Politique IA en entreprise : contenu et modèle de charte

Une politique IA (ou charte IA) est le cadre documenté, approuvé par la direction, qui régit la manière dont l'IA peut être utilisée dans l'entreprise, et celle dont elle ne doit pas l'être. Elle définit le périmètre, les usages autorisés et interdits, la protection des données et la confidentialité, les outils approuvés, le marquage des contenus générés par IA, les responsabilités, la formation ainsi que les conséquences des manquements. Selon l'ISO/IEC 42001:2023, c'est un document obligatoire au titre de la clause 5.2 et du contrôle A.2.2 de l'annexe A, qui constitue le cadre de tous les objectifs IA mesurables.

• Une obligation, pas une option : sans politique IA documentée et approuvée par la direction, aucune certification ISO 42001 n'est possible (clause 5.2 / contrôle A.2.2).
• Du concret, pas des formules creuses : une politique générique (« Nous utilisons l'IA de manière responsable ») fait partie, d'après la pratique des audits 2024-2026, des constats d'audit les plus fréquents. Elle doit être vérifiable point par point et applicable.
• Intégrée, pas isolée : elle doit être alignée sur les politiques existantes en matière de sécurité de l'information, de protection des données, d'éthique et de RH (contrôle A.2.3).

À quoi sert une politique IA et où elle s'ancre dans l'ISO 42001

La clause 5.2 de l'ISO/IEC 42001 exige que la direction établisse une politique IA documentée, adaptée à la finalité de l'organisme, qui fournisse un cadre pour les objectifs IA et comporte un engagement à satisfaire aux exigences applicables ainsi qu'à l'amélioration continue. Le contrôle A.2.2 de l'annexe A renforce ce point et exige une politique IA documentée. A.2.3 impose l'alignement avec les autres politiques de l'entreprise, A.2.4 la revue régulière.

La logique est une cascade : la politique (5.2) fixe le cadre des objectifs IA mesurables (6.2), eux-mêmes suivis via la surveillance (9.1) et la revue de direction (9.3). Une politique qui ne se décline pas en objectifs mesurables reste sans effet et fait l'objet d'un constat lors de l'audit.

Contenu obligatoire d'une politique IA

Selon la pratique ISO 42001, une politique IA solide couvre les éléments suivants. Ils te servent directement de plan à cocher.

Usages autorisés et interdits

C'est le cœur du dispositif pour le travail quotidien. Pour les agents IA, la politique devrait fixer explicitement les niveaux d'autonomie (lecture seule, recommandation, action après validation, action autonome), ainsi que les limites d'utilisation des outils, les règles d'escalade et de human-in-the-loop et la diversification des fournisseurs de modèles. La liste des interdictions commence par les pratiques prohibées par l'article 5 du règlement européen sur l'IA, comme la reconnaissance des émotions sur le lieu de travail, la notation sociale et les techniques de manipulation susceptibles de causer un préjudice important (interdites depuis le 2 février 2025). Le règlement (UE) 2026/1744 (omnibus numérique) ajoute de nouvelles interdictions à l'article 5, par exemple les systèmes d'IA qui génèrent sans consentement des représentations intimes réalistes de personnes identifiables, ainsi que la génération de matériel relatif à des abus sexuels sur enfants. S'y ajoutent des interdictions propres à l'entreprise, par exemple pas de conseil juridique autonome ni de décision RH autonome sans contrôle humain (HITL). Le contrôle A.9.4 est ici déterminant : si une entreprise utilise un agent en dehors de la destination définie par le fournisseur et que le système devient de ce fait un système à haut risque, l'entreprise est elle-même considérée comme fournisseur au sens de l'article 25 du règlement européen sur l'IA. Elle assume alors les obligations du fournisseur prévues à l'article 16, y compris l'évaluation de la conformité.

Protection des données et outils approuvés

La politique doit définir quelles données peuvent alimenter les prompts, les systèmes de récupération ou les données d'entraînement. Les outils approuvés sont listés avec leur fournisseur ; le contrôle A.10.3 prévoit une due diligence documentée portant sur les certifications (ISO 27001, SOC 2 Type II, ISO 42001), la posture en matière de protection des données, les sous-traitants ultérieurs et les politiques de dépréciation des modèles. Une liste d'outils obsolète ou un registre des fournisseurs non tenu à jour figurent parmi les points les plus souvent relevés.

Marquage des contenus générés par IA

La transparence est un principe central de l'annexe C.2. Le contrôle A.8.2 exige une documentation du système et des informations pour les utilisateurs : model cards, notices d'utilisation, déclarations sur les capacités et les limites. Cela recoupe l'article 13 du règlement européen sur l'IA (transparence et fourniture d'informations aux déployeurs). L'article 13 ne s'applique toutefois qu'aux systèmes à haut risque et régit la transparence et la notice d'utilisation à l'égard des déployeurs, pas le marquage des contenus. Le marquage relève de l'article 50, applicable depuis le 2 août 2026. Les fournisseurs doivent informer les personnes qu'elles interagissent avec un système d'IA, sauf si c'est évident, et marquer dans un format lisible par machine les contenus synthétiques audio, image, vidéo et texte. Les déployeurs doivent signaler les deepfakes et indiquer les textes générés par IA publiés dans le but d'informer le public sur des questions d'intérêt public. Cette obligation ne s'applique pas si le texte a fait l'objet d'un examen humain ou d'un contrôle éditorial et qu'une personne physique ou morale en assume la responsabilité éditoriale. Pour les systèmes d'IA générative déjà sur le marché avant le 2 août 2026, le marquage bénéficie d'une période transitoire jusqu'au 2 décembre 2026. La politique devrait préciser quand et comment les contenus générés ou assistés par IA sont signalés.

Formation et maîtrise de l'IA

Les clauses 7.2 (compétences) et 7.3 (sensibilisation) exigent de prouver que les collaborateurs ayant un rôle actif en matière d'IA sont formés. Cela rejoint l'article 4 du règlement européen sur l'IA (maîtrise de l'IA). Depuis sa modification par le règlement (UE) 2026/1744 (en vigueur depuis le 27 juillet 2026), l'article 4 oblige fournisseurs et déployeurs à prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel. Ils ne sont pas tenus de garantir un niveau de compétence déterminé. Un plan de formation intégré à la politique documente ces mesures. Dans les déploiements d'agents, c'est précisément cette preuve qui constitue un point faible fréquent, car bien souvent, les compétences ne sont pas attestées au-delà des équipes purement techniques.

ISO 42001 et règlement européen sur l'IA : le pont

L'ISO 42001 n'est pas une norme harmonisée et ne crée pas de présomption de conformité avec le règlement européen sur l'IA. Elle est néanmoins considérée comme la base organisationnelle la plus solide pour s'y préparer. Pour la politique, quatre articles sont particulièrement pertinents : l'article 4 (maîtrise de l'IA) est couvert par les clauses 7.2/7.3, l'article 13 (transparence et informations destinées aux déployeurs de systèmes à haut risque) par les contrôles A.8.2 et A.8.5. L'article 5 (pratiques interdites) a sa place dans la liste des interdictions, l'article 50 (information sur l'interaction avec une IA, marquage des contenus synthétiques et des deepfakes) dans la section consacrée au marquage. L'engagement à respecter les réglementations applicables (RGPD, règlement européen sur l'IA, réglementations sectorielles) doit figurer explicitement dans le texte.

Remarque : cet article sert d'orientation technique et ne remplace pas un conseil juridique. Les obligations concrètes, les références aux articles et les délais doivent faire l'objet d'un examen juridique au cas par cas.

Modèle : plan à cocher d'une politique IA

```
Politique IA [entreprise], version x.y, approbation [date/direction]

1. Objet et périmètre

• systèmes/agents d'IA et domaines couverts
  
• Rôle : fournisseur / déployeur / les deux
  

2. Principes directeurs (supervision humaine, transparence, équité, protection des données, sécurité, robustesse)
3. Rôles et responsabilités (direction, AI Officer/responsable AIMS, propriétaires des contrôles)
4. Usages autorisés

• Niveaux d'autonomie par cas d'usage
  
• Limites d'utilisation des outils, escalade/HITL
  

5. Usages interdits (liste des interdictions : toutes les pratiques interdites par l'article 5 du règlement européen sur l'IA, p. ex. reconnaissance des émotions sur le lieu de travail, notation sociale ; plus des interdictions propres comme les décisions RH ou juridiques autonomes)
6. Protection des données et confidentialité (données admises dans les prompts/la récupération)
7. Outils et fournisseurs approuvés (+ due diligence des fournisseurs A.10.3)
8. Marquage des contenus générés par IA (article 50 du règlement sur l'IA, transparence, model cards, notice d'utilisation)
9. Évaluation des risques et des impacts (engagement)
10. Formation et maîtrise de l'IA (plan, fréquence)
11. Manquements et application (conséquences, canal de signalement)
12. Engagement de conformité légale (RGPD, règlement européen sur l'IA) et d'amélioration continue
13. Rythme de revue, gestion des versions, signatures d'approbation
    ```

Exemple pratique : objectifs mesurables et attestation de formation

Une politique ne produit ses effets qu'à travers des objectifs mesurables au sens de la clause 6.2. Une ETI comptant 500 à 2 000 salariés peut par exemple concrétiser sa politique ainsi :

• Compétences (clause 7.2 + article 4 du règlement sur l'IA) : « Tous les salariés ayant un rôle actif en matière d'IA suivent chaque année une formation à la maîtrise de l'IA ; 100 % d'attestations. »
• Transparence : « 100 % des agents à haut risque disposent, d'ici le T3, d'une model card à jour et d'une fiche d'instructions destinée aux utilisateurs. »
• Couverture : « 100 % des agents IA en production sont enregistrés dans l'inventaire IA et rattachés à une classe de risque dans les 14 jours suivant leur mise en service. »

De tels objectifs rendent la politique auditable et comblent l'écart entre l'ambition et la preuve, précisément là où les politiques génériques échouent.

Pour les agences et le B2B

Pour les agences marketing, une politique IA est doublement pertinente : en interne, comme preuve de leurs propres compétences au titre de l'article 4 du règlement sur l'IA ; en externe, comme signal de confiance dans les pitchs et les appels d'offres. Les clients cotés au DAX, au SMI et à l'ATX posent de plus en plus de questions sur la gouvernance de l'IA dans leurs RFP. Pour les décideurs B2B, la politique est la première étape, et la moins coûteuse, vers la certification ISO 42001 (selon notre estimation, environ 50 000-150 000 EUR et 9-12 mois pour une entreprise de 500 à 2 000 salariés, chiffres 2026) : elle peut être rédigée en quatre à huit semaines lors de la phase de constitution du socle de politiques et pose les fondations des processus de gestion des risques, des impacts et du cycle de vie. Nous t'accompagnons dans la rédaction d'une politique IA vérifiable point par point et applicable, et dans son rattachement à des objectifs mesurables, sans formules creuses et avec l'auditabilité en ligne de mire.