ChatGPT et données clients : la charte IA en une page

Interdire ne marche pas, laisser faire non plus. Voici le modèle que nous utilisons, à copier tel quel et à adapter en une heure. Guide publié le 13 septembre 2026.

Pourquoi une page, pas un règlement

Plus de la moitié des PME suisses utilisent déjà l'IA, souvent sans que la direction sache ce qui sort de l'entreprise. Un règlement de douze pages ne sera pas lu ; une interdiction sera contournée sur le téléphone personnel. Une page, dix règles, signée par chacun, affichée près de la machine à café : c'est ce qui tient. Le texte ci-dessous est le modèle complet. Remplacez les crochets, supprimez ce qui ne vous concerne pas.

Le modèle

Charte d'utilisation des outils d'intelligence artificielle · [Nom de l'entreprise] · version du [date]

Ce qui ne sort jamais. Aucune donnée permettant d'identifier un client, un patient, un bénéficiaire, un collaborateur ou un fournisseur (nom, adresse, numéro, dossier, montant nominatif) n'est saisie dans un outil d'IA qui n'est pas listé au point 3. Un extrait anonymisé, oui ; un dossier, non.
Le secret professionnel prime. Ce que la loi ou un contrat nous oblige à garder confidentiel reste confidentiel, IA comprise. En cas de doute, on demande à [responsable] avant, pas après.
Les outils autorisés sont : [outil 1, compte entreprise], [outil 2, compte entreprise]. Ils sont configurés pour ne pas s'entraîner sur nos données et pour ne pas les conserver au-delà de [durée]. Tout autre outil, y compris une version gratuite du même éditeur, est réservé à des textes sans aucune donnée de l'entreprise.
Un compte par personne, jamais partagé, avec la double authentification. Le compte est fermé le jour du départ.
L'IA propose, une personne décide. Aucun texte produit par une IA ne part vers un client, une autorité ou un partenaire sans relecture par un humain qui en assume le contenu. Les chiffres, les dates, les références juridiques et les citations sont vérifiés à la source.
On dit quand l'IA a aidé si le destinataire pourrait raisonnablement vouloir le savoir : un rapport, une expertise, un contenu publié.
Pas de décision automatique sur une personne (embauche, crédit, santé, sanction) sans examen humain documenté.
Les résultats se conservent comme les autres documents : dans nos outils, pas dans l'historique de l'IA. L'historique est effacé selon [fréquence].
Un incident se signale : une donnée saisie par erreur, une réponse fausse envoyée, un doute, se disent le jour même à [responsable]. Personne n'est sanctionné pour avoir signalé.
Cette charte est relue tous les [six mois] par [responsable], et à chaque nouvel outil.

Lu et accepté : nom, date, signature.

Comment la faire signer sans réunion

Remplissez les crochets. Le point 3 est le seul qui demande une décision : quels outils, avec quels comptes. Si vous n'avez pas encore choisi, mettez « aucun outil autorisé pour des données de l'entreprise avant le [date] » ; c'est honnête et provisoire.
Envoyez la page par e-mail avec trois phrases : pourquoi, ce que ça change pour chacun, la date de retour. Pas de pièce jointe de douze pages.
Signature au retour, papier ou électronique, rangée dans le dossier du collaborateur. Les nouveaux la signent à l'arrivée, avec le reste.
Affichez-la. Une charte qu'on voit est une charte qu'on applique.

Les trois erreurs qu'on voit le plus

Interdire tout. Les collaborateurs utilisent alors leur compte personnel, sur leur téléphone, avec les données de l'entreprise, et personne ne le sait. La charte doit donner un outil autorisé, pas seulement une interdiction.
Croire que le compte entreprise règle tout. Il règle l'entraînement et la rétention, pas le secret professionnel ni l'obligation de vérifier. Les points 1, 2 et 5 restent.
Oublier les outils déjà là. Copilot dans Word, Gemini dans Gmail, l'assistant du logiciel de comptabilité : ils sont souvent activés par défaut. L'inventaire de l'Audit Express les liste.

Le cadre légal en trois lignes

La nLPD s'applique à toute donnée personnelle saisie dans un outil d'IA, quel que soit l'éditeur. La Suisse n'aura pas de loi propre sur l'IA avant 2028 ; le Conseil fédéral prépare un projet pour fin 2026. Si vous servez des clients dans l'Union européenne, une partie du règlement européen sur l'IA s'applique depuis août 2026 : dans ce cas, faites relire la charte par votre juriste. Ce guide n'est pas un avis juridique.

Pour aller plus loin : le cadrage IA en entreprise adapte cette charte à vos métiers, choisit les outils par usage (avec une préférence suisse ou européenne quand elle tient) et mesure le temps gagné sur un flux réel. L'Audit Express commence par lister les outils d'IA déjà utilisés chez vous.

Questions fréquentes

Quels outils mettre au point 3 ?

Ça dépend de vos données. Pour un usage général avec des données sensibles, un outil hébergé en Suisse ou en Europe (Infomaniak AI, Mistral) ; pour la rédaction et l'analyse avancées, un outil américain en version entreprise correctement réglé. Jamais une version gratuite pour des données de l'entreprise.

Faut-il l'annexer au contrat de travail ?

Une charte signée et rangée dans le dossier du collaborateur suffit pour la plupart des PME. Si vous voulez qu'elle ait valeur de directive au sens du droit du travail, faites-la valider par votre juriste ou votre fiduciaire RH.

Et pour les indépendants et les stagiaires ?

Même charte, même signature. Ce sont souvent eux qui utilisent le plus d'outils, et avec le moins de recul.