Charte informatique exemple : modèle et mise en place

Une charte informatique est un document court qui dit à chaque salarié comment utiliser les outils numériques de l'entreprise : messagerie, mots de passe, appareils personnels, télétravail, intelligence artificielle. Bien rédigée, elle devient un outil de culture cyber, pas un texte que personne ne lit. Cet article propose un exemple de charte informatique à adapter, puis la manière de la présenter, de la faire valider et de la faire vivre. Sur son caractère obligatoire et sa valeur envers les salariés, l'article indique à qui poser la question.

L'essentiel
Toute entreprise qui confie des outils numériques à ses salariés gagne à écrire ses règles d'usage dans une charte courte et claire. Sans règle écrite, notamment sur l'IA, des informations sensibles peuvent sortir de l'entreprise par simple méconnaissance. Commencez par rédiger les rubriques essentielles, faites valider le texte par votre conseil en droit social, puis présentez-le à chaque salarié.

À quoi sert une charte informatique, et est-elle obligatoire ?

La charte fixe des règles communes pour que chacun sache ce qui est permis, ce qui ne l'est pas, et pourquoi. Elle protège l'entreprise sans demander de compétence technique : la plupart des bons réflexes tiennent en une phrase.

Les gestes simples comptent beaucoup. Selon Cybermalveillance.gouv.fr, 80 % des cyberattaques pourraient être évitées par des mesures simples et peu coûteuses, comme une bonne gestion des mots de passe, des sauvegardes, des mises à jour ou des droits d'accès. Une charte fixe la part de ces mesures qui dépend de chaque salarié, comme la gestion des mots de passe.

La charte est aussi un des documents où l'on précise habituellement le cadre d'usage de l'IA au travail, avec le règlement intérieur, la politique de sécurité ou une charte d'usage de l'IA dédiée.

Sur le caractère obligatoire et la valeur juridique de la charte envers les salariés, les pages officielles consultées pour cet article ne se prononcent pas. Ces questions relèvent du droit du travail : faites-les vérifier par un avocat en droit social ou votre organisation professionnelle avant la diffusion.

Ce qu'une charte informatique d'entreprise doit contenir

Une charte utile reste courte. Voici les rubriques à prévoir, chacune répondant à une question concrète.

Objet et public : à qui s'applique la charte (salariés, stagiaires, intérimaires, prestataires) et sur quels outils.
Comptes et mots de passe : comment créer, protéger et ne jamais partager ses accès.
Messagerie et internet : ce que l'on peut envoyer, ouvrir, télécharger.
Appareils et supports : ordinateurs, téléphones, clés USB, appareils personnels.
Travail hors des locaux : télétravail, déplacements, réseaux Wi-Fi.
Intelligence artificielle : outils autorisés et informations à ne jamais saisir.
Contrôles : ce que l'entreprise peut vérifier sur l'usage de ses outils.
Incident : que faire si l'on pense avoir été piraté.
Arrivée et départ : remise et restitution du matériel et des accès.

Pour la rubrique incident, Cybermalveillance.gouv.fr indique que ses consignes d'urgence peuvent être affichées dans les locaux et près de chaque poste de travail. Reprenez en annexe les consignes d'urgence, notamment : débrancher la machine du réseau, ne pas l'éteindre, alerter le support informatique, ne plus utiliser l'appareil, prévenir les collègues. Ne pas éteindre l'appareil évite d'effacer des preuves gardées en mémoire, utiles à l'enquête. Le détail se trouve dans le plan de réponse à incident cyber pour PME.

Exemple de règles claires : comptes, messagerie, appareils et télétravail

Une bonne règle dit quoi faire, en une phrase, avec la raison si elle n'est pas évidente. Voici des formulations à reprendre ou à adapter, appuyées sur les conseils de Cybermalveillance.gouv.fr pour séparer usages professionnels et personnels :

Comptes et mots de passe

« J'utilise un mot de passe différent pour chaque service, professionnel ou personnel. »
« Je ne communique jamais mon mot de passe, y compris à un collègue ou à quelqu'un qui se présente comme le support informatique. »

Les règles détaillées (longueur, double authentification) ont leur propre document : voyez la politique de mots de passe et de double authentification pour PME.

Messagerie et stockage

« Je ne mélange pas ma messagerie professionnelle et ma messagerie personnelle, pour éviter les erreurs de destinataire. »
« Je n'enregistre pas de fichiers de l'entreprise sur un espace de stockage en ligne personnel sans l'accord de l'entreprise. »

Clés USB et appareils

« Je ne branche aucune clé USB trouvée ou offerte. »
« J'utilise une clé USB pour le travail et une autre pour mes usages personnels. »

Télétravail et déplacements

« J'évite les réseaux Wi-Fi publics ou inconnus, et je n'y échange jamais d'informations confidentielles. »
« Je verrouille mon écran dès que je m'éloigne de mon poste, chez moi comme au bureau. »

Pour le travail à distance, voyez aussi la checklist Sécuriser le télétravail et les accès distants.

Charte informatique et IA : ce qu'on peut ou non saisir

L'IA générative, c'est-à-dire les assistants qui rédigent des textes ou résument des documents, mérite une rubrique à part. Le risque principal est simple : coller dans un outil des informations qui ne devraient pas sortir de l'entreprise.

Les règles à écrire, d'après la page de Cybermalveillance.gouv.fr sur l'usage de l'IA au travail :

n'utiliser que le service d'IA souscrit par l'entreprise ;
séparer strictement son compte IA personnel de son compte professionnel ;
en cas de doute, ou tant qu'aucune règle n'existe, ne pas fournir à l'IA d'informations sensibles : données RH, projets confidentiels, actions juridiques ;
protéger son compte IA par un mot de passe d'au moins 12 caractères, mélangeant majuscules, minuscules, chiffres et caractère spécial.

Cybermalveillance.gouv.fr demande aussi au dirigeant de s'assurer qu'une charte d'usage de l'IA existe et que tous les collaborateurs en sont informés et sensibilisés. Le Modèle de charte d'utilisation de l'IA peut servir de base. Vous pouvez l'annexer à la charte informatique ou le diffuser séparément.

Signature, accueil, départ : faire vivre la charte au quotidien

Présenter et faire valider

Avant la diffusion, faites relire le texte par votre conseil en droit social : il vous dira quelles démarches s'appliquent à votre entreprise pour que la charte puisse être opposée aux salariés.

Indiquez clairement dans la charte ce que l'entreprise peut contrôler. Cybermalveillance.gouv.fr rappelle que l'employeur est en droit de contrôler l'usage de la connexion internet qu'il met à disposition, même quand l'usage personnel est toléré. Le dire évite les malentendus.

À l'arrivée d'un salarié

Remettez la charte le premier jour, avec, à titre indicatif, dix minutes d'explication : les cinq règles qui comptent le plus et le nom de la personne à prévenir en cas de doute. Un texte expliqué est mieux retenu qu'un texte signé à la hâte.

Au départ

Prévoyez une liste courte : restitution de l'ordinateur, du téléphone et des clés USB, désactivation des comptes le dernier jour, changement des mots de passe partagés qu'il connaissait.

Les rappels

Prévoyez des rappels réguliers, par exemple en réunion d'équipe. Le dirigeant doit montrer l'exemple et exiger que personne ne contourne les mesures de sécurité décidées.

Mettez la charte à jour à chaque nouvel outil. Pour l'ensemble de la démarche de sécurité, Cybermalveillance.gouv.fr recommande une revue globale tous les deux à trois ans, en intégrant tout nouveau service numérique avant sa mise en route.

Les erreurs à éviter

Copier une charte trouvée en ligne sans l'adapter : des règles sur des outils que vous n'utilisez pas font perdre toute crédibilité au document.
Écrire pour un juriste plutôt que pour un salarié : une règle doit se comprendre en une lecture. Gardez le vocabulaire juridique pour le préambule validé par votre conseil.
Interdire sans proposer d'alternative : interdire le stockage personnel sans fournir d'espace partagé professionnel pousse au contournement.
Oublier l'IA : sans règle écrite, chacun utilise l'outil de son choix avec son compte personnel.
Culpabiliser : la charte doit inviter à signaler une erreur tout de suite, sans crainte. Un clic sur un lien douteux signalé dans la minute se traite bien mieux qu'un clic caché ; voyez que faire après avoir cliqué sur un lien douteux.
La ranger dans un tiroir : une charte jamais rappelée ni mise à jour ne protège personne.

Pour vérifier que c'est bien fait, posez trois questions à deux salariés pris au hasard : à qui signaler un problème, quel outil d'IA est autorisé, et quoi faire d'une clé USB trouvée. S'ils répondent sans hésiter, la charte fonctionne.

Questions fréquentes

Que dit la CNIL sur la charte informatique ?

Les pages lues pour cet article ne portent pas sur les recommandations de la CNIL concernant le contrôle des salariés. Si votre charte prévoit des contrôles de l'usage d'internet ou de la messagerie, consultez directement le site de la CNIL et faites valider ce passage par votre conseil.

Faut-il une charte IA séparée de la charte informatique ?

Le cadre d'usage de l'IA est généralement précisé dans un règlement intérieur, une charte informatique ou une charte d'usage de l'IA dédiée. Cybermalveillance.gouv.fr recommande au dirigeant de s'assurer qu'une charte d'usage de l'IA existe et que tous les collaborateurs la connaissent. Un document séparé, annexé ou non à la charte informatique, est plus simple à mettre à jour quand les outils changent.

Combien de temps faut-il pour mettre en place une charte informatique ?

À titre indicatif, prévoyez une demi-journée pour adapter un exemple à vos outils, puis le temps de relecture par votre conseil. La présentation aux équipes peut tenir en une courte réunion. Les rappels ensuite sont brefs.

Sources

Utiliser l’IA, conseils pour les particuliers et les professionnels — Cybermalveillance.gouv.fr
Apprendre à séparer ses usages pro-perso — Cybermalveillance.gouv.fr, 28/07/2022
Comment piloter sa cybersécurité ? (Dirigeants) — Cybermalveillance.gouv.fr, 22/05/2023
Que faire en cas de cyberattaque ? (consignes pour les collaborateurs) — Cybermalveillance.gouv.fr, 10/05/2023

Comment Sedona peut aider

Fixer des priorités suppose de savoir d'abord ce qui est exposé. Sedona Radar fait l'audit de sécurité externe automatisé de votre domaine et en tire un rapport en français ; son Plan de traitement range ensuite les actions dans l'ordre. L'application présente chaque constat en langage clair pour la direction ou en détails techniques pour le DSI.

Parmi ce qu'il examine :

Vos portes ouvertes : les services qui répondent depuis Internet, les logiciels qui les font tourner et leurs failles connues.
Vos noms de domaine : les sous-domaines publics, la configuration DNS de votre messagerie, les sous-domaines qu'un tiers pourrait reprendre.

Le plan Discovery, gratuit, donne un premier Scan de Contrôle : score de risque, vos 3 vulnérabilités les plus graves, le décompte par sévérité et vos scores sur les 6 référentiels. Radar ne voit que ce qui est exposé sur Internet, pas l'intérieur de votre réseau ; il évalue votre exposition, il ne certifie rien. Pour en parler, nous contacter.

Article publié le 26/10/2026. Une erreur, une source à mettre à jour ? Nous contacter : nous corrigeons et datons la correction.