Gouvernance de l’IA
Politique d’usage de l’IA en entreprise : encadrer sans bloquer
Vos équipes utilisent déjà des assistants d’IA. Ce que cela expose réellement, ce qu’une politique doit contenir, et pourquoi l’interdiction pure produit l’effet inverse.
L’essentiel
- L’IA est déjà utilisée dans la plupart des organisations, généralement sans cadre écrit.
- Le risque principal n’est pas le modèle : c’est ce que les employés y collent pour aller plus vite.
- Interdire sans alternative déplace l’usage vers les comptes personnels, où vous ne voyez plus rien.
- Une politique utile tient en quelques pages et nomme des outils, des données et des responsables.
L’IA fantôme est déjà chez vous
Un contrat à résumer, une liste de clients à trier, un courriel de litige à reformuler : vos équipes collent déjà la matière la plus sensible de l’entreprise dans des assistants gratuits, choisis précisément parce qu’ils font gagner du temps. Personne ne l’a autorisé, personne ne l’a interdit, et personne ne le voit.
Ce n’est pas un contournement délibéré. Ces outils sont gratuits, accessibles depuis un navigateur, et ils répondent à un besoin réel. Le vide de règles n’empêche rien, il rend simplement l’usage invisible, comme l’ont fait avant lui la messagerie personnelle puis les services de partage de fichiers grand public.
La première étape d’une politique n’est donc pas d’écrire des règles, mais de regarder ce qui se fait déjà. Sans ce constat, on encadre une pratique imaginaire.
Quatre risques, dont un seul est propre à l’IA
Les trois premiers découlent de l’usage que vos équipes font de ces outils, le quatrième vient de l’extérieur et vous vise.
- Communication de renseignements personnels. Coller un document dans un service tiers constitue une communication à ce tiers. Les données peuvent être conservées, traitées hors du Québec, et servir à l’amélioration du service.
- Propriété intellectuelle et secrets d’affaires. Un devis, une méthode, un extrait de code transmis à un service grand public sort du périmètre de confidentialité de l’entreprise, sans qu’aucun contrat ne l’encadre.
- Décision sur une réponse non vérifiée. Un assistant produit une réponse plausible et bien formulée, y compris lorsqu’elle est fausse. Le risque n’est pas l’erreur, c’est l’assurance avec laquelle elle est présentée.
- Hypertrucage et fraude. Voix et visages clonés servent à crédibiliser des demandes de virement. La parade est procédurale, une vérification par un canal distinct, et non technique.
Ce que doit contenir une politique d’usage
Quatre choses, et le document tient en quelques pages. L’objectif est qu’un employé puisse répondre seul, en dix secondes, à la question « est-ce que je peux coller ça ici ». Plus longue, elle ne sera pas lue ; purement interdictrice, elle ne sera pas suivie.
- La liste d’outils. Nommer les services, pas les catégories. « Les assistants conversationnels » ne veut rien dire pour la personne qui a un onglet ouvert.
- Les catégories de données. Trois niveaux suffisent : ce qui circule librement, ce qui exige un outil approuvé, ce qui ne sort jamais. Le classement se fait avec les métiers.
- Les règles de vérification. Ce qui doit être relu, recoupé ou validé par un humain avant d’être envoyé à un client, publié, ou exécuté.
- Le processus d’ajout. Qui examine une demande d’outil, sur quels critères, dans quel délai. Sans ce point, la liste devient obsolète en trois mois.
L’interdiction pure échoue, et aggrave le risque
Elle ne supprime pas le besoin qui a créé l’usage. Bloquer l’accès depuis le réseau de l’entreprise déplace la pratique vers les téléphones et les comptes personnels, où l’organisation ne voit plus rien et ne journalise rien. Le risque n’a pas diminué, il est devenu invisible.
L’approche qui fonctionne consiste à offrir une voie autorisée au moins aussi commode que la voie sauvage. Quand un outil approuvé existe, est accessible et ne ralentit pas le travail, la majorité des usages y migrent d’eux-mêmes.
C’est aussi la logique d’une IA déployée sur une infrastructure dont vous gardez la maîtrise : plutôt que d’interdire l’usage, on déplace le traitement vers un environnement où la question de la confidentialité est résolue en amont.
Ce que nous observons sur le terrain
Ce que nous observons dans les organisations
Le constat le plus constant est l’écart entre ce que la direction croit et ce qui se pratique. L’usage est presque toujours plus répandu qu’anticipé, et il concerne souvent les fonctions les plus exposées : direction, administration, relation client. Il passe majoritairement par des comptes personnels gratuits, donc aucune condition contractuelle d’entreprise ne s’applique et aucun accès administrateur n’existe.
Le troisième constat est encourageant : lorsqu’une politique claire est publiée et qu’un outil autorisé est proposé, l’adhésion est rapide. Les employés ne cherchaient pas à contourner une règle, ils travaillaient en l’absence de règle.
Questions fréquentes
Faut-il bloquer techniquement ces outils ?
Le blocage seul est une mauvaise première mesure : il déplace l’usage vers les téléphones et les comptes personnels, hors de toute visibilité. Il peut avoir sa place plus tard, une fois qu’une voie autorisée existe et qu’elle est utilisable : il ferme alors les alternatives résiduelles, il ne remplace pas la politique.
Une version payante règle-t-elle le problème ?
Elle en règle une partie. Les offres professionnelles encadrent généralement la réutilisation des contenus et offrent une administration des comptes. Elles ne répondent pas pour autant à la question de la localisation des traitements ni à celle du classement de vos données.
Comment la Loi 25 s’applique-t-elle à l’usage de l’IA ?
Transmettre des renseignements personnels à un service tiers constitue une communication à ce tiers, quelle que soit la technologie. Les obligations habituelles s’appliquent : finalité, encadrement contractuel, évaluation avant toute communication hors Québec. La nature conversationnelle de l’outil ne change rien au régime juridique.
Par où commencer si nous n’avons rien ?
Par l’observation, pas par la rédaction. Demander aux équipes quels outils elles utilisent et pour quelles tâches donne une image plus juste qu’un audit technique. La politique se rédige ensuite à partir de ces usages réels : plus courte, plus précise, et effectivement suivie.
Qui doit porter cette politique ?
La même personne que la protection des renseignements personnels, dans la plupart des organisations de taille moyenne. Les deux sujets se recoupent et les séparer produit deux documents qui se contredisent. Ce qui compte est qu’un responsable soit nommé et qu’il ait le temps d’examiner les demandes.
Partir de ce qui se fait déjà chez vous
Un premier échange permet d’établir quels outils sont réellement utilisés chez vous et ce qu’une politique devrait couvrir en priorité. Sans engagement de votre part.
Sources
- Commission d’accès à l’information du Québec · communication de renseignements personnels à un tiers et hors Québec
- Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) · texte officiel
- Centre canadien pour la cybersécurité · avis sur l’hameçonnage et la fraude assistée par IA
Pour aller plus loin
Conformité Loi 25
Ce que la loi attend quand des renseignements personnels transitent par un outil tiers.
IA souveraine
Déployer l’IA sur une infrastructure dont vous gardez la maîtrise.
SIRIS
L’accompagnement continu, dont la gouvernance des outils fait partie.
Votre infrastructure est-elle prête pour la prochaine menace ?
Un appel de découverte, sans engagement, pour comprendre votre réalité avant de recommander quoi que ce soit.