La gouvernance des données, ce n'est pas un truc de grande banque

Le déclic

Ce n'est pas un projet de grande banque

« Gouvernance des données », ça sonne comme un comité, un budget à sept chiffres et un vocabulaire imbuvable. En vrai, c'est beaucoup plus simple : prendre soin de ce que tu as déjà.

Tu sais où sont tes outils, qui a les clés du local, qui peut signer un chèque. La gouvernance des données, c'est la même logique appliquée aux informations que ton entreprise accumule : factures, courriels, dossiers clients, listes d'employés, contrats. Pas besoin d'être une grande entreprise, ni d'un poste à temps plein, ni d'un logiciel à 10 000 $ par année. Il faut juste commencer, avec ce que tu as, aujourd'hui.

Le vrai enjeu

Pourquoi ça compte, même à trois

Le réflexe naturel : « on est trop petits pour que ça nous arrive ». Les chiffres racontent l'inverse. Trois risques concrets guettent une PME.

La fuite accidentelle. Un fichier client envoyé au mauvais destinataire, un accès jamais révoqué après un départ, une clé USB oubliée.

La perte pure et simple. Un ordinateur volé, un disque défaillant, une sauvegarde qui n'a jamais vraiment fonctionné.

La non-conformité. Au Québec, la Loi 25 s'applique à toute entreprise qui recueille des renseignements personnels. Aucun seuil, aucune exemption de taille.

Et les petites équipes sont visées autant que les grandes. Au Canada, environ 71 % des fuites de données en entreprise seraient aujourd'hui liées à l'usage d'outils d'IA comme ChatGPT, et près de 77 % des employés admettent y avoir déjà collé des données sensibles sans mesurer les conséquences. Ce n'est pas un problème de « grande entreprise », c'est un problème d'habitudes de travail.

Geste 1

Savoir ce que tu as

Impossible de protéger ce que tu ne sais pas que tu possèdes. Le premier geste, c'est un inventaire simple, une cartographie de tes données. Un tableau, même dans un simple fichier Excel ou Google Sheets, avec pour chaque type de donnée :

• Où elle se trouve : courriel, CRM, dossier partagé, disque d'un ordinateur, papier
• Qui la crée ou la reçoit
• Pourquoi tu la gardes

Fais-le une fois par grande catégorie, clients, employés, fournisseurs, finances, plutôt que fichier par fichier. L'objectif est une vue d'ensemble, pas la perfection.

Geste 2

Classer en trois cases

Une fois que tu sais ce que tu as, range chaque donnée dans une des trois catégories.

Publiques. Ce que tu partagerais sans souci sur ton site : brochures, prix, description de services.

Internes. Utile à l'équipe, pas destiné à sortir : procédures, notes de réunion, chiffre d'affaires interne.

Sensibles. Renseignements personnels de clients ou d'employés, données financières, contrats, dossiers RH. Tout ce qui causerait un vrai préjudice en cas de fuite.

Ce classement en trois cases suffit pour la grande majorité des PME. Pas besoin d'un système à quinze niveaux : l'objectif est de voir en un coup d'œil ce qui exige plus de prudence.

Geste 3

Qui a accès à quoi

Le principe du moindre privilège tient en une phrase : chaque personne accède seulement à ce dont elle a besoin pour son travail, ni plus, ni moins. Deux moments où ça se joue vraiment.

L'arrivée. Donne accès au strict nécessaire dès le départ, pas « tout, pour être sûr ».

Le départ. Révoque tous les accès, courriel, dossiers partagés, logiciels, VPN, le jour même, pas « la semaine prochaine ».

Geste 4

Conserver, puis détruire

Le réflexe « on garde tout, au cas où » est confortable, mais c'est lui qui transforme une petite fuite en gros dégât : plus tu gardes de données inutiles, plus tu as de choses à perdre. La Loi 25 demande d'ailleurs de ne conserver les renseignements personnels que le temps utile à leur usage, puis de les détruire ou de les anonymiser.

Fixe une durée de conservation par catégorie (par exemple, dossiers clients actifs plus deux ans après la fin de la relation, CV de candidats non retenus détruits après un an) et bloque une date récurrente dans ton calendrier pour faire le ménage.

Geste 5

Protéger l'essentiel

Trois réflexes couvrent l'essentiel du risque, sans budget de grande entreprise :

• Des sauvegardes qui fonctionnent vraiment, testées, pas seulement activées
• Des mots de passe uniques et un gestionnaire de mots de passe, plutôt que le même mot recyclé partout
• Une équipe sensibilisée : le meilleur pare-feu du monde ne protège pas d'un clic sur un lien piégé

Le vrai lien

Et l'IA dans tout ça

C'est ici que tout ce qui précède prend son sens. Une bonne gouvernance des données n'est pas un exercice théorique : c'est la condition pour utiliser l'IA sans se mettre en danger.

Le réflexe à adopter avant de nourrir un outil d'IA générative, ChatGPT, Copilot ou autre : sache ce qui peut sortir. Quand tu colles un texte dans un outil grand public, l'information quitte ton réseau et peut être stockée, voire réutilisée pour entraîner de futurs modèles selon la version. Environ 65 % des employés se serviraient déjà de ces outils sans l'accord officiel de leur entreprise. On appelle ça le « shadow AI », et ça se passe déjà chez toi, que tu aies une règle ou non.

Le cadre légal

La Loi 25, le minimum vital

La Loi 25 s'applique à toute entreprise qui recueille, détient, utilise ou communique des renseignements personnels au Québec, sans exception de taille, travailleurs autonomes compris. Quatre obligations touchent concrètement une PME :

• Désigner un responsable de la protection des renseignements personnels. Par défaut, la personne ayant la plus haute autorité, mais le rôle peut être délégué par écrit. Son titre et ses coordonnées doivent être publiés sur le site de l'entreprise.
• Tenir un registre des incidents de confidentialité. Obligatoire pour tout incident, signalé ou non, et conservé cinq ans.
• Obtenir un consentement valide et publier une politique de confidentialité claire, qui indique les renseignements recueillis, leurs fins et les droits d'accès et de rectification des personnes.
• Aviser en cas d'incident à risque sérieux. Si une fuite présente un risque réel pour les personnes, il faut aviser rapidement la Commission d'accès à l'information et les personnes touchées.

Ton premier pas

Par où commencer cette semaine

Trois pas, réalisables sans budget ni logiciel spécial :

• Cette semaine : fais l'inventaire du Geste 1, même approximatif, pour une seule catégorie de données, les clients par exemple.
• Ce mois-ci : vérifie qui a accès à quoi et révoque les accès des personnes qui ont quitté l'entreprise sans qu'on y repense.
• Ce trimestre : rédige une règle simple d'une page sur l'usage de l'IA générative dans ton équipe, ce qu'on peut y mettre et ce qu'on n'y met jamais, et désigne officiellement ton responsable Loi 25.

Ta petite fiche

À retenir