La réponse courte
Une charte d'utilisation de l'IA nomme les outils autorisés, dit ce qu'on ne saisit jamais, exige une validation humaine et désigne un référent. Elle rend compte de l'obligation de littératie de l'article 4 du règlement européen, et vaut mieux qu'une interdiction orale, que personne n'applique.
Trois usages, et aucun n'est décoratif. Une charte se lit une fois, se signe, et sert ensuite chaque fois qu'un doute apparaît dans la journée.
« On ne met pas les dossiers dans ChatGPT » dit en réunion ne tient pas trois semaines. Le collaborateur pressé n'a pas de règle à consulter, personne à qui demander, et il tranche seul. Une charte donne une réponse écrite, disponible au moment du doute.
L'article 4 du règlement (UE) 2024/1689 impose au cabinet de s'assurer que ses équipes comprennent les outils qu'elles utilisent. Une charte signée, doublée d'une session de formation tracée, constitue la preuve raisonnable qu'on attend d'une structure de moins de vingt personnes.
Le secret professionnel s'impose aux collaborateurs comme aux associés. En cas d'incident, la question posée sera : le cabinet avait-il pris des mesures ? Une charte datée, signée et à jour est la première réponse à cette question, devant l'ordre comme devant l'autorité de contrôle.
Six rubriques. En dessous, le document ne sert à rien ; au-dessus, il devient un règlement que personne ne lit.
Nommément, avec pour chacun son mode d'hébergement et le type de données admis. Un outil absent de la liste est non autorisé : c'est ce renversement qui rend la règle applicable.
Nom et identifiant de client, pièce comptable ou judiciaire nominative, correspondance, donnée de santé. La liste doit être concrète, avec les mots du métier, pas la formule « données sensibles ».
Qui la fait, à quel moment, et où reste la table de correspondance. Avec le rappel que la réidentification par recoupement compte : une commune, une profession et un montant suffisent parfois.
Aucune pièce produite par un agent ne quitte le cabinet sans relecture d'un professionnel habilité. Cette validation est personnelle : elle ne se délègue pas à un autre système.
Une personne nommée, joignable, qui tient la liste à jour et reçoit les incidents. Et la garantie que signaler une erreur de bonne foi n'expose pas à une sanction, sinon plus personne ne signale.
Une charte sans date est une charte périmée. Elle se révise au moins une fois par an, et à chaque ajout d'outil ou changement d'hébergement.
Elles échouent presque toujours pour les mêmes raisons, et aucune n'est juridique : elles sont pratiques.
Ce qui rend une charte inopérante
Ce qui la rend applicable
Ce modèle est mis à disposition librement par Process Efficace. Il est écrit pour un cabinet soumis au secret professionnel ou à un devoir de confidentialité : expertise comptable, avocature, conseil en gestion de patrimoine. Les mentions entre crochets sont à compléter, et chaque article peut être retiré s'il ne correspond pas à l'organisation réelle du cabinet. Une charte qui décrit une pratique que le cabinet n'applique pas est pire que pas de charte du tout.
Article 1
La présente charte fixe les règles d'utilisation des systèmes d'intelligence artificielle au sein de [nom du cabinet]. Elle s'applique à l'ensemble des associés, collaborateurs, stagiaires et personnels administratifs, quel que soit le matériel utilisé, y compris personnel, dès lors que l'usage porte sur une activité du cabinet. Elle complète le règlement intérieur et ne s'y substitue pas.
Article 2
Système d'IA : tout outil produisant des textes, analyses, résumés, traductions ou décisions à partir d'un modèle entraîné. Donnée identifiable : toute information permettant, seule ou par recoupement, d'identifier une personne physique ou morale cliente du cabinet. Pseudonymisation : substitution des identifiants directs par des marqueurs neutres, la table de correspondance restant au cabinet.
Article 3
Aucune donnée identifiable d'un client ne quitte le périmètre du cabinet sans base contractuelle écrite. Ce principe prime sur tout gain de temps attendu. En cas de doute sur le caractère identifiable d'une pièce, elle est traitée comme identifiable.
Article 4
Seuls les outils figurant à l'annexe 1 de la présente charte peuvent être utilisés sur des données du cabinet. L'annexe précise, pour chaque outil, le mode d'hébergement retenu, le type de données admis et le nom du responsable. Tout outil absent de l'annexe est réputé non autorisé, y compris s'il est gratuit et largement utilisé ailleurs.
Article 5
Il est interdit de saisir dans un outil non autorisé : le nom, l'adresse ou l'identifiant d'un client, une pièce comptable, fiscale ou judiciaire nominative, une correspondance avec un client ou un confrère, une pièce couverte par le secret de l'instruction, et toute donnée de santé ou donnée sensible au sens de l'article 9 du RGPD. L'usage d'un abonnement personnel sur une pièce du cabinet est prohibé.
Article 6
Lorsqu'un traitement par un outil hébergé chez un tiers est envisagé, les identifiants directs sont retirés ou substitués avant la saisie. La personne qui procède à la pseudonymisation vérifie qu'aucune réidentification n'est possible par recoupement, notamment par la combinaison d'une localité, d'une profession, d'un âge et d'un montant.
Article 7
Aucune pièce produite ou modifiée par un système d'IA ne quitte le cabinet sans avoir été relue et validée par un professionnel habilité. Cette validation est personnelle et ne se délègue pas à un autre système. Elle porte sur le fond, sur les références citées et sur l'exactitude des chiffres.
Article 8
Toute référence produite par un système d'IA, article de loi, décision de justice, doctrine, norme ou date, est vérifiée dans une source primaire avant d'être reprise dans une pièce du cabinet. Un système génératif peut produire des références plausibles et inexistantes ; leur reprise engage la responsabilité du signataire.
Article 9
L'usage d'un système d'IA n'atténue en rien la responsabilité professionnelle du signataire de la pièce. Le cabinet répond de ce qu'il produit comme si aucun outil n'avait été employé. Aucune clause d'un fournisseur ne peut transférer cette responsabilité.
Article 10
[Nom et fonction] est désigné référent pour l'usage de l'intelligence artificielle. Il tient l'annexe 1 à jour, répond aux questions, instruit les demandes d'ajout d'un outil et reçoit les signalements. Toute difficulté, doute ou incident lui est adressé sans délai et sans crainte de sanction pour celui qui signale.
Article 11
Conformément à l'article 4 du règlement (UE) 2024/1689, le cabinet assure à chaque personne concernée un niveau de compréhension suffisant des systèmes qu'elle utilise : ce qu'ils font, ce qu'ils ne savent pas faire, et ce qu'il ne faut pas leur transmettre. Une session est organisée à l'arrivée de chaque personne, puis renouvelée [périodicité]. La liste des participants est conservée.
Article 12
Le cabinet tient un registre des usages qui précise, pour chaque système : sa finalité, les catégories de données traitées, le mode d'hébergement, la durée de conservation et le nom du responsable. Ce registre complète le registre des traitements prévu à l'article 30 du RGPD. Les journaux produits par les systèmes automatisés sont conservés [durée].
Article 13
Les clients sont informés de l'usage de systèmes d'IA dans le traitement de leur dossier, par une mention dans la lettre de mission et dans la politique de confidentialité du cabinet. Les collaborateurs sont informés préalablement à la mise en service de tout système utilisé dans le cadre de la relation de travail, ainsi que leurs représentants lorsqu'il en existe.
Article 14
Un contenu généré par un système d'IA et publié par le cabinet est signalé comme tel, sauf lorsqu'il a fait l'objet d'une relecture humaine engageant la responsabilité éditoriale d'un professionnel du cabinet. Cette règle applique l'obligation de transparence prévue par le règlement (UE) 2024/1689.
Article 15
Le non-respect de la présente charte peut donner lieu aux suites prévues par le règlement intérieur, sans préjudice des poursuites disciplinaires et pénales attachées à la violation du secret professionnel. Le signalement spontané d'un manquement par son auteur est pris en compte comme circonstance atténuante.
Article 16
La présente charte entre en vigueur le [date]. Elle est révisée au moins une fois par an, et à chaque ajout d'un outil, changement de mode d'hébergement ou évolution réglementaire significative. La version en vigueur est accessible à l'ensemble du personnel.
Fait à [lieu], le [date]. Pour le cabinet : [nom, qualité, signature].
La version modifiable du modèle
Format Word, 16 articles et l'annexe des outils autorisés, à compléter aux couleurs du cabinet.
Aucun texte ne l'impose sous ce nom. En revanche, l'article 4 du règlement (UE) 2024/1689 exige depuis le 2 février 2025 que le cabinet s'assure d'un niveau suffisant de compréhension des systèmes d'IA par les personnes qui les utilisent en son nom, et le RGPD impose de documenter les traitements. Une charte est la façon la plus simple de rendre compte des deux à la fois. Pour une structure de moins de vingt personnes, une charte signée plus une session de formation tracée constituent une preuve de diligence raisonnable.
C'est vivement recommandé, et pour deux raisons distinctes. La signature vaut preuve que la personne a été informée, ce qui est exactement ce qu'on cherche à documenter. Et elle transforme un document affiché, que personne ne lit, en un engagement qu'on a tenu en main. En pratique, la charte est remise à l'arrivée de chaque personne, signée, puis re-signée à chaque révision. La liste des signataires est conservée avec la charte, pas ailleurs.
Elle peut l'être, et cela renforce sa portée disciplinaire, mais l'annexion suit un formalisme propre au droit du travail : consultation des représentants du personnel lorsqu'il en existe, information de l'inspection du travail et dépôt au greffe du conseil de prud'hommes. Beaucoup de cabinets préfèrent commencer par une charte autonome, signée individuellement, et n'envisager l'annexion qu'une fois le document stabilisé après un ou deux cycles de révision.
Trois gestes, dans cet ordre. Documenter précisément ce qui a été saisi, quand, depuis quel compte, et si des identifiants directs figuraient dans la pièce. Vérifier les paramètres du compte concerné, notamment le réglage de réutilisation des saisies, et demander la suppression des conversations. Puis apprécier s'il y a lieu de notifier une violation de données à l'autorité de contrôle, dans les soixante-douze heures, et d'informer le client. La charte doit prévoir ce circuit à l'avance, faute de quoi personne ne signale.
Il est écrit pour les cabinets soumis au secret professionnel ou à un devoir de confidentialité fort : expertise comptable, avocature, conseil en gestion de patrimoine. La structure convient à d'autres activités, mais deux articles doivent être repris. L'article 5, qui liste les interdictions de saisie, doit parler des pièces réellement manipulées par la profession. Et l'article 13, sur l'information des personnes, doit s'aligner sur les documents contractuels existants, lettre de mission ou conditions générales.
On la remplit avec vous pendant l'audit gratuit : liste des outils réellement utilisés, référent, circuit de signalement. Vous repartez avec un document signable.
Qui écrit cette page
Kiswen Nikiema
Fondateur de Process Efficace (Kiem'Group)
Ex-OCTO Technology (Accenture), business developer et consultant IA. Il cadre les usages d'IA des cabinets soumis au secret professionnel : ce que le cabinet a le droit d'automatiser, avec quel hébergement, et ce qui doit rester entre des mains humaines.
Page revue chaque trimestre, et à chaque évolution du droit applicable.
Sources et références