Charte IA

1Préambule et contexte réglementaire

1.1 Objet de la charte

La présente charte définit le cadre de gouvernance des systèmes et modèles d'intelligence artificielle (IA) au sein de Stratos. Elle s'applique à tout projet de développement, de déploiement ou d'utilisation d'IA, et vise à garantir la conformité avec :

• Le règlement (UE) 2024/1689 (AI Act) et ses modifications omnibus (COM(2025) 87)
• Le règlement (UE) 2016/679 (RGPD)
• Les directives éthiques internes de Stratos

1.2 Contexte opérationnel

Stratos est une société de conseil et de développement logiciel. À ce titre, nous sommes concernés par l'AI Act selon deux angles :

• En tant que fournisseur : nous intégrons ou déployons des composants d'IA dans les projets de nos clients.
• En tant qu'utilisateur : nous utilisons des outils d'IA (génération de code, analyse, etc.) dans nos processus internes.

2Champ d'application et définitions

2.1 Champ d'application de la charte

La charte IA s'applique à :

• L'ensemble du personnel de Stratos, en contrat permanent ou temporaire
• Les prestataires externes intervenant sur nos projets
• Les alternants et les stagiaires
• Les consultants et partenaires collaborant avec nos équipes
• Tous les systèmes d'IA développés, intégrés ou déployés par Stratos

2.2 Définitions clés

2.3 Exclusions du champ d'application

Sont exemptés de certaines obligations :

• Les systèmes d'IA à risque minimal (filtres anti-spam, correcteurs orthographiques)
• L'IA industrielle intégrée dans des produits certifiés CE (post-Omnibus) : seule l'obligation d'enregistrement s'applique
• Les systèmes déjà conformes dans le cadre d'une certification tierce reconnue

3Principes directeurs

Stratos s'engage à respecter les principes suivants lors du développement et de l'utilisation de l'IA. L'IA générative est déployée comme un accélérateur transversal pour nos activités (développement, rédaction, analyse) et non comme un substitut au jugement humain, dans un cadre d'utilisation maîtrisé.

3.1 Transparence et traçabilité

• Documenter chaque utilisation de l'IA dans nos projets clients et nos processus internes
• Informer les utilisateurs finaux lorsqu'ils interagissent avec une IA (code source généré, chatbot, etc.)
• Conserver un registre des décisions importantes prises par l'IA et de leur justification
• Publier une documentation claire sur les capacités et les limites de nos systèmes d'IA

3.2 Contrôle humain

• Aucune décision critique affectant les droits fondamentaux ne peut être entièrement automatisée
• Une revue humaine qualifiée est obligatoire avant tout déploiement dans des contextes sensibles
• Les équipes conservent le droit de contester ou de corriger les résultats générés par l'IA
• Un responsable est désigné pour chaque système d'IA et assume la responsabilité des résultats produits

3.3 Protection des données et confidentialité

• Respecter le RGPD et les lois nationales sur les données personnelles
• Ne jamais transmettre de données confidentielles, sensibles ou clients à des outils non contractuels
• Garantir la sécurité des données traitées par nos systèmes d'IA
• Documenter le traitement des données personnelles dans le cadre d'une étude d'impact sur l'IA (AIA)

3.4 Non-discrimination et équité

• Évaluer régulièrement nos systèmes d'IA pour détecter d'éventuels biais systémiques
• Documenter les données d'entraînement ainsi que leurs limites
• Refuser de déployer des IA présentant des effets discriminatoires avérés
• Favoriser la diversité au sein des équipes concevant l'IA

3.5 Sécurité et robustesse

• Évaluer la robustesse de nos systèmes face aux attaques et aux données contradictoires
• Intégrer la cybersécurité dans chaque projet IA
• Effectuer des tests de sécurité réguliers
• Informer les parties prenantes de toute vulnérabilité de sécurité découverte

3.6 Responsabilité sociale

• Veiller à ce que l'IA contribue positivement à la société
• Ne pas concevoir d'IA présentant un risque inacceptable
• Respecter les valeurs de l'Union européenne et les droits fondamentaux

3.7 Souveraineté numérique

• Pour les contextes clients soumis à des exigences de souveraineté ou de sécurité renforcée (santé, secteurs réglementés), privilégier les solutions hébergées dans l'UE ou les modèles souverains (par exemple Mistral, outils open source auto-hébergés)
• Valider le choix des briques d'IA conjointement avec le client lorsque le contexte contractuel l'exige
• Documenter l'emplacement des données et des traitements pour chaque système d'IA

3.8 Éco-conception et usage raisonné

• Évaluer l'impact environnemental (empreinte carbone) des modèles d'IA lourds, en particulier sur les projets soumis à une exigence RGESN (référentiel général d'écoconception des services numériques)
• Privilégier le modèle dimensionné pour la tâche plutôt que le plus puissant par défaut (par exemple un modèle léger pour la complétion de code, un modèle avancé réservé aux tâches qui le justifient)
• Éviter les usages redondants ou en boucle (régénérations répétées, requêtes superflues) qui consomment des ressources sans valeur ajoutée
• Lorsque c'est pertinent, privilégier la réutilisation de résultats déjà produits plutôt qu'une régénération systématique

3.9 Adoption et montée en puissance

• L'IA est un accélérateur central de nos pratiques de développement et de production : cette charte en encadre l'utilisation, elle ne cherche pas à la restreindre par défaut
• Encourager les équipes à expérimenter de nouveaux outils et usages d'IA dans un cadre maîtrisé, via la procédure de la section 5.3
• Partager en interne les bonnes pratiques et cas d'usage de l'IA ayant fait leurs preuves sur un projet, afin d'accélérer leur adoption ailleurs
• Le référent IA agit autant comme un facilitateur d'adoption que comme un garant de la conformité

4Niveaux de risque et classification

4.1 Cadre de classification

Tous les systèmes d'IA sont classés selon les quatre niveaux de risque définis par l'AI Act.

GitHub Copilot n'est pas un système soumis à l'AI Act, mais son utilisation entraîne des obligations de transparence. Lorsque l'éditeur endosse la responsabilité pour le compte du client, Stratos reste coresponsable de la documentation.

5Outils autorisés et interdits

5.1 Outils autorisés pour un usage interne

Autorisé sans restriction (données non sensibles)

• GitHub Copilot : génération de code, complétion
• Outils open-source (LLaMA, Mistral) : en auto-hébergement

Conditions

• Mentionner l'utilisation de l'IA dans la documentation ou les communications
• Ne PAS soumettre de données confidentielles, de secrets clients ou de clés API

5.2 Outils interdits ou réglementés

Interdit sans exception

• Outils d'IA de notation sociale ou d'évaluation d'individus (candidats, collaborateurs)
• Outils de reconnaissance faciale non supervisés
• Outils de surveillance des collaborateurs basés sur l'IA sans consentement explicite
• Services d'IA dont les conditions d'utilisation permettent l'exploitation des données pour l'entraînement sans consentement

Réglementé, sauf accord explicite du RSSI

• Générateurs d'images (Midjourney, DALL-E) : risques liés au droit d'auteur et aux données d'entraînement
• Modèles OpenAI grand public sur forfaits gratuits : données non confidentielles par contrat
• Claude sur compte personnel/gratuit ou version web publique sans contrat : la non-conservation des données ne peut être garantie
• Tout SaaS d'IA ne faisant pas l'objet d'un contrat avec Stratos

5.3 Procédure d'ajout d'un nouvel outil

1. Demande : le chef de projet soumet une demande au responsable IA, incluant le nom de l'outil et le fournisseur ; le cas d'usage et les données à traiter ; les conditions d'utilisation et de confidentialité (lien).
2. Examen par le RSSI : contrôle de la conformité au RGPD et de la cybersécurité.
3. Validation du responsable IA : classification des risques et contrôle de la conformité à l'AI Act.
4. Décision : approbation ou refus motivé sous cinq jours ouvrés.
5. Enregistrement : ajout au registre des outils d'IA autorisés.

6Règles d'utilisation des données

6.1 Données interdites dans tout système d'IA

Les catégories suivantes ne doivent jamais être soumises à un outil d'IA, même autorisé :

Données hautement sensibles

• Données génétiques ou biométriques (hors cas spécifiques) et données de santé
• Données révélant l'origine raciale ou ethnique
• Données révélant des opinions politiques
• Données révélant des convictions religieuses ou philosophiques
• Données relatives à l'appartenance syndicale
• Données judiciaires (casier judiciaire)

Données stratégiques propriétaires

• Secrets commerciaux et propriété intellectuelle de Stratos
• Code client non rendu public
• Stratégies commerciales
• Données financières internes

Données clients/tiers sans consentement

• Données personnelles clients sans accord explicite
• Données personnelles de tiers sans consentement
• Identifiants d'accès (mots de passe, tokens API, clés privées)

6.2 Données autorisées sous conditions

6.3 Responsabilités en matière de qualité des données

Développeurs / chefs de projet

• Vérifier que les données soumises à l'IA respectent les critères
• Anonymiser si nécessaire avant la soumission
• Documenter les sources des données d'entraînement

RSSI (Responsable de la sécurité des systèmes d'information)

• Auditer les données traitées par les systèmes d'IA critiques
• Valider les accords de confiance pour les données tierces
• Mettre en place des contrôles d'accès

Data Protection Officer (DPO)

• Valider la conformité RGPD des usages des données
• Rédiger les analyses d'impact relatives à l'IA (AIA)
• Conseiller sur le consentement et les droits

7Transparence et marquage

7.1 Obligation de marquage

Pour les utilisateurs finaux

Le contenu généré par l'IA doit être clairement identifié lorsque :

1. L'IA génère du texte (Niveau 3) : chatbots, contenus générés. Exemple : "Cette réponse a été générée par un assistant IA."
2. L'IA génère du code (Niveau 3) : GitHub Copilot, suggestions de code. Exemple : "Code suggéré par GitHub Copilot (relecture recommandée)."
3. L'IA prend une décision affectant un droit (Niveau 2) : scoring, recrutement. Exemple : "Cette décision a été assistée par IA ; vous pouvez la contester."
4. L'IA génère des images (Niveau 3) : images synthétiques. Exemple : "Image générée par IA (Midjourney)" ou filigrane visible.

Pour les données clients

Une fiche de transparence est obligatoire :

• Documenter les capacités et les limites de chaque système d'IA déployé
• Préciser les types de données traitées
• Indiquer la version du modèle et sa date de mise à jour

7.2 Documentation interne

Chaque système d'IA doit disposer d'une fiche de transparence de l'IA comprenant : le nom du système ; la date de création/mise à jour ; la version ; le niveau de risque ; la description fonctionnelle et technique ; les données traitées (type, volume estimé, localisation des serveurs, durée de conservation) ; les capacités ; les limites et les risques ; le processus de supervision humaine ; le contact responsable ; ainsi que la date et le motif de la dernière révision.

8Supervision et validation

8.1 Règles obligatoires de relecture humaine

Haut risque (obligatoire, 100 %)

• Tri de CV ou évaluation des candidats : validation RH avant la notification aux candidats
• Scoring de crédit ou accès aux services : validation métier avant la mise en œuvre
• Décisions judiciaires ou administratives : revue juridique et métier
• Reconnaissance faciale : validation par le RSSI et consentement explicite

Délai : examen sous 24 heures avant le déploiement.

Risque limité (validation requise)

• Contenu généré (texte, code) : relecture avant publication ou commit
• Chatbots : tests utilisateurs et retours intégrés avant mise en production
• Recommandations : validation de l'absence de discrimination

Délai : validation avant la mise en production.

Risque minimal (recommandé)

• Contrôles ponctuels, non obligatoires
• Bonnes pratiques à appliquer (tests unitaires, etc.)

8.2 Processus de validation standard (risque élevé)

1. Développement : l'équipe de développement conçoit le système d'IA ; entraînement et tests dans un environnement de développement.
2. Documentation : fiche de transparence ; analyse d'impact relative à l'IA en cas de données personnelles ; documentation des données d'entraînement.
3. Tests de non-discrimination : évaluation des biais (âge, genre, origine, etc.) ; audit des données d'entraînement ; tests sur des populations diversifiées ; rapport de conformité.
4. Validation métier : démonstration au responsable métier ; validation des résultats (précision, équité) ; signature d'approbation.
5. Validation juridique et conformité : vérification RGPD par le DPO ; vérification AI Act par le responsable IA ; validation des contrats clients le cas échéant.
6. Déploiement contrôlé : déploiement en préproduction ; suivi actif des performances ; tests A/B le cas échéant.
7. Mise en production : déploiement progressif (canari ou par phases) ; surveillance continue ; procédure de retour arrière en place.
8. Suivi post-déploiement : suivi mensuel des performances ; audit des biais semestriel ; mise à jour annuelle au minimum.

9Rôles et responsabilités

9.1 Gouvernance IA Stratos

9.2 Points d'escalade

10Procédures de conformité

10.1 Cartographie et registre des systèmes d'IA

Obligation : un registre centralisé des systèmes d'IA doit être tenu constamment à jour.

Registre obligatoire pour : tous les systèmes à haut risque ; tous les systèmes déployés auprès des clients ; tous les systèmes traitant des données personnelles.

Informations à documenter par système : identifiant ; nom du système ; catégorie (client/interne) ; niveau de risque (minimal/limité/élevé) ; domaine relevant de l'AI Act (le cas échéant) ; données traitées (types et volumes) ; fournisseur/responsable (interne ou tiers) ; date de mise en production ; personne référente (nom et e-mail) ; statut de conformité (conforme/en cours/non conforme) ; dernière révision ; notes.

Révisions : au moins une fois par an ; lors de toute mise à jour majeure du système ; lors de toute modification des données traitées.

10.2 Analyse d'impact relative à l'IA (AIA)

Obligation :tout système d'IA à haut risque traitant des données personnelles doit faire l'objet d'une AIA.

Contenu de l'AIA :

1. Description du système et du contexte : finalité ; éléments techniques ; périmètre de déploiement.
2. Évaluation des risques : risques de non-conformité à l'AI Act ; risques de non-conformité au RGPD ; risques pour les droits fondamentaux ; risques de biais et de discrimination.
3. Mesures d'atténuation : contrôles techniques, organisationnels et contractuels.
4. Conclusion : risques résiduels ; validation par l'AI Governance Board.

Responsable : rédigé conjointement par le responsable IA et le DPO. Fréquence : avant le déploiement, puis révision annuelle.

10.3 Enregistrement auprès de l'UE (AI Act)

Obligation : tous les systèmes d'IA à haut risque doivent être enregistrés dans la base de données de l'UE relative à l'AI Act.

Calendrier : avant le 2 août 2026 pour les systèmes de l'annexe III ; avant le 2 août 2027 pour les systèmes de l'annexe I.

Informations à enregistrer : données d'identification de l'opérateur économique ; description du système d'IA ; domaine d'application et risques ; mesures de conformité ; contacts pour le support.

Responsable : le responsable IA, en coordination avec le CISO et le DPO.

10.4 Conformité des contrats clients

Obligation :lorsque Stratos développe un système d'IA pour un client, les responsabilités doivent être clarifiées par contrat.

Clauses obligatoires pour l'IA à haut risque : propriété intellectuelle (qui détient le modèle ; qui peut l'utiliser ou le réutiliser) ; conformité à l'AI Act (qui est responsable ; qui prend en charge l'enregistrement auprès de l'UE ; délais et livrables documentaires) ; données (types de données autorisés ; localisation des serveurs ; durée de conservation) ; responsabilité (responsabilité en cas de dysfonctionnement de l'IA ; assurance responsabilité civile ; indemnisation croisée) ; audit et suivi (droit d'audit du client ; reporting sur les performances de l'IA ; fréquence des mises à jour) ; transparence (documentation fournie au client ; information des utilisateurs finaux ; gestion des réclamations) ; confidentialité (protection des données client ; accord de traitement des données ; sous-traitants autorisés).

Responsable : Validation par le service juridique et le responsable IA avant signature.

11Enregistrement et documentation

11.1 Documentation minimale par niveau

Système à risque minimal

Fiche de description de base ; cas d'usage identifiés.

Système à risque limité

Fiche de transparence de l'IA ; documentation des données traitées ; plan de supervision humaine.

Système à haut risque

Système complet de gestion des risques ; AIA (en cas de données personnelles) ; évaluation de la non-discrimination ; documentation technique complète ; plan de contrôle humain ; registre des incidents ; déclaration de conformité ; preuve d'enregistrement dans l'UE.

11.2 Audit et conformité continue

Audit interne annuel : revue de tous les systèmes à haut risque ; tests de discrimination (données de test diversifiées) ; vérification de la supervision humaine ; vérification des incidents signalés.

Audit externe (recommandé tous les deux ans pour les systèmes critiques) : auditeur IA indépendant ; évaluation complète de la conformité ; rapport assorti de recommandations.

Responsable : Responsable IA et Comité de gouvernance de l'IA.

12Sanctions et révisions

12.1 Non-conformité et sanctions internes

Stratos appliquera les mesures suivantes en cas de non-conformité :

Procédure disciplinaire : selon la politique RH de Stratos (entretien, formation, suspension progressive).

12.2 Conformité réglementaire et sanctions juridiques

Sanctions de l'AI Act par niveau :

Responsabilité de Stratos : en tant que fournisseur, responsable de la conformité de ses systèmes d'IA ; en tant que déployeur, coresponsable de la conformité des systèmes tiers ; en tant que client, responsabilité partagée avec le fournisseur (précisée au contrat).

12.3 Mise à jour et révision de la charte

Révision obligatoire : annuelle (minimum) ; lors de toute modification réglementaire majeure ; après tout incident critique.

Processus de révision : analyse des évolutions réglementaires (Lead IA) ; consultation de l'AI Governance Board (validation des modifications) ; validation par la direction générale (signature) ; communication à l'ensemble des équipes (e-mail et formation) ; archivage des versions (historique).

Historique des versions

13Contacts et escalade

13.1 Points de contact

Les contacts sont organisés par fonction. Les demandes peuvent être adressées à la boîte de réception générale ci-dessous ; lorsqu'une adresse dédiée existe, elle doit être privilégiée.

13.2 Procédure de signalement

Pour signaler un problème, un incident ou poser une question :

1. Contactez le responsable de projet ou le responsable IA : par e-mail à ia-lead@stratos.club ou sur Slack via #channel-ia-compliance (confidentiel).
2. Documentez l'incident : nature du problème (description) ; système d'IA concerné ; date et heure ; impact (données, personnes concernées).
3. Procédez à l'escalade si nécessaire : urgence, contactez immédiatement le CISO ou le CTO ; situation grave (données sensibles), contactez immédiatement le DPO ; standard, contactez le responsable IA sous 24 heures.
4. Investigation et correction : calendrier défini selon la criticité ; conservation du rapport d'incident.
5. Prévention : mise en œuvre des recommandations ; formation si nécessaire.

13.3 Ressources et formation

• Formation obligatoire : tous les collaborateurs doivent suivre la formation annuelle sur l'IA (1 à 2 heures).
• Ressources en ligne : documentation interne ainsi que liens vers la CNIL et la Commission européenne.
• Attestation : délivrée aux collaborateurs qui achèvent la formation.
• Accompagnement de projet : le responsable IA est à disposition pour soutenir les nouveaux projets.

Annexes

Annexe A : Glossaire

Annexe B : Ressources externes

• Réglementation : EUR-Lex (CELEX:32024R1689) ; FAQ AI Act de la CNIL (cnil.fr) ; Commission européenne (digital-strategy.ec.europa.eu)
• Outils et guides : plateforme d'enregistrement de l'UE ; norme ISO 42001 (norme sur l'IA, recommandée) ; code de conduite volontaire de l'UE
• Formation interne : supports de formation interne à l'IA de Stratos, disponibles auprès du responsable IA

Annexe C : Check-list de conformité IA

Avant de déployer un système d'IA, validez que :

• Le système est classé par niveau de risque (minimal / limité / haut)
• Une fiche de transparence IA est rédigée
• Les données traitées sont vérifiées (absence de données interdites)
• Les clauses contractuelles des tiers sont validées par le service juridique
• Une AIA est rédigée et approuvée (en cas de haut risque et de données personnelles)
• Une évaluation de non-discrimination est réalisée (en cas de haut risque)
• La supervision humaine est planifiée et validée
• Une information des utilisateurs est en place (risque limité et supérieur)
• Le registre des IA est mis à jour
• L'enregistrement dans l'UE est prévu (si haut risque)
• La formation de l'équipe est achevée
• L'approbation du comité de gouvernance de l'IA est obtenue
• Le contrat client est signé (s'il s'agit d'un projet client)

Annexe D : Modèle de fiche de transparence I

Un formulaire par système couvrant : nom du système, version, date, personne responsable ; classification au titre de l'AI Act (inacceptable / haut / limité / minimal) avec justification ; description fonctionnelle (rôle, entrées, sorties) ; données traitées (types, localisation des serveurs, durée de conservation, volume estimé) ; capacités du système ; limitations et risques connus (biais identifiés, cas d'usage moins fiables, risques pour les droits fondamentaux) ; supervision humaine (rôle validateur, fréquence, procédure de recours) ; signalement aux utilisateurs (information sur l'utilisation de l'IA) ; conformité au RGPD (AIA, DPA, consentement ou autre base légale) ; approbations et signatures (responsable IA, RSSI, DPO, direction/CTO) avec dates de dernière et de prochaine révision.

Approbation de la charte

Cette charte a été approuvée par :

En vigueur à compter du : Juillet 2026

Prochaine révision prévue : Juillet 2027

Cette charte est un document évolutif qui sera régulièrement mis à jour pour refléter les évolutions réglementaires et les pratiques de Stratos.