Hidden Tokens / Blog

Charte de confidentialité IA : ce qu'elle doit contenir, et comment la faire respecter

Dans la plupart des organisations, des salariés collent déjà leur travail dans ChatGPT, Claude, Gemini ou Copilot. Une charte dit ce qui est permis. Ce guide liste ce qu'elle doit contenir, pays par pays, et explique pourquoi une charte que rien n'applique ne protège personne.

L'équipe Hidden Tokens · 30 octobre 2026 · 4 min de lecture

Pourquoi une charte, et pourquoi maintenant

Dans la plupart des organisations, la question n'est plus de savoir si le personnel utilise l'IA générative, mais avec quels comptes et ce qu'il y colle. Un contrat résumé dans ChatGPT, un fichier de paie analysé dans Claude, un compte rendu médical reformulé dans Copilot : chaque fois, des noms, des identifiants et des montants partent chez un fournisseur extérieur.

Une charte fixe les règles avant qu'un incident ne le fasse. Elle donne aussi à votre DPO, à vos auditeurs et à vos clients une réponse claire à la question qu'ils posent désormais : que faites-vous de nos données quand vous utilisez l'IA ?

Les dix clauses d'une charte IA

1. Le périmètre. Qui est concerné (salariés, associés, stagiaires, prestataires) et pour quelles activités.
2. Les outils autorisés. Les assistants d'IA que l'organisation fournit, sur des comptes de l'organisation. Tout le reste relève de la règle sur les comptes personnels.
3. Comptes personnels et téléphones. Les données de l'organisation peuvent-elles passer par un compte ChatGPT ou Claude personnel, ou par une appli d'IA sur un téléphone ? La plupart des chartes l'interdisent pour les données de clients et de salariés.
4. La règle d'or. Les identifiants des clients, salariés et partenaires sont codés avant qu'un message n'atteigne une IA. Les noms deviennent des codes comme NOM-001, l'IA travaille sur les codes, et les vraies valeurs sont remises ensuite, sur le poste de l'organisation.
5. Les lignes rouges. Ce qui ne part jamais, même codé : en général les coordonnées bancaires et numéros de carte, les numéros de pièce d'identité, les dates de naissance, les mots de passe et clés d'API.
6. Les catégories de données. Données de santé, paie, données de mineurs et dossiers clients appellent un traitement plus strict. Dites lesquelles.
7. Les références internes. Numéros de dossier, de contrat, noms de code de projets et noms de clients à toujours coder, parce qu'aucun outil générique ne les connaît.
8. Les incidents. Que faire quand une donnée identifiante est partie en clair : prévenir le référent IA le jour même, sans crainte de sanction pour un signalement de bonne foi, supprimer la conversation chez le fournisseur, évaluer le risque avec le DPO.
9. La formation. Une courte prise en main pour chaque personne qui utilise l'IA. Dans l'UE, c'est aussi ainsi que l'on répond à l'obligation de maîtrise de l'IA du règlement européen.
10. La gouvernance. Qui porte la charte, qui autorise un nouvel outil, et quand elle est relue.

Le droit applicable dépend du pays

Les clauses ci-dessus sont les mêmes partout. L'annexe juridique, non. Quelques exemples :

• Union européenne. Le RGPD (pseudonymisation, sécurité, transferts hors UE) et le règlement européen sur l'IA, dont l'art. 4 sur la maîtrise de l'IA s'applique depuis le 2 février 2025. Chaque État membre ajoute sa loi nationale et ses règles de secret professionnel ; en France, le Code pénal (art. 226-13) et, pour les avocats, le guide du CNB sur la déontologie et l'IA.
• Royaume-Uni. Le UK GDPR et le Data Protection Act 2018, avec le guide de l'ICO sur l'IA et la protection des données.
• États-Unis. Pas de loi fédérale générale : HIPAA pour la santé, le Gramm-Leach-Bliley Act pour les institutions financières, le FTC Act, et des lois d'États comme le CCPA. Pour les avocats, l'ABA Formal Opinion 512 (2024) traite directement de l'IA générative.
• Golfe. Le décret-loi fédéral n° 45 de 2021 aux Émirats, avec des régimes propres au DIFC et à l'ADGM ; la loi saoudienne sur la protection des données personnelles, appliquée par la SDAIA depuis septembre 2024 ; la loi qatarie n° 13 de 2016.
• Afrique. La loi n° 09-08 au Maroc, la loi organique 2004-63 en Tunisie, la loi n° 18-07 en Algérie, la loi n° 2008-12 au Sénégal, la loi n° 2013-450 en Côte d'Ivoire, entre autres.
• Asie-Pacifique. Le Digital Personal Data Protection Act 2023 en Inde, le PDPA à Singapour, le Privacy Act 1988 en Australie.

Chaque pays a aussi ses propres identifiants à protéger : le NIR en France, la CIN et l'ICE au Maroc, le numéro d'Emirates ID aux Émirats, l'Aadhaar en Inde, le Social Security number aux États-Unis. Une charte doit les nommer, et les outils doivent les reconnaître.

Pourquoi la plupart des chartes IA échouent

La charte type est rédigée une fois, signée, classée, puis oubliée. Personne ne la relit avant de coller un contrat dans une IA. Personne ne sait si elle est respectée. Quand un client demande une preuve, il n'y en a pas.

Une charte fonctionne quand chaque clause est reliée à ce qu'un poste fait :

• la règle d'or est appliquée par un outil qui code les identifiants avant tout envoi, pas par la mémoire ;
• les lignes rouges sont bloquées, pas seulement interdites ;
• les références internes et les numéros d'identité nationaux sont des règles que l'outil connaît ;
• un rapport mensuel dit quels postes respectent la charte, et lesquels non.

C'est ce que fait Hidden Tokens sur chaque poste : il code localement les noms, identifiants et montants avant que Claude, ChatGPT, Gemini ou Copilot ne les lise, applique à chaque message la politique signée de l'organisation, et rend compte de la couverture clause par clause.

Générez la vôtre, gratuitement

Le générateur de charte IA de Hidden Tokens pose douze questions et rédige la charte pour vous, avec l'annexe juridique de plus de trente pays. Il produit aussi les deux fichiers qui en font des règles : la politique d'organisation que votre admin signe, et les réglages d'un poste seul. Il fonctionne entièrement dans votre navigateur : la page ne peut ouvrir aucune connexion réseau, rien de ce que vous saisissez ne la quitte.

Faites relire le résultat par votre conseil ou votre DPO, adoptez-le, informez le personnel. Pour la différence entre coder et supprimer une donnée, voir pseudonymisation ou anonymisation ; pour la méthode au quotidien, utiliser ChatGPT ou Claude avec des données clients.