Dans beaucoup de PME suisses, l’IA est arrivée sans annonce. Une collaboratrice traduit un e-mail avec ChatGPT, un collègue fait résumer un contrat, un autre retouche une offre avec Copilot. Selon une enquête de l’institut Sotomo pour AXA, publiée en septembre 2026, trois PME suisses sur quatre utilisent déjà l’intelligence artificielle au quotidien, et 39 % en sont encore au stade du test. C’est souvent à ce stade que les règles manquent.
Une charte d’utilisation de l’IA répond à trois questions : quels outils sont autorisés, quelles données peut-on y saisir et qui vérifie le résultat. Le modèle ci-dessus couvre ces points en 12 sections, que vous pouvez adapter, imprimer ou enregistrer en PDF. Ce guide explique chaque section, ce que dit le droit suisse et comment déployer la charte en 30 jours.
Pourquoi une charte IA maintenant
Vos équipes utilisent déjà l’IA. Souvent avec des comptes personnels et des versions gratuites, choisies par chacun. La direction ne sait pas toujours quels outils sont utilisés, ni pour quelles tâches.
Les données partent sans qu’on y pense. Un e-mail de client collé dans un assistant grand public quitte l’entreprise. Selon les réglages et les conditions du service, il peut être conservé par le fournisseur, parfois à l’étranger, et servir à entraîner le modèle.
La qualité n’est pas garantie. Un modèle de langage peut affirmer une chose fausse avec beaucoup d’assurance : un article de loi qui n’existe pas, un montant mal recopié, une traduction qui change le sens d’une clause. Sans règle de vérification, ces erreurs arrivent chez vos clients.
Les autorités le recommandent. En octobre 2026, l’Office fédéral de la cybersécurité (OFCS) et le Préposé fédéral à la protection des données et à la transparence (PFPDT) ont mené une campagne commune sur l’IA générative au travail. L’OFCS y recommande aux entreprises de définir des directives internes claires, qui précisent les outils autorisés et les données à ne pas saisir, et de former leur personnel.
Une bonne charte n’ajoute pas de bureaucratie. Elle rassure ceux qui n’osent pas utiliser l’IA et fixe des limites à ceux qui l’utilisent sans se poser de questions.
Ce que dit le droit suisse, en bref
La Suisse n’a pas encore de loi spécifique sur l’IA. Le 12 février 2025, le Conseil fédéral s’est prononcé pour la ratification de la Convention du Conseil de l’Europe sur l’IA, avec des modifications légales aussi sectorielles que possible. Le 28 octobre 2026, il a annoncé que la consultation sur un avant-projet préparé par l’Office fédéral de la justice s’ouvrirait au printemps 2027. Pour le détail, voir notre guide sur la loi IA en Suisse.
En attendant, le droit existant s’applique. Le PFPDT le rappelle : la loi fédérale sur la protection des données (LPD, souvent appelée nLPD), en vigueur depuis le 1er septembre 2023, est directement applicable aux traitements de données basés sur l’IA. Pour une charte, quatre points comptent :
- Sous-traitance. Si un fournisseur d’IA traite des données personnelles pour vous, il faut un contrat, et vous devez vous assurer qu’il est en mesure de garantir la sécurité des données (art. 9 LPD).
- Sanctions. Sur plainte, la LPD prévoit des amendes jusqu’à 250 000 francs pour certaines violations intentionnelles, par exemple confier des données à un sous-traitant sans respecter ces conditions (art. 61 LPD). Ces amendes visent en principe les personnes physiques responsables, pas l’entreprise.
- Droit du travail. L’employeur peut établir des directives générales sur l’exécution du travail, que les collaborateurs observent selon les règles de la bonne foi (art. 321d CO). Une charte IA entre dans ce cadre. Le devoir de discrétion sur les faits confidentiels, comme les secrets d’affaires (art. 321a al. 4 CO), vaut aussi face aux outils d’IA.
- Union européenne. Le règlement européen sur l’IA (AI Act) peut concerner une entreprise suisse dans certains cas, par exemple lorsque les résultats produits par un système d’IA sont utilisés dans l’UE.
Les 12 sections du modèle, expliquées
Le générateur ci-dessus contient un texte complet pour chaque section. Voici à quoi sert chacune et ce qu’il faut adapter à votre entreprise.
1. Objet et champ d’application
La charte précise à qui elle s’applique (collaborateurs, stagiaires, indépendants qui travaillent pour vous) et quels outils elle couvre : assistants conversationnels, fonctions IA intégrées à vos logiciels, extensions de navigateur, agents. Une phrase suffit pour son but : profiter de l’IA sans mettre en danger les données ni la qualité du travail.
2. Principes : l’IA assiste, les personnes restent responsables
L’IA propose, une personne décide. Celui qui envoie un e-mail, une offre ou une analyse en reste l’auteur et le responsable, même si l’IA l’a rédigé.
3. Outils autorisés
Une liste courte, avec pour chaque outil la version (gratuite ou professionnelle), les usages permis et le niveau de données accepté. Privilégiez les offres professionnelles dont le contrat exclut l’entraînement des modèles sur vos données, comme le recommande l’OFCS. Tout nouvel outil passe d’abord par le référent IA.
4. Règles sur les données
C’est le cœur de la charte. Le modèle classe les informations en quatre niveaux :
| Niveau |
Exemples |
Règle |
| Public |
Site web, annonces, brochures |
Tous les outils autorisés |
| Interne |
Procédures, modèles de lettres, notes sans données personnelles |
Outils autorisés, avec un compte de l’entreprise |
| Confidentiel |
Données de clients et de collaborateurs, contrats, chiffres, secrets d’affaires |
Uniquement les outils approuvés pour ce niveau, en anonymisant si possible |
| Sensible |
Santé, sphère intime, origine raciale ou ethnique, opinions religieuses, philosophiques, politiques ou syndicales, données génétiques ou biométriques, procédures et sanctions pénales ou administratives, aide sociale |
Jamais dans un outil non approuvé ; cas par cas avec le référent IA |
Le niveau « sensible » reprend la définition des données sensibles de l’art. 5 let. c LPD. Un réflexe aide beaucoup : remplacer les noms par « Client A » avant de coller un texte.
5. Vérification des résultats
Tout résultat destiné à l’extérieur est relu : chiffres, noms, dates, références légales, citations. Plus l’enjeu est important, plus la vérification est poussée. La LPD impose d’ailleurs à celui qui traite des données personnelles de s’assurer qu’elles sont exactes (art. 6 al. 5 LPD).
6. Transparence envers les clients
Dites à vos clients quand l’IA joue un rôle important, par exemple dans un rapport ou une réponse automatique. Selon le PFPDT, une personne qui échange avec un chatbot a le droit de savoir qu’elle s’adresse à une machine. Si un prestataire d’IA traite des données de clients, votre déclaration de confidentialité doit en tenir compte : la LPD impose d’indiquer les destinataires ou catégories de destinataires des données (art. 19 LPD).
7. Propriété intellectuelle et confidentialité
Les secrets d’affaires et les documents des clients restent dans les outils approuvés. Pour les professions soumises au secret professionnel (avocats, notaires, médecins, physiothérapeutes…), le secret de l’art. 321 CP s’applique aussi à ce qui est saisi dans un outil d’IA. Côté droit d’auteur, l’Institut Fédéral de la Propriété Intellectuelle (IPI) rappelle qu’en Suisse, seules les œuvres créées par un être humain sont protégées : un texte produit par l’IA sans apport créatif humain peut ne pas l’être. Vérifiez enfin qu’un contenu généré ne reprend pas l’œuvre d’un tiers.
8. Décisions automatisées
Aucune décision qui affecte significativement une personne (embauche, refus d’un dossier de location, résiliation) n’est laissée à l’IA seule. La LPD impose d’informer la personne concernée de toute décision prise exclusivement sur la base d’un traitement automatisé, lorsqu’elle a des effets juridiques pour elle ou l’affecte de manière significative ; la personne peut exiger qu’un être humain revoie la décision (art. 21 LPD). La charte va plus loin : une personne revoit toujours ces décisions.
9. Sécurité
Uniquement des comptes de l’entreprise, protégés par une authentification à deux facteurs. Jamais de mot de passe, de clé d’accès ou de code confidentiel dans une conversation avec l’IA. Quand l’outil le permet, désactivez l’utilisation de vos conversations pour l’entraînement.
Chaque collaborateur suit une courte formation avant d’utiliser les outils autorisés. Un référent IA, nommé dans la charte, tient la liste des outils, répond aux questions et reçoit les signalements. Dans une PME, c’est souvent un membre de la direction ou la personne qui s’occupe de l’informatique.
11. Incidents
Une erreur grave ou une fuite possible est signalée tout de suite au référent IA : signaler vite vaut mieux que cacher. Saisir des données de clients dans un outil non autorisé peut constituer une violation de la sécurité des données au sens de la LPD (art. 5 let. h). Si elle entraîne vraisemblablement un risque élevé pour les personnes concernées, l’entreprise doit l’annoncer au PFPDT dans les meilleurs délais (art. 24 LPD).
12. Révision, date et signature
La charte est revue tous les 12 mois, et plus tôt si un nouvel outil arrive ou si la loi change. Elle porte une date, la signature de la direction et une confirmation de lecture de chaque collaborateur.
Mettre la charte en place en 30 jours
Une charte rangée dans un classeur ne change rien. Voici un déroulement réaliste pour une PME de 5 à 50 personnes.
Semaine 1 : faire l’état des lieux. Demandez à chacun quels outils il utilise et pour quelles tâches, sans jugement : un questionnaire de cinq questions suffit. Nommez le référent IA.
Semaine 2 : atelier d’équipe. Réunissez l’équipe deux à trois heures pour parcourir le modèle. Décidez ensemble des outils autorisés et classez des exemples tirés de vos propres dossiers dans les quatre niveaux de données. Des règles discutées en équipe sont mieux appliquées.
Semaine 3 : formation courte et réglages. Une à deux heures pour tous : formuler une demande, vérifier un résultat, reconnaître une donnée sensible. Le référent crée les comptes de l’entreprise, active l’authentification à deux facteurs et règle l’historique et l’entraînement.
Semaine 4 : signature et diffusion. La direction signe, chaque collaborateur confirme sa lecture. La charte rejoint le dossier d’accueil des nouveaux collaborateurs, et la date de la prochaine révision est inscrite à l’agenda.
Ensuite, un point rapide après trois mois permet de corriger ce qui ne fonctionne pas. La révision complète a lieu chaque année.
L’atelier de la semaine 2 et la formation de la semaine 3 peuvent tenir en une demi-journée. C’est le format de notre atelier IA pour les équipes : dans vos locaux, nous abordons l’usage sûr de l’IA au travail, rédigeons votre charte avec l’équipe et choisissons une première tâche à automatiser.
Les erreurs fréquentes
- Tout interdire. L’usage continue alors sur les téléphones personnels, sans aucun contrôle. Mieux vaut autoriser un outil adapté, avec des règles claires.
- Copier une charte trouvée en ligne. Si elle ne cite ni vos outils, ni vos types de dossiers, ni votre référent, elle reste théorique. Adaptez chaque section à votre métier.
- Rester vague sur les données. « Ne pas saisir d’informations confidentielles » ne suffit pas. Donnez des exemples tirés de vos dossiers.
- Oublier les fonctions IA intégrées. Messagerie, suite bureautique, logiciel métier, transcription de réunions : l’IA arrive aussi par les mises à jour.
- Confondre version gratuite et version professionnelle. Le même nom d’outil peut cacher des conditions très différentes pour vos données.
- Signer, puis ranger. Sans formation, sans référent et sans date de révision, la charte est oubliée en quelques semaines.
- Ne prévoir aucun canal pour les incidents. Si personne ne sait à qui signaler une erreur, elle sera cachée.
Pour les questions de confidentialité propres à ChatGPT, voir notre guide ChatGPT en entreprise et confidentialité. Une fois les règles posées, l’étape suivante consiste souvent à automatiser une tâche précise : notre audit IA gratuit aide à choisir laquelle.
Ce guide donne une information générale et ne constitue pas un conseil juridique. Vérifiez les conditions actuelles des fournisseurs et, en cas de doute, demandez conseil à un spécialiste.