Le déclic
Pourquoi t'en occuper maintenant
L'IA générative et l'automatisation sont déjà dans la plupart des PME du Québec, que la direction l'ait décidé ou non. Des employés utilisent ChatGPT, Copilot ou Gemini pour rédiger des courriels, résumer des documents ou analyser des données, souvent sans autorisation formelle et sans que personne n'ait mesuré les risques.
Le principe de ce guide est simple : une PME n'a pas besoin d'un service de conformité pour gouverner son usage de l'IA de façon responsable. Elle a besoin d'un cadre à sa taille, centré sur les vrais risques (protection des données, décisions automatisées touchant des clients ou des employés, dépendance à des fournisseurs) et facile à tenir avec les ressources déjà en place.
Trois raisons concrètes d'y consacrer quelques heures dès maintenant :
- Les exigences de tes clients B2B. De plus en plus d'appels d'offres incluent des clauses de diligence sur l'usage de l'IA par les fournisseurs. Une politique claire devient un avantage réel.
- Des obligations déjà en vigueur. La Loi 25 impose des règles précises dès qu'une décision est prise de façon automatisée à partir de renseignements personnels, peu importe la taille de l'entreprise.
- Le risque de dépendance non gérée. Sans inventaire ni politique, tu ne sais pas quelles données sensibles transitent par des outils externes, ni qui y a accès.
Le paysage légal
Ce qui s'applique vraiment
Contrairement à l'Union européenne, le Canada n'a pas de loi fédérale propre à l'IA. Le réflexe clé, pour une PME, c'est de distinguer une vraie obligation légale de ce qui relève encore du cadre volontaire ou d'un projet.
Ce qui s'applique dès aujourd'hui
| Cadre | Portée | Ce qu'il impose concrètement |
|---|---|---|
| Loi 25 (Québec), article 12.1 de la Loi sur la protection des renseignements personnels dans le secteur privé | Toute organisation faisant affaire au Québec qui prend une décision fondée exclusivement sur un traitement automatisé de renseignements personnels | Informer la personne au moment de la décision, fournir sur demande les motifs, les principaux facteurs et paramètres, et offrir la possibilité de présenter des observations et d'obtenir une révision humaine |
| LPRPDE (loi fédérale) | Traitement de renseignements personnels par des outils IA, y compris des services tiers | Consentement approprié, limitation de la finalité, droit d'accès, mesures de sécurité adéquates |
| Loi canadienne sur les droits de la personne | Usage de l'IA dans les décisions d'embauche ou de gestion RH | Interdiction des résultats discriminatoires, que la décision vienne d'un algorithme ou d'un humain |
Ce qui n'existe pas (encore) au fédéral
La Loi sur l'intelligence artificielle et les données (AIDA), qui aurait imposé des obligations formelles pour les systèmes d'IA à « impact élevé », faisait partie du projet de loi C-27 déposé en novembre 2022. Ce projet n'a jamais dépassé l'étude en comité : il est mort au feuilleton lors de la prorogation du Parlement en janvier 2025 et n'a pas été réintroduit sous une forme équivalente. Il n'existe donc, à ce jour, aucune loi fédérale canadienne propre à l'IA en vigueur. Depuis 2025, un ministre de l'IA et de l'Innovation numérique a d'ailleurs indiqué qu'un futur cadre, s'il vient, se voudrait « léger, ciblé, juste » : rien qui doive t'inquiéter aujourd'hui.
À surveiller, sans agir dans l'immédiat pour une PME : la stratégie fédérale « IA pour tous » (une orientation politique, pas une loi), le projet de loi C-36 sur la protection de la vie privée des consommateurs, et le projet de loi C-34 visant certains services de type chatbot.
Quand l'Europe peut te concerner
Si tu vends des produits ou services intégrant de l'IA à des clients situés dans l'Union européenne, le règlement européen peut s'appliquer même sans présence là-bas. Bonne nouvelle côté calendrier : l'Omnibus numérique sur l'IA, en vigueur depuis juillet 2026, a repoussé les obligations des systèmes à haut risque de l'Annexe III au 2 décembre 2027 (et au 2 août 2028 pour l'IA intégrée à des produits déjà réglementés). Si l'Europe te concerne, vérifie l'état le plus récent directement sur EUR-Lex avant de fixer une échéance.
Deux cadres volontaires pour t'inspirer
Sans viser de certification, tu peux emprunter la logique de deux références internationales. Le NIST AI RMF propose quatre fonctions simples, Gouverner, Cartographier, Mesurer, Gérer, qui structurent ce guide en version allégée. La norme ISO/IEC 42001 est certifiable et s'applique à toute organisation, surtout utile si un client exige un jour une certification formelle.
La bonne échelle
Une gouvernance à ta taille
Un seul responsable, pas un comité
Dans une PME, monter un comité de gouvernance IA est contre-productif. Désigne plutôt une seule personne responsable, souvent le dirigeant, le responsable TI, ou la personne déjà désignée pour la protection des renseignements personnels selon la Loi 25. Cette personne approuve ou refuse un nouvel outil, tient l'inventaire à jour, répond aux demandes d'explication liées à une décision automatisée, et révise la politique une fois par année.
Une politique IA d'une page
Une politique efficace pour une PME tient sur une seule page et répond à quatre questions :
- Quels outils sont autorisés sans approbation (outils grand public pour des tâches non sensibles) ?
- Quels usages sont interdits (entrer des données clients, RH ou financières dans un outil public) ?
- Quels usages exigent l'approbation du responsable ?
- Que faire en cas de doute ?
Le gabarit prêt à adapter est dans ta trousse à outils, plus bas.
Sensibiliser, pas former lourdement
Une rencontre de 30 à 60 minutes avec toute l'équipe, une fois par année, suffit pour expliquer la politique en mots simples, montrer des exemples concrets d'usages acceptables ou non, et rappeler ce qu'un usage non encadré peut coûter : fuite de données clients, décisions biaisées, dépendance à un fournisseur.
Premier geste
Fais l'inventaire de tes outils
Impossible de gouverner ce qu'on ne connaît pas. La première action concrète, c'est un inventaire, même approximatif, des outils IA déjà utilisés chez toi.
- Envoie un court sondage anonyme à l'équipe : « Quels outils IA utilises-tu au travail, même à l'occasion ? »
- Vérifie tes abonnements logiciels (Microsoft 365 Copilot, Google Workspace avec Gemini, CRM avec fonctions IA).
- Note chaque outil dans le registre fourni dans ta trousse à outils.
Toutes les entrées n'ont pas la même urgence. Concentre-toi d'abord sur les outils qui traitent des renseignements personnels de clients ou d'employés, qui interviennent dans une décision RH, de crédit ou de service à la clientèle, ou qui sont utilisés à grande échelle. Une révision du registre chaque trimestre suffit pour la grande majorité des PME.
Protéger tes données
Tes données et la Loi 25
Vérifie les contrats de tes fournisseurs
Pour chaque outil IA externe, regarde où les données sont hébergées et traitées (certains le font hors Canada), si les données soumises servent à entraîner les modèles du fournisseur (souvent le cas par défaut sur les versions gratuites), et les clauses de sécurité et de confidentialité au contrat.
Évite les fuites de données sensibles
La règle la plus simple à répéter à l'équipe : ne jamais entrer de données personnelles de clients ou d'employés, ni d'informations financières confidentielles, dans un outil IA grand public sans version d'entreprise sécurisée. Pour reformuler sans exposer tes vraies informations, la méthode des crochets t'aide beaucoup.
Voir la méthode des crochetsRépondre à une demande d'explication
Si tu utilises un système automatisé pour une décision qui touche une personne (refus de crédit automatisé, présélection de candidature), tu dois être prête à : informer la personne, au moment de la décision, qu'elle résulte d'un traitement automatisé ; fournir sur demande les motifs, les principaux facteurs et les paramètres ; permettre à la personne de présenter ses observations ; offrir une révision par une personne habilitée. Un gabarit de réponse t'attend dans ta trousse à outils.
Avec mesure
Gère les risques sans t'alourdir
Plutôt que la classification à quatre niveaux du règlement européen, une PME peut se contenter d'une grille à trois niveaux (elle est dans ta trousse à outils). Voici les cas d'usage à surveiller en priorité :
| Cas d'usage | Pourquoi c'est sensible |
|---|---|
| Présélection de CV ou d'embauche | Risque de discrimination, obligations en vertu des droits de la personne |
| Évaluation de crédit ou de solvabilité | Décision automatisée à effet significatif, la Loi 25 s'applique directement |
| Service à la clientèle automatisé (chatbot) | Traite des renseignements personnels, peut donner des réponses erronées qui engagent l'entreprise |
| Génération de contenu marketing ou juridique | Risque de désinformation, de violation de droits d'auteur ou d'erreurs diffusées publiquement |
| Analyse de données RH (rendement, absentéisme) | Décisions à effet significatif sur les employés |
Bien choisir
Choisis tes fournisseurs avec soin
Avant d'adopter un nouvel outil, pose-toi (et pose au fournisseur) ces questions :
- Où les données sont-elles hébergées et traitées ?
- Le fournisseur utilise-t-il les données soumises pour entraîner ses modèles ?
- Existe-t-il une version « entreprise » avec de meilleures garanties que la version gratuite ?
- Le fournisseur démontre-t-il des mesures de sécurité minimales (chiffrement, contrôle d'accès) ?
- Le contrat prévoit-il un droit de résiliation et un plan de récupération des données ?
Même avec un petit fournisseur, il est raisonnable de demander une clause de confidentialité couvrant explicitement les données soumises à un système IA, l'engagement que ces données ne servent pas à l'entraînement sans consentement, et un droit d'audit ou, à défaut, une attestation annuelle de conformité. La checklist complète est dans ta trousse à outils.
Le plan d'action
Ta feuille de route en 90 jours
| Période | Actions |
|---|---|
| Semaines 1-2 | Faire l'inventaire des outils IA (sondage plus revue des abonnements) ; désigner le responsable IA |
| Semaines 3-4 | Rédiger la politique IA d'une page à partir du gabarit ; la communiquer à toute l'équipe |
| Semaines 5-8 | Classer les cas d'usage selon la grille de risque ; mettre en place le mécanisme de réponse aux demandes d'explication pour les décisions automatisées existantes |
| Semaines 9-12 | Réviser les contrats des fournisseurs prioritaires avec la checklist ; organiser la session de sensibilisation |
| En continu | Réviser l'inventaire chaque trimestre ; réviser la politique une fois par année ou lors de changements majeurs |
Tes outils prêts à l'emploi
Ta trousse à outils
Tout ce qui suit est prêt à copier et à adapter. Prends ce dont tu as besoin.
Gabarit de politique IA (une page)
Registre d'inventaire des outils IA
| Outil | Fournisseur | Usage principal | Données perso ? (O/N) | Décisions affectées | Niveau de risque | Responsable |
|---|---|---|---|---|---|---|
| Ex. : ChatGPT Plus | OpenAI | Rédaction, remue-méninges | Non (si respecté) | Aucune | Faible | [Nom] |
| Ex. : outil de présélection CV | [Fournisseur] | Filtrage de candidatures | Oui | Embauche | À valider | [Nom] |
Une ligne par outil. À réviser chaque trimestre.
Grille de risque à trois niveaux
| Niveau | Description | Exemples | Action requise |
|---|---|---|---|
| Faible | Aucune donnée personnelle ni décision touchant un client ou employé | Rédaction générique, remue-méninges, recherche publique | Usage libre |
| À surveiller | Données personnelles impliquées, sans décision automatisée à effet significatif | Résumé de courriels clients, analyse de tendances internes anonymisées | Vérifier le contrat du fournisseur, limiter l'accès aux données sensibles |
| À valider avant usage | Décision automatisée à effet significatif, ou données sensibles à grande échelle | Présélection de CV, évaluation de crédit, chatbot client, analyse de rendement RH | Approbation du responsable, validation humaine obligatoire, mécanisme Loi 25 en place |
Gabarit de réponse à une demande d'explication (Loi 25)
Checklist avant d'adopter un nouvel outil
- Le besoin est réel et documenté, et l'outil y répond
- L'hébergement et le traitement des données sont vérifiés (localisation, sous-traitants)
- On sait si les données soumises servent à entraîner les modèles
- Une version « entreprise » a été envisagée si des données sensibles sont en jeu
- Le contrat couvre explicitement l'usage par un système IA, et prévoit résiliation et récupération des données
- L'outil est classé selon la grille de risque
- Si le risque est « à valider », l'approbation du responsable est obtenue
- L'outil est ajouté au registre et l'équipe est informée des règles
Petit glossaire
Décision automatisée : décision prise exclusivement par un système, sans intervention humaine déterminante, à partir de renseignements personnels.
Biais algorithmique : tendance d'un système à produire des résultats désavantageux pour certains groupes, souvent involontaire.
IA générative : systèmes qui produisent du texte, des images ou d'autre contenu à partir d'une consigne (ChatGPT, Gemini, Copilot).
Shadow IA : usage d'outils IA par les employés sans autorisation ni encadrement formel.
Fournisseur ou déployeur : le fournisseur développe le système, le déployeur (souvent ta PME) l'utilise. Les deux peuvent avoir des responsabilités distinctes.
Validation humaine effective : intervention réelle d'une personne habilitée à revoir, confirmer ou infirmer une décision, pas une approbation de forme.
La traçabilité
Les sources officielles
Les affirmations légales de ce guide s'appuient sur des sources primaires, vérifiées le 17 août 2026 : LegisQuébec (Loi sur la protection des renseignements personnels dans le secteur privé, P-39.1, article 12.1) ; la Commission d'accès à l'information du Québec ; le ministère de la Justice du Canada (LPRPDE et énoncé sur le projet de loi C-27) ; LEGISinfo, Parlement du Canada (dossier du projet de loi C-27) ; EUR-Lex (Règlement UE 2024/1689 et Omnibus numérique sur l'IA) ; le NIST (AI Risk Management Framework) ; l'ISO (norme ISO/IEC 42001:2023).
Ta petite fiche
À retenir
- Gouverner l'IA, c'est lui donner un cadre pour l'utiliser sereinement, pas la freiner.
- Au Canada, aucune loi fédérale propre à l'IA n'est en vigueur ; la Loi 25 s'applique déjà aux décisions automatisées.
- Pas besoin d'un comité : un seul responsable et une politique d'une page suffisent.
- Commence par l'inventaire de tes outils, tu ne peux pas gouverner ce que tu ignores.
- Toute décision qui touche vraiment un client ou un employé garde une validation humaine.
- Une feuille de route de 90 jours te mène d'un usage flou à un cadre clair.
Pour continuer
La gouvernance des données
Le compagnon de ce guide : protéger ce que tu as avant d'encadrer comment on s'en sert.
Protéger ta vie privée avec l'IA
La méthode des crochets en détail, pour ne jamais exposer tes données sensibles.
La suite de ton cap
Ton cadre IA est posé. Vois comment tes données, elles, sont protégées à la base.