Charte IA entreprise : encadrer les agents IA personnels

Le 8 septembre 2026, Meta a présenté Muse, un agent personnel qui prend des tâches et des projets en charge, envoie des emails, ouvre un navigateur, remplit des formulaires et négocie au nom de la personne (Meta, annonce de Muse). Une PME n'a pas besoin de l'interdire : elle a besoin d'une charte IA d'entreprise qui fixe ce qu'un tel agent peut voir, faire et envoyer en son nom.

Que fait un agent personnel comme Muse ?

Selon Meta, Muse tourne sur son propre ordinateur dédié dans le cloud, où sont stockés les données et les identifiants de chaque service connecté. Un agent Sentinel, séparé de Muse au niveau du système, tourne sur la même machine, et rien de ce que fait Muse n'atteint Internet sans son approbation. Meta indique un déploiement aux États-Unis, sur iOS, Android et muse.ai, gratuit pour l'essentiel des besoins, avec des abonnements pour aller plus loin.

Ces agents arrivent-ils vraiment dans les entreprises ?

Selon Decrypt, OpenAI a présenté dots lors de son DevDay du 29 septembre 2026 : des agents toujours actifs qui agissent de façon autonome. Chaque dot fonctionne avec GPT-6 Astra, dispose de son propre ordinateur cloud et de son propre navigateur, et peut s'intégrer à plus de 4 000 applications (Decrypt). Ces informations n'ont pas été recoupées par une seconde source.

Toujours selon Decrypt, les dots sont accessibles via ChatGPT, par appel vocal, Slack et Teams. Le premier dot est inclus dans les abonnements Pro et Business Premium sur les marchés éligibles, et pas dans les offres Free et Plus.

Notre lecture : Slack et Teams sont des outils de travail, et la frontière entre l'assistant privé d'un salarié et l'outil de l'entreprise devient floue dès qu'un agent y est joignable. Un agent grand public comme Muse, installé sur un téléphone personnel, échappe à toute validation côté entreprise. C'est une hypothèse de travail, pas un constat chiffré. Notre panorama des agents IA grand public détaille ces familles d'outils.

Que doit contenir la charte IA d'entreprise pour un agent personnel ?

Ce que l'agent peut voir. Listez les données qu'un agent ne reçoit jamais : fichiers clients, données du personnel, accès bancaires, boîtes partagées. Meta précise que Muse stocke les identifiants de chaque service connecté sur sa machine dédiée dans le cloud. Chaque compte professionnel relié à un agent personnel y dépose donc un identifiant : la charte dit lesquels sont autorisés, lesquels sont exclus, et qui en décide.

Ce que l'agent peut faire. Distinguez lire, préparer et agir. Selon Meta, Muse ouvre un navigateur, remplit des formulaires et négocie au nom de la personne. Pour chaque type d'action, la charte retient un niveau : interdit, autorisé avec validation humaine, ou autorisé seul. Par défaut, tout ce qui engage l'entreprise (commande, devis, paiement, candidature) reste soumis à une validation humaine.

Ce que l'agent peut envoyer. Un email envoyé par un agent part sous l'identité du salarié, donc de l'entreprise. La charte précise quelles adresses l'agent peut utiliser, si le destinataire doit savoir qu'un agent écrit, et quels messages exigent une relecture : clients, fournisseurs, administration, candidats. Meta décrit une approbation avant toute sortie vers Internet, et l'entreprise a intérêt à prévoir la sienne.

Comment vérifier que la charte est respectée ?

Désignez un responsable de la charte et exigez un journal des actions. Selon BankInfoSecurity, le 18 août 2026, Perplexity a publié Numbat, un outil open source qui détecte et bloque les agents sortant des politiques de sécurité d'une organisation. Il applique des politiques avant l'action, surveille en direct et permet une reconstitution après coup. L'article ne précise pas le type de licence.

Notre lecture : un outil comme Numbat s'adresse à une organisation qui déploie ses propres agents. Une PME qui ne maîtrise pas encore les agents personnels de ses salariés commence plutôt par la règle écrite, qui ne demande aucune licence. Le contrôle technique vient ensuite, si les usages le justifient.

Quelles données personnelles la charte doit-elle protéger ?

La charte touche à deux familles de données : celles des salariés et celles des clients. Un agent relié à une messagerie ou à un agenda lit des noms, des adresses et des échanges, c'est-à-dire des données personnelles. Meta affirme que Muse ne partage ni les conversations ni les données de sa machine virtuelle avec ses systèmes publicitaires, et que l'utilisateur peut refuser l'entraînement des modèles et demander à Muse d'oublier des informations. Ce sont des engagements de l'éditeur, que la charte ne doit pas remplacer. Reprenez le cadre RGPD pour l'IA générative et les bonnes pratiques de sécurité de l'IA générative.

Et quand c'est l'agent du client qui vous écrit ?

Selon Travolution, le 10 septembre 2026, quand les conversations avec un agent ont lieu dans WhatsApp ou sur Gemini, les marques doivent garder le contrôle de la relation client, avec des défis de visibilité, de conversion et d'accès aux données de contexte conversationnel. Le média cite une étude Travelport : pour 72 % des consommateurs, l'étape finale de la réservation, quand elle est gérée par une IA, crée du stress et de l'anxiété. Voir aussi l'agent de réservation d'hôtel.

Par où commencer ?

Commencez par une page : trois rubriques (voir, faire, envoyer), un responsable nommé, un journal des actions et la liste des agents autorisés. Faites-la valider avant de discuter d'outils de contrôle. Pour savoir quels outils IA sont réellement connectés à vos données, vous pouvez faire auditer vos usages IA en finance.