Charte IA cabinet conseil PME 25 salariés : 4 semaines

TL;DR

• Un cabinet de conseil de 25 salariés est un déployeur au sens de l’Article 26 du Règlement (UE) 2024/1689 dès qu’un salarié utilise OpenAI ChatGPT, Anthropic Claude ou Microsoft 365 Copilot dans un livrable client.
• Trois livrables suffisent pour être conforme et lisible: une charte IA de 4 pages signée par chaque collaborateur, un comité IA mensuel à 4 personnes, un registre AI Act Article 4.
• Depuis le Digital Omnibus (Règlement UE 2026/1744, en vigueur le 27 juillet 2026), l’Article 4 est passé d’une obligation de résultat à une obligation de moyens. Le registre et la formation restent structurants pour la littératie IA obligation salariés 2026.
• Deux ordonnances de référé de 2025 (TJ Nanterre 14/02/2025, TJ Créteil 15/07/2025) ont suspendu des outils IA faute de consultation du CSE.
• Un calendrier de mise en conformité AI Act de 4 semaines couvre: rédaction, co-construction équipes, consultation CSE, signature et kick-off comité.

Points clés (résumé structuré)

Élément	Réponse déclarative
Base légale déployeur	Article 26 du Règlement (UE) 2024/1689 (AI Act)
Base légale littératie	Article 4 AI Act, assoupli par Règlement (UE) 2026/1744
Opposabilité charte	Annexion au règlement intérieur, Article L.1321-4 Code du travail
Base consultation CSE	Article L.2312-8 Code du travail
Format charte optimal	4 pages, signature nominative
Comité IA optimal	4 membres, cadence mensuelle 90 min
Registre	5 blocs, tenu dans Notion ou Airtable
Financement PME	Diagnostic Data IA cofinancé 40 % via France 2030
Calendrier	4 semaines, 4 livrables

Pourquoi un cabinet de 25 salariés a besoin d’une gouvernance IA formelle

Une gouvernance IA formelle est le dispositif écrit qui rend un cabinet responsable au sens de l’AI Act et opposable à ses salariés. À 25 salariés, la tentation est réelle de gérer l’IA « au feeling ». Un associé teste Anthropic Claude, une consultante bricole un prompt utile, un stagiaire copie-colle un extrait de note client dans OpenAI ChatGPT gratuit. On avance vite, on ne documente rien.

Le problème n’est pas moral. Il est structurel. Un cabinet de conseil est un déployeur d’IA au sens de l’Article 26 du Règlement (UE) 2024/1689 dès qu’un système IA nourrit un livrable client. Ce statut engage le cabinet sur quatre points: formation des salariés, transparence, supervision humaine, traçabilité, indépendamment de sa taille.

Les chiffres convergent:

• 45 % des salariés utilisent l’IA régulièrement au travail selon le Microsoft Work Trend Index 2025.
• 63 % des organisations n’ont aucune politique de gouvernance IA en place selon l’IBM Cost of a Data Breach Report 2025.
• 97 % des organisations victimes d’un incident IA n’avaient pas de contrôles d’accès IA appropriés selon le même rapport IBM.
• Le shadow IA alourdit une violation de données de 670 000 USD en moyenne.

La CNIL a publié en 2025 des recommandations dédiées à l’articulation IA / RGPD qui confirment que la responsabilité du déployeur porte sur la finalité, la base légale et la minimisation, même quand le système IA est un service tiers. Nos contrôles CNIL IA 2026 en cabinet conseil détaillent la façon dont ces recommandations se traduisent en pratique dans un audit.

En cabinet de conseil, le vrai risque n’est pas d’abord la sanction. Le plafond général de l’AI Act monte à 15 M€ ou 3 % du CA mondial, ce qui appliqué à un cabinet de 4 M€ ne fait pas trembler. Le vrai risque est ailleurs: un client qui apprend qu’un livrable a transité par un ChatGPT gratuit et rompt le mandat, une DSI flamande ou luxembourgeoise qui refuse le renouvellement parce que sa procurement audite les fournisseurs sur leur gouvernance IA, un référé qui suspend un outil au pire moment de la mission.

Une gouvernance légère, documentée, signée, protège contre ces trois scénarios. Elle protège aussi contre la dérive interne, où l’usage prend le pas sur la maîtrise sans que personne s’en rende compte.

La charte IA 4 pages, signable par chaque collaborateur

Une charte IA est un document opposable annexé au règlement intérieur, signé nominativement par chaque salarié, qui définit les usages autorisés, restreints et interdits des systèmes IA. Sans annexion au titre de l’Article L.1321-4 du Code du travail, la charte ne fonde aucune sanction disciplinaire.

Quatre pages suffisent, et c’est aussi le format que retient la doctrine française du modèle charte IA entreprise 2026. Au-delà, la charte n’est plus lue.

Page 1, périmètre et principes. Qui est concerné: tous les salariés, tous les freelances mobilisés, les stagiaires, les alternants. Quels outils sont visés:

• IA génératives autonomes: OpenAI ChatGPT, Anthropic Claude, Google Gemini.
• Assistants intégrés: Microsoft 365 Copilot, Notion AI.
• Agents et automatisations: workflows n8n, Zapier, agents Claude ou GPT.

Trois principes cardinaux: confidentialité client absolue, supervision humaine sur toute sortie qui atteint un livrable, traçabilité de chaque usage significatif.

Page 2, cadre à trois régimes.

• Autorisé: brainstorm interne, résumé de documents publics, aide à la rédaction sur données non client, exploration de code non métier.
• Restreint: rédaction sur données pseudonymisées avec validation d’un associé, analyse de bases publiques croisées avec des insights internes, contenu marketing.
• Interdit: upload de contrats clients, de données personnelles non anonymisées, de fichiers RH, prise de décision automatisée sans revue humaine documentée.

Ce triptyque est celui retenu par la doctrine française sur la charte IA, notamment le guide Leto et l’analyse d’Aurore Bonavia.

Page 3, obligations concrètes. Utiliser exclusivement les instances entreprise souscrites par le cabinet (OpenAI ChatGPT Enterprise ou Team, Microsoft 365 Copilot, Anthropic Claude Team), jamais les comptes personnels gratuits. Signaler tout incident au comité IA sous 48 h: hallucination diffusée à un client, fuite suspectée, refus de l’outil sur une donnée sensible. Compléter le registre des cas d’usage à chaque nouvelle utilisation régulière.

Page 4, formation, révision, signature du collaborateur. Rappel de l’obligation Article 4 littératie IA, soutenue par la formation obligatoire salariés 2026 depuis l’assouplissement du Digital Omnibus. Cycle de révision 6 à 12 mois. Bloc signature avec nom, fonction, date. Une signature unique vaut engagement.

Le comité IA mensuel, composition et ordre du jour

Le comité IA est l’organe de gouvernance interne qui fait vivre la charte, arbitre les nouveaux cas d’usage et documente la littératie exigée par l’Article 4 de l’AI Act. Sans lui, la charte meurt à six mois. Sa mise en place est la clé de voûte d’un comité IA PME opérationnel.

La composition tient en quatre personnes pour un cabinet de 25 salariés:

• Associé référent IA: porte l’arbitrage stratégique et budgétaire.
• DPO externalisé mutualisé: maintient la conformité RGPD et AI Act sans coûter un ETP dédié.
• Deux pilotes métiers représentatifs des usages, par exemple un manager consulting et un responsable opérations ou communication.
• Juriste externe: rejoint le comité trimestriellement pour un point plus long.

Cadence mensuelle, 90 minutes, même créneau. La régularité est le seul rempart contre l’oubli.

Ordre du jour type:

1. Revue des incidents et signalements (15 min). Ce qui a été remonté depuis le comité précédent, avec statut et propriétaire.
2. Revue du registre (20 min). Nouveaux outils testés, cas d’usage abandonnés, mises à jour de plans (par exemple bascule ChatGPT Team vers Enterprise, nouvelle version Microsoft 365 Copilot).
3. Retours des équipes (20 min). Les deux pilotes remontent ce qui marche, ce qui coince, où les collaborateurs contournent la charte.
4. Point conformité (15 min). Nouvelles décisions CNIL, jurisprudence CSE, actualité Digital Omnibus, mises à jour des DPA vendor.
5. Décisions actables (20 min). Chaque décision a un propriétaire, une échéance, un livrable. Elles vont dans le compte-rendu d’une page.

Le compte-rendu est archivé avec le registre. C’est aussi la matière première d’un audit CNIL ou d’une due diligence client sur la gouvernance IA du cabinet.

Le registre AI Act Article 4, ce qui doit y figurer

Le registre AI Act est le document interne qui prouve les moyens mis en œuvre pour la littératie IA, l’inventaire des systèmes utilisés et la traçabilité des incidents. Depuis le Digital Omnibus, l’Article 4 est une obligation de moyens et non plus de résultat — le registre est justement ce qui prouve les moyens.

Cinq blocs à y consigner:

• Inventaire des systèmes IA: nom du système, fournisseur (OpenAI, Anthropic, Microsoft, Google), version ou plan (Enterprise, Team, gratuit), date d’introduction dans le cabinet, cas d’usage principal.
• Cas d’usage cartographiés: fonction concernée, catégories de données manipulées, présence ou absence de données personnelles, décideur humain final.
• Actions de littératie: formations dispensées, dates, participants nommés, contenus abordés, supports partagés. Un tableau simple avec une ligne par session.
• Incidents et corrections: chaque signalement, sa résolution, la mise à jour de la charte si nécessaire.
• Vérifications contractuelles: DPA signés, localisation des données, engagements de non-entraînement sur les prompts (clause standard chez OpenAI Enterprise, Anthropic Claude for Work, Microsoft 365 Copilot).

Notion et Airtable font très bien l’affaire. Un cabinet de 25 tient son registre sur deux onglets et le met à jour à chaque comité. Ce format est aligné avec la logique du plan Osez l’IA, qui propose aux PME et ETI un diagnostic Data IA de 8 jours-hommes à 10 000 € HT, cofinancé à 40 % via France 2030.

La consultation du CSE, ce qui est obligatoire

La consultation du CSE avant déploiement d’un outil IA est une obligation d’information-consultation préalable prévue par l’Article L.2312-8 du Code du travail, applicable dès que le CSE existe. Le CSE existe à partir de 11 salariés (élections obligatoires), avec des attributions élargies au-dessus de 50 salariés.

Le déploiement d’un outil IA a été explicitement qualifié « d’introduction de nouvelle technologie » par deux ordonnances de référé en 2025: le TJ de Nanterre le 14 février 2025 (RG 24/01457) et le TJ de Créteil le 15 juillet 2025 (RG 25/00851) ont suspendu l’usage opérationnel de systèmes IA jusqu’à consultation complète. Les groupes de travail internes ont pu se poursuivre, mais l’usage en production a été bloqué.

Consulter n’est pas demander l’autorisation. Cela signifie quatre actes concrets:

1. Transmettre un dossier documenté quinze jours avant la réunion (projet de charte, note de contexte, liste des cas d’usage, plan de formation, risques identifiés et mesures).
2. Tenir la réunion.
3. Répondre par écrit aux questions dans un délai raisonnable.
4. Tracer le tout dans un procès-verbal.

Dans un cabinet de 25 salariés sans CSE, la question ne se pose pas légalement, mais un tour d’équipe formel documenté reste un bon investissement. Si le cabinet dépasse le seuil de 50 salariés dans les mois qui viennent, il vaut mieux avoir installé le réflexe consultation dès la charte initiale.

Calendrier 4 semaines, semaine par semaine

Le calendrier 4 semaines est un plan de mise en conformité AI Act tenable pour un cabinet de 25 salariés sans équipe conformité dédiée.

Semaine 1 — rédaction. L’associé référent et le DPO externalisé produisent la V1 de la charte, en partant d’une base commune (cadre à trois régimes, obligations concrètes, blocs signature). Effort: deux demi-journées côté associé, une journée côté DPO. Livrables: charte V1, projet de registre vide, projet d’ordre du jour comité.

Semaine 2 — co-construction avec les équipes. Deux ateliers de 45 minutes avec les métiers pilotes. Question centrale: que fait un consultant junior sur ChatGPT à 22 h la veille d’un rendu? Qu’est-ce qui manque dans la charte pour que la réponse soit possible et cadrée? C’est aussi l’étape qui désamorce la résistance des juniors à l’adoption IA: sans leur voix ici, la charte sera contournée dès la première semaine. Ajustement des régimes autorisé, restreint, interdit, sur la base des usages réels. Livrable: charte V2.

Semaine 3 — consultation CSE. Si CSE: envoi du dossier quinze jours avant, tenue de la réunion, questions écrites, PV. Sinon: réunion d’équipe plénière documentée avec ordre du jour formel et compte-rendu. Ajustements finaux sur la base des retours. Livrable: charte V3 définitive.

Semaine 4 — signature et kick-off comité. Session collective d’une heure: présentation de la charte finale, questions ouvertes, signature individuelle en fin de séance. La même semaine, tenue du premier comité IA de kick-off: constitution du registre initial en cartographiant les outils déjà utilisés (OpenAI ChatGPT, Anthropic Claude, Microsoft 365 Copilot, Notion AI), définition des trois premières décisions actables. Livrables: charte signée par tous, registre v0 rempli, compte-rendu comité 1 publié.

Quatre semaines, quatre livrables, un cabinet lisible.

Quelle profondeur de gouvernance pour quel effort

Le choix de la profondeur de gouvernance dépend de l’effectif, du niveau d’exposition client et de l’objectif d’opposabilité juridique.

Approche	Livrables	Effort	Robustesse juridique
Note interne informelle	Un mail à toute l’équipe	1 jour	Faible: non opposable, non traçable
Charte seule sans comité	Charte affichée, signée	1 semaine	Moyenne: érosion à 6 mois
Charte + comité + registre	Kit complet documenté	4 semaines	Forte: opposable, révisée, auditable
Gouvernance ETI (comité pluridisciplinaire, politique séparée, chief AI officer)	Kit + politique + rôles dédiés	2 à 4 mois	Sur-dimensionné à 25 salariés

Charte, politique et registre ne se confondent pas. Voici la répartition standard, retenue notamment par le guide Leto:

Document	Destinataire	Fonction	Responsable
Charte IA	Salariés, freelances, stagiaires	Règles d’usage opposables	Associé référent IA + DPO
Politique IA	Direction, associés	Gouvernance interne, arbitrages, budgets	Comité de direction
Registre Article 4	Autorités, clients en due diligence	Preuve des moyens (littératie, inventaire, incidents)	Comité IA

Le kit à télécharger, en pratique, se compose de cinq pièces: la charte 4 pages en Word et ODT, l’ordre du jour comité IA mensuel, le registre Article 4 en Notion ou Airtable, un modèle de note d’information CSE, une grille de classification autorisé, restreint, interdit adaptable par métier. Cela peut être construit en interne ou couplé à un diagnostic Data IA cofinancé via le plan Osez l’IA, éligible aux PME de 10 à 2 000 salariés immatriculées en France.

Pour ceux qui veulent d’abord cadrer la trajectoire d’usage avant la gouvernance, notre plan d’adoption IA 90 jours pour cabinet de 25 salariés est le pendant terrain, et notre checklist AI Act pour cabinet 25 salariés donne la vue conformité de bout en bout.

Les 5 erreurs qui vident la charte de sa portée juridique

1. Publier sans annexer au règlement intérieur. Une charte non annexée au règlement intérieur au titre de l’Article L.1321-4 n’est pas opposable disciplinairement. Elle relève de la communication, pas du droit. Un salarié qui la viole ne peut pas être sanctionné sur cette base.

2. Faire l’impasse sur la consultation CSE. Quand le CSE existe, la consultation n’est pas facultative. Les décisions de Nanterre (14/02/2025) et Créteil (15/07/2025) le disent nettement: l’usage peut être suspendu par référé. Un cabinet qui grandit et franchit le seuil de 50 salariés sans avoir installé le réflexe s’expose au premier contentieux.

3. Confondre charte, politique et registre. La charte s’adresse aux salariés: règles d’usage. La politique s’adresse à la direction: gouvernance interne, arbitrages, budgets. Le registre est l’outil de preuve. Les fusionner dilue les trois. Le guide Leto insiste sur cette séparation.

4. Faire une charte « papier » sans comité. Sans mécanisme qui la fait vivre, la charte est morte à six mois. Les outils changent, les usages dérivent, la version signée devient obsolète. Le comité mensuel est le seul dispositif qui garantit révision et application. C’est aussi lui qui rend crédible l’obligation Article 4: montrer un plan de formation vivant, avec des sessions datées, plutôt qu’une case cochée en janvier 2026.

5. Sous-traiter le tout au juridique. Une charte écrite sans les métiers ne survit pas au premier consultant qui l’ignore. Elle sera vécue comme une contrainte externe. La co-construction en Semaine 2, avec deux pilotes métiers, n’est pas cosmétique. C’est ce qui transforme la charte en règle du jeu, pas en règlement subi.

Passer à l’action cette semaine

Trois options selon où le cabinet en est:

• Si la charte n’existe pas encore: bloquer les quatre semaines dans le calendrier de l’associé référent avant fin de trimestre. Cadence contrainte, sinon elle glisse.
• Si une charte existe mais dort depuis 2024: la relire à l’aune du Digital Omnibus (obligation de moyens, pas de résultat), reformuler l’engagement littératie, réintroduire le comité mensuel comme mécanisme de vie.
• Si l’équipe hésite à s’engager seule sur la mécanique CSE, sur la structure du registre ou sur le calibrage du comité: un audit externe court permet de valider la trajectoire avant de dépenser quatre semaines de bande passante interne.

C’est ce que fait notre audit gouvernance IA Kreante sur cabinets de 15 à 60 salariés en France, Suisse, Belgique et Luxembourg, avec un livrable en dix jours ouvrés.

Quel que soit le point de départ: la question n’est plus si, mais quand la gouvernance se formalise. Le calendrier de 4 semaines est court parce que la matière est courte. Ce qui prend du temps, c’est de ne pas commencer.