Politique IA en entreprise : modèle gratuit téléchargeable

AI Act 2026 : le guide de conformité complet pour PME et associations

L'AI Act (règlement UE 2024/1689) s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application.

Politique IA en entreprise : modèle gratuit téléchargeable

Une politique IA est le document interne qui fixe ce que vos équipes ont le droit de faire avec l'intelligence artificielle : quels outils sont autorisés, quelles données peuvent y entrer, qui vérifie quoi avant publication. Vous trouverez plus bas un modèle complet, publié en clair, prêt à copier et à adapter. Pas de formulaire, pas d'email à laisser.

La plupart des modèles qui circulent sont des documents de trois pages qui alignent des principes éthiques et se terminent par un rappel du RGPD. Ce n'est pas ce dont une PME de 40 personnes a besoin. Elle a besoin d'un texte court, concret, qu'un commercial comprend en dix minutes, et qui tienne juridiquement le jour où un salarié conteste une sanction. Cet article fait partie de notre guide de conformité AI Act pour PME et associations.

Une politique IA encadre les usages, elle ne remplace ni le RGPD ni l'AI Act

La politique IA est un document d'organisation interne : elle traduit des obligations légales en règles applicables au quotidien, elle ne crée pas de conformité à elle seule.

Trois documents sont souvent confondus, et ils ne servent pas au même public :

Un raccourci fréquent consiste à penser qu'une charte signée par tout le monde suffit à couvrir l'entreprise. Elle ne couvre rien en soi. Elle sert à deux choses : réduire le risque opérationnel, c'est-à-dire les fuites de données et les contenus faux publiés au nom de l'entreprise, et constituer un faisceau de preuves si l'on vous demande un jour ce que vous avez mis en place. Sur la répartition entre les deux textes européens, voyez notre comparatif AI Act et RGPD.

Non, la politique IA n'est pas légalement obligatoire, mais elle est difficilement évitable

Aucun texte n'impose de rédiger une politique IA. En revanche, l'article 4 du règlement UE 2024/1689 impose depuis le 2 février 2025 un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent ces systèmes pour votre compte.

Cette obligation de maîtrise se démontre par un ensemble : formation suivie, documentation accessible, règles écrites. La politique IA est la brique la moins chère de cet ensemble, et souvent la première demandée. Nous détaillons l'obligation elle-même dans Article 4 AI Act : la formation IA est-elle obligatoire.

Deux points de calendrier à garder en tête, parce qu'ils changent ce que votre politique doit dire :

• Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026. Concrètement, quand un utilisateur interagit avec un système d'IA ou reçoit un contenu généré, il doit pouvoir le savoir.
• Le règlement UE 2026/1744, dit Digital Omnibus, adopté par le Conseil le 29 juin 2026, a repoussé au 2 décembre 2027 les obligations applicables aux systèmes à haut risque de l'annexe III, et au 2 août 2028 celles de l'annexe I. Le calendrier complet est repris dans notre chronologie de l'AI Act.

Ce report ne concerne ni l'article 4 ni l'article 5. Si vous utilisez de l'IA en recrutement ou en évaluation du personnel, vous gagnez du temps sur la documentation lourde, pas sur l'encadrement interne. Voyez Article 6 AI Act : systèmes IA à haut risque pour savoir si vous êtes dans le périmètre.

Le modèle tient en dix sections, pas une de plus

Une politique IA efficace fait de quatre à six pages et couvre dix points. Au-delà, plus personne ne la lit, et un document non lu ne protège de rien.

Voici la structure que nous utilisons chez nos clients PME et associations :

1. Objet et champ d'application : qui est concerné, salariés, stagiaires, prestataires.
2. Définitions courtes : système d'IA, IA générative, donnée confidentielle.
3. Outils autorisés : la liste nominative, avec les versions et les comptes concernés.
4. Outils interdits et procédure de demande d'ajout.
5. Classification des données : ce qui peut entrer dans un outil, ce qui ne peut pas.
6. Règles de vérification avant usage externe d'un contenu généré.
7. Transparence : quand et comment signaler qu'un contenu a été produit avec de l'IA.
8. Cas d'usage encadrés ou interdits : recrutement, évaluation, décisions individuelles.
9. Incidents : que faire en cas de fuite de données ou de contenu erroné diffusé.
10. Gouvernance : qui décide, qui révise, à quelle fréquence.

Le point 3 est celui qui fait la différence. Une politique qui dit "les outils d'IA générative approuvés par la direction" ne sert à rien. Une politique qui dit "ChatGPT Team, compte entreprise uniquement, et Claude via l'abonnement GrowthPerf" est applicable dès le lendemain.

Modèle de politique IA à copier et adapter

Le texte ci-dessous est un modèle de base. Les passages entre crochets sont à compléter. Comptez deux heures pour l'adapter, pas deux semaines.

Article 1. Objet. La présente politique définit les conditions d'utilisation des systèmes d'intelligence artificielle au sein de [Société]. Elle s'applique à l'ensemble des salariés, alternants, stagiaires et prestataires intervenant pour le compte de la société, quel que soit le support utilisé, matériel professionnel ou personnel.

Article 2. Définitions. Système d'IA : logiciel produisant des contenus, des prédictions ou des recommandations à partir de données. IA générative : système produisant du texte, de l'image, du son ou du code. Donnée confidentielle : toute information non publique relative aux clients, aux salariés, aux prix, aux contrats ou aux projets en cours.

Article 3. Outils autorisés. Seuls les outils suivants sont autorisés : [liste nominative, avec la version et le type de compte]. L'utilisation de comptes personnels gratuits pour un usage professionnel est interdite, y compris pour des tâches sans données sensibles.

Article 4. Demande d'ajout d'un outil. Toute demande d'utilisation d'un outil non listé est adressée à [référent IA] par écrit, avec l'usage envisagé et les données concernées. La réponse intervient sous [10] jours ouvrés. Aucun usage n'est engagé avant accord.

Article 5. Données interdites en saisie. Il est interdit de saisir dans un système d'IA : des données personnelles de clients ou de salariés, des éléments couverts par un accord de confidentialité, des données de santé, des identifiants ou mots de passe, des documents contractuels non anonymisés, des éléments de code propriétaire [à adapter selon votre activité].

Article 6. Vérification avant diffusion. Tout contenu produit avec l'aide d'un système d'IA et destiné à un usage externe est relu par une personne compétente sur le sujet avant diffusion. Les chiffres, dates, citations et références juridiques sont vérifiés à la source. L'auteur qui diffuse le contenu en assume la responsabilité.

Article 7. Transparence. Lorsque [Société] met à disposition un système d'IA en interaction directe avec une personne, cette personne en est informée. Les contenus générés diffusés publiquement mentionnent l'usage de l'IA lorsque leur nature peut induire en erreur.

Article 8. Usages interdits. Sont interdits l'usage de l'IA pour prendre seule une décision produisant des effets juridiques sur une personne, notamment en matière de recrutement, d'évaluation, de sanction ou d'accès à un service, ainsi que tout usage relevant des pratiques prohibées par le règlement UE 2024/1689.

Article 9. Incidents. Toute saisie accidentelle de donnée confidentielle, toute diffusion d'un contenu erroné produit avec l'IA et tout comportement anormal d'un outil sont signalés sans délai à [référent IA]. Le signalement de bonne foi ne peut donner lieu à sanction.

Article 10. Formation. Chaque collaborateur utilisant un système d'IA suit la formation interne prévue à cet effet. La participation est enregistrée et l'attestation conservée.

Article 11. Gouvernance et révision. [Référent IA] tient à jour la liste des outils et le registre des systèmes d'IA. La présente politique est révisée au moins une fois par an et à chaque évolution réglementaire significative.

Article 12. Sanctions. Le non-respect des présentes règles peut donner lieu aux sanctions prévues par le règlement intérieur.

Classez vos usages en trois niveaux, pas en dix

Une grille à trois couleurs suffit et sera réellement utilisée. Les matrices de risque à cinq axes finissent dans un tiroir.

Cette grille se colle sur un mur. C'est le seul test valable : si votre classification ne tient pas sur une page, elle ne sera pas suivie.

Sans consultation du CSE, votre politique n'est pas opposable

C'est le point que les modèles génériques oublient, et c'est celui qui décide de la valeur juridique du document.

Une politique IA qui prévoit des sanctions comporte des prescriptions générales et permanentes relevant du règlement intérieur. En droit français, l'article R1321-1 du Code du travail assimile ces notes de service à des adjonctions au règlement intérieur, soumises aux mêmes formalités. Concrètement :

• Le règlement intérieur est obligatoire à partir de 50 salariés (article L1311-2 du Code du travail). En dessous, il reste facultatif, mais s'il existe, les mêmes règles s'appliquent aux adjonctions.
• Le comité social et économique doit être consulté et rendre un avis. Une consultation tardive, ou absente, prive le texte d'effet disciplinaire.
• Le document est transmis à l'inspection du travail et déposé au greffe du conseil de prud'hommes du ressort de l'entreprise (article L1321-4).
• L'entrée en vigueur intervient un mois après l'accomplissement des formalités de dépôt et de publicité.

Il existe une alternative : rédiger une politique purement informative, sans volet disciplinaire, et renvoyer les sanctions au règlement intérieur existant. C'est plus rapide, c'est moins protecteur. Le choix dépend de ce que vous voulez pouvoir faire le jour où un salarié colle un fichier client dans un outil grand public.

Ce point relève du droit du travail et non de l'AI Act. Faites relire votre version finale par votre conseil habituel avant diffusion, surtout si vous conservez le volet sanctions.

Cinq erreurs rendent une politique IA inutile

Elles reviennent dans presque tous les documents que nous relisons.

1. Le catalogue de principes. "Nous utilisons l'IA de manière responsable et éthique." Ce type de phrase ne permet à personne de décider quoi que ce soit un mardi après-midi.
2. La liste d'outils absente. Sans liste nominative, chacun interprète. C'est exactement ce que la politique était censée éviter.
3. L'interdiction totale. Interdire l'IA générative ne la fait pas disparaître, elle passe sur les téléphones personnels et sur les comptes gratuits. Vous perdez la visibilité sans gagner la sécurité.
4. Le document signé une fois puis oublié. Sans révision annuelle ni référent identifié, la liste d'outils est périmée en six mois.
5. La politique sans formation. L'article 4 porte sur la maîtrise de l'IA, pas sur l'existence d'un règlement. Un document diffusé par email ne démontre rien. Une session de formation avec émargement et attestation, si.

Sur ce dernier point, la question du risque financier est traitée dans notre article Sanctions AI Act : ce que vous risquez en 2026.

Faites vivre le document, sinon il ne prouve rien

Trois éléments transforment une politique en preuve : un référent nommé, un registre à jour, une trace de diffusion.

Le référent IA n'a pas besoin d'être juriste. Dans une PME de 30 à 80 personnes, c'est souvent le responsable informatique, le directeur administratif ou la personne qui a poussé le sujet en interne. Son rôle tient en trois lignes : valider les nouveaux outils, tenir le registre, déclencher la révision annuelle.

Le registre des systèmes d'IA recense pour chaque outil : le nom, l'éditeur, l'usage, les catégories de données traitées, le niveau de risque estimé, la date de mise en service. Un tableur suffit. Il vous servira aussi le jour où vous devrez vérifier si un outil bascule dans le périmètre haut risque.

Pour la diffusion, gardez la trace : date d'envoi, accusé de réception, liste d'émargement de la session de présentation. Ce sont ces pièces qui font la différence lors d'un contrôle, pas la qualité littéraire du document. Pour situer votre entreprise dans le périmètre du règlement, notre article AI Act : qui est concerné donne les critères.

Questions fréquentes

Une politique IA est-elle obligatoire pour une PME ? Non. Aucun texte ne l'impose. L'article 4 du règlement UE 2024/1689 impose en revanche un niveau suffisant de maîtrise de l'IA chez les utilisateurs, depuis le 2 février 2025. La politique est le moyen le plus simple de matérialiser cette exigence, avec la formation.

Politique IA ou charte IA : quelle différence ? Aucune sur le fond. "Charte" évoque un texte d'engagement, "politique" un texte d'organisation. Ce qui compte est le contenu et le respect des formalités si le document prévoit des sanctions.

Faut-il faire signer la politique par chaque salarié ? Ce n'est pas exigé, mais c'est recommandé. Un accusé de réception daté vaut preuve de diffusion. Il ne remplace pas la consultation du CSE ni le dépôt, qui conditionnent l'opposabilité du volet disciplinaire.

Peut-on interdire complètement l'IA générative dans l'entreprise ? Juridiquement oui, en tant qu'employeur vous encadrez les outils de travail. En pratique, l'interdiction générale déplace l'usage vers les comptes personnels et les téléphones, hors de toute visibilité. Un périmètre autorisé restreint fonctionne mieux qu'une interdiction contournée.

Que se passe-t-il si un salarié saisit des données clients dans ChatGPT ? Vous êtes face à une violation potentielle de données personnelles au sens du RGPD, avec analyse à mener et notification à la CNIL sous 72 heures si le risque est avéré. C'est précisément le scénario que l'article 5 du modèle vise à empêcher, et l'article 9 à faire remonter vite.

Faut-il une politique IA distincte de la charte informatique ? Les deux options se défendent. Une annexe IA à la charte informatique existante évite un dépôt supplémentaire et un nouveau cycle de consultation. Un document autonome est plus lisible pour les équipes. Si votre charte informatique date d'avant 2023, la reprendre en entier est souvent plus simple.

Le report du Digital Omnibus change-t-il quelque chose à ma politique ? Peu de choses. Le règlement UE 2026/1744 repousse au 2 décembre 2027 les obligations des systèmes à haut risque de l'annexe III. L'article 4 sur la maîtrise de l'IA, l'article 5 sur les pratiques interdites et l'article 50 sur la transparence ne sont pas concernés.

Comment GrowthPerf accompagne les PME et associations sur ce sujet

Nous intervenons sur trois volets, et rarement sur un seul.

Le premier est l'inventaire. Avant d'écrire quoi que ce soit, il faut savoir ce qui est réellement utilisé. Dans la plupart des structures que nous auditons, l'écart entre les outils officiels et les outils employés est important, et c'est cet écart qui porte le risque.

Le deuxième est la rédaction, à partir du modèle ci-dessus, adapté à votre secteur, à votre taille et à vos outils existants. Nous ne livrons pas un document de vingt pages, nous livrons celui que vos équipes appliqueront.

Le troisième est la formation, parce que c'est elle que l'article 4 vise. Nos parcours sont éligibles aux financements OPCO au titre de notre certification Qualiopi. Voyez nos formations IA en entreprise et le parcours IA opérationnelle.

Si vous voulez faire le point sur votre situation avant de vous lancer, réservez un audit gratuit de 30 minutes. Nous regardons ensemble vos outils, vos usages réels et ce qu'il vous manque pour être en règle. À l'issue, vous repartez avec le modèle adapté à votre contexte, que vous travailliez avec nous ou non.