Une politique d'utilisation de l'IA en entreprise doit répondre à quatre questions simples : quels outils d'intelligence artificielle vos employés peuvent-ils utiliser, quelles données ne doivent jamais y être saisies, comment protéger la confidentialité de vos clients, et qui approuve un nouvel outil avant qu'il soit adopté sur le terrain. Sans réponse claire à ces quatre questions, vos employés utilisent déjà l'IA — souvent avec des comptes gratuits personnels, sur leur propre appareil, sans que personne à la direction ne le sache vraiment.
Ce guide s'adresse aux propriétaires et gestionnaires de PME québécoises qui savent que leurs employés utilisent l'intelligence artificielle générative au quotidien (rédaction de courriels, résumés de réunions, code, service à la clientèle) mais qui n'ont encore rien mis par écrit pour encadrer cette pratique. Nous couvrons pourquoi cette absence de politique constitue un risque réel et déjà présent dans la majorité des PME, ce qu'une politique d'utilisation de l'IA doit couvrir concrètement, comment bâtir une liste d'outils approuvés, les règles de traitement des données et de confidentialité client, un modèle de politique à cocher que vous pouvez adapter directement, un plan de déploiement étape par étape, la formation des employés, des études de cas de PME québécoises fictives mais réalistes, le budget réel en dollars canadiens et les ressources gouvernementales pertinentes au Québec. Nos techniciens certifiés appliquent cette même rigueur lorsqu'ils accompagnent des PME en cybersécurité entreprise ou en support informatique PME partout au Québec.
Le « shadow AI » : un problème déjà installé, rarement documenté
Lors de nos audits en entreprise en 2026, il est devenu rare de rencontrer une PME où aucun employé n'utilise déjà un outil d'IA générative — mais il est tout aussi rare de trouver une politique écrite qui encadre cet usage. Entre les deux se cache ce qu'on appelle le « shadow AI » : des employés bien intentionnés qui collent des extraits de courriels, des données financières ou des dossiers clients dans un outil gratuit, simplement parce que personne ne leur a dit de ne pas le faire.
Pourquoi votre PME a besoin d'une politique IA en 2026
L'intelligence artificielle générative s'est intégrée au quotidien de travail plus rapidement que n'importe quel outil technologique avant elle. Contrairement à un nouveau logiciel de gestion qui demande un déploiement formel, un employé peut commencer à utiliser ChatGPT, Copilot ou Gemini en quelques secondes, sur son propre appareil, sans jamais passer par le service TI. Cette facilité d'adoption est aussi ce qui rend le risque particulièrement difficile à voir venir.
Le risque de fuite de données clients et de renseignements personnels
Chaque fois qu'un employé colle un extrait de courriel client, un numéro de dossier ou une note de suivi dans un outil d'IA générative gratuit, cette information quitte les systèmes de l'entreprise et échappe potentiellement à son contrôle. Selon les conditions d'utilisation applicables à la version utilisée, ce contenu peut être conservé par le fournisseur et, dans certains cas, servir à l'entraînement futur des modèles — une réalité que peu d'employés connaissent réellement au moment de coller un texte dans une fenêtre de clavardage.
La perte de propriété intellectuelle
Au-delà des données clients, les entreprises exposent aussi leur propre propriété intellectuelle : code source interne, stratégies marketing non publiées, plans de produits, listes de prix négociés, ou processus internes qui constituent un avantage concurrentiel. Un développeur qui colle un extrait de code propriétaire dans un outil d'IA public pour obtenir de l'aide au débogage peut, sans le vouloir, exposer une logique métier que l'entreprise n'a jamais eu l'intention de rendre publique.
Des réponses générées par l'IA envoyées directement aux clients
De plus en plus d'employés utilisent l'IA pour rédiger des réponses aux clients, des soumissions ou des contrats — parfois sans relecture suffisante. Une réponse générée par l'IA qui contient une erreur factuelle, une promesse non autorisée ou un ton inadéquat, envoyée directement à un client sans validation humaine, peut créer un engagement contractuel involontaire ou nuire à la relation client, avec un niveau de responsabilité que l'entreprise n'a jamais formellement délégué à un outil.
L'absence de traçabilité et de responsabilité claire
Sans politique, personne ne sait précisément qui a utilisé quel outil, sur quelles données, ni qui approuve un nouvel outil avant son adoption. En cas d'incident — une fuite de données, une plainte d'un client, une vérification de la Commission d'accès à l'information — l'entreprise se retrouve sans aucune trace documentée de ses règles internes en matière d'IA, ce qui complique considérablement toute défense ou tout exercice de diligence raisonnable.
Un exemple concret et fréquent
Un(e) adjoint(e) administratif(ve) reçoit un courriel client contenant un numéro d'assurance sociale pour une demande de remboursement. Pressé(e) par le temps, il ou elle colle le courriel complet dans un outil d'IA gratuit pour obtenir un résumé rapide à transmettre à la comptabilité. Ce geste, fait en toute bonne foi et en quelques secondes, expose potentiellement un renseignement personnel extrêmement sensible en dehors des systèmes contrôlés de l'entreprise — un scénario qu'une politique claire et une liste d'outils approuvés auraient facilement pu prévenir.
Ce qu'une politique d'utilisation de l'IA doit couvrir
Une politique d'IA efficace ne se limite pas à une simple liste d'interdictions — elle doit couvrir de façon structurée plusieurs dimensions complémentaires. Voici les éléments essentiels que nous recommandons d'inclure, avec le niveau de risque associé à leur absence.
| Élément de la politique | Ce qu'il couvre concrètement | Exemple concret | Risque si absent |
|---|---|---|---|
| Liste d'outils approuvés | Quels outils d'IA sont officiellement autorisés, avec quel niveau de compte (gratuit, professionnel, entreprise) | ChatGPT Team autorisé, ChatGPT gratuit interdit pour usage professionnel | Élevé — usage incontrôlé d'outils sans garantie de confidentialité |
| Classification des données | Quelles catégories de données ne doivent jamais être saisies dans un outil d'IA, approuvé ou non | Renseignements personnels, données de santé, informations financières de clients | Élevé — fuite de renseignements personnels, manquement à la Loi 25 |
| Règles de confidentialité client | Conditions d'utilisation de l'IA sur des dossiers clients, obligation de divulgation | Vérification des clauses contractuelles avant d'utiliser l'IA sur un dossier client | Élevé — bris de contrat, perte de confiance client |
| Validation humaine obligatoire | Exigence de relecture humaine avant tout envoi externe d'un contenu généré par l'IA | Aucune réponse à un client envoyée sans relecture par un employé | Moyen — erreurs factuelles, engagement contractuel involontaire |
| Processus d'approbation de nouveaux outils | Qui évalue et approuve un nouvel outil d'IA avant son adoption par un département | Demande soumise au responsable TI ou à la direction avant tout nouvel outil | Moyen — prolifération incontrôlée d'outils non vérifiés |
| Propriété intellectuelle | Interdiction de saisir du code, des plans ou des stratégies propriétaires dans un outil non approuvé | Code source, listes de prix négociés, documents stratégiques internes | Élevé — perte d'avantage concurrentiel |
| Sanctions et responsabilités | Conséquences d'un manquement à la politique et personne responsable de son application | Rappel formel, formation corrective, mesures disciplinaires selon la gravité | Faible à moyen — politique sans application réelle |
| Révision périodique | Fréquence de révision de la politique face à l'évolution rapide des outils d'IA | Révision annuelle minimale, plus fréquente si un nouvel outil majeur apparaît | Moyen — politique rapidement dépassée par la réalité du terrain |
Une politique qui couvre ces huit éléments, même de façon concise, offre déjà une base beaucoup plus solide que l'absence totale de règles — la situation actuelle de la majorité des PME québécoises que nous rencontrons. Le comparatif du gestionnaire de mots de passe en entreprise suit d'ailleurs une logique similaire : structurer l'accès et l'usage plutôt que de simplement interdire sans alternative claire.
Vous ne savez pas par où commencer pour encadrer l'IA dans votre PME ?
Nos techniciens certifiés IT Cares évaluent votre environnement actuel avant de recommander une politique et une liste d'outils adaptées à votre budget et à la taille de votre équipe.
Bâtir votre liste d'outils IA approuvés
Plutôt que d'interdire l'IA en bloc — une approche qui pousse presque toujours les employés vers un usage encore plus caché — la majorité des PME ont intérêt à autoriser un nombre limité d'outils bien choisis, avec des règles claires sur leur usage.
Privilégier les versions professionnelles ou entreprise
La différence la plus importante à comprendre se situe entre une version gratuite grand public et une version professionnelle ou entreprise d'un même outil. Les versions entreprise (ChatGPT Team ou Enterprise, Microsoft Copilot pour Microsoft 365, Google Gemini pour Workspace) incluent généralement un contrat de traitement des données qui garantit que le contenu saisi par les employés n'est pas utilisé pour entraîner les modèles publics — une garantie généralement absente ou beaucoup plus limitée dans les versions gratuites.
Vérifier la résidence et le traitement des données
Pour les entreprises qui traitent des données particulièrement sensibles, il vaut la peine de vérifier où les données sont hébergées et traitées, et si le fournisseur offre des garanties contractuelles spécifiques (comme un avenant de traitement des données ou « Data Processing Addendum »). Cette vérification prend généralement quelques minutes de lecture des conditions du fournisseur, mais elle doit être faite avant d'ajouter un outil à la liste approuvée, pas après.
Adapter la liste par département
Tous les départements n'ont pas besoin des mêmes outils. Le marketing peut avoir besoin d'un outil de génération d'images ou de rédaction publicitaire, le développement d'un assistant de code intégré à l'environnement de programmation, et le service à la clientèle d'un outil de résumé de conversations. Une liste unique et générique pour toute l'entreprise mène souvent soit à trop de restrictions pour certains départements, soit à trop de laxisme pour d'autres — une liste segmentée par fonction, même simple, donne de meilleurs résultats.
Documenter clairement ce qui est interdit, pas seulement ce qui est permis
Une bonne politique nomme explicitement les outils ou pratiques interdits plutôt que de se limiter à une liste d'outils permis — par exemple, préciser qu'aucun outil d'IA gratuit non listé ne doit être utilisé pour des tâches impliquant des données de l'entreprise, même à titre exploratoire ou ponctuel. Cette clarté évite l'ambiguïté du « ce qui n'est pas explicitement interdit doit être permis », une interprétation risquée en matière d'IA.
Règles de traitement des données et confidentialité client
La confidentialité des données clients mérite une section dédiée dans toute politique d'IA, car c'est souvent l'angle le plus négligé — les employés pensent généralement aux données internes de l'entreprise, mais oublient que les dossiers clients sont soumis à des obligations contractuelles et légales distinctes.
Vérifier les clauses contractuelles existantes avec les clients
De nombreux contrats de service, en particulier dans les domaines juridique, comptable, financier ou de santé, contiennent déjà des clauses de confidentialité qui encadrent, voire interdisent explicitement, le recours à des outils tiers — incluant l'intelligence artificielle — sur les données du client sans autorisation préalable. Avant d'autoriser l'usage de l'IA sur des dossiers clients, il faut vérifier ces clauses existantes, qui priment sur la politique interne de l'entreprise.
Anonymiser avant de saisir, même avec un outil approuvé
Même avec un outil d'IA approuvé et sous contrat de traitement des données, la meilleure pratique reste de retirer ou de remplacer les identifiants directs (nom complet, numéro de dossier, coordonnées) avant de saisir un contenu dans l'outil, chaque fois que la tâche le permet. Cette habitude réduit considérablement l'impact d'un incident éventuel, même chez un fournisseur par ailleurs fiable.
La divulgation aux clients : une question à trancher explicitement
De plus en plus de clients demandent explicitement si l'IA a été utilisée dans le traitement de leur dossier ou la production d'un livrable. Une politique claire devrait trancher cette question à l'avance plutôt que de laisser chaque employé improviser une réponse : dans quels cas l'usage de l'IA doit-il être divulgué au client, et sous quelle forme ? Certaines entreprises optent pour une clause standard ajoutée à leurs contrats de service, d'autres pour une divulgation au cas par cas selon la sensibilité du dossier.
Les données de santé et financières : un niveau de prudence supplémentaire
Les renseignements de santé et les données financières détaillées de clients devraient systématiquement être exclus de tout outil d'IA, même approuvé, sauf exception documentée et validée par la direction. Ces catégories de données sont non seulement les plus sensibles sur le plan légal, mais aussi celles dont la fuite cause le préjudice le plus grave et le plus difficile à réparer pour les personnes concernées.
Modèle de politique d'utilisation de l'IA — à cocher et adapter
Voici un modèle de politique condensé sous forme de liste à cocher, conçu pour être adapté directement à la réalité de votre entreprise. Cochez, modifiez ou retirez les éléments selon votre secteur d'activité et vos besoins spécifiques — ce modèle est un point de départ, pas un document juridique final.
Modèle de politique d'utilisation de l'IA — PME
- ☐ Les outils d'IA approuvés pour usage professionnel sont : [nommer les outils, ex. ChatGPT Team, Microsoft Copilot]
- ☐ Aucun outil d'IA gratuit grand public ne doit être utilisé pour des tâches impliquant des données de l'entreprise ou de ses clients
- ☐ Il est interdit de saisir des renseignements personnels identifiables (nom, adresse, NAS, date de naissance) dans un outil d'IA non approuvé
- ☐ Il est interdit de saisir des données de santé ou financières détaillées de clients dans tout outil d'IA, sauf exception documentée
- ☐ Il est interdit de saisir du code source propriétaire, des plans ou des documents stratégiques internes dans un outil non approuvé
- ☐ Toute réponse ou tout contrat généré par l'IA doit être relu et validé par un employé avant tout envoi à un client
- ☐ Tout nouvel outil d'IA doit être soumis pour approbation au [responsable TI / direction] avant adoption par un employé ou un département
- ☐ Les employés doivent anonymiser les données lorsque possible avant de les saisir dans un outil d'IA approuvé
- ☐ [Politique de divulgation client — à préciser selon votre secteur] : l'usage de l'IA doit / ne doit pas être divulgué aux clients
- ☐ Un manquement à cette politique peut entraîner un rappel formel, une formation corrective ou des mesures disciplinaires selon la gravité
- ☐ Cette politique est révisée au minimum une fois par année, ou plus tôt si un nouvel outil ou un incident le justifie
- ☐ Chaque employé confirme avoir lu et compris cette politique par une signature ou un accusé de réception
Ce modèle peut être copié directement dans un document Word ou Google Docs, personnalisé avec le nom de votre entreprise et vos outils spécifiques, puis distribué à l'ensemble du personnel. Pour les entreprises dans des secteurs réglementés (juridique, comptable, santé, finance), une révision par un conseiller juridique demeure fortement recommandée avant diffusion officielle.
Plan de déploiement étape par étape
Rédiger la politique n'est que la moitié du travail — la déployer efficacement et la faire réellement appliquer demande une démarche structurée, semblable à celle que nous suivons pour tout autre projet de gouvernance TI en entreprise.
Faire l'inventaire des usages actuels de l'IA
Avant de rédiger quoi que ce soit, discutez ouvertement avec les employés (sans ton accusateur) pour comprendre quels outils sont déjà utilisés, pour quelles tâches, et à quelle fréquence. Cet inventaire révèle presque toujours un usage plus répandu que ce que la direction imaginait, et sert de base réaliste pour la politique.
Définir la liste des outils approuvés
Sur la base de l'inventaire, choisir les outils officiellement autorisés selon leurs garanties de confidentialité et les besoins réels par département, en priorisant systématiquement les versions professionnelles ou entreprise plutôt que les versions gratuites.
Rédiger les règles de traitement des données
Définir précisément quelles catégories de données ne peuvent jamais être saisies dans un outil d'IA, avec des exemples concrets tirés de votre secteur d'activité plutôt que des principes génériques difficiles à appliquer au quotidien.
Clarifier les règles de confidentialité client
Vérifier les clauses contractuelles existantes avec vos clients, trancher la question de la divulgation, et documenter ces règles clairement dans la politique finale.
Documenter la politique et la faire approuver
Rédiger le document final de façon claire et concise — deux ou trois pages suffisent généralement pour une PME — et le faire approuver formellement par la direction, avec une révision juridique si votre secteur d'activité le justifie.
Former les employés et faire signer la politique
Présenter la politique lors d'une session de formation courte et concrète, répondre aux questions pratiques des employés, et faire signer un accusé de réception par chaque personne.
Réviser la politique régulièrement
Revoir la politique au minimum une fois par année, et plus tôt dès qu'un nouvel outil majeur apparaît sur le marché ou qu'une situation concrète révèle une zone grise que la version actuelle ne couvre pas.
Pour une PME d'une dizaine à une cinquantaine d'employés, l'ensemble de cette démarche — de l'inventaire initial jusqu'à la formation de tout le personnel — s'étale généralement sur deux à quatre semaines.
Former les employés à la politique IA
Une politique parfaitement rédigée mais jamais expliquée en personne a peu de chances d'être réellement respectée. Comme pour la formation en cybersécurité des employés, la formation à la politique IA doit être courte, pratique et centrée sur des exemples concrets tirés du quotidien de l'entreprise plutôt que sur des principes abstraits.
Expliquer le « pourquoi », pas seulement le « quoi »
Les employés adoptent beaucoup plus facilement une politique lorsqu'ils comprennent le risque réel qu'elle adresse — un exemple concret comme celui de l'adjoint(e) administratif(ve) mentionné plus haut marque généralement plus les esprits qu'une liste de règles présentées sans contexte. Prendre dix minutes pour expliquer un scénario réaliste vaut souvent mieux qu'une heure de présentation théorique.
Montrer les outils approuvés en action
Plutôt que de se limiter à une liste de règles, la session de formation devrait démontrer concrètement comment utiliser les outils approuvés pour les tâches courantes de chaque département, afin que les employés voient une alternative claire et pratique plutôt qu'une simple interdiction sans solution de remplacement.
Prévoir un point de contact pour les zones grises
Il est impossible qu'une politique, même bien rédigée, couvre absolument tous les cas de figure. Désigner clairement une personne à qui poser une question en cas de doute — un responsable TI interne ou un partenaire externe comme IT Cares — évite que les employés ne tranchent seuls une zone grise, souvent dans le mauvais sens par manque d'information.
Études de cas : trois PME québécoises fictives face à l'IA
Les scénarios suivants sont fictifs, mais reflètent des situations couramment rencontrées lors de nos interventions auprès de PME québécoises confrontées à un usage non encadré de l'IA.
Sherbrooke — un cabinet comptable après une alerte de confidentialité
Le cabinet Lachance & Turcotte CPA, sept employés à Sherbrooke, a découvert qu'une technicienne comptable collait régulièrement des relevés bancaires de clients dans une version gratuite d'un outil d'IA pour accélérer la catégorisation des dépenses avant la période des impôts. L'associé principal, alerté par une question directe d'un client sur la confidentialité de ses données, a rédigé une politique en une semaine avec l'aide d'un modèle adapté, migré l'équipe vers une version professionnelle de l'outil avec contrat de traitement des données (environ 32 $ CAD par utilisateur par mois), et organisé une session de formation de 45 minutes pour l'ensemble du personnel. Aucune fuite confirmée n'a été identifiée, mais l'associé estime que la situation aurait pu devenir un manquement documentable à la Loi 25 si elle avait persisté sans encadrement.
Longueuil — une agence marketing et la question de la divulgation client
L'agence Studio Marchand, 14 employés à Longueuil, produisait du contenu rédactionnel pour ses clients en s'appuyant fortement sur l'IA générative, sans en informer systématiquement les clients concernés. Lorsqu'un client a découvert, par une simple recherche, que des textes livrés comme « rédaction originale » avaient été largement générés par IA, la relation s'est tendue et le contrat a été renégocié à la baisse. L'agence a depuis intégré une clause de divulgation standard à tous ses contrats de service, précisant le rôle exact de l'IA dans le processus créatif, et a formé son équipe à toujours divulguer proactivement plutôt que d'attendre une question du client.
Lévis — un manufacturier et la fuite de propriété intellectuelle évitée
L'entreprise manufacturière Fabritech Lévis inc., 26 employés, a réalisé lors d'un audit interne qu'un ingénieur avait collé des extraits de plans techniques propriétaires dans un outil d'IA public pour obtenir de l'aide à la résolution d'un problème de conception, sans réaliser que ces plans constituaient un actif concurrentiel protégé. Aucune fuite confirmée n'a été détectée, mais la direction a immédiatement déployé une politique interdisant explicitement la saisie de documents techniques dans tout outil non approuvé, mis en place un outil d'IA approuvé avec hébergement des données au Canada, et rappelé les clauses de confidentialité déjà signées par chaque employé à l'embauche.
Votre PME ressemble à l'un de ces scénarios ?
Nos techniciens certifiés IT Cares peuvent évaluer votre situation actuelle et vous aider à rédiger une politique d'IA adaptée à votre budget et à votre secteur.
Budget réel au Québec (en dollars CAD)
Contrairement à un outil comme un gestionnaire de mots de passe, la politique d'IA elle-même coûte peu à rédiger — le budget principal se trouve plutôt dans l'abonnement aux outils approuvés eux-mêmes et dans la formation des employés.
| Poste de dépense | Fourchette CAD | Note |
|---|---|---|
| Rédaction de la politique (modèle adapté en interne) | 0 $ | Utiliser et personnaliser un modèle comme celui de ce guide |
| Rédaction ou révision par un consultant / avocat | 500 $ à 1 500 $ | Recommandé pour les secteurs réglementés (juridique, santé, finance) |
| ChatGPT Team — par utilisateur/mois | ~30 $ à 34 $ | Inclut la protection contre l'entraînement des modèles publics |
| Microsoft Copilot (Microsoft 365) — par utilisateur/mois | ~32 $ à 38 $ | Intégré directement à Word, Excel, Outlook, Teams |
| Google Gemini pour Workspace — par utilisateur/mois | ~26 $ à 32 $ | Intégré à Gmail, Docs, Sheets |
| Formation des employés (atelier + capsules) | 300 $ à 1 200 $ | Selon nombre d'employés et format (groupe vs individuel) |
| TPS (5 %) + TVQ (9,975 %) | ~14,975 % | Applicable sur les frais de service au Québec, à valider selon votre statut d'entreprise |
À titre d'exemple concret, une PME de 15 employés qui déploie ChatGPT Team à environ 32 $ CAD par utilisateur par mois pour cinq employés clés (plutôt que l'ensemble du personnel, une approche courante au démarrage) déboursera environ 1 920 $ CAD par année en abonnement, auquel s'ajoute un coût ponctuel de rédaction de politique et de formation généralement entre 300 $ et 1 500 $ la première année selon le niveau d'accompagnement souhaité. Comparé au coût potentiel d'une seule fuite de données clients ou d'un manquement documenté à la Loi 25, ce budget reste, dans la grande majorité des cas, une fraction minime du risque évité.
Ressources gouvernementales et conformité au Québec
Plusieurs organismes québécois et canadiens offrent de l'information ou un cadre réglementaire pertinent pour une PME qui encadre l'usage de l'IA dans ses opérations.
La Loi 25 et la Commission d'accès à l'information (CAI)
La Loi 25, qui encadre la protection des renseignements personnels au Québec, exige des entreprises qu'elles mettent en place des mesures de sécurité proportionnelles à la sensibilité des renseignements personnels qu'elles détiennent — une obligation qui s'applique pleinement à l'usage de l'intelligence artificielle. La Commission d'accès à l'information (CAI) considère généralement une politique d'IA documentée, incluant une classification claire des données et des règles de traitement, comme une composante attendue de mesures de sécurité raisonnables face à cette technologie émergente.
Le Commissariat à la protection de la vie privée du Canada (CPVP)
Le Commissariat à la protection de la vie privée du Canada publie des lignes directrices sur l'usage responsable de l'intelligence artificielle par les organisations assujetties à la loi fédérale sur la protection des renseignements personnels, incluant des recommandations spécifiques sur la transparence envers les personnes concernées et l'évaluation des risques avant l'adoption d'un nouvel outil d'IA.
Le Centre canadien pour la cybersécurité
Le Centre canadien pour la cybersécurité publie des guides gratuits sur les pratiques de sécurité de base recommandées pour les petites et moyennes entreprises adoptant l'intelligence artificielle, incluant des recommandations sur l'évaluation des fournisseurs et la protection des données sensibles, qui complètent utilement les recommandations pratiques de ce guide.
Investissement Québec et la Banque de développement du Canada (BDC)
Investissement Québec et la BDC offrent tous deux des programmes d'accompagnement et de financement pour la transformation numérique des entreprises québécoises, dont certains volets touchent directement à l'adoption responsable de l'intelligence artificielle en contexte de PME. Les entreprises intéressées devraient vérifier l'admissibilité de leur projet auprès d'un conseiller, les critères évoluant régulièrement.
Faites rédiger votre politique d'IA par des techniciens certifiés
IT Cares accompagne les PME québécoises dans la rédaction, le déploiement et la formation liés à leurs politiques de cybersécurité, incluant l'encadrement de l'intelligence artificielle en entreprise. Nos techniciens certifiés interviennent aussi en cybersécurité continue pour sécuriser vos systèmes au quotidien.
Les erreurs fréquentes à éviter
Une politique d'IA bien rédigée peut néanmoins perdre une bonne partie de sa valeur si certaines erreurs de gestion s'installent après son lancement.
Interdire l'IA en bloc sans offrir d'alternative
Une interdiction totale, sans outils approuvés en remplacement, pousse presque toujours les employés vers un usage encore plus caché et incontrôlé — exactement l'inverse de l'effet recherché. Offrir une alternative claire et pratique reste la stratégie la plus efficace pour obtenir une réelle adhésion.
Rédiger une politique une fois et ne jamais la revoir
Le rythme d'évolution des outils d'IA rend une politique figée obsolète en quelques mois seulement. Sans révision périodique, la politique finit par ne plus correspondre à la réalité des outils réellement utilisés par les employés, ce qui la rend inefficace sans que personne ne s'en rende compte.
Ne pas former, se contenter de distribuer un document
Un document envoyé par courriel sans explication ni discussion a beaucoup moins de chances d'être lu, compris et respecté qu'une politique présentée lors d'une courte session de formation avec des exemples concrets. Le temps investi dans la formation est généralement ce qui détermine si la politique reste un document théorique ou devient un réflexe réel au quotidien.
Questions fréquentes — Politique d'utilisation de l'IA en entreprise
Une politique d'utilisation de l'IA est un document interne qui précise quels outils d'intelligence artificielle les employés peuvent utiliser, dans quelles circonstances, et quelles données ne doivent jamais y être saisies. Sans cette politique, les employés utilisent déjà l'IA de façon informelle — souvent avec des comptes gratuits personnels — ce qui expose l'entreprise à des fuites de données clients, à la perte de propriété intellectuelle et à des manquements potentiels à la Loi 25, sans qu'aucune règle claire n'encadre ces usages.
La règle générale consiste à privilégier les versions entreprise ou professionnelles des outils d'IA (comme ChatGPT Team/Enterprise, Microsoft Copilot ou Google Gemini pour Workspace) qui offrent un contrat de traitement des données garantissant que le contenu saisi n'est pas utilisé pour entraîner les modèles publics, plutôt que les versions gratuites grand public où cette garantie est souvent absente ou limitée. La liste exacte d'outils approuvés doit être adaptée aux besoins réels de chaque département et revue régulièrement, puisque de nouveaux outils apparaissent constamment.
La politique doit interdire explicitement de coller des renseignements personnels identifiables, des données financières de clients ou des dossiers confidentiels dans un outil d'IA grand public non approuvé, et exiger l'anonymisation ou la suppression des identifiants avant toute utilisation même avec un outil approuvé. Il faut aussi vérifier les clauses de confidentialité déjà signées avec les clients existants, certains contrats pouvant explicitement interdire le recours à des outils tiers, incluant l'IA, sur leurs données.
Rédiger la politique elle-même coûte généralement entre 0 $ (à l'aide d'un modèle adapté en interne) et 1 500 $ CAD si un consultant ou un avocat en droit des affaires est mandaté pour la personnaliser. Les frais principaux proviennent plutôt de l'abonnement aux outils d'IA approuvés eux-mêmes, généralement entre 25 $ et 35 $ CAD par utilisateur par mois pour une version entreprise, et de la formation des employés, entre 300 $ et 1 200 $ CAD selon la taille de l'équipe.
Oui — une politique d'utilisation de l'IA documentée constitue une mesure de sécurité concrète attendue par la Loi 25, qui exige des entreprises québécoises qu'elles encadrent la façon dont les renseignements personnels sont traités par tout outil ou système, incluant les outils d'intelligence artificielle. Elle ne remplace toutefois pas les autres obligations de la loi, comme l'évaluation des facteurs relatifs à la vie privée pour les projets à plus haut risque ou le registre des incidents de confidentialité.
Oui, c'est fortement recommandé. Un accusé de réception signé (papier ou électronique) démontre que l'employé a été informé des règles et confirme son engagement à les respecter, ce qui renforce la position de l'entreprise en cas de manquement ou d'incident impliquant un usage non autorisé de l'IA. Cette signature devrait être renouvelée chaque fois que la politique est révisée de façon significative.
Selon les conditions d'utilisation de la version utilisée, un contenu saisi dans un outil d'IA grand public gratuit peut être conservé et potentiellement utilisé pour l'entraînement futur des modèles, ce qui signifie qu'une donnée confidentielle collée dans l'outil échappe définitivement au contrôle de l'entreprise. Concrètement, cela peut mener à une fuite de renseignements personnels de clients, à la divulgation de propriété intellectuelle (code source, plans, stratégies), et à un manquement documentable à la Loi 25 en cas de vérification par la Commission d'accès à l'information.
Une révision annuelle minimale est recommandée, mais le rythme d'évolution des outils d'IA justifie souvent une révision plus fréquente — dès qu'un nouvel outil majeur apparaît sur le marché, qu'un fournisseur change ses conditions de traitement des données, ou qu'un incident révèle une zone grise non couverte par la version actuelle de la politique. Certaines PME optent pour une révision trimestrielle légère combinée à une révision annuelle complète.
Commentaires (3)
Le modèle à cocher est exactement ce qu'il nous manquait. On a adapté le nôtre en une heure et on l'a distribué dès le lendemain à toute l'équipe.
On ne s'était jamais posé la question de la propriété intellectuelle avec l'IA avant de lire cet article. Le cas de l'ingénieur qui colle des plans dans un outil gratuit, c'est exactement notre réalité.
La section sur la divulgation client nous a fait réviser nos contrats de service au complet. Bon rappel qu'il faut être transparent plutôt qu'attendre que le client pose la question.
Laisser un commentaire