Sommaire
- Pourquoi une politique IA devient urgente
- Politique, standard et registre : trois documents différents
- Le modèle en douze sections
- Une matrice des usages plus utile qu’une interdiction générale
- Les données : écrire des règles compréhensibles
- Loi 25 et décisions automatisées
- La clause spéciale pour les agents IA
- Évaluer les fournisseurs sans lire cent pages
- Déployer la politique en 30 jours
- Mesurer si la politique fonctionne
Une bonne politique IA devrait se comprendre sans juriste à côté. Elle dit quels outils sont permis, quelles données ne doivent pas y entrer, quand une personne doit vérifier le résultat et à qui poser une question. Le reste peut vivre dans un registre mis à jour plus souvent que la politique elle-même.
Pourquoi une politique IA devient urgente
L’usage devance souvent les règles. L’indice ESET 2026 rapporte que 40 % des PME interrogées ne disposent pas de politique limitant l’utilisation d’applications IA hors des processus ou plateformes approuvés. Statistique Canada observe pour sa part que 5 % des non-utilisateurs d’IA générative au travail invoquent les politiques de leur organisation comme limite.
Les deux études ne portent pas sur la même population, mais elles montrent bien le dilemme. Sans règle, les données et les décisions deviennent invisibles. Avec une interdiction trop large, les employés continuent parfois sur leurs comptes personnels, là où l’entreprise voit encore moins de choses.
StatistiquesLe déficit de politique IA · bloc partageable
40 %
des PME sondées sans restriction du shadow AI
ESET · enquête internationale 2026
5 %
des non-utilisateurs limités par une politique
travailleurs canadiens · StatCan, mars 2026
4 niveaux
pour classer les usages
autorisé, encadré, approbation, interdit
Politique, standard et registre : trois documents différents
TableauArchitecture documentaire légère · bloc partageable
| Rôle | Fréquence de mise à jour | |
|---|---|---|
| Politique IA | Principes, responsabilités et règles obligatoires | Au moins annuelle ou après changement majeur |
| Standard technique | Contrôles d’accès, journaux, données, tests et fournisseurs | À chaque évolution de l’architecture |
| Registre des usages | Outil, finalité, propriétaire, données, risque et statut | Continu, dès qu’un usage change |
| Guide employé | Exemples simples de ce qui est permis ou non | Avec chaque nouvel outil approuvé |
Évitez d’inscrire chaque nom de modèle dans la politique : la liste serait périmée en quelques mois. La politique renvoie plutôt vers le registre des outils autorisés, que l’équipe responsable peut mettre à jour sans relancer tout le processus d’approbation.
Le modèle en douze sections
- 1Objet : expliquer que la politique vise les usages internes, les produits et les décisions assistées ou automatisées.
- 2Portée : employés, consultants, filiales, appareils et comptes concernés.
- 3Définitions : IA générative, agent, donnée sensible, usage approuvé et décision automatisée.
- 4Responsabilités : direction, propriétaire métier, TI, sécurité, vie privée et utilisateur.
- 5Usages autorisés : tâches à faible risque permises avec outils approuvés.
- 6Usages soumis à approbation : données sensibles, décisions importantes, intégrations et agents.
- 7Usages interdits : secrets dans un outil public, contournement des accès, usurpation, décisions illégales ou non révisables.
- 8Données : classification, minimisation, conservation, localisation et droits.
- 9Validation humaine : faits, sources, droits, équité et autorisation avant action sensible.
- 10Fournisseurs : contrat, réutilisation des données, sécurité, sous-traitants, incident et sortie.
- 11Transparence : information aux personnes lorsqu’un contenu ou une décision l’exige.
- 12Incident et révision : signalement sans blâme, révocation, correction, preuves et calendrier de revue.
Une matrice des usages plus utile qu’une interdiction générale
TableauQuatre niveaux de décision · bloc partageable
| Exemples | Contrôle | |
|---|---|---|
| Autorisé | Idéation, reformulation non sensible, aide sur contenu public | Outil approuvé et vérification normale |
| Encadré | Brouillon client, synthèse interne, code non critique | Compte entreprise, sources et relecture |
| Approbation requise | Données personnelles, intégration, agent, recrutement, finance | Évaluation du risque et responsable nommé |
| Interdit | Secrets dans outil public, fraude, surveillance cachée, action illégale | Blocage, signalement et traitement d’incident |
Les données : écrire des règles compréhensibles
La phrase « ne pas transmettre de données confidentielles » est trop vague pour aider quelqu’un devant son écran. Donnez des exemples : mots de passe, clés API, listes de clients, renseignements de santé, contrats non publics, code source, données financières et dossiers RH. Indiquez aussi qui peut autoriser une exception.
- Les données publiques peuvent être utilisées dans un outil approuvé, sous réserve des droits et de la qualité.
- Les données internes exigent un compte d’entreprise et une finalité autorisée.
- Les renseignements personnels sont minimisés et traités selon les obligations applicables.
- Les secrets et identifiants ne sont jamais saisis dans une conversation ou un prompt.
- Les données sensibles ne passent dans un système IA qu’après évaluation du fournisseur et de l’architecture.
Loi 25 et décisions automatisées
Au Québec, l’outil IA ne remplace pas les obligations sur l’utilisation, l’accès et la communication des renseignements personnels. Lorsqu’une décision repose exclusivement sur un traitement automatisé de renseignements personnels, des obligations d’information et de possibilité de présenter des observations peuvent s’appliquer. La politique doit donc exiger l’examen juridique et vie privée des processus concernés.
Une politique n’est pas un avis juridique
Le modèle doit être adapté au secteur, aux conventions, aux contrats et aux lois applicables. Les processus touchant emploi, crédit, santé, assurance ou services essentiels méritent une analyse spécialisée.
La clause spéciale pour les agents IA
Dès qu’un agent peut agir, les règles changent. Il ne devrait jamais emprunter le compte personnel d’un employé. Donnez-lui une identité technique, une courte liste d’actions permises et une obligation d’approbation avant un paiement, une publication ou toute opération difficile à annuler.
Le standard associé détaille les journaux, plafonds de coût, destinations réseau, secrets temporaires, tests, mécanisme d’arrêt et reprise manuelle. Notre cadre sur la sécurité des agents IA peut servir de référence technique.
Évaluer les fournisseurs sans lire cent pages
InfographieSix questions contractuelles · bloc partageable
01
Données
Le fournisseur entraîne-t-il ses modèles avec le contenu client ou ses métadonnées ?
02
Rétention
Combien de temps prompts, sorties, fichiers et journaux sont-ils conservés ?
03
Accès
Qui peut atteindre les données et comment les accès privilégiés sont-ils tracés ?
04
Lieu
Où se déroulent traitement, stockage, sauvegarde, soutien et sous-traitance ?
05
Incident
Quel avis, quelles preuves et quelle coopération sont prévus ?
06
Sortie
Comment supprimer, exporter et remplacer le service sans perdre le registre ?
Déployer la politique en 30 jours
- 1Semaine 1 — découvrir : inventorier outils et besoins avec un sondage sans blâme; identifier les usages urgents.
- 2Semaine 2 — décider : approuver la matrice, les rôles, les données et un petit catalogue d’outils.
- 3Semaine 3 — configurer : comptes d’entreprise, authentification, permissions, journaux et canal de demande.
- 4Semaine 4 — former : ateliers par rôle, exemples réels, test de compréhension et mécanisme de signalement.
Mesurer si la politique fonctionne
Le nombre d’interdictions ne dit pas si la politique fonctionne. Regardez plutôt le délai pour approuver un nouvel usage, les outils avec un propriétaire, les accès révoqués, les incidents et les employés formés. Une politique utile rend les usages visibles sans transformer chaque bonne idée en parcours administratif.
Questions fréquentes sur la politique IA
Une PME a-t-elle vraiment besoin d’une politique IA ?+
Oui dès que des employés utilisent des assistants, générateurs de code ou fonctions IA dans des logiciels. Le document peut être court, mais les outils, données et responsabilités doivent être visibles.
Faut-il interdire ChatGPT et Claude ?+
Pas automatiquement. Autorisez quelques outils évalués avec comptes d’entreprise et règles de données. Une interdiction générale peut déplacer l’usage vers des comptes personnels.
Qui doit approuver la politique ?+
La direction doit la soutenir; TI, sécurité, vie privée, RH et métiers adaptent les règles. Un propriétaire coordonne le registre, mais chaque processus conserve un responsable.
À quelle fréquence la revoir ?+
Au moins chaque année, et après un incident, un changement légal, une nouvelle fonction agentique ou un changement important de fournisseur.
Comment faire respecter la politique ?+
Combinez formation, outils approuvés, comptes centralisés, permissions, canal rapide de demande et contrôles techniques proportionnés. Expliquez toujours le besoin derrière la règle.
Écrire une politique que les équipes utiliseront
Nous partons des outils et des situations déjà présents dans votre entreprise, puis nous transformons les règles en comptes, validations et responsabilités claires.
D
Rédigé par
DAILLAC
Daillac aide les organisations à transformer les principes de gouvernance IA en règles, contrôles et preuves applicables.
