Le déclic
Pourquoi faire le point, même si « on ne fait pas d'IA »
Le piège de la PME, c'est de croire qu'on ne fait pas d'IA parce qu'il n'y a pas de projet officiel. La réalité, c'est l'IA de l'ombre : les gens l'utilisent déjà, seuls, sans cadre. Un résumé de courriels par-ci, un brouillon de contrat par-là.
Faire le point, ce n'est pas surveiller ton monde. C'est allumer la lumière sur ce qui se passe déjà, pour pouvoir décider en connaissance de cause plutôt que de réagir après coup. Ces dix questions ne cherchent pas la faute. Elles cherchent la clarté.
Mode d'emploi
Comment te servir de cette grille
Chaque question suit le même rythme : pourquoi elle compte, un signe que ça va, un signe d'alerte, et un premier geste réaliste. Tu peux la passer seule, en comité de direction, ou l'apporter à ton conseil d'administration.
Pas besoin de tout régler d'un coup. La grille sert d'abord à voir clair. Le reste vient après, à ton rythme.
Axe 1 · Adoption
Où en est vraiment l'IA chez vous
Avant de parler de valeur ou de risque, il faut une photo honnête de l'usage réel. Trois questions pour ça.
Q1 · Qui utilise l'IA, et le sais-tu vraiment ?
Pourquoi ça compte. Tu ne peux pas encadrer ce que tu ne vois pas. Le point de départ, c'est juste de savoir qui, dans l'équipe, se sert déjà de l'IA.
Signe que ça va. Tu peux nommer les personnes et les usages sans deviner.
Signe d'alerte. Ta réponse commence par « je pense que » ou « personne, je crois ».
Premier geste. Fais la liste de tous les outils d'IA utilisés cette semaine, sans blâme ni sanction. L'idée, c'est de voir, pas de juger.
Q2 · Avec quels outils, et qui les paie ?
Pourquoi ça compte. Un compte gratuit personnel et un compte professionnel ne protègent pas tes données de la même façon.
Signe que ça va. Les outils utilisés pour le travail passent par des comptes de l'entreprise.
Signe d'alerte. Des gens paient l'outil de leur poche et l'utilisent pour des tâches de travail.
Premier geste. Note, pour chaque outil, s'il est payé par l'entreprise ou personnel. Ça révèle vite les angles morts.
Q3 · Les gens savent-ils ce qu'ils ont le droit de faire ?
Pourquoi ça compte. Sans consigne claire, chacun improvise sa propre limite, et elles ne se valent pas toutes.
Signe que ça va. Une consigne simple existe et tout le monde la connaît.
Signe d'alerte. La règle est dans la tête d'une seule personne, ou nulle part.
Premier geste. Écris une phrase, une seule, sur ce qu'on peut mettre dans l'IA et ce qu'on n'y met jamais.
Axe 2 · Valeur
Est-ce que ça rapporte vraiment
L'IA a un coût, en abonnements et en attention. Ces trois questions séparent la vraie valeur du bruit ambiant.
Q4 · Où l'IA fait-elle gagner du temps, concrètement ?
Pourquoi ça compte. Si tu ne sais pas où elle aide vraiment, tu ne peux pas décider où investir.
Signe que ça va. Tu peux citer deux ou trois tâches précises où l'IA change la donne.
Signe d'alerte. « Un peu partout » ou « on n'en est pas sûrs ».
Premier geste. Demande à l'équipe une tâche où l'IA leur a fait gagner du temps ce mois-ci. Du concret, pas des impressions.
Q5 · Payez-vous pour des outils que personne n'utilise ?
Pourquoi ça compte. Les abonnements d'IA s'accumulent vite, et certains dorment.
Signe que ça va. Chaque abonnement a un usage réel et une personne responsable.
Signe d'alerte. Des licences payées « au cas où », que personne n'ouvre.
Premier geste. Liste les abonnements actifs et coche ceux qui servent vraiment. Le reste, tu le questionnes.
Q6 · Les gains restent-ils dans une seule tête ?
Pourquoi ça compte. Une bonne façon de faire qui ne circule pas profite à une personne au lieu de toute l'équipe.
Signe que ça va. Les trucs qui marchent sont partagés et notés quelque part.
Signe d'alerte. Si cette personne part en vacances, le savoir part avec elle.
Premier geste. Ouvre un document commun où chacun dépose un usage d'IA qui lui fait gagner du temps.
Axe 3 · Risque
Ce qui peut te coûter cher
Le risque pèse un peu plus lourd, c'est volontaire : quatre questions, parce que c'est ce qui touche le plus directement une PME et un conseil d'administration.
Q7 · Des données sensibles sortent-elles vers des outils non validés ?
Pourquoi ça compte. C'est le risque numéro un, et souvent invisible. Coller un dossier client dans un outil gratuit, c'est une fuite potentielle.
Signe que ça va. Les données de clients ou d'employés ne quittent jamais les outils approuvés.
Signe d'alerte. « Ça arrive sûrement, mais je préfère ne pas savoir. »
Premier geste. Rappelle la méthode des crochets : on remplace noms, montants et numéros par [client], [montant], [numéro] avant de coller quoi que ce soit.
Q8 · Vérifie-t-on ce que l'IA produit avant de l'envoyer ?
Pourquoi ça compte. L'IA se trompe avec aplomb. Un contenu faux envoyé à un client, c'est ta réputation, pas celle de l'outil.
Signe que ça va. Un humain relit toujours avant l'envoi, surtout vers l'externe.
Signe d'alerte. Des textes générés partent directement, sans relecture.
Premier geste. Instaure une règle simple : rien produit par l'IA ne sort sans qu'une personne l'ait relu.
Q9 · Sais-tu quelles données entrent, où elles sont traitées et ce que dit le fournisseur ?
Pourquoi ça compte. Une PME ne peut pas toujours savoir physiquement où vont ses données, mais elle peut documenter les flux, les paramètres et le fournisseur.
Signe que ça va. Pour chaque outil, tu sais ce qu'on y met et ce que dit son fournisseur sur l'entraînement des modèles.
Signe d'alerte. Personne n'a jamais ouvert les conditions d'un seul outil.
Premier geste. Pour ton outil le plus utilisé, vérifie s'il existe une version professionnelle qui exclut l'usage de tes données pour l'entraînement.
Q10 · Qui est responsable de vérifier, d'approuver et de corriger ?
Pourquoi ça compte. Quand une décision ou un contenu produit avec l'IA pose problème, il faut savoir qui le rattrape.
Signe que ça va. Une personne est clairement nommée pour valider et corriger.
Signe d'alerte. « Tout le monde », et donc personne.
Premier geste. Nomme une personne responsable de l'usage de l'IA, même à temps partiel. Un nom, pas un comité.
La méthode des crochets revient souvent dans ces questions. Avant de coller un texte dans un outil d'IA, remplace les noms, montants et numéros par des crochets génériques, comme [client A], [montant] ou [numéro de dossier]. L'IA reformule et structure sans jamais voir la vraie information.
Voir la méthode en détailUn coup de main
Le prompt qui t'aide à faire le point
Tu peux demander à l'IA elle-même de t'accompagner dans ce diagnostic, comme un conseiller qui te pose les questions une à une. Un garde-fou avant tout : ne lui donne aucune information réelle sur ton entreprise.
Ton portrait
Ton résultat en 30 minutes
Une fois les dix questions passées, tu n'as pas besoin d'une note sur 10. Une couleur par réponse suffit, et c'est bien plus facile à animer en réunion.
- Vert, ça va : l'usage est connu, les outils sont identifiés, les humains gardent le contrôle.
- Jaune, à encadrer : l'IA apporte déjà de la valeur, mais les règles, les comptes ou les validations sont flous.
- Rouge, à régler vite : des données sensibles dans des outils non validés, une décision sans supervision, ou personne de clairement responsable.
Le cadre légal
La Loi 25, en clair
La Loi 25 s'applique à toute entreprise qui recueille, détient, utilise ou communique des renseignements personnels au Québec, sans exception de taille. Et depuis 2026, elle n'est plus théorique : la Commission d'accès à l'information est passée d'un rôle surtout éducatif à ses premières sanctions concrètes.
- Des sanctions réelles. Jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial pour une sanction administrative, et jusqu'à 25 M$ ou 4 % au pénal, selon le montant le plus élevé.
- Un responsable désigné. Par défaut, la personne ayant la plus haute autorité, mais le rôle peut être délégué. Son titre et ses coordonnées doivent être publiés.
- Un registre des incidents. Tout incident de confidentialité est consigné, même mineur, même sans conséquence apparente.
- Un avis en cas de risque sérieux. Si une fuite présente un risque réel pour les personnes, il faut aviser sans tarder la Commission d'accès à l'information et les personnes touchées.
Passer à l'action
Envie de passer à l'action ? On a un modèle
Le meilleur premier geste après ce diagnostic, c'est souvent d'écrire une vraie politique d'usage de l'IA. Pour t'éviter la page blanche, voici un modèle complet, pensé pour une PME québécoise et aligné sur la Loi 25 : outils autorisés, règles de saisie, procédure d'incident, rôles, aide-mémoire à afficher.
Un modèle prêt à adapter : remplace les champs entre crochets par les informations de ton entreprise, fais-le valider, puis insère-le dans ton manuel de l'employé.
Télécharger le modèle de politiqueJe ne suis pas juriste, et ce guide n'est pas un avis juridique. Je suis quelqu'un qui explore l'IA au quotidien et qui la voit s'installer dans les organisations avant même qu'on en ait parlé en réunion. C'est exactement pour ça que ces dix questions existent : pas pour te faire peur, pour t'aider à voir clair et à décider en connaissance de cause.
Ta petite fiche
À retenir
- L'IA est probablement déjà dans ta PME, avec ou sans décision officielle. Mieux vaut le voir que l'ignorer.
- Dix questions, trois axes : adoption, valeur, risque. Le risque pèse un peu plus lourd, c'est voulu.
- Chaque question a un premier geste réaliste : le diagnostic devient action, sans virer à l'audit lourd.
- Ton résultat tient en trois couleurs : vert, jaune, rouge. Facile à présenter à ta direction ou ton conseil.
- La Loi 25 s'applique sans exception de taille, et les premières sanctions sont tombées. Ce n'est plus théorique.
- La suite logique du diagnostic : une politique d'usage claire, à partir du modèle fourni.
Pour continuer
La gouvernance des données en vrai
Cinq gestes simples pour prendre soin de ce que ta PME possède déjà.
L'IA au travail sans faux pas
Les réflexes pour utiliser l'IA au bureau en toute confiance.
La suite de ton cap
Tu as ton portrait. Voyons comment écrire des règles claires, sans faux pas.