Gouvernance de l'IA : par où commencer ? (le guide pour les directions et les conseils d'administration au Québec)
Dernière mise à jour : 6 oct.
L'IA est déjà dans votre organisation, avec ou sans règles. La vraie question : par où commencer pour l'encadrer ? Voici une démarche en 4 étapes pour bâtir une gouvernance de l'IA qui accélère au lieu de freiner, et le rôle qu'y joue votre conseil d'administration.
Dans la plupart des organisations québécoises, l'intelligence artificielle est entrée sans attendre la permission. Des employés rédigent leurs courriels avec un outil d'IA générative. Des gestionnaires résument des rapports avec un assistant conversationnel. Et plusieurs logiciels que vous utilisez depuis des années intègrent maintenant des fonctions d'IA, souvent activées par défaut.
Pendant ce temps, le conseil d'administration commence à poser des questions. Quels outils utilisons-nous ? Quelles données y circulent ? Sommes-nous en règle avec la Loi 25 ? La direction n'a pas toujours de réponse claire.
Deux réflexes dominent alors : tout interdire, ou laisser aller. Interdire pousse les usages dans l'ombre. Laisser aller expose l'organisation à des risques qu'elle ne mesure pas. La gouvernance de l'IA est la troisième voie : bien conçue, elle n'est pas un frein, c'est ce qui permet d'accélérer en confiance.
Ce qu'est (et ce que n'est pas) la gouvernance de l'IA
La gouvernance de l'IA, c'est l'ensemble des règles, des rôles et des mécanismes qui encadrent la façon dont votre organisation choisit, utilise et surveille l'intelligence artificielle. Elle répond à quatre questions : qui décide, qu'est-ce qui est permis, comment évalue-t-on les risques, et comment nous devons rendre des comptes.
Ce n'est pas un document de 40 pages que personne ne lit. Ce n'est pas non plus un dossier à confier aux seules technologies de l'information. L'IA touche les ressources humaines, le juridique, les opérations et les relations avec la clientèle : sa gouvernance doit être transversale et portée par la direction.
Les 4 étapes pour bâtir votre gouvernance de l'IA
1. Faire l'état des lieux des usages réels : On ne gouverne pas ce qu'on ne voit pas. Avant de rédiger quoi que ce soit, dressez un portrait honnête de la situation :
• quels outils d'IA sont utilisés, de façon officielle ou non;
• quelles données y sont saisies : renseignements personnels, informations confidentielles, données financières;
• quels projets d'IA sont en cours ou envisagés;
• quels fournisseurs ont ajouté des fonctions d'IA à vos logiciels existants.
Un court sondage anonyme auprès des employés donne souvent un portrait plus juste que l'inventaire officiel. L'objectif n'est pas de trouver des coupables, mais de comprendre les besoins. Si vos équipes utilisent l'IA en cachette, c'est qu'elles y trouvent une valeur que l'organisation ne leur offre pas encore.
2. Adopter une politique d'utilisation de l'IA claire : C'est souvent le premier livrable concret, et celui qui a le plus d'effet immédiat. Pour être lue et respectée, elle doit tenir en quelques pages et parler le langage des employés. Elle devrait notamment préciser :
• les outils autorisés, et la démarche pour en faire approuver de nouveaux;
• les données interdites : renseignements personnels, informations confidentielles de clients ou de partenaires, secrets d'affaires;
• la vérification humaine : tout contenu produit par l'IA est relu et validé par une personne qui en assume la responsabilité;
• la transparence : les cas où il faut indiquer qu'un contenu ou une décision s'appuie sur l'IA;
• le signalement : à qui s'adresser en cas de doute ou d'incident.
3. Intégrer la Loi 25 dès la conception : Au Québec, la gouvernance de l'IA est indissociable de la protection des renseignements personnels. La Loi 25 ne vise pas l'IA en tant que telle, mais plusieurs de ses obligations touchent directement les projets d'IA.
La leçon pratique : intégrez ces vérifications au processus d'approbation des projets d'IA, plutôt que de les faire après coup.
4. Définir les rôles et gérer les risques de façon proportionnée : Une gouvernance efficace repose sur des responsabilités claires. Dans la plupart des organisations, cela passe par un petit comité de l'IA qui réunit les affaires, les TI, la sécurité de l'information, le juridique et les ressources humaines, sous la responsabilité d'un dirigeant imputable.
Ce comité ne doit pas devenir un goulot d'étranglement. La clé est la proportionnalité : tous les usages ne présentent pas le même niveau de risque.
Niveau de risque | Exemples d'usages | Exigences suggérées |
Faible | Reformuler une note interne | Respect de la politique d'utilisation |
Moyen | Rédiger des communications à la clientèle, analyser des données internes | Approbation du gestionnaire, vérification humaine systématique |
Élevé | Trier des candidatures, évaluer un dossier client, toute décision qui touche une personne et a un impact sur les opérations | Analyse approfondie, supervision humaine renforcée |
Tenez un registre des cas d'usage approuvés. Intégrez aussi l'IA à vos processus d'approvisionnement : chaque fournisseur devrait pouvoir expliquer où sont hébergées vos données, si elles servent à entraîner ses modèles et comment désactiver ses fonctions d'IA.
Cas de succès : organisation parapublique
Notre mandat : un cadre de gouvernance de l'IA et des données aligné sur la Loi 25.
Ce qu'il illustre : la gouvernance de l'IA et celle des données vont de pair. Une organisation qui ignore quelles données elle détient, où elles se trouvent et qui y a accès aura du mal à encadrer l'IA de façon crédible. À l'inverse, des données bien gouvernées accélèrent tous les projets d'IA qui suivent.
Le conseil d'administration et l'IA : surveiller sans gérer
Le conseil d'administration n'a pas à gérer l'IA, mais il doit s'assurer qu'elle est gouvernée. Comme pour la cybersécurité, c'est une question de surveillance des risques et d'orientation stratégique.
Deux gestes simples font une grande différence. D'abord, inscrire l'IA à l'ordre du jour de façon périodique et préciser quel comité du conseil en assure le suivi. Ensuite, prévoir une séance de formation pour les administrateurs : on supervise mal une technologie qu'on ne comprend pas.
⚠️ Cinq questions à poser dès la prochaine réunion du conseil
• Savons-nous où et comment l'IA est utilisée dans l'organisation ?
• Qui, à la direction, en est imputable ?
• Notre appétit pour le risque en matière d'IA est-il défini et documenté ?
• Comment le conseil serait-il informé d'un incident lié à l'IA ?
• L'IA fait-elle partie de notre stratégie, ou est-elle traitée comme un simple enjeu technologique ?
Questions fréquentes
Une PME a-t-elle vraiment besoin d'une gouvernance de l'IA ?
Oui, mais à sa mesure. Une PME n'a pas besoin d'un comité formel ni d'un cadre exhaustif. Une politique d'utilisation claire, un inventaire des outils et une personne responsable constituent déjà une base solide, surtout si l'entreprise traite des renseignements personnels.
Faut-il interdire complètement les outils d'IA grand public comme ChatGPT ?
Une interdiction totale est rarement efficace : les usages se déplacent simplement vers les appareils personnels. Mieux vaut offrir une solution approuvée et préciser clairement ce qu'on peut y saisir ou non.
Combien de temps faut-il pour mettre en place un premier cadre ?
Cela dépend de la taille et de la complexité de l'organisation. Une première version fonctionnelle (inventaire, politique, rôles) peut généralement être en place en quelques semaines. La maturité, elle, se construit sur plusieurs mois, au fil des projets.
Commencer petit, mais commencer maintenant
La gouvernance de l'IA n'est pas un exercice de conformité qu'on coche une fois pour toutes. C'est une capacité qui permet de saisir les occasions de l'IA sans perdre la confiance des employés, de la clientèle et du conseil.
Vous vous demandez par où commencer dans votre organisation ? Réservez une première conversation de 30 minutes avec Alnixia. Nous ferons le point sur votre situation et sur les prochaines étapes les plus utiles.
