Charte d'usage de l'IA en entreprise : guide pour la Suisse

Une charte d'usage de l'IA est le document interne qui dit à vos équipes quels outils elles peuvent utiliser, avec quelles données et sous quel contrôle humain. En Suisse, elle n'est pas imposée par une loi dédiée, mais la loi sur la protection des données (nLPD) s'applique déjà à chaque requête qui contient des données personnelles. Sans charte, chaque collaborateur décide seul de ce qu'il confie à un outil d'IA. Avec elle, l'entreprise peut démontrer qu'elle a cadré les usages. Ce guide détaille le contenu, la méthode et les pièges, avec un regard sur les exigences suisses. Il vaut aussi pour qui cherche une alternative à ChatGPT hébergée en Suisse.

En bref

• Aucune loi suisse n'oblige à adopter une charte IA, mais la nLPD s'applique directement aux traitements de données par l'IA : la charte sert de preuve de diligence.
• Une charte efficace tient en quelques pages : outils autorisés, données interdites, contrôle humain, transparence, gestion des incidents.
• La règle centrale : aucune donnée personnelle, confidentielle ou couverte par le secret professionnel dans un outil qui n'offre pas de garanties écrites.
• Un outil hébergé en Suisse, sans entraînement sur vos données et avec journaux d'audit, simplifie l'application de la charte. C'est l'approche de Nectos, alternative à ChatGPT souveraine.
• Une charte vit : désignez un responsable, formez les équipes et révisez le texte au moins une fois par an.

Table des matières

• Une charte d'usage de l'IA : à quoi sert-elle, et est-elle obligatoire ?
• Ce que dit le droit suisse sur l'IA au travail
• Les rubriques d'une charte utile
• Classer les données avant de les confier à une IA
• Concevoir des prompts conformes
• Politique rédactionnelle pour les contenus assistés par l'IA
• Faire adopter la charte et la faire vivre
• Appliquer votre charte avec Nectos
• Questions fréquentes
• Sources

Une charte d'usage de l'IA : à quoi sert-elle, et est-elle obligatoire ?

La charte formalise les règles d'usage des outils d'IA générative dans l'organisation. Elle poursuit deux objectifs à la fois : permettre à vos équipes de gagner en efficacité, et protéger les données confidentielles, stratégiques et personnelles. Elle s'adresse aux collaborateurs, mais aussi aux prestataires et partenaires qui accèdent à vos systèmes.

La question de l'obligation appelle une réponse nuancée. Le guide du BAKOM pour l'élaboration d'un code en matière d'IA indique que l'engagement volontaire est facultatif. Une fois adopté, il peut en revanche être imposé aux organisations, membres et collaborateurs concernés. Le même guide précise qu'un tel engagement ne prouve pas à lui seul la conformité aux exigences légales, contractuelles ou déontologiques : chaque organisation doit vérifier que son texte respecte le cadre qui la concerne.

En pratique, la charte n'est pas une obligation légale, mais elle devient indispensable dès qu'un employé peut copier un contrat, un dossier client ou un procès-verbal dans un assistant IA. Vous répondez de ce traitement, que vous l'ayez cadré ou non.

Ce que dit le droit suisse sur l'IA au travail

La Suisse n'a pas de loi générale sur l'IA. Le guide pratique de Gillieron Avocat rappelle que le Conseil fédéral a retenu une approche sectorielle, fondée sur les risques pour les droits fondamentaux, et que le cadre existant reste applicable : protection des données, propriété intellectuelle, droit de la personnalité, protection des consommateurs, services financiers, santé.

Pour une charte, quatre points d'ancrage comptent.

1. La nLPD s'applique à l'IA. Le PFPDT rappelle que la loi sur la protection des données, applicable depuis le 1er septembre 2023, s'applique directement aux traitements fondés sur l'IA. Une analyse d'impact est exigée en cas de risque élevé.
2. Transparence. Selon le PFPDT, fabricants, fournisseurs et utilisateurs doivent rendre transparents la finalité, le fonctionnement et les sources de données, ce qui se rattache au droit des personnes de s'opposer et d'exiger un contrôle humain des décisions automatisées.
3. Secret professionnel. Les lignes directrices de la FSA invitent à clarifier, avant tout choix d'application, ce qu'il advient des données saisies (accès, stockage temporaire ou permanent). Elles ajoutent que, faute de garanties, les informations confidentielles, secrets d'affaires et données personnelles ne doivent pas être introduits dans les systèmes d'IA.
4. Transferts à l'étranger. Dès qu'un prompt quitte la Suisse, les règles sur la communication de données à l'étranger et le choix du sous-traitant entrent en jeu. Le chemin que prennent vos données compte autant que leur contenu. Nous détaillons pourquoi l'hébergement local est une question juridique dans notre article sur la souveraineté suisse comme garantie légale.

Les entreprises soumises au secret professionnel (avocats, fiduciaires, médecins, banques) ont un motif supplémentaire de prudence : une fuite par prompt peut engager leur responsabilité pénale, pas seulement contractuelle.

Les rubriques d'une charte utile

Les modèles suisses publiés par des administrations, des associations professionnelles et des cabinets convergent sur une structure. Une charte de deux à quatre pages, lisible par tous, vaut mieux qu'un règlement que personne n'ouvre. Voici les rubriques à prévoir.

But et champ d'application

Précisez à qui la charte s'adresse (employés, stagiaires, mandataires externes) et quels outils elle couvre : assistants conversationnels, traducteurs, outils de transcription, fonctions d'IA intégrées aux logiciels métiers. Le périmètre doit inclure les comptes personnels utilisés à des fins professionnelles, souvent le point faible.

Outils autorisés et registre

Le principe le plus robuste : seuls les outils inscrits dans un registre interne peuvent servir à un usage professionnel. Pour chaque outil, consignez le fournisseur, le type de compte, le pays de traitement, le réglage relatif à l'entraînement sur vos données et les usages admis. Le BACS recommande d'utiliser si possible la version Business ou Enterprise d'un outil plutôt qu'un compte privé, et de savoir quand les données servent à l'entraînement, en recourant à l'opt-out lorsqu'il existe.

Un outil ne figure au registre qu'après examen : conditions d'utilisation, sous-traitance, garanties, accès et réversibilité (pouvoir récupérer ses données en quittant le fournisseur).

Données interdites et classification

C'est le cœur du document. Voir la section suivante.

Contrôle humain et responsabilité

La personne qui utilise l'IA reste responsable de ce qu'elle produit. La charte de la HES-SO Fribourg le formule ainsi : l'utilisateur demeure entièrement responsable des contenus produits, des décisions prises sur cette base et des informations validées et diffusées. Concrètement, prévoyez :

• une relecture humaine avant tout envoi, signature ou publication ;
• l'interdiction de décisions produisant des effets juridiques ou une affectation significative prises exclusivement sur la base d'un résultat d'IA (candidats, collaborateurs, clients, fournisseurs) ;
• la vérification des faits, des chiffres et des références, car une réponse fluide peut être fausse.

Transparence envers les clients

Si vos clients échangent avec un agent conversationnel, ils doivent savoir qu'ils s'adressent à une machine. Ajoutez la mention de l'IA dans vos documents lorsque son rôle est significatif.

Propriété intellectuelle

Précisez qui détient les contenus générés, comment vérifier qu'un texte ou une image ne reproduit pas une œuvre protégée et ce qui ne doit jamais être soumis (manuscrits inédits, créations de clients).

Formation, incidents et sanctions

Une charte sans formation reste lettre morte. Prévoyez une session d'introduction, un canal de signalement et la marche à suivre en cas d'erreur, par exemple si des données ont été saisies par mégarde : qui prévenir, dans quel délai, comment documenter. Mentionnez enfin les conséquences d'un non-respect, en cohérence avec votre règlement du personnel.

Classer les données avant de les confier à une IA

Le plus simple pour vos équipes : trois ou quatre classes, associées à ce que chacune autorise. La HES-SO Fribourg retient trois catégories. Les modèles suisses de PME vont jusqu'à quatre classes. Voici une grille inspirée de ces approches, à adapter à votre organisation.

Deux précisions utiles. D'abord, les données sensibles au sens de la nLPD couvrent notamment la santé, la sphère intime, l'origine, les opinions religieuses, politiques ou syndicales, les données génétiques et biométriques, les poursuites pénales et administratives et les mesures d'aide sociale : elles relèvent par défaut de la classe la plus protégée. Ensuite, une règle de promotion évite les erreurs : un document interne reçu d'un tiers est traité comme confidentiel.

Concevoir des prompts conformes

La charte doit aussi dire comment rédiger une requête. Un prompt conforme répond à une règle simple : l'outil reçoit ce dont il a besoin pour la tâche, rien de plus.

À interdire explicitement dans un prompt, sauf outil homologué pour cette classe de données :

• les numéros AVS, coordonnées bancaires et pièces d'identité ;
• les données sensibles au sens de l'art. 5 nLPD ;
• les dossiers clients complets et les informations couvertes par le secret professionnel ou bancaire.

À imposer avant chaque envoi :

1. Retirer ou remplacer les identifiants non indispensables : noms, adresses, e-mails, numéros de téléphone, dates de naissance, numéros d'identification (y compris IDE). En cas de doute, on retire.
2. Généraliser le contexte si la personne reste reconnaissable malgré l'anonymisation (« un cadre d'une PME vaudoise du secteur médical » plutôt qu'un intitulé de poste précis).
3. Remplacer par des pseudonymes : « Client A », « Société B », avec une table de correspondance conservée hors de l'outil.
4. Demander la tâche, pas le dossier : plutôt que de coller un contrat entier, soumettez la clause concernée, expurgée.

Le BACS recommande d'ailleurs de vérifier avant chaque saisie si des données sensibles ou personnelles figurent dans la requête, et de les anonymiser.

Exemple. Au lieu de « Résume le courrier de Mme Dupont, née le 12.03.1980, concernant son licenciement chez Dubois SA », écrivez « Résume ce courrier d'une collaboratrice contestant un licenciement, dans un ton neutre », après avoir retiré le nom, la date de naissance et l'employeur. Le résultat reste utile, le risque disparaît.

L'anonymisation manuelle reste sujette à l'oubli. C'est pourquoi une anonymisation automatique des prompts, intégrée à l'outil, réduit le risque d'erreur humaine sans alourdir le travail.

Politique rédactionnelle pour les contenus assistés par l'IA

Si votre entreprise publie (site, newsletters, rapports, supports commerciaux), la charte doit inclure un volet éditorial. Plusieurs organisations suisses donnent des repères concrets.

• Signalement. Le quotidien Le Temps a adopté en mars 2024 une charte qui prévoit que tout contenu créé avec l'assistance de l'IA soit signalé sans ambiguïté et placé sous surveillance humaine rigoureuse. Les traductions sont relues et les citations validées par les auteurs.
• Traçabilité. L'agence Keystone-SDA soumet son recours à l'IA à des principes de transparence, traçabilité et explicabilité, avec un accent sur la protection des données et l'autorisation explicite avant toute divulgation à des tiers.
• Consentement. La charte d'art&fiction exige de signaler tout usage de l'IA générative ayant un impact sur un contenu publié, et de ne jamais soumettre de manuscrits complets ou de textes inédits sans accord écrit de l'auteur.

Pour votre propre politique, retenez quatre règles : distinguer les usages auxiliaires (reformulation, synthèse, traduction de travail) de la génération de contenu final ; désigner un relecteur responsable pour chaque publication ; indiquer l'assistance de l'IA lorsqu'elle est substantielle ; interdire de soumettre des contenus de tiers non publiés.

Faire adopter la charte et la faire vivre

Le guide du canton de Genève recommande une discussion et une validation collectives, une diffusion auprès des équipes, des partenaires et des clients, et une révision annuelle. Une démarche en six étapes fonctionne bien.

1. Inventorier les usages réels. Demandez à vos équipes ce qu'elles font déjà avec l'IA, y compris avec des comptes personnels. Sans reproche : l'objectif est de cartographier.
2. Évaluer les risques : impact juridique, sécurité, confidentialité, biais, réputation.
3. Rédiger et faire valider par la direction, les RH, l'informatique et, le cas échéant, votre conseiller en protection des données.
4. Mettre à disposition un outil conforme. Interdire sans proposer d'alternative pousse les employés vers des outils grand public. C'est la cause la plus fréquente de contournement.
5. Former avec des cas pratiques : ce que l'on met dans une IA, ce que l'on n'y met jamais.
6. Contrôler et réviser : consultez les journaux d'audit, tenez le registre à jour et révisez le texte chaque année ou à chaque changement d'outil ou de loi.

Adaptez au minimum trois éléments à votre réalité : la liste des outils, la classification des données et les personnes responsables avec leurs voies d'annonce.

Notre point de vue : une charte n'est applicable que si l'outil la rend simple

Nous voyons le même schéma dans les PME suisses : une charte soignée, signée, puis contournée parce que l'outil autorisé est moins pratique que le service grand public que chacun connaît. Nous pensons que la conformité doit être incorporée à l'outil, pas seulement au règlement.

C'est la raison d'être de Nectos. Notre espace de travail IA est hébergé exclusivement sur des serveurs suisses, sur une infrastructure cloud suisse, avec des modèles hébergés localement. Nous n'entraînons pas d'IA sur les données de nos clients. L'anonymisation automatique des prompts, les journaux d'audit complets, la gestion des rôles et l'exportation des logs permettent de traduire les règles de votre charte en paramètres concrets, et de documenter leur respect.

Pour un fiduciaire, une étude, un cabinet de santé ou un service RH, c'est la différence entre une règle que l'on espère suivie et une règle que l'on peut démontrer. Une alternative à ChatGPT soumise au droit suisse et conforme à la nLPD répond à la question que se pose toute direction : où vont nos données ?

Nectos

Appliquer votre charte avec Nectos

Nectos réunit chat IA privé, analyse de documents, base de connaissances privée, transcription et résumé de réunions, recherche web anonymisée et anonymisation automatique des prompts, le tout sous droit suisse. L'administrateur gère les accès et les rôles, et exporte les journaux pour la conformité. Les abonnements se facturent par siège et par mois : Starter à 29.90 CHF, Pro à 49.90 CHF et Pro+ à 99.90 CHF. Une offre d'essai existe aussi. Consultez les offres et tarifs Nectos pour choisir le niveau adapté à votre équipe.

Vous pouvez ensuite référencer l'outil dans votre registre d'outils autorisés, avec pour pays de traitement la Suisse et pour réglage d'entraînement l'absence d'entraînement sur vos données.

Questions fréquentes

Une PME suisse doit-elle avoir une charte IA ?

Aucune loi ne l'impose en tant que telle. Toutefois, la nLPD s'applique à tout traitement de données personnelles par l'IA, et la charte est le moyen le plus direct de montrer que vous avez cadré ces traitements. Les entreprises soumises au secret professionnel ont un intérêt particulier à en adopter une.

Quelle longueur doit avoir une charte d'usage de l'IA ?

Une à quatre pages suffisent pour une PME : outils autorisés et comptes, données exclues, relecture humaine obligatoire, marche à suivre en cas d'erreur. Plus le texte est court et concret, plus il est lu. Les cas particuliers peuvent figurer dans des annexes par métier.

Peut-on utiliser ChatGPT avec une charte ?

La charte décide de ce qui est permis selon la classe de données. Pour des informations publiques, un outil grand public peut être toléré. Pour des données personnelles ou confidentielles, il faut un outil dont vous maîtrisez le lieu de traitement et l'absence d'entraînement sur vos données. Une alternative à ChatGPT hébergée en Suisse comme Nectos répond à ce besoin.

Faut-il informer les clients de l'usage de l'IA ?

Oui, lorsque le rôle de l'IA est significatif. Le PFPDT rappelle l'exigence de transparence sur la finalité et le fonctionnement des traitements, et un client qui échange avec un agent conversationnel doit savoir qu'il s'adresse à une machine.

À quelle fréquence réviser la charte ?

Au moins une fois par an, et à chaque changement d'outil, de fournisseur ou de cadre légal. Le guide genevois mentionne cette révision annuelle. Profitez-en pour mettre à jour le registre et relire les journaux d'audit.

Sources

• Guide du BAKOM pour l'élaboration d'un code en matière d'IA
• Guide pratique sur la gouvernance de l'IA, Gillieron Avocat
• PFPDT : la loi actuelle sur la protection des données est applicable à l'IA
• PFPDT : IA et protection des données
• Lignes directrices de la FSA sur l'utilisation de l'IA
• BACS : l'IA dans le quotidien professionnel
• HES-SO Fribourg : charte d'utilisation des intelligences artificielles
• Le Temps : l'usage de l'IA générative par les journalistes
• Keystone-SDA : directives sur l'intelligence artificielle
• art&fiction : charte d'usage de l'IA générative
• Canton de Genève : guide pour l'adoption d'une charte IA