Charte d’usage de l’IA : le cadre avant les outils

Un dirigeant décide d’équiper ses équipes d’outils d’intelligence artificielle. Trois semaines plus tard, un commercial a soumis un contrat client à ChatGPT pour en rédiger le résumé. Un comptable a collé une liste de fournisseurs dans un outil de synthèse en ligne. Une assistante a utilisé un générateur de texte pour répondre à un email contenant des données personnelles. Personne n’a demandé la permission. Personne ne savait qu’il fallait la demander.

Rien dans ce scénario ne traduit de la malveillance ni de l’incompétence : il traduit l’absence d’un cadre écrit, clair, distribué. Une charte d’usage de l’IA n’est pas un document de conformité que l’on range dans un tiroir. C’est le seul outil qui rend l’IA utilisable en entreprise sans exposer ses clients, ses partenaires et sa propre responsabilité.

Voici, article par article, le modèle que nous recommandons aux entreprises que nous accompagnons en Afrique de l’Ouest, avec les explications nécessaires pour que chaque responsable comprenne pourquoi chaque règle existe.

---

Article 1 : Classification des données : trois niveaux, une décision par défaut

La première question à trancher n’est pas « quel outil utiliser » mais « quelle information peut sortir de l’entreprise ». La question n’a rien de théorique : selon l’étude mondiale « Trust, attitudes and use of artificial intelligence: A global study 2025 » de l’Université de Melbourne et de KPMG (48 340 personnes interrogées dans 47 pays, dont le Nigeria, l’Égypte et l’Afrique du Sud, enquête menée de novembre 2024 à mi-janvier 2025), 48 % des salariés interrogés reconnaissent avoir déjà soumis des informations sensibles de leur entreprise ou de leurs clients (données financières, commerciales ou clients) à un outil d’IA générative public.

Niveau 1 : Données publiques. Informations déjà publiées : site web, communiqués, offres commerciales publiques, articles de presse. Ces données peuvent être soumises à n’importe quel outil sans restriction particulière.

Niveau 2 : Données internes. Procédures opérationnelles, modèles de documents, données agrégées sans identifiant, projets sans mention de clients identifiables. Ces données peuvent être utilisées avec des outils approuvés par la direction, mais pas avec n’importe quel service en ligne gratuit dont on ne connaît pas les conditions de traitement.

Niveau 3 : Données confidentielles. Contrats, données personnelles de clients ou d’employés, informations financières non publiées, correspondances confidentielles, données de santé, numéros d’identification. Ces données ne sortent jamais vers un service tiers sans validation explicite du responsable désigné et sans que les clauses de ce service aient été vérifiées.

La règle de décision par défaut est simple : en cas de doute sur le niveau, on classe au niveau supérieur. Un collaborateur qui hésite entre niveau 2 et niveau 3 choisit le niveau 3 et consulte avant d’agir.

---

Article 2 : Règle de vérification des sorties selon l’enjeu

Tout contenu généré par un outil d’IA doit être relu par un humain avant diffusion. Le réflexe inverse est répandu : 66 % des salariés interrogés, soit deux sur trois, disent s’être déjà appuyés sur une sortie d’IA sans en évaluer l’information de manière critique (même étude mondiale Université de Melbourne-KPMG, enquête de novembre 2024 à mi-janvier 2025). La question est donc de savoir avec quelle rigueur et par qui.

Brouillon interne. Relecture normale, même niveau que pour un brouillon humain. L’IA peut aider à structurer, reformuler, raccourcir. L’auteur reste responsable du contenu final.

Document engageant. Contrat, offre commerciale, rapport client, communication externe portant le nom de l’entreprise, email adressé à un client ou un partenaire. Ce type de document exige une validation explicite par la personne habilitée à l’engager. La mention « généré par IA » ne doit pas apparaître dans le document final si la politique de l’entreprise ne l’impose pas, mais la validation humaine est obligatoire et doit être tracée.

Document à fort enjeu juridique ou financier. Tout document susceptible d’engager la responsabilité contractuelle ou réglementaire de l’entreprise (avenants, clauses de confidentialité, documents soumis à une autorité de régulation) doit passer par un circuit de validation renforcé et ne peut pas être rédigé intégralement par un outil d’IA sans revue spécialisée.

La distinction entre brouillon et document engageant est la plus importante à ancrer dans les réflexes d’équipe, parce qu’elle change le niveau de vigilance sans interdire l’usage.

---

Article 3 : Traçabilité : qui a produit quoi, avec quel outil

La charte fixe un registre minimal d’usage. Ce registre n’a pas vocation à surveiller les collaborateurs : il permet à l’entreprise, en cas de litige ou d’erreur diffusée, de reconstituer la chaîne de production.

Pour chaque production utilisant un outil d’IA dans un contexte engageant, le registre note :
– la date et le nom de l’auteur ;
– l’outil utilisé et la version si elle est identifiable ;
– le type de contenu produit (offre, rapport, email externe, contrat) ;
– la mention de toute donnée confidentielle soumise à l’outil (même partiellement).

Ce registre peut être un simple tableau partagé, un champ dans le logiciel de gestion de projets ou une ligne dans le CRM. L’outil importe peu. Ce qui importe, c’est que la traçabilité soit possible après coup.

---

Article 4 : Responsabilité en cas d’erreur diffusée

Un outil d’IA peut produire une information fausse. Si cette information est diffusée à un client, à un partenaire ou à une administration, elle engage la responsabilité de l’entreprise, pas celle de l’éditeur de l’outil.

La charte doit le rappeler sans ambiguïté : l’entreprise reste l’émettrice de tout document portant son nom ou envoyé en son nom. L’IA est un outil de production, pas un auteur. La relecture humaine est la seule barrière entre l’erreur de l’outil et le préjudice causé à un tiers.

En cas d’erreur diffusée, la procédure est : identification du document concerné, notification des destinataires si l’erreur est matérielle, correction et renvoi, et documentation de l’incident pour améliorer les règles. La transparence interne sur les incidents est un actif, pas un aveu de faiblesse.

---

Article 5 : Clauses à exiger d’un fournisseur d’IA

Avant d’inscrire un outil d’IA sur la liste des outils autorisés, l’entreprise doit obtenir des réponses écrites aux questions suivantes :

Conservation des données. Combien de temps le fournisseur conserve-t-il les prompts et les réponses ? Sont-ils supprimés à la fin de la session ou stockés ?

Entraînement sur vos données. Le fournisseur utilise-t-il les données soumises pour entraîner ou affiner ses modèles ? Cette clause doit être explicitement absente ou désactivable dans les conditions d’utilisation. Les conditions varient d’une offre à l’autre, et souvent entre l’offre grand public et l’offre entreprise d’un même éditeur : la seule réponse opposable est la clause écrite du contrat qui vous est proposé.

Localisation des données. Où les données sont-elles stockées et traitées ? Cette information est nécessaire pour vérifier la compatibilité avec les obligations de protection des données applicables à l’entreprise.

Réversibilité. En cas de résiliation ou de changement de fournisseur, l’entreprise peut-elle récupérer ses données, ses configurations, ses historiques ? Dans quel format et dans quel délai ?

Sous-traitants. Quels sous-traitants techniques le fournisseur utilise-t-il pour traiter les données soumises ? Cette information est nécessaire pour évaluer la chaîne de traitement réelle.

Si le fournisseur ne peut pas répondre à ces cinq questions, l’outil ne figure pas sur la liste autorisée, quelle que soit sa popularité.

---

Article 6 : Articulation avec les obligations de protection des données personnelles

Les entreprises opérant en Afrique de l’Ouest sont soumises aux législations nationales sur la protection des données personnelles. Au Sénégal, la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel (voir notre synthèse des obligations issues de la loi CDP) encadre tout traitement de données de personnes physiques et institue la Commission de protection des données personnelles. Des textes équivalents existent en Côte d’Ivoire et dans plusieurs autres États de la CEDEAO : identifiez le texte applicable et l’autorité de contrôle compétente dans chaque pays où vous opérez.

Pour les entreprises travaillant avec des partenaires ou des clients européens, le Règlement général sur la protection des données (RGPD) peut s’appliquer sans aucun établissement dans l’Union : lorsque l’entreprise offre des biens ou des services à des personnes situées dans l’Union européenne ou suit leur comportement. Lorsqu’elle traite des données pour le compte d’un client européen, les obligations du RGPD lui sont en outre imposées par contrat (accord de sous-traitance). La question n’est pas où se trouve votre siège, mais où se trouvent les personnes concernées.

Ces obligations imposent trois contraintes concrètes sur l’usage de l’IA :

Premièrement, toute donnée personnelle (nom, prénom, numéro de téléphone, adresse, données de santé, situation financière) soumise à un outil d’IA constitue un traitement de données à caractère personnel et doit être couverte par une base légale prévue par le texte applicable (notamment consentement, exécution d’un contrat ou obligation légale).

Deuxièmement, si le fournisseur traite ces données pour le compte de l’entreprise, un accord de traitement des données (DPA, Data Processing Agreement) doit être signé avant tout usage.

Troisièmement, les personnes dont les données sont traitées ont des droits (accès, rectification, effacement) que l’entreprise doit être capable d’honorer, y compris pour les données ayant transité par un outil d’IA.

La règle pratique : si un document contient des données personnelles identifiantes, il est classé niveau 3 par défaut et ne sort pas vers un outil externe sans DPA signé.

---

Article 7 : Procédure d’ajout d’un nouvel outil à la liste autorisée

La liste des outils d’IA autorisés n’est pas figée, mais elle n’est pas ouverte à tous. La procédure d’ajout comporte quatre étapes :

Étape 1 : Demande formalisée. Le collaborateur ou le responsable qui souhaite utiliser un nouvel outil soumet une fiche d’évaluation (deux pages suffisent) indiquant : le nom de l’outil, son usage envisagé, les types de données qu’il recevrait, et les réponses aux cinq questions de l’article 5 dans la mesure où elles sont disponibles publiquement.

Étape 2 : Vérification technique et juridique. Le responsable désigné (direction, responsable IT ou tout référent nommé par la direction) vérifie les conditions d’utilisation, les réponses aux cinq questions et la compatibilité avec les obligations de protection des données.

Étape 3 : Décision. L’outil est approuvé, approuvé avec restrictions (usage limité à certains types de données) ou refusé avec motivation. La décision est documentée.

Étape 4 : Communication et formation. Les équipes concernées reçoivent une note précisant ce que l’outil peut traiter, ce qu’il ne peut pas traiter, et la règle de vérification applicable.

Cette procédure doit pouvoir être complétée en moins de cinq jours ouvrés pour ne pas freiner l’adoption d’outils utiles.

---

Mettre la charte en place : l’ordre de marche

Une charte non distribuée est une charte inexistante. Voici la séquence minimale pour qu’elle fonctionne :

1. Rédiger le document en deux versions : une version complète pour la direction et les référents, une version d’une page résumant les règles essentielles pour les équipes opérationnelles.
2. Organiser une session de présentation de trente minutes, pas pour lire le document mais pour illustrer les cas concrets (le contrat soumis à ChatGPT, la liste de clients collée dans un outil en ligne).
3. Désigner un référent par département, joignable en cas de doute avant d’utiliser un outil ou de soumettre une donnée.
4. Fixer une révision annuelle ou à chaque incident significatif.
5. Faire signer un accusé de réception, pas pour créer une obligation juridique supplémentaire mais pour signaler que le document a été lu.

---

Conclusion

Une charte d’usage de l’IA ne ralentit pas la digitalisation. Elle l’accélère, parce qu’elle supprime l’incertitude qui freine les équipes : sans cadre, les collaborateurs les plus prudents n’utilisent rien, et les plus imprudents utilisent tout sans discernement. Le cadre crée les conditions d’un usage large et responsable.

Ce document ne règle pas tous les problèmes. Il règle les plus courants : la fuite de données confidentielles par méconnaissance, la diffusion d’informations fausses sans relecture, et la signature de conditions d’utilisation défavorables faute d’avoir posé les bonnes questions. Pour une entreprise qui démarre sa transformation numérique, c’est suffisant pour avancer sans s’exposer, et pour aborder la vague d’adoption de l’IA en Afrique Sub-Saharienne avec des règles claires.

Pour les entreprises qui souhaitent aller plus loin, notamment sur l’audit de leurs traitements existants ou la mise en conformité avec les obligations applicables à leurs activités, Cabinet Carrée accompagne ces démarches en Afrique Sub-Saharienne, dans le cadre de son accompagnement en transformation digitale et IA. Appel et WhatsApp : +221 77 627 93 72.