Calendrier 2026 : 3 textes, 3 échéances
L'urgence de la charte IA en 2026 vient de la convergence de 3 calendriers réglementaires :
- AI Act (règlement européen 2024/1689) : application complète des obligations principales le 2 août 2026. Obligations Annex III haut risque applicables progressivement (échelonnement reporté à décembre 2027 selon le Digital Omnibus de mai 2026 pour certains systèmes haut risque, mais les obligations transparence et formation art. 4 restent à août 2026).
- RGPD : applicable depuis 2018, durcissement des contrôles CNIL sur les usages IA en 2026 (plan de contrôle annoncé fin 2025).
- NIS2 : transposition française effective depuis 2024, application opérationnelle 2025-2026 selon la taille de l'entreprise (entreprises moyennes et grandes : application immédiate).
Conséquence pratique : si vous n'avez pas une charte IA opérationnelle d'ici le 1er juillet 2026, vous arriverez en retard sur l'AI Act avec une marge de manœuvre nulle pour gérer un éventuel contrôle ou incident.
Pourquoi cumuler les 3 textes dans un document unique
Trois raisons opérationnelles.
Cohérence pour les collaborateurs. Un salarié ne fait pas la différence entre une obligation AI Act et une obligation NIS2 au moment d'utiliser un outil IA. Lui demander de consulter 3 documents distincts garantit qu'il ne consultera aucun. Une charte unique facilite l'adhésion et la mémorisation des règles.
Audit unique. En cas de contrôle CNIL, d'audit cyber commandé par un client, ou d'évaluation par un assureur, vous présentez un seul document au lieu de trois. Cela accélère les démarches et donne une impression de maîtrise globale.
Maintenance facilitée. Un seul cycle de révision annuelle au lieu de trois. Un seul responsable interne. Un seul process de signature. À long terme, c'est l'option la plus durable.
L'objection classique : "mais chaque texte a son régime juridique différent". Vrai. C'est pour cela que la charte unique référence explicitement chaque article applicable, sans confondre. Les 3 textes coexistent dans le document, identifiés par section.
Le squelette en 14 sections
Voici les 14 sections que doit contenir une charte IA opérationnelle en 2026. Chaque section couvre tout ou partie des 3 textes.
| # | Section | Textes couverts |
|---|---|---|
| 1 | Objet et champ d'application | AI Act + RGPD + NIS2 |
| 2 | Définitions (système IA, GPAI, déployeur, donnée personnelle, incident IA) | AI Act + RGPD + NIS2 |
| 3 | Inventaire des outils IA autorisés | AI Act art. 26 |
| 4 | Outils interdits ou conditionnés | RGPD + AI Act |
| 5 | Données interdites (NIR, RIB, santé, secrets) | RGPD |
| 6 | Obligation de supervision humaine | AI Act + RGPD art. 22 |
| 7 | Transparence (mentions IA dans livrables) | AI Act art. 50 |
| 8 | Formation et littératie IA | AI Act art. 4 |
| 9 | Procédure d'incident IA | NIS2 + RGPD |
| 10 | Cas particuliers (freelances, stagiaires, sous-traitants) | RGPD |
| 11 | Sanctions internes (graduation disciplinaire) | Code du travail |
| 12 | Mécanisme de mise à jour | AI Act + RGPD (accountability) |
| 13 | Signature individuelle et conservation | Code du travail + RGPD |
| 14 | Annexes (DPA fournisseurs, glossaire, contacts internes) | RGPD + AI Act |
Section par section : 5 zones où concentrer l'effort
Je détaille ici les 5 sections qui font la différence entre une charte solide et une charte fragile. Les 9 autres sections sont importantes mais plus standardisées.
Section 3 : inventaire des outils IA autorisés
Format recommandé : un tableau dans la charte (ou annexe) avec colonnes Outil, Éditeur, Version, Usages autorisés, Usages interdits, DPA signé, Référent interne.
Exemple type pour une PME de 30 personnes :
| Outil | Éditeur | Usages autorisés | DPA |
|---|---|---|---|
| ChatGPT Team | OpenAI | Brainstorming, rédaction marketing, traduction | ✓ |
| Claude Pro | Anthropic | Analyse documents, code, raisonnement complexe | ✓ |
| Copilot 365 | Microsoft | Productivité bureautique (Word, Excel, Outlook) | ✓ |
| Mistral Le Chat | Mistral AI | Alternative souveraine, données sensibles | ✓ |
| ChatGPT Free | OpenAI | INTERDIT en pro (pas de DPA, données réutilisées) | ✗ |
Cet inventaire doit être mis à jour à chaque nouvel outil. C'est sa principale valeur opérationnelle. Sans cette mise à jour, la charte devient rapidement déconnectée de la réalité.
Section 8 : formation et littératie IA (art. 4 AI Act)
L'article 4 de l'AI Act impose à tout déployeur de systèmes IA d'assurer un niveau suffisant de littératie IA chez ses utilisateurs. Concrètement, votre charte doit prévoir :
- Plan de formation initial pour tout nouvel arrivant (1 session de 1 à 2 heures sur les usages, les risques, les outils autorisés).
- Formation continue annuelle (mise à jour des outils, nouveaux risques émergents).
- Registre des formations suivies (date, contenu, signatures de présence, conservation 5 ans).
- Évaluation simple de la compréhension (quiz ou questionnaire en fin de session).
L'idée n'est pas de transformer tout le monde en expert IA, mais de garantir que chaque utilisateur connaît les outils autorisés, les données interdites, et le réflexe en cas d'incident.
Section 9 : procédure d'incident IA (NIS2)
Un incident IA est tout événement qui compromet la confidentialité, l'intégrité ou la disponibilité d'un système IA, ou qui produit un dommage. Exemples concrets : fuite de données via un prompt mal cadré, hallucination produisant une décision dommageable pour un client, attaque par prompt injection sur un chatbot public, panne d'un workflow n8n critique avec IA.
La procédure type à inclure dans votre charte :
- T+0 : détection par n'importe quel collaborateur. La charte rappelle l'obligation de signalement immédiat.
- T+15 min : notification au référent IA et au RSSI par e-mail dédié ou canal Slack/Teams.
- T+24 h (NIS2 entités assujetties) : notification initiale à l'ANSSI via la plateforme dédiée si le seuil de gravité est atteint.
- T+72 h : rapport intermédiaire à l'ANSSI avec premières conclusions.
- T+30 j : retour d'expérience documenté en interne avec plan d'action correctif.
Section 12 : mécanisme de mise à jour
Cette section transforme la charte d'un document mort en outil vivant. Elle doit préciser :
- Déclencheurs de mise à jour : nouvel outil IA introduit, nouvelle réglementation, incident significatif, contrôle externe.
- Responsable : nominativement (DPO, référent IA, RSSI, DRH selon la taille de l'organisation).
- Cadence minimale : révision annuelle obligatoire, même sans déclencheur.
- Validation : par qui (direction, comité IA si présent), avec quelle formalisation (avenant signé par les collaborateurs).
Section 13 : signature individuelle et conservation
La charte n'a de valeur juridique que si elle est signée individuellement par chaque collaborateur. 3 règles pratiques :
- Signature électronique qualifiée recommandée (Yousign, Universign, DocuSign). Génère un log horodaté constituant une preuve solide en cas de litige.
- Conservation 5 ans minimum dans le dossier individuel RH du collaborateur. La durée correspond à la prescription en matière sociale.
- Signature à la mise à jour : en cas de modification substantielle, demander une nouvelle signature. Une simple notification ne suffit pas pour engager le collaborateur sur des nouvelles règles.
Cas particuliers : freelances, remote, stagiaires
Une charte unique avec annexes spécifiques est la meilleure approche.
Freelances et sous-traitants. Non couverts par le règlement intérieur. Engagement via annexe contractuelle ajoutée au contrat de prestation, reprenant les obligations IA (inventaire des outils utilisés sur la mission, données interdites, procédure incident, formation initiale). La DPA du freelance peut être négociée séparément si le volume justifie.
Collaborateurs en remote. Aucune particularité réglementaire mais ajouter une mention sur l'environnement de travail : pas d'utilisation de l'outil IA personnel pro sur un poste familial partagé, attention aux écrans visibles en visio.
Stagiaires. Statut juridique distinct mais soumis aux mêmes obligations IA. Signature de la charte en début de stage, formation initiale dès la première semaine, registre des formations à jour. Pas de relâchement : un stagiaire peut produire un incident IA significatif comme tout autre utilisateur.
Sanctions concrètes par non-conformité
| Texte | Manquement | Sanction maximale |
|---|---|---|
| AI Act art. 5 | Usage IA interdit (scoring social, manipulation) | 35 M€ ou 7 % CA mondial |
| AI Act Annex III | Manquement obligations haut risque | 15 M€ ou 3 % CA mondial |
| AI Act art. 50 | Défaut de transparence | 7,5 M€ ou 1 % CA mondial |
| RGPD art. 5.2 | Défaut d'accountability (pas de charte, pas de registre) | 20 M€ ou 4 % CA mondial |
| NIS2 | Défaut de notification d'incident | 10 M€ ou 2 % CA mondial |
Les sanctions sont théoriques mais le risque opérationnel est réel : avertissement public CNIL, injonction de cesser le traitement, perte de couverture cyber, résiliation contractuelle par un donneur d'ordre. Pour une PME, l'impact réputationnel peut dépasser l'impact financier.
Checklist : votre charte est-elle prête ?
10 questions pour valider votre projet de charte :
- L'inventaire des outils IA reflète-t-il votre stack réelle ?
- Les données interdites incluent-elles NIR, RIB, données de santé, secrets industriels ?
- La supervision humaine est-elle exigée sur tous les outputs IA destinés à un client ?
- Les mentions de transparence art. 50 AI Act sont-elles précisées (modèles d'attestation IA dans livrables) ?
- Le plan de formation art. 4 a-t-il un calendrier et un registre ?
- La procédure incident IA a-t-elle des délais (24 h, 72 h, 30 j) et des destinataires nominatifs ?
- Les freelances, stagiaires et sous-traitants sont-ils couverts par des annexes spécifiques ?
- Le mécanisme de mise à jour est-il décrit (déclencheurs, responsable, cadence) ?
- Le workflow de signature est-il défini (signature électronique, conservation 5 ans) ?
- Les annexes incluent-elles les DPA fournisseurs IA et un glossaire des termes techniques ?
Si vous répondez "non" à 3 questions ou plus, votre projet de charte n'est probablement pas prêt pour un contrôle ou un audit.
Pour aller plus loin
- Pourquoi le modèle générique de charte IA vous expose (article complémentaire critique)
- Guide complet de conformité AI Act pour PME
- AI Act vs RGPD : comment articuler les deux pour votre stack IA
- DPA fournisseurs IA : checklist conformité
- Calculateur de risque AI Act gratuit
- Template de registre AI Act
- Audit AI Act + RGPD AzenFlow (cadrage 3 textes)
RÉDIGÉ PAR
Matthias Marin
Fondateur AzenFlow, cabinet de stratégie IA spécialisé en conformité AI Act, RGPD et NIS2 pour PME françaises. 40+ automatisations en production active (depuis février 2025), 25 missions cabinet réalisées, dont rédaction de chartes IA cumulant les 3 textes.
Profil LinkedIn de Matthias Marin →
Article publié le