Une charte d'usage acceptable (Acceptable Use Policy, AUP) est l'accord écrit entre l'organisation et le collaborateur sur ce qui est permis et interdit sur le matériel professionnel, avec les données et les comptes professionnels. Plus concret qu'un SMSI, plus court qu'un manuel, et précisément pour cela indispensable dans le contexte du Cbw, du RGPD et du règlement IA. Que doit-elle contenir, comment la garder utilisable, et comment l'ancrer dans la sensibilisation ?
Ce qu'est une AUP et ce qu'elle fait
Une AUP décrit dans un document accessible les règles d'usage des moyens : portables, mobiles, mail, internet, outils de collaboration, cloud, IA, comptes professionnels. Elle traduit la politique de sécurité et le RGPD en comportement concret.
Sur le plan juridique, base pour des mesures en cas de manquement. En même temps, outil de communication : explique le pourquoi, pas seulement le quoi.
Cbw et RGPD ne nomment pas l'AUP comme exigence, mais en pratique oui. Les autorités demandent au sujet de la politique encadrant la manipulation des informations.
Ce qu'une AUP moderne doit minimalement contenir
Cinq à huit pages en langage clair. Thèmes en 2026 :
- Objet et périmètre.
- Règles générales.
- E-mail, internet, collaboration.
- Services approuvés et shadow IT.
- Usage de l'IA. Depuis le règlement IA, indispensable.
- Données personnelles et RGPD.
- Usage personnel.
- Sanctions et escalade.
Ce qui en 2026 est nouveau ou renforcé
Trois thèmes, autrefois optionnels :
Usage de l'IA. Sans règles, fuite de données vers des tiers gratuits.
Mobile et télétravail. Frontières floues ; règles pour café, train, réseaux privés.
Comportement de signalement. Invitation explicite à signaler sans blâme.
Comment rédiger une AUP qui se lit
Cinq pages se lisent, vingt-cinq non. Trois techniques :
Vouvoyer/tutoyer en phrases courtes. Pas de jargon.
Donner des exemples là où cela aide.
Expliquer le pourquoi : une règle expliquée est acceptée.
Garder l'AUP actuelle et vivante
L'AUP vieillit vite. Trois mesures pratiques :
Actualiser au moins annuellement.
Historique des versions.
Demander une acceptation active. Plate-forme avec horodatage et version.
Comment ancrer cela dans un programme de sensibilisation
L'AUP ne tient pas seule.
Traiter à l'onboarding : module de 5 minutes plus acceptation.
Référencer dans les modules de sensibilisation.
Co-portée avec RH et DPO.
Découvrez comment 2LRN4 traduit ce sujet en un programme opérationnel avec formation, simulation de phishing et reporting pour la direction.
Voir la page NIS2Articles connexes
- Rédiger une politique de sensibilisation
- Exigences de conformité pour la sensibilisation
- Risques du shadow IT
- Gouvernance IA et sensibilisation en un programme
Sources
- SANS: information security policy templates
- NCSC NL : aperçu
- ISO 27001:2022 (information security management)
FAQ
Qu'est-ce qu'une AUP ?
Accord écrit sur l'usage des moyens de travail. Plus concret qu'un SMSI, plus court qu'un manuel.
L'AUP est-elle obligatoire ?
Pas nommément, mais oui dans la pratique. Autorités la demandent. Absence = risque.
Quelle longueur ?
Cinq à huit pages en langage clair.
Quoi de nouveau en 2026 ?
Usage IA, mobile/télétravail, invitation explicite à signaler sans blâme.
Fréquence de mise à jour ?
Au moins annuelle ; parties IA plus souvent.
Faut-il signer ?
Acceptation recommandée ; un clic avec horodatage suffit.
Peut-on interdire totalement l'usage personnel ?
Interdiction totale rarement praticable. Voie médiane : autorisé dans des limites raisonnables, exceptions claires.
Source externe : European Commission - NIS2 Directive