Politique d’utilisation de l’IA : le document qui manque à la plupart des PME

Un estimateur de Granby colle trois pages d’une soumission dans ChatGPT pour la reformuler avant l’envoi. Une adjointe verse la liste des clients dans un outil gratuit pour préparer un publipostage. Un contrôleur demande à une IA publique d’analyser le fichier de paie pour repérer des écarts. Personne n’a voulu mal faire. Chacun voulait gagner du temps.

Ce phénomène porte un nom : le shadow IA (ou IA fantôme), c’est-à-dire l’utilisation d’outils d’intelligence artificielle sans l’approbation ni la supervision de l’entreprise. Le problème n’est pas l’outil lui-même. C’est que des renseignements personnels, des prix et des secrets d’affaires quittent votre périmètre vers des serveurs situés hors Québec, sans l’évaluation préalable qu’exige l’article 17 de la Loi 25, parfois sous une licence qui permet au fournisseur de réutiliser les contenus soumis. Et il n’existe aucun journal de ce qui est sorti.

La Loi 25 s’applique à toute entreprise qui détient des renseignements personnels au Québec, sans seuil de taille ni de chiffre d’affaires. Le risque n’est plus théorique : les premières sanctions de la Commission d’accès à l’information (CAI) ont été rendues publiques en 2026. La CAI peut imposer directement des sanctions administratives allant jusqu’à 10 M$ ou 2 % du chiffre d’affaires mondial, les tribunaux peuvent prononcer des amendes pénales atteignant 25 M$ ou 4 %, et toute personne lésée dispose d’un droit d’action privé assorti de dommages punitifs d’au moins 1 000 $ en cas de faute intentionnelle ou lourde.

Interdire l’IA ne règle rien : les employés basculent sur leur téléphone personnel et le problème devient invisible. La réponse durable, c’est un document court, clair et signé, qui dit ce qui est permis, ce qui est encadré et ce qui est interdit. C’est exactement le rôle d’une politique d’utilisation de l’IA.

Une politique efficace tient sur quelques pages. Elle ne cherche pas à couvrir tous les cas de figure : elle pose des principes que chacun peut appliquer quand la situation est nouvelle. Sept suffisent.

Le premier rôle est le Responsable de la protection des renseignements personnels. Il n’est pas optionnel : la Loi 25 l’exige depuis le 22 septembre 2022. Par défaut, cette fonction revient à la personne ayant la plus haute autorité dans l’entreprise, souvent sans qu’elle le sache. Elle peut être déléguée par écrit, et le titre ainsi que les coordonnées du responsable doivent être publiés sur votre site web. Dans le contexte de l’IA, c’est cette personne qui tranche les questions touchant les renseignements personnels : caviardage, consentement, transferts, incidents.

Le second rôle est le Responsable de l’IA. Celui-là, la loi ne l’impose pas, mais l’expérience le rend indispensable. Il tient le registre des outils approuvés et le registre des cas d’usage, reçoit les demandes d’ajout, organise la formation et sert de point de contact unique. Dans une PME, les deux chapeaux peuvent être portés par la même personne, à condition que ce soit écrit.

Autour d’eux, la politique précise ce qu’on attend de la direction (donner le ton et les ressources), des TI (sécuriser et surveiller), des gestionnaires (appliquer les règles dans leur équipe) et de chaque employé (les respecter et signaler les doutes).

Le cœur de la politique tient en trois colonnes. Chaque usage d’IA tombe dans l’une d’elles, et tout ce qui n’est pas encore classé est traité comme encadré jusqu’à décision du Responsable de l’IA.

Les exemples doivent parler à vos équipes. Chez un fabricant, on nommera les plans et les nomenclatures. Dans un cabinet comptable, les états financiers des clients. L’interdiction la plus importante se résume en une phrase à afficher près de la machine à café : jamais de renseignements personnels, de secrets d’affaires, de prix ni de soumissions dans un outil d’IA public non approuvé.

Deux cadres internationaux structurent aujourd’hui la gouvernance de l’IA. ISO/IEC 42001:2023 définit un système de gestion de l’intelligence artificielle, comme ISO 27001 le fait pour la sécurité de l’information, et recoupe une bonne partie des exigences du règlement européen sur l’IA. Le NIST AI RMF, publié par l’institut américain des normes, organise la gestion des risques en quatre fonctions : gouverner, cartographier, mesurer et gérer.

Aucun des deux n’est obligatoire au Québec. Une PME n’a pas besoin de viser la certification; elle a besoin d’une politique rédigée en cohérence avec ces cadres, sans revendiquer une attestation qu’elle ne détient pas. Concrètement, cela signifie des rôles nommés, un registre des cas d’usage, une évaluation des risques proportionnée avant chaque déploiement, des mesures de contrôle documentées et une révision périodique. Si un client important ou un donneur d’ordres exige un jour la norme ISO 42001, vous aurez déjà la charpente.

Un employé vous avoue avoir versé le fichier des employés dans un outil public le mois dernier. C’est un incident de confidentialité potentiel, et la Loi 25 encadre la suite. Si l’incident présente un risque de préjudice sérieux, vous devez aviser la CAI et les personnes concernées « avec diligence ». Point d’honnêteté : contrairement au RGPD européen et à son délai de 72 heures, la loi québécoise ne fixe aucun délai chiffré. Tarder sans raison documentée joue toutefois contre vous.

Tout incident, avisé ou non, doit être inscrit dans un registre conservé au moins cinq ans (articles 3.5 à 3.8). La politique d’utilisation de l’IA prolonge cette obligation : elle prévoit un canal de signalement sans blâme, parce qu’un employé qui craint une sanction se taira, et c’est le silence qui coûte cher. Elle décrit aussi les premiers gestes : cesser l’usage, documenter ce qui est sorti, évaluer le préjudice, corriger la cause.

Une politique sans outils d’application reste un vœu pieux. Cinq annexes la font vivre au quotidien.

Commencez par mesurer le shadow IA chez vous : un sondage anonyme de cinq questions suffit à savoir qui utilise quoi. Vous serez probablement surpris. Nommez ensuite le Responsable de la protection des renseignements personnels, si ce n’est pas déjà fait, et désignez un Responsable de l’IA. Rédigez une première version courte de la politique, six pages au maximum, avec le tableau permis, encadré, interdit et les cinq annexes. Faites-la signer. Prévoyez la révision dans un an : les outils changent vite, et une politique qui mentionne des services disparus perd toute crédibilité auprès de vos équipes.

La politique s’inscrit dans une démarche de conformité plus large. Notre guide de conformité à la Loi 25 couvre l’ensemble des obligations de la loi, et notre guide pratique de l’ÉFVP détaille l’évaluation exigée avant chaque déploiement. Si vos outils actuels sont hébergés aux États-Unis, lisez aussi notre analyse du CLOUD Act et de la souveraineté des données : le choix des outils à inscrire au registre en dépend directement.

Enfin, la meilleure politique reste celle qui offre une solution de rechange. Interdire les outils publics fonctionne seulement si les employés disposent d’un assistant approuvé, hébergé chez vous, qui rend un service équivalent. C’est souvent là que la gouvernance rejoint l’architecture.