Charte IA en entreprise : 17 % ont formalisé leur politique d'usage, presque personne ne mesure son application

Rédiger une charte IA est devenu, en un an, un réflexe de direction : les modèles abondent, les cabinets juridiques en publient, les directions des ressources humaines la diffusent. Mais deux études parues à un mois d'intervalle montrent un écart que les chartes ne comblent pas. D'un côté, une minorité d'entreprises a formalisé et communiqué sa politique d'usage de l'IA ; de l'autre, une majorité de salariés qui utilisent l'IA le font avec des outils que leur employeur ne leur a pas fournis. Une charte ne vaut pas par le texte qu'elle contient, mais par ce que l'on sait de son application.

En résumé

Constat : selon le baromètre Coface (octobre 2026, 900 décideurs), 17 % des entreprises ont défini, formalisé et communiqué une politique d'usage de l'IA ; selon Cegid/OpinionWay (France, 500 salariés de bureau), 67 % des utilisateurs d'IA recourent à des outils non fournis par leur entreprise. Thèse : la charte IA est un début de gouvernance, pas une preuve de contrôle ; sans indicateurs d'application, elle rassure sans protéger. Conséquence : cinq indicateurs simples (couverture, outils hors liste, formation, signalements, révision) transforment la charte en système de preuve, ce qui compte aussi pour l'article 4 du règlement européen sur l'IA, devenu une obligation de moyens depuis le 27 juillet 2026. Ces enquêtes sont déclaratives et ne portent pas sur les mêmes populations.

Pourquoi la charte IA ne suffit-elle pas ?

Le paradoxe est simple à énoncer. Le sujet n'a jamais été aussi documenté : un guide publié par le cabinet Leto en juin 2026 propose dix sections, un modèle de six clauses, un déploiement en cinq étapes. Les ressources existent, et l'idée de se doter d'une charte fait consensus. Pourtant, le baromètre Data & IA de Coface, réalisé avec Les Echos Etudes auprès de 900 décideurs et publié le 5 octobre 2026, indique que 60 % des entreprises n'ont pas de cadre formalisé (35 % n'ont ni dispositif ni projet, un quart réfléchit sans règles écrites) et que 17 % seulement ont défini, formalisé et communiqué une politique d'usage.

Premier point d'honnêteté : ces chiffres sont déclaratifs. Les entreprises indiquent elles-mêmes leur niveau d'avancement, sans mesure extérieure, et la page publique de l'étude ne donne ni la période de terrain ni la répartition des répondants par secteur ou par taille. L'étude complète n'est accessible qu'après un formulaire. Nous la lisons donc comme un ordre de grandeur, pas comme un constat précis.

Même prudence pour l'autre moitié du tableau. Le sondage OpinionWay pour Cegid (2 006 salariés de bureau, quatre pays, dont 500 en France, terrain du 22 mai au 4 juin 2026) donne, pour la France, 70 % de salariés utilisateurs d'IA dans un cadre professionnel. Parmi eux, 67 % utilisent des outils que leur entreprise ne leur fournit pas ; ce taux monte à 77 % dans les PME et 81 % dans les ETI. Seuls 39 % disposent d'une solution IA professionnelle. Et 63 % déclarent qu'aucune formation aux outils d'IA n'a été mise en place.

Que disent vraiment ces deux séries de chiffres ?

Il serait tentant de les rapprocher : « 17 % de politiques, 67 % d'usages hors cadre ». Ce serait un raccourci. Les deux enquêtes interrogent des populations différentes (des décideurs d'un côté, des salariés de l'autre), à des moments différents, avec des questions qui ne se recouvrent pas. Rien ne permet de dire que les 67 % travaillent dans les 83 % d'entreprises sans politique formalisée.

Ce que l'on peut dire, en revanche, tient en trois observations. La première : l'usage de l'IA au travail est répandu et ne dépend pas de la décision de l'employeur. La deuxième : une partie de ces usages se fait hors des outils sanctionnés par l'entreprise. La troisième : la formation, c'est-à-dire ce qui permet à une règle écrite d'être comprise, est absente dans la majorité des cas déclarés. Ces trois observations suffisent à poser la question de fond : une règle que personne ne peut vérifier est-elle encore une règle ?

Nous avions déjà décrit, dans notre analyse sur le shadow AI et l'adoption des compétences, le décalage entre outils fournis et outils utilisés. Les nouveaux chiffres confirment le sens du phénomène, sans permettre de l'amplifier.

Où se situe le problème dans l'organisation ?

À notre avis, il ne se situe pas dans le texte. La plupart des chartes sont raisonnables : outils autorisés, données interdites, supervision humaine, responsabilité. Le problème est organisationnel et tient à quatre absences.

Personne ne possède l'application. La charte est rédigée par le juridique ou les ressources humaines, validée par la direction, puis diffusée. Qui, ensuite, vérifie ce qui se passe ? Dans les chiffres Cegid, seules 41 % des entreprises disposeraient d'une fonction dédiée au pilotage de l'IA, selon les salariés interrogés. Une charte sans propriétaire opérationnel devient un document d'accueil.

La liste d'outils ne bouge pas à la vitesse des usages. Une charte qui autorise trois outils et en interdit un seul laisse le salarié face à tous les autres. S'il n'existe pas de procédure d'exception rapide, il choisit seul. L'interdiction totale, qui figure parmi les erreurs que le guide Leto recense, produit l'effet inverse de celui recherché.

La formation vient après, ou jamais. Une règle comprise s'applique plus facilement qu'une règle subie. Or, d'après Cegid, près de deux salariés sur trois déclarent qu'aucune formation n'existe. La charte est signée, mais pas expliquée.

L'application n'est pas mesurée. C'est le point le plus facile à corriger et le moins traité. Le guide Leto lui-même, qui décrit finement le contenu d'une charte, ne propose ni indicateur de taux d'adoption, ni suivi des incidents signalés, ni retour d'expérience chiffré. Ce manque n'est pas propre à ce cabinet : c'est celui du genre.

Pourquoi cette question devient-elle plus pressante en 2026 ?

Parce que le cadre européen a changé de nature sans disparaître. L'article 4 du règlement sur l'IA (maîtrise de l'IA) s'applique depuis le 2 février 2025 aux fournisseurs et aux déployeurs. Le règlement (UE) 2026/1744, dit omnibus numérique, daté du 8 juillet 2026 et entré en vigueur le 27 juillet 2026, en a modifié la formulation. Selon le texte consulté sur EUR-Lex, les fournisseurs et déployeurs doivent désormais prendre des mesures pour soutenir la maîtrise de l'IA de leur personnel et des personnes qui utilisent des systèmes d'IA pour leur compte, en tenant compte des connaissances, de l'expérience, de la formation et du contexte d'usage. Le texte précise que cette obligation n'exige pas de garantir un niveau de maîtrise donné à un individu.

Autrement dit, on passe d'une exigence de résultat présumée à une obligation de moyens. C'est plus réaliste, et c'est aussi plus exigeant sur un point : l'entreprise qui prend des mesures doit pouvoir montrer lesquelles. Selon le résumé qu'en fait ActuIA, le contrôle relève des autorités nationales de surveillance du marché. Les dates de l'omnibus concernant les systèmes à haut risque (2 décembre 2027 pour les usages de l'annexe III, 2 août 2028 pour les produits de l'annexe I) ne changent pas cette logique pour l'article 4, qui n'a pas été reporté. Une preuve de formation et d'application vaut donc mieux qu'un texte seul. Nous n'avons pas consulté la totalité du règlement : le détail de l'article 111 et des dates de marquage des contenus reste à vérifier avant toute décision de conformité.

Comment transformer une charte en système de preuve ?

Nous proposons, à titre de méthode de travail, cinq indicateurs. Ils ne demandent pas d'outil particulier : un tableur et un propriétaire suffisent pour commencer.

1. La couverture. Part des usages d'IA recensés (déclarés par les équipes, ou repérés dans un registre) qui reposent sur un outil de la liste autorisée. Un chiffre qui monte indique que la liste suit les besoins.
2. Les outils hors liste. Nombre d'outils d'IA détectés (par sondage trimestriel, notes de frais, demandes d'achat, accès réseau) qui ne figurent pas dans la charte. Il ne s'agit pas de sanctionner, mais de repérer ce que la liste devrait intégrer ou interdire explicitement.
3. La formation. Part des salariés concernés ayant suivi la sensibilisation prévue au cours des douze derniers mois. C'est la preuve la plus directe des « mesures » attendues par l'article 4.
4. Les signalements et les exceptions. Nombre de demandes d'exception et d'incidents signalés, et délai moyen de réponse. Zéro signalement n'est pas une bonne nouvelle : cela signifie souvent que personne ne sait où signaler.
5. La révision. Date de la dernière mise à jour de la charte et part des règles testées sur un cas réel au cours de l'année. Un texte jamais éprouvé est un texte jamais corrigé.

Exemple illustratif (construit pour la démonstration). Une entreprise de 300 salariés recense 40 usages d'IA, dont 22 sur des outils autorisés : la couverture est de 55 %. Un sondage trimestriel révèle 7 outils absents de la liste. Cent quatre-vingts salariés sur 240 concernés ont suivi la sensibilisation : 75 %. Trois demandes d'exception ont été traitées en cinq jours. Rien n'est brillant, mais tout est discutable : le comité de direction peut décider d'ouvrir un outil, de former deux équipes, de simplifier une règle. La charte a cessé d'être un texte pour devenir un tableau de bord.

Quelles conséquences pour la direction ?

Trois choix s'imposent. Le premier est de désigner un propriétaire de l'application, distinct de l'auteur du texte : une personne qui rend compte, une fois par trimestre, des cinq indicateurs. Le deuxième est d'ouvrir une voie d'exception courte, de quelques jours, pour que l'usage non prévu passe par la liste plutôt que de la contourner. Le troisième est de relier la charte aux autres chantiers de gouvernance : la gestion des données, le contrôle des agents, le budget. Nous traitons, dans notre note sur la gouvernance des agents IA en entreprise, le cas des outils qui agissent au lieu de simplement répondre : leur périmètre doit figurer dans la charte, avec un niveau d'autonomie explicite.

Il faut aussi accepter une limite. Mesurer l'application ne dit pas si les usages sont utiles. Pour cela, la question relève du portefeuille de cas d'usage et de la preuve de valeur, que nous abordons dans l'article sur la fracture d'adoption entre grands groupes et PME-ETI. Une charte bien appliquée peut très bien encadrer des usages sans valeur.

Que faire de la prochaine révision ?

La question à poser à la prochaine revue de la charte n'est pas « que faut-il ajouter au texte ? » mais « qu'est-ce que nous sommes capables de prouver aujourd'hui ? ». Si la réponse tient en une phrase vague, c'est que l'effort doit porter sur l'application, pas sur la rédaction. Le chantier est modeste, il se fait en un trimestre, et il change la nature de la conversation avec le comité de direction, avec les salariés et, le cas échéant, avec une autorité de contrôle.

Le regard de digitalie_

Chez digitalie_, nous considérons qu'une charte IA est un point de départ qu'on évalue par ses effets, pas par son élégance. Dans nos accompagnements en data et IA, nous aidons les directions à passer du texte à l'application : inventaire des usages, propriétaire désigné, cinq indicateurs de suivi. Si vous souhaitez regarder où en est votre propre charte, nous proposons un échange de 30 minutes, sans engagement.

Questions fréquentes

Une charte IA est-elle obligatoire pour une entreprise ?

Aucun texte n'impose une « charte IA » sous ce nom. L'article 4 du règlement européen sur l'IA impose en revanche aux entreprises qui déploient des systèmes d'IA de prendre des mesures pour soutenir la maîtrise de l'IA de leur personnel. La charte est un moyen courant de les formaliser, avec la formation, mais pas le seul.

Que doit contenir une charte IA d'entreprise ?

Les contenus les plus fréquents sont le champ d'application, les outils autorisés et interdits, les règles sur les données, la transparence, la supervision humaine, les responsabilités et la révision. Ajoutez des indicateurs d'application et un propriétaire désigné : c'est ce qui permet de vérifier que le texte est réellement suivi.

Comment mesurer l'application d'une charte IA ?

Suivez cinq indicateurs simples : la part des usages couverts par un outil autorisé, le nombre d'outils hors liste, la part des salariés formés, le nombre de signalements et d'exceptions traités avec leur délai, et la date de dernière révision. Un tableur et un propriétaire suffisent pour commencer.

Que change l'omnibus numérique à l'article 4 du règlement sur l'IA ?

Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, reformule l'article 4. Les fournisseurs et déployeurs doivent prendre des mesures pour soutenir la maîtrise de l'IA, sans garantir un niveau précis à chaque personne. C'est une obligation de moyens, que l'entreprise doit pouvoir documenter.

Le shadow AI est-il répandu dans les entreprises françaises ?

Selon Cegid/OpinionWay (mai-juin 2026, 500 salariés de bureau en France), 67 % des utilisateurs d'IA recourent à des outils non fournis par leur entreprise, 77 % en PME et 81 % en ETI. Ces chiffres sont déclaratifs et reposent sur un échantillon limité : ils donnent un ordre de grandeur, pas une mesure exacte.

Sources

1. ActuIA, « Six entreprises sur dix utilisent l'IA sans cadre, selon Coface », 6 octobre 2026, relayant le baromètre Data & IA de Coface et Les Echos Etudes du 5 octobre 2026 (900 décideurs ; étude complète non consultée) : actuia.com
2. Cegid, communiqué du 3 septembre 2026 sur l'étude OpinionWay « Le moment de vérité de l'IA en entreprise » (2 006 salariés de bureau, quatre pays, 500 en France, terrain du 22 mai au 4 juin 2026) : cegid.com
3. Union européenne, règlement (UE) 2026/1744 du 8 juillet 2026 (omnibus numérique, modification de l'article 4 du règlement 2024/1689), EUR-Lex, texte consulté partiellement : eur-lex.europa.eu
4. ActuIA, « AI Act: obligations in force and delays under omnibus 2026/1744 » (publication au JOUE le 24 juillet 2026, entrée en vigueur le 27 juillet 2026, nouvelles dates) : actuia.com
5. Leto, « Charte IA : cadrer l'usage de l'intelligence artificielle en entreprise », 30 juin 2026 (éditeur de logiciels de conformité, source commerciale) : leto.legal
6. digitalie_, Adoption de l'IA et shadow AI ; Gouvernance des agents IA ; Fracture d'adoption IA PME-ETI.