Charte d'utilisation de l'IA générative : modèle, règles et exemples pour la santé

Intelligence artificielle et numérique Publié le 18/09/2026 DEMETER SANTÉ

Une charte utilisation IA générative entreprise adaptée au secteur de la santé distingue usage administratif et données de santé, interdit certaines saisies et impose une validation humaine. Modèle copiable article par article.

De plus en plus d'établissements sanitaires, sociaux et médico-sociaux voient leurs équipes utiliser des outils d'IA générative, parfois sans cadre formalisé. Mettre en place une charte utilisation IA générative entreprise permet de fixer des règles claires avant que des usages informels ne deviennent des habitudes à risque. Cet article propose un modèle de charte copiable article par article, pensé pour un organisme de santé, avec une distinction stricte entre usage administratif et usage sur des données de santé.

En résumé : une charte d'utilisation de l'IA générative doit lister les données strictement interdites en saisie, imposer une validation humaine systématique, rappeler le cadre RGPD et le secret professionnel, s'articuler avec le règlement européen sur l'IA, et prévoir un processus d'achat des outils ainsi qu'une procédure de signalement des incidents. Elle distingue toujours l'usage administratif de l'usage impliquant des données de santé.

Pourquoi une charte utilisation IA générative entreprise est nécessaire en santé

La CNIL constate que de nombreuses organisations sollicitent des outils d'IA générative sans toujours mesurer les implications en matière de protection des données précisions de la CNIL sur le déploiement de l'IA générative. Dans un établissement de santé, ce constat prend une dimension particulière : les données traitées peuvent relever du secret médical, les personnes concernées sont souvent en situation de vulnérabilité, et une fuite d'information a des conséquences directes sur la confiance des patients et des professionnels.

Une charte formalisée répond à trois besoins. Elle informe les équipes sur ce qui est autorisé et ce qui ne l'est pas. Elle protège l'établissement en documentant une démarche de gouvernance. Elle prépare la conformité avec le règlement européen sur l'intelligence artificielle, dont certaines obligations s'appliquent progressivement selon un calendrier déjà engagé. Pour les établissements qui n'ont pas encore construit leur inventaire des usages de l'IA, la lecture préalable de l'article consacré à la construction d'un inventaire vraiment utile des usages de l'IA est un préalable recommandé avant de rédiger une charte, car on ne peut encadrer que ce que l'on a identifié.

Distinguer clairement usage administratif et usage sur données de santé

C'est le point de vigilance le plus important d'une charte destinée au secteur sanitaire, social et médico-social. Tous les usages de l'IA générative ne présentent pas le même niveau de risque.

Cette distinction doit être visible dès les premières lignes de la charte, pour éviter toute ambiguïté entre ce que les équipes peuvent tester librement et ce qui reste strictement encadré. Pour approfondir les précautions attendues lors du développement ou de l'évaluation d'une IA appliquée au soin, l'article sur les précautions attendues par la CNIL pour développer et évaluer une IA en santé complète utilement cette section.

Modèle de charte copiable, article par article

Le modèle suivant peut être repris et adapté par un établissement. Chaque article correspond à une clause type, à personnaliser selon l'organisation, les outils réellement utilisés et la gouvernance interne.

Article 1. Objet et champ d'application

La présente charte s'applique à toute utilisation d'un outil d'intelligence artificielle générative par un membre du personnel, quel que soit son statut, dans le cadre de son activité professionnelle au sein de l'établissement. Elle couvre les outils mis à disposition par l'établissement ainsi que tout outil accessible librement en ligne.

Article 2. Données strictement interdites en saisie

Sont interdites en saisie dans un outil d'IA générative non validé par l'établissement : toute donnée relative à la santé d'une personne (diagnostic, traitement, antécédent, résultat d'examen), toute information couverte par le secret professionnel ou le secret médical, toute donnée d'identification directe d'un patient ou d'un résident (nom, numéro de dossier, date de naissance associée à une situation clinique), toute donnée personnelle d'un salarié sortant du cadre d'un usage RH validé, et tout document confidentiel de l'établissement non autorisé à la diffusion externe.

Article 3. Validation humaine systématique

Aucun contenu généré par une IA générative ne peut être utilisé, transmis ou intégré à un document professionnel sans relecture et validation par la personne qui en assume la responsabilité. Cette validation porte sur l'exactitude des informations, l'absence de contenu inventé et l'adéquation avec le contexte professionnel.

Article 4. Conformité RGPD et secret professionnel

Tout traitement de données personnelles par un outil d'IA générative respecte le règlement général sur la protection des données, dont la CNIL rappelle les points de vigilance pour le développement et l'usage de ces systèmes foire aux questions de la CNIL sur l'IA générative. Les professionnels soumis au secret professionnel restent tenus par cette obligation quel que soit l'outil utilisé, la révélation d'une information à caractère secret étant sanctionnée par le code pénal article 226-13 du code pénal sur Légifrance.

Article 5. Obligation de maîtrise de l'IA

L'article 4 du règlement (UE) 2024/1689, modifié par le règlement (UE) 2026/1744 en vigueur depuis le 27 juillet 2026, impose aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour soutenir le développement de la maîtrise de l'IA de leur personnel, sans que cette obligation ne garantisse un niveau individuel de maîtrise pour chaque professionnel texte consolidé sur EUR-Lex. L'établissement documente les actions de sensibilisation et de formation mises en place pour répondre à cette obligation. Pour construire un programme démontrable et cohérent avec cette exigence, l'article consacré à la construction d'un programme de formation démontrable sur la maîtrise de l'IA propose une méthode détaillée qui n'est pas reprise ici.

Article 6. Processus d'achat et de validation des outils

Aucun outil d'IA générative ne peut être déployé à l'échelle d'un service ou de l'établissement sans passer par un processus de validation associant la direction des systèmes d'information, le délégué à la protection des données et, le cas échéant, la direction des soins. Ce processus vérifie notamment les conditions d'hébergement des données, les finalités déclarées par l'éditeur et la compatibilité avec les exigences réglementaires applicables au secteur de la santé.

Article 7. Gestion des incidents

Tout incident lié à l'usage d'un outil d'IA générative, notamment une saisie accidentelle de donnée interdite, une réponse manifestement erronée utilisée sans vérification, ou une suspicion de fuite d'information, est signalé sans délai au délégué à la protection des données et à la direction concernée, selon la procédure interne de gestion des incidents de sécurité.

Article 8. Sanctions et évolution de la charte

Le non-respect de la présente charte est traité selon les procédures disciplinaires en vigueur dans l'établissement. La charte est révisée périodiquement pour tenir compte de l'évolution des outils, du cadre réglementaire et des retours d'expérience des équipes.

Check-list avant de diffuser une charte utilisation IA générative entreprise

• La distinction entre usage administratif et usage sur données de santé est clairement posée dès le début du document.
• La liste des données interdites en saisie est concrète et illustrée d'exemples compréhensibles par tous les métiers.
• Le principe de validation humaine systématique est rappelé pour chaque type de contenu généré.
• Le rôle du délégué à la protection des données est identifié dans le processus de validation des outils.
• La procédure de signalement des incidents est connue et testée.
• La charte a été relue par la direction des soins pour les usages qui pourraient toucher au parcours patient.
• Une date de révision de la charte est fixée pour tenir compte des évolutions réglementaires.

Ce que dit le cadre européen sur la maîtrise de l'IA

Le règlement européen sur l'intelligence artificielle pose, dès son article 4, une exigence de maîtrise de l'IA pour les personnes qui utilisent ou font fonctionner des systèmes d'IA pour le compte d'une organisation texte du règlement (UE) 2024/1689 sur EUR-Lex. Cette obligation a été précisée par le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, qui confirme que les fournisseurs et les déployeurs doivent prendre des mesures pour soutenir cette maîtrise, sans que cela ne constitue une garantie de résultat individuel version consolidée du règlement sur EUR-Lex. Pour un établissement de santé, cela signifie qu'une charte ne suffit pas seule : elle doit s'accompagner d'actions de sensibilisation et de formation, dont le contenu est développé dans d'autres articles de ce site plutôt que repris ici. Les lecteurs qui souhaitent comprendre les premières obligations concrètes du règlement peuvent se référer à l'article sur les premières règles applicables de l'AI Act et les actions à engager, et ceux qui s'intéressent aux obligations de transparence à l'article consacré à l'article 50 sur la transparence des systèmes d'IA.

Articuler la charte avec la gouvernance existante de l'établissement

Une charte d'utilisation de l'IA générative ne fonctionne pas isolément. Elle doit s'articuler avec les autres démarches de gouvernance numérique et qualité de l'établissement. Pour les organisations qui préparent leur dossier d'évaluation de dispositifs médicaux numériques, l'article sur la construction d'un dossier d'évaluation robuste permet d'articuler les exigences de la charte avec celles d'une évaluation plus large. De la même manière, les repères de gouvernance proposés dans l'article sur les douze questions de gouvernance inspirées du projet de guide HAS-CNIL permettent d'aller au-delà de la seule charte pour construire une politique d'établissement cohérente.

Ce que cet article ne fait pas

Cet article propose un modèle de clauses à adapter mais ne constitue pas un conseil juridique personnalisé et ne dispense pas de faire valider la charte finale par le délégué à la protection des données et, si nécessaire, par un conseil juridique. Il ne détaille pas non plus les modalités techniques d'hébergement des données ni les critères précis de sélection d'un outil, qui dépendent du contexte propre à chaque établissement. Pour construire une charte adaptée à votre organisation, contactez notre équipe.

Questions fréquentes

Une charte utilisation IA générative entreprise est-elle obligatoire dans un établissement de santé ?

Il n'existe pas d'obligation générale imposant une charte sous cette forme précise, mais le RGPD et le règlement européen sur l'IA imposent des obligations de gouvernance et de maîtrise de l'IA que la charte permet de documenter et de rendre opérationnelles auprès des équipes.

Peut-on saisir un nom de patient dans un outil d'IA générative grand public ?

Non. Toute information permettant d'identifier un patient associée à une donnée de santé doit être exclue de la saisie dans un outil non validé par l'établissement, en raison du secret professionnel et des exigences du RGPD.

Qui doit valider les outils d'IA générative avant leur déploiement ?

Le processus doit associer la direction des systèmes d'information et le délégué à la protection des données, avec l'appui de la direction des soins lorsque l'usage envisagé touche, même indirectement, au parcours patient.

Que faire en cas de saisie accidentelle d'une donnée de santé dans un outil non validé ?

L'incident doit être signalé sans délai au délégué à la protection des données selon la procédure interne de gestion des incidents, afin d'évaluer les conséquences et les mesures correctives nécessaires.

La charte doit-elle traiter différemment l'usage administratif et l'usage clinique ?

Oui, c'est un point central. L'usage administratif général présente un niveau de risque plus limité que tout usage impliquant, même indirectement, des données de santé, qui doit rester strictement encadré, voire interdit hors outils validés.

La charte suffit-elle à répondre à l'obligation de maîtrise de l'IA du règlement européen ?

Non. La charte fixe des règles d'usage mais doit être complétée par des actions concrètes de sensibilisation et de formation, conformément à l'article 4 du règlement (UE) 2024/1689 tel que modifié par le règlement (UE) 2026/1744.