Comment rédiger une charte informatique ?
Dernière mise à jour : 19 août
new : mise à jour mars 2025: Utilisation des IA génératives
Avec la généralisation de la digitalisation de notre environnement professionnel, les risques liés à l'utilisation des outils informatiques par vos équipes (salariés ou agents) augmentent considérablement.
La charte informatique est un document qui définit les règles d'utilisation des outils informatiques dans une organisation : matériel, réseaux et usages. Elle est destinée à tous les salariés ou agents, quel que soit leur statut ou leur fonction.
Mais avant de rédiger une charte informatique il faut arbitrer la question de sa force juridique et de son contenu pour qu'elle puisse être appliquée par tous les collaborateurs.
Si la charte informatique n’est pas obligatoire, sa rédaction est très utile pour :
Donner des consignes sur l’utilisation des moyens informatiques mis à disposition des salariés (réseaux, ordinateurs portables, smartphones) et définir des sanctions en cas de manquement ;
Sensibiliser les salariés aux bonnes pratiques pour éviter les cyberattaques et assurer la sécurité du réseau d’information;
Informer les salariés de l’existence des moyens de contrôle et de collecte des données.
Finalement, la charte informatique est un point d’équilibre entre la volonté de l’employeur à garantir la sécurité de son système d’information et les droits des salariés au respect de leur vie privé.
Avant de rédiger une charte informatique : choisir la force juridique d'une charte informatique
Ici deux possibilités s'offrent aux employeurs : soit elle est annexée au contrat de travail, soit elle est annexée au Règlement intérieur.
1. L'annexion au contrat de travail (force contractuelle)
La charte est signée par le collaborateur lors de son embauche.
Limite majeure : elle ne s'applique pas automatiquement aux salariés déjà en poste avant sa création. Pour ces derniers, il est obligatoire de rédiger et faire signer des avenants individuels, ce qui engendre une lourdeur administrative certaine pour une PME ou une association.
2. L'annexion au Règlement Intérieur (force réglementaire — recommandée)
L'intégration directe au Règlement Intérieur confère à la charte une opposabilité générale et immédiate à tous les collaborateurs, présents comme futurs, sans nécessiter de signature individuelle d'avenant. Cette procédure exige le respect des étapes légales :
Consultation préalable des Instances Représentatives du Personnel (CSE) pour avis.
Dépôt au greffe du Conseil de prud'hommes (ou Tribunal Judiciaire selon la structure).
Notification à l'inspection du travail.
Communication officielle aux équipes par tout moyen assurant une date certaine.
Le conseil expert : pour renforcer l'adhésion pratique dès l'intégration (onboarding), combinez la valeur réglementaire avec un volet d'engagement individuel. Prévoyez une synthèse en page de garde et faites signer une attestation de remise et de sensibilisation lors de la signature électronique du contrat.
Quel est le contenu d’une charte informatique ?
Une charte efficace doit être proportionnée aux risques réels de la structure, selon une stricte approche par les risques. Elle s'articule généralement autour des sections suivantes :
Périmètre et définitions : identification des utilisateurs concernés et du matériel couvert (postes fixes, ordinateurs portables, smartphones professionnels, accès distants).
Sécurité des accès : hygiène des mots de passe, gestion du verrouillage de session, interdiction du partage d'identifiants.
Usage des messageries et navigation web : tolérance de l'usage personnel dans la limite du raisonnable et règles de courtoisie.
Télétravail et mobilité : mesures de protection des réseaux domestiques ou publics (VPN, chiffrement).
Gestion des risques tiers et prestataires : encadrement des accès externes au réseau interne.
Gouvernance des données et RGPD : rappel des principes de confidentialité, de minimisation et de durée de conservation des données.
Contrôles et traçabilité : information préalable et transparente sur l'existence des outils de journalisation et de supervision réseau.
Droit à la déconnexion et sanctions disciplinaires : barème des suites données en cas d'infraction.
Encadrer les IA génératives : encadrer plutôt qu'interdire
L'irruption d'outils comme ChatGPT, Gemini ou Copilot dans le quotidien professionnel transforme les méthodes de travail, mais expose l'entreprise à des vulnérabilités majeures : fuite de secrets d'affaires, contrefaçon de droits d'auteur et violation du RGPD par injection non maîtrisée de données personnelles.
Face à ces risques, une interdiction stricte s'avère souvent illusoire et pousse vers un usage clandestin (shadow IT). La charte informatique doit donc poser un cadre d'utilisation pragmatique et sécurisé en imposant des règles claires :
Confidentialité et anonymisation : interdiction formelle d'insérer des données identifiantes (collaborateurs, clients, prospects) ou des informations stratégiques dans les requêtes (prompts). Les données soumises doivent être rigoureusement purgées ou pseudonymisées.
Paramétrage des comptes et des licences : obligation de désactiver l'utilisation des données à des fins d'entraînement des modèles (options d'opt-out ou recours aux versions professionnelles enterprise offrant des garanties contractuelles adaptées).
Propriété intellectuelle et vérification : obligation pour le collaborateur de vérifier l'exactitude des résultats générés (lutte contre les hallucinations) et de s'assurer que les livrables ne reproduisent pas des éléments protégés par des tiers.
L'impact direct de l'AI Act sur vos obligations
Le règlement européen sur l'IA (règlement UE 2024/1689, dit AI Act) impose un principe fondamental de transparence. Selon l'article 50, les utilisateurs professionnels d'un système d'IA générant ou manipulant des contenus (textes, images, audios, vidéos) ont l'obligation d'informer clairement les destinataires dès lors qu'un contenu a été généré artificiellement.
La charte informatique doit traduire cette exigence légale en consigne interne opérationnelle : chaque collaborateur doit marquer ou mentionner explicitement les contenus synthétiques diffusés en externe ou destinés à la prise de décision.
Déployer votre charte avec méthode
La conformité n'est pas un formulaire figé mais une démarche humaine et évolutive. Pour éviter les usines à gaz documentaires, une mise en conformité agile repose sur des règles de bon sens : cibler les risques critiques, former les collaborateurs de façon concrète et maintenir la documentation à jour au fil des évolutions technologiques.
Que ce soit dans le cadre de missions de DPO externalisé, de la réalisation d'un audit de sécurité ou de la rédaction sur-mesure de votre politique de sécurité, xDPO vous accompagne de manière pragmatique et indépendante.
Pour aller plus loin :
AI Act (Règlement UE 2024/1689) : Article 50 (Obligations de transparence pour les fournisseurs et utilisateurs de systèmes d'IA).
Recommandation de la CNIL sur la Charte informatique https://www.cnil.fr/fr/securite-informatique-sensibiliser-les-utilisateurs
Recommandations ANSSI : CHARTE D’UTILISATION DES MOYENS INFORMATIQUES ET DES OUTILS NUMÉRIQUES: https://www.ssi.gouv.fr/actualite/charte-dutilisation-des-moyens-informatiques-et-des-outils-numeriques-le-guide-indispensable-pour-les-pme-et-eti/
Les internautes ont aussi consulté dans le Blog:
