cassation, publiée le 22 octobre 2026, celle du Conseil d'État, et la cinquantaine de chartes et guides répertoriés par le portail des chartes IA de l'administration. La trame proposée sur cette page rattache chaque rubrique à l'obligation du règlement qu'elle sert ; elle n'est pas une exigence du texte.
Une charte IA est-elle un code de conduite au sens de l'article 95 ?
Pas nécessairement, et il ne faut pas les confondre. Le code de conduite de l'article 95 est un instrument volontaire prévu par le règlement, qui n'ouvre aucune présomption de conformité, ne connaît aucune procédure d'adéquation, et ne fait l'objet d'aucun registre. Une charte interne est un document d'entreprise, qui n'a même pas ce statut. Ni l'une ni l'autre ne sont les codes de bonne pratique des articles 56 et 50, paragraphe 7.
Une charte peut-elle nous protéger en cas de contrôle ?
Elle ne renverse aucune charge de la preuve. Elle peut en revanche servir de commencement de preuve sur deux points précis : que des mesures de maîtrise de l'IA ont été prises, et qu'une responsabilité éditoriale est assumée pour les textes publiés, cette dernière étant une des deux branches de l'exemption de l'article 50, paragraphe 4, second alinéa.
Faut-il y interdire l'IA générative ?
Le règlement n'interdit pas l'IA générative, et une charte qui le ferait résoudrait un problème que le texte ne pose pas. Ce que le règlement interdit est listé à l'article 5, et se reconnaît à des usages précis. Une charte utile nomme ces usages ; elle ne prohibe pas une technologie.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.