Personne ne l'a décidé, personne ne l'a interdit, personne ne le mesure. En une demi-journée, on établit ce qui sort réellement de votre entreprise — et on écrit la règle qui manque.
Vos équipes utilisent l'IA parce qu'elle leur fait gagner du temps — et elles ont raison. Le problème n'est pas l'outil. Le problème, c'est que personne ne sait ce qui passe par lui.
Le test qui met tout le monde d'accord : demandez à votre comptable, votre commercial et votre assistant(e) s'ils ont déjà collé un devis, un contrat, un tableau clients ou un CV dans un chatbot pour « gagner du temps ». Puis demandez où sont partis ces fichiers. Personne ne saura répondre.
Un devis, une liste de clients, un contrat, une fiche de paie. Collés dans un chatbot en trois secondes. Aucune trace, aucun contrôle, aucun retour en arrière possible.
Vos salariés utilisent leur compte perso. Les données de l'entreprise partent sous leur identité. Le jour où ils quittent la société, vous ne pouvez rien révoquer.
Sans charte, chaque salarié décide seul de ce qui est acceptable. Et en cas d'incident, vous n'avez rien à opposer : ni consigne, ni preuve que vous en aviez donné une.
Confier des données personnelles à un service d'IA, c'est un traitement — souvent hors de l'Union européenne. Sans contrat, sans base légale, sans registre.
Trois textes s'appliquent déjà à une TPE/PME qui utilise l'IA. Chaque référence ci-dessous est cliquable — vérifiez-les, c'est le principe de la maison.
Le règlement européen sur l'intelligence artificielle impose à toute organisation qui déploie un système d'IA de garantir un niveau suffisant de « maîtrise de l'IA » chez les personnes qui l'utilisent pour son compte. Cette obligation s'applique depuis le 2 février 2025. Elle vise le déployeur — c'est-à-dire vous, pas l'éditeur du chatbot.
Règlement (UE) 2024/1689, article 4 — EUR-LexDès qu'un outil d'IA traite des données personnelles pour votre compte (clients, salariés, candidats), il agit comme sous-traitant. Cela suppose un contrat, des garanties, et une inscription au registre de vos traitements. Un compte gratuit ouvert par un salarié ne remplit aucune de ces conditions.
RGPD, article 28 — CNILLa plupart des services d'IA grand public hébergent et traitent les données hors de l'Union européenne. Un tel transfert n'est licite que s'il repose sur un mécanisme prévu par le règlement. En pratique : soit vous le documentez, soit vous l'interdisez.
RGPD, chapitre V — CNILL'application pleine et entière du règlement européen sur l'IA est prévue pour août 2026. La charte que vous écrivez aujourd'hui est celle que vous présenterez demain.
D'abord on établit les faits. Ensuite on écrit la règle et on la fait vivre. Vous pouvez vous arrêter après la première étape.
Durée : une demi-journée sur site. Sans engagement de suite.
Planifier un diagnostic IA| Formule | Postes | Tarif |
|---|---|---|
| Essentiel | 1-5 | 149€/mois |
| Confort | 6-15 | 249€/mois |
| Premium | 15+ | Sur devis |
Diagnostic offert pour tout engagement 12 mois
Demander un devisLe diagnostic IA se greffe sur votre suivi existant : même intervention, même rapport, même chaîne de preuves. Vos données et vos usages relèvent de la même question — ils méritent le même reçu. Voir l'offre cybersécurité →
Tout ce qui suit vous appartient et reste chez vous, y compris si vous ne prenez pas le suivi.
La liste des outils d'IA en usage dans votre entreprise, avec pour chacun les données concernées et le pays d'hébergement.
Ce qui sort aujourd'hui, classé par niveau de risque, avec les priorités à traiter en premier.
Un document court, lisible et signable par vos équipes. Rédigé pour votre métier, pas un modèle générique téléchargé.
Chaque constat et chaque intervention génèrent un reçu cryptographique. Vous pouvez prouver la date, l'objet et l'intégrité de ce qui a été fait.
Je viens sur site. On regarde ensemble, sans juger personne, ce qui est réellement utilisé et ce qui sort.
Je rédige votre charte. Courte, compréhensible, applicable. Vos équipes la signent.
Nouveaux outils, nouvelles fonctions, nouvelles obligations : la charte est révisée chaque trimestre.
Un consultant vous remet un PDF et s'en va. Nous, chaque constat est horodaté et scellé dans une chaîne cryptographique que vous pouvez vérifier vous-même, des mois plus tard, sans nous.
Chaque action sur vos données est enregistrée dans un journal cryptographique infalsifiable. C'est comme un ticket de caisse pour chaque intervention sur votre système — vous pouvez le vérifier à tout moment.
Non. Une interdiction générale n'est jamais respectée — elle déplace simplement l'usage vers les téléphones personnels, là où vous ne voyez plus rien. L'objectif est l'inverse : rendre l'usage possible et sûr, en disant clairement ce qui est autorisé et ce qui ne l'est pas.
Surtout pour vous. Une entreprise de cinq personnes n'a ni juriste, ni DSI, ni service conformité — et l'obligation de formation ne dépend pas de votre effectif. Le diagnostic dure une demi-journée et la charte tient en quelques pages.
Par l'inventaire des outils, l'examen des comptes et des navigateurs utilisés, et un entretien avec les équipes. Nous ne lisons pas les conversations de vos salariés : nous établissons quels outils sont en place, quelles données y transitent par nature, et où elles vont. Ce que le diagnostic ne peut pas établir est écrit comme tel dans le rapport.
C'est ce que pensent la plupart des dirigeants avant le diagnostic. Si c'est confirmé, le rapport le dit, vous repartez avec une charte préventive, et vous serez couvert le jour où un salarié commencera — parce qu'il commencera.
Non. Je suis prestataire en cybersécurité et traçabilité. Le diagnostic établit des faits techniques et la charte pose des règles d'usage. Pour un avis juridique engageant — contentieux, contrat, analyse d'impact contestée — c'est votre avocat ou votre DPO qui tranche, et le rapport lui donne la matière.
Une demi-journée, et vous saurez exactement ce qui sort de votre entreprise. Pas d'engagement, pas de surprise.