Pourquoi commencer par la gouvernance
Les contrôles techniques ne servent à rien si personne ne sait quels outils d’IA sont utilisés, avec quelles données et sous la responsabilité de qui. La gouvernance répond à ces questions : qui décide, quels usages sont permis, comment les risques sont évalués et comment on réagit en cas de problème.
Dans la plupart des organisations, le premier constat est le même : des employés utilisent déjà des outils d’IA publics, souvent avec des documents internes, parce qu’aucun outil approuvé ne leur a été proposé. Interdire sans offrir d’option ne fait que déplacer le problème vers les téléphones personnels.
Le NIST AI Risk Management Framework
Publié en janvier 2023 par le NIST américain, le AI RMF est volontaire, gratuit et reconnu internationalement. Il s’organise en quatre fonctions :
- Gouverner (Govern) : politiques, rôles, responsabilités et culture du risque.
- Cartographier (Map) : comprendre le contexte, les usages et les impacts possibles de chaque système.
- Mesurer (Measure) : évaluer et suivre les risques, notamment par des tests.
- Gérer (Manage) : traiter les risques prioritaires et réagir aux incidents.
Le profil NIST AI 600-1, publié en juillet 2024, adapte ce cadre aux risques propres à l’IA générative.
La norme ISO/IEC 42001
Publiée en décembre 2023, ISO/IEC 42001 définit un système de management de l’intelligence artificielle, sur le même modèle qu’ISO/IEC 27001 pour la sécurité de l’information. Elle est certifiable : c’est un argument utile lorsque vos clients ou vos partenaires vous demandent de démontrer que vous encadrez votre usage de l’IA. Une organisation déjà certifiée ISO 27001 peut s’appuyer sur une bonne partie de ses processus existants.
Au Québec : la Loi 25 s’applique déjà
Dès qu’un système d’IA traite des renseignements personnels, la Loi 25 encadre son utilisation. Trois obligations reviennent souvent :
- Évaluation des facteurs relatifs à la vie privée (EFVP) : obligatoire pour tout projet d’acquisition, de développement ou de refonte d’un système d’information qui touche des renseignements personnels. Un projet d’IA en fait généralement partie.
- Communication à l’extérieur du Québec : lorsque les renseignements sont traités par un fournisseur hébergé ailleurs, ce qui est fréquent avec les services d’IA infonuagiques, une EFVP doit démontrer qu’ils bénéficieront d’une protection adéquate.
- Décisions entièrement automatisées : une entreprise qui prend une décision fondée exclusivement sur un traitement automatisé de renseignements personnels doit en informer la personne. Sur demande, elle doit lui expliquer les renseignements utilisés, les raisons et les principaux facteurs de la décision, et lui permettre de présenter ses observations à une personne en mesure de réviser la décision.
Au Canada et ailleurs
- Fédéral : la Loi sur l’intelligence artificielle et les données (LIAD), prévue au projet de loi C-27, est morte au feuilleton en janvier 2025. Le projet de loi C-36, déposé en juin 2026, propose une réforme de la protection des renseignements personnels dans le secteur privé qui encadrerait les systèmes décisionnels automatisés. Il n’est pas encore adopté.
- Code de conduite volontaire : depuis 2023, le gouvernement fédéral propose un code de conduite pour le développement et la gestion responsables des systèmes d’IA générative avancés.
- Union européenne : si vous offrez des produits ou des services dans l’UE, l’AI Act peut s’appliquer. Le règlement (UE) 2026/1744, dit « omnibus numérique », a reporté au 2 décembre 2027 les obligations des systèmes à haut risque de l’annexe III.
Par où commencer
- Nommer un responsable de l’IA, en lien avec le responsable de la protection des renseignements personnels.
- Faire l’inventaire des outils d’IA utilisés, officiels ou non.
- Adopter une politique d’utilisation acceptable, approuvée par la direction : outils permis, données interdites, validation humaine des contenus produits.
- Offrir un outil approuvé, configuré pour ne pas réutiliser vos données à des fins d’entraînement.
- Former les employés aux bons réflexes et aux risques propres à l’IA.
- Évaluer et tester les systèmes les plus exposés, en commençant par ceux qui touchent des renseignements personnels ou qui peuvent agir.