# Comment sécuriser juridiquement l'IA générative sans bloquer l'innovation ?

> Interdire l'IA générative pousse les usages dans l'ombre, la laisser faire expose l'entreprise. Une charte écrite, un outil validé et un contrôle humain sur les sorties couvrent le RGPD, l'AI Act et la responsabilité de l'entreprise sans freiner personne.

## 01 La réponse en clair

Sécuriser l'IA générative ne revient pas à choisir entre interdire et laisser faire. Les deux options ont le même défaut. Elles laissent l'entreprise sans cadre. Une interdiction ne supprime pas l'usage. Elle le déplace hors de votre vue. Un laisser-faire ne supprime pas la responsabilité. Il la laisse sans protection.

La voie qui tient est un cadre court, écrit et appliqué. Il repose sur trois éléments.

- **Une charte écrite.** Elle dit quels outils sont autorisés, quelles données ne sont jamais saisies et quelles sorties sont relues.
- **Un outil validé.** Il est au moins aussi pratique que l'outil grand public, sinon les équipes le contournent.
- **Un contrôle humain.** Une personne nommée relit et signe avant qu'un contenu produit avec l'IA quitte l'entreprise.
Ce cadre répond à trois exigences juridiques distinctes. Le RGPD s'applique dès que des données personnelles entrent dans l'outil. L'AI Act classe les usages par niveau de risque et demande de former les personnes qui utilisent l'IA. Enfin, la responsabilité de l'entreprise, que le précédent Air Canada a rappelée : ce que produit l'IA que vous mettez à disposition vous engage. Les sections suivantes reprennent ces trois piliers, puis la charte minimale.

## 02 Pourquoi interdire ne protège pas

Un salarié qui a trouvé un gain de temps ne l'abandonne pas parce qu'une note de service le demande. Il continue. Il utilise son compte personnel, son téléphone, un outil gratuit dont personne n'a lu les conditions. Le risque juridique ne baisse pas. Il devient invisible.

Une fois l'usage passé dans l'ombre, l'entreprise perd plusieurs leviers.

- Former les personnes, puisque l'usage n'est officiellement pas reconnu.
- Choisir les outils et lire leurs conditions sur les données.
- Savoir quelles données sont sorties de l'entreprise.
- Démontrer, en cas de contrôle ou de litige, qu'elle avait pris des mesures.
Le laisser-faire échoue autrement. Chaque collaborateur décide seul de ce qu'il peut saisir. Une personne pressée colle un fichier clients, un contrat ou un compte rendu de réunion dans un assistant public. Personne n'a agi par mauvaise intention. Le cadre manquait.

Lecture WYP Une interdiction sans alternative n'est pas une politique de sécurité. C'est une politique de non-visibilité. Le test est simple. Si un dirigeant ne peut pas dire quels outils d'IA ses équipes utilisent réellement, il ne peut pas prouver qu'il maîtrise le risque.

C'est pourquoi le sujet relève du comité de direction, et non du seul service informatique. Le comité arbitre ce qui est autorisé, ce qui est interdit, quelle part de risque il accepte et qui signe. La technique vient ensuite.

## 03 Premier pilier : le RGPD, dès qu'une donnée personnelle entre

Le RGPD, Règlement (UE) 2016/679 du 27 avril 2016, s'applique dès qu'un système d'IA traite des données personnelles. Un nom, une adresse e-mail, une adresse IP, une image ou une voix suffisent. Coller un e-mail de client dans un assistant est donc un traitement de données personnelles. Résumer un compte rendu qui cite des participants aussi.

L'entreprise reste responsable du traitement. Dire que « c'est l'outil qui traite » ne la dégage pas. Elle doit pouvoir expliquer pourquoi elle traite ces données, lesquelles, avec quel fournisseur et sous quelles garanties.

Quatre questions à poser avant de valider un outil :

- Quelles données entrent dans l'outil, et sont-elles nécessaires à la tâche ?
- Qui est le fournisseur, et un contrat encadre-t-il son rôle de sous-traitant ?
- Où les données sont-elles hébergées, et l'éditeur les réutilise-t-il pour entraîner ses modèles ?
- Le traitement figure-t-il au registre des traitements, avec une analyse d'impact si le risque est élevé ?
Beaucoup d'outils sont hébergés aux États-Unis. Depuis le 10 juillet 2023, le Data Privacy Framework encadre les transferts de données personnelles vers des entreprises américaines certifiées. Vérifiez que le fournisseur est certifié, ou que d'autres garanties prévues par le RGPD encadrent le transfert.

La CNIL publie des recommandations sur l'usage de systèmes d'IA conformes au RGPD. C'est la référence française à consulter. Pour les TPE et PME, France Num propose un guide et des fiches pratiques gratuites sur l'IA générative, élaborés avec la CNIL et la CPME.

## 04 Deuxième pilier : l'AI Act et l'Omnibus, calendrier et niveaux de risque

L'AI Act, Règlement (UE) 2024/1689 du 13 juin 2024, est entré en vigueur le 1er août 2024. Son application est progressive. Il classe les systèmes d'IA en quatre niveaux de risque : inacceptable, haut risque, risque limité et risque minimal. Une entreprise qui utilise des outils conçus par d'autres, sans les développer, relève en général du rôle de déployeur.

Pour l'AI Act en entreprise, retenez trois repères.

1
### Le niveau de risque dépend de l'usage, pas de l'outil

Rédiger, résumer ou traduire ne figure pas parmi les usages à haut risque. Le niveau monte quand l'IA aide à décider du sort de personnes, par exemple pour recruter, évaluer des salariés ou accorder un crédit. Un même outil peut donc relever de deux niveaux selon ce qu'on lui demande.

2
### La formation est une obligation

L'article 4 impose une littératie IA : former les personnes qui utilisent l'IA. Une charte sans formation ne répond pas à cette exigence.

3
### Le contrôle humain est un principe central

L'article 14 exige un contrôle humain pour les systèmes à haut risque. Même hors haut risque, c'est un bon principe de gouvernance pour tous les usages.

Le calendrier a déjà bougé. Le Règlement (UE) 2026/1744 du 8 juillet 2026, dit « Omnibus numérique sur l'IA », est entré en vigueur le 27 juillet 2026. Il modifie le règlement 2024/1689 et décale une partie du calendrier. Les obligations sur les systèmes à haut risque sont reportées jusqu'à fin 2027.

Ce report concerne l'AI Act. Il ne suspend ni le RGPD ni la responsabilité de l'entreprise devant un client ou un juge. Une charte qui ne dépend d'aucune date reste valable quel que soit le calendrier.

Lecture WYP Un report de calendrier est un répit sur certaines obligations. Ce n'est pas une raison d'attendre pour écrire la charte. Inventorier les usages, former les équipes et poser un contrôle humain servent dans tous les calendriers.

## 05 Troisième pilier : la responsabilité de l'entreprise, leçon d'Air Canada

Le 14 février 2024, dans l'affaire Moffatt c. Air Canada (2024 BCCRT 149), le Civil Resolution Tribunal de Colombie-Britannique a condamné la compagnie à indemniser un client mal renseigné par le chatbot de son site. Les dommages s'élèvent à 650,88 $ CA. Avec les intérêts et les frais, le total atteint 812,02 $ CA.

Air Canada soutenait que son chatbot était une entité juridique distincte. Le tribunal a rejeté cet argument. L'entreprise répond de ce que produit l'IA qu'elle met à disposition.

Le montant est modeste. Le principe ne l'est pas. Cette décision canadienne ne lie pas un juge européen. Elle montre toutefois le raisonnement qu'un tribunal peut retenir : une entreprise ne peut pas se retrancher derrière son outil.

Le principe vaut pour bien d'autres sorties que le chatbot destiné aux clients. Un devis rédigé avec l'IA, une réponse à un appel d'offres, une note envoyée à un client ou un contenu publié sur le site engagent l'entreprise de la même façon. Dire que l'IA s'est trompée ne protège pas l'entreprise.

La responsabilité ne se délègue pas à un outil. Elle se délègue à une personne nommée, qui relit et signe. C'est le rôle du contrôle humain dans la charte.

## 06 La charte minimale : trois règles qui tiennent sur une page

Une charte IA d'entreprise utile tient sur une page. Elle est lue, comprise et appliquée parce qu'elle est courte. Voici le socle minimal. Il couvre les trois piliers décrits plus haut.

1
### Les outils autorisés

Listez nommément les outils validés. Imposez le compte professionnel et excluez les comptes personnels. Désignez qui valide un nouvel outil et sous quel délai il répond. Ce délai doit être court, sinon les équipes contournent la règle. Pour valider un outil, appliquez les quatre questions du RGPD vues plus haut, et vérifiez la certification Data Privacy Framework s'il est hébergé aux États-Unis.

2
### Les données à ne jamais saisir

Dans un outil non validé, ne saisissez jamais de données personnelles de clients, de candidats ou de salariés. Excluez aussi les secrets d'affaires, la stratégie non publique et les informations financières non publiées. Ajoutez les documents couverts par une clause de confidentialité, les identifiants, les mots de passe et le code propriétaire. Même dans un outil validé, limitez les données au strict nécessaire. En cas de doute, la règle est de ne pas saisir et de demander.

3
### Les sorties à faire relire

Faites relire tout ce qui sort de l'entreprise vers un client, le public ou une autorité. Faites relire tout ce qui engage, comme un prix, un délai ou une clause. Faites relire toute sortie qui touche une personne, comme un recrutement ou une évaluation. Faites vérifier à la source chaque chiffre, chaque citation et chaque référence juridique. Nommez la personne qui relit et signe.

Voici une formulation courte à reprendre ou à adapter :

*« J'utilise uniquement les outils de la liste validée, avec mon compte professionnel. Je ne saisis jamais de données personnelles de tiers, de secret d'affaires ou de document confidentiel dans un outil non validé. Je relis, je vérifie et je signe tout contenu produit avec l'IA avant qu'il sorte de l'entreprise. »*

Quatre compléments rendent la charte vivante.

- Une formation courte, qui répond à l'exigence de littératie de l'article 4 de l'AI Act.
- Un référent désigné, à qui l'on pose les questions sans crainte d'être sanctionné.
- Un inventaire des usages, revu à intervalle régulier, qui sert aussi de preuve de diligence.
- Une procédure d'incident : que faire quand une donnée a été saisie par erreur.
Lecture WYP Une bonne charte se juge sur un critère. Les équipes préfèrent-elles l'outil validé à leur compte personnel ? Si ce n'est pas le cas, le problème n'est pas la discipline. C'est le choix de l'outil.

## 07 Les erreurs fréquentes

1
### Interdire sans proposer d'alternative

L'interdiction sans outil validé pousse les équipes vers les comptes personnels. Proposez d'abord l'alternative, puis fermez les usages à risque.

2
### Écrire une charte que personne ne lit

Un document long, juridique et abstrait reste dans un dossier partagé. Préférez une page, des exemples concrets et une liste d'outils.

3
### Valider un outil sans lire ses conditions

Un outil validé sur sa réputation peut réutiliser vos données ou les héberger hors d'Europe. Lisez les conditions sur l'entraînement des modèles, l'hébergement et les sous-traitants. Faites-les relire par votre conseil juridique ou votre délégué à la protection des données.

4
### Transformer le contrôle humain en case à cocher

Une relecture n'a de valeur que si la personne a le temps, la compétence et le pouvoir de corriger. Un clic de validation sans lecture ne protège de rien.

5
### Écrire la charte une fois pour toutes

Les outils changent. Le calendrier de l'AI Act a déjà bougé. Prévoyez une revue régulière, et une personne chargée de la mener.

## 08 Ce que fait WYP, et par où commencer

WYP.agency est un cabinet de conseil en stratégie pour dirigeants, comités de direction et conseils d'administration. Ce n'est ni un éditeur d'outil, ni une agence marketing, ni une société de développement. WYP ne remplace ni votre avocat ni votre délégué à la protection des données. Il aide le comité à décider, puis à documenter la décision.

La méthode croise plusieurs modèles d'IA, recoupe leurs réponses et cherche les angles morts et les contradictions. Une personne relit et signe. L'IA aiguise la décision, elle ne la prend pas. C'est le principe que la charte met en œuvre.

[Le Cadrage IA](/cadrage-ia/) est l'offre d'entrée. C'est un forfait à périmètre fixe de 2 900 € HT, livré en 10 jours ouvrés. Il comprend l'audit des usages, une politique d'IA écrite, un outil validé et une restitution au comité de direction.

Pour commencer sans engagement :

- Faites l'inventaire des usages réels. Interrogez les équipes sans sanction, sinon vous n'obtiendrez que les usages avouables.
- Passez [le diagnostic de maturité IA](/diagnostic-ia/). Il est gratuit et dure 90 secondes.
- Consultez [le glossaire IA](/glossaire/) pour les termes clés, du RGPD et de l'AI Act au contrôle humain, aux garde-fous et à la souveraineté numérique.
- Écrivez la page de charte, choisissez un outil validé, puis faites relire le tout par votre conseil juridique.

## Questions fréquentes

**Faut-il interdire ChatGPT en entreprise ?**
Pas sans alternative. Une interdiction déplace l'usage hors de votre vue et vous retire la capacité de le cadrer. Il est plus sûr de proposer un outil validé, avec une charte courte qui dit quelles données ne jamais saisir et quelles sorties relire.

**Que doit contenir au minimum une charte IA d'entreprise ?**
Trois choses. La liste des outils autorisés, avec le compte professionnel obligatoire. La liste des données à ne jamais saisir dans un outil non validé. La liste des sorties qu'une personne nommée doit relire et signer avant diffusion.

**Le RGPD s'applique-t-il quand mes équipes utilisent l'IA générative ?**
Oui, dès que l'outil traite des données personnelles : nom, e-mail, adresse IP, image, voix. L'entreprise reste responsable du traitement. Le texte de référence est le Règlement (UE) 2016/679 du 27 avril 2016.

**L'AI Act s'applique-t-il à une entreprise qui ne fait qu'utiliser des outils d'IA ?**
Oui, en général comme déployeur. L'AI Act est entré en vigueur le 1er août 2024 avec une application progressive. Il classe les systèmes en quatre niveaux de risque. L'article 4 demande de former les personnes qui utilisent l'IA. L'Omnibus du 8 juillet 2026 reporte les obligations sur les systèmes à haut risque jusqu'à fin 2027.

**Mon entreprise est-elle responsable quand l'IA se trompe ?**
C'est le risque à retenir. Dans l'affaire Moffatt c. Air Canada (2024 BCCRT 149, 14 février 2024), un tribunal canadien a rejeté l'argument selon lequel le chatbot serait une entité juridique distincte. Il a condamné la compagnie à indemniser le client : 650,88 $ CA de dommages, 812,02 $ CA avec intérêts et frais. La décision est canadienne, mais son raisonnement vaut avertissement.

**Peut-on utiliser des outils américains avec des données personnelles ?**
Sous conditions. Depuis le 10 juillet 2023, le Data Privacy Framework encadre les transferts de données personnelles vers des entreprises américaines certifiées. Vérifiez la certification du fournisseur, ou les autres garanties de transfert, et faites valider par votre délégué à la protection des données.

## À lire aussi

- [RGPD et IA](https://wyp.agency/glossaire/rgpd-ia/)
- [AI Act](https://wyp.agency/glossaire/ai-act/)
- [Garde-fous](https://wyp.agency/glossaire/garde-fous/)
- [Human in the loop (humain dans la boucle)](https://wyp.agency/glossaire/human-in-the-loop/)
- [Souveraineté numérique](https://wyp.agency/glossaire/souverainete-numerique/)
- [AI Act pour dirigeants](https://wyp.agency/glossaire/ai-act-dirigeants/)
- [Cadrer le shadow AI](https://wyp.agency/glossaire/shadow-ai-guide-cadrage/)

## Sources

- Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) (https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 (AI Act) (https://eur-lex.europa.eu/eli/reg/2024/1689/oj)
- Règlement (UE) 2026/1744 « Omnibus numérique sur l'IA » du 8 juillet 2026, modifiant le règlement 2024/1689 (https://eur-lex.europa.eu/eli/reg/2026/1744/oj)
- CNIL, dossier thématique « Intelligence artificielle » (recommandations IA et RGPD) (https://www.cnil.fr/fr/intelligence-artificielle)
- Moffatt c. Air Canada, 2024 BCCRT 149, Civil Resolution Tribunal (Colombie-Britannique), 14 février 2024 (https://www.canlii.org/en/bc/bccrt/doc/2024/2024bccrt149/2024bccrt149.html)
- Transferts de données UE-États-Unis, décision d'adéquation du 10 juillet 2023 (Data Privacy Framework), Commission européenne (https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en)
- France Num, guide et fiches pratiques sur l'IA générative pour les TPE-PME (conçus avec la CNIL et la CPME) (https://www.francenum.gouv.fr/)

---
Fiche du glossaire IA de WYP.agency · https://wyp.agency/glossaire/securiser-ia-generative/ · Dernière mise à jour : 2026-10-16