Politique de gouvernance de l'IA : gabarit à…

Le 22 avril 2026, la Cour supérieure du Québec a annulé une sentence arbitrale portant sur une réclamation de 1,225 million de dollars. Le motif n’a rien à voir avec le fond du dossier. L’arbitre avait rédigé ses motifs avec l’aide d’un outil d’IA générative et les avocats ont découvert que les références citées n’existaient pas : un article de doctrine inventé et trois décisions fictives.

Le problème n’était pas l’utilisation de l’IA. Il manquait deux choses : une règle écrite qui dit qui vérifie quoi avant qu’un texte devienne un document officiel, plus un responsable nommé pour la faire respecter.

C’est ça, une politique de gouvernance de l’IA. Pas un document qui interdit des produits. Un document qui attribue des responsabilités et qui rend vérifiable ce que votre entreprise fait avec l’intelligence artificielle.

Ce que la gouvernance de l’IA veut dire concrètement

J’ai déjà écrit sur la définition de la gouvernance de l’IA et sur le cadre qui se resserre, notamment dans ISO 42001 : ce qu’il faut savoir avant de se lancer. Je n’y reviens pas en détail. Ce qu’il faut retenir pour la suite tient en une phrase : gouverner l’IA, ce n’est pas contrôler la technologie, c’est décider à l’avance qui répond de quoi, quelles limites s’appliquent et ce qui arrive quand un système se trompe.

ISO/IEC 42001, publiée en décembre 2023, est la première norme internationale qui encadre un système de gestion de l’intelligence artificielle. Comme ISO 27001, elle repose sur un cycle d’amélioration continue et sur une annexe de contrôles : 38 contrôles répartis en neuf objectifs, numérotés A.2 à A.10.

Ces neuf objectifs se résument à neuf questions.

A.2 Politique

Avez-vous une politique approuvée?

A.3 Responsabilité

Qui en répond?

A.4 Ressources

Vos gens sont-ils compétents et vos systèmes documentés?

A.5 Répercussions

Avez-vous évalué les répercussions avant de déployer?

A.6 Cycle de vie

Suivez-vous vos systèmes de l’acquisition au retrait?

A.7 Données

Savez-vous quelles données les alimentent?

A.8 Information des personnes

Informez-vous les personnes touchées?

A.9 Usage

Vos équipes utilisent-elles ces outils pour ce à quoi ils servent?

A.10 Fournisseurs

Vos fournisseurs sont-ils encadrés?

Le gabarit plus bas aborde ces neuf dimensions dans un seul document et vous donne la structure pour produire les preuves qui vont avec. Il ne coche pas les 38 contrôles et ce n’est pas une certification. C’est la trace de départ, celle qui permet à un auditeur ou à un client de constater que quelqu’un s’est assis et a décidé, plutôt que de vous entendre expliquer verbalement que « tout le monde fait attention ».

Un auditeur ne se limite pas au document. Il vérifie qu’il est approprié à votre réalité, qu’il a été communiqué, compris et réellement appliqué, puis qu’il se tient avec le reste de votre système de gestion. Par contre, la porte d’entrée reste toujours la même : une date de dernière révision, un nom d’approbateur avec l’autorité de l’approuver, une preuve que les employés l’ont reçue. Une politique parfaite que personne n’a signée vaut moins qu’une politique imparfaite avec cinquante attestations datées.

Trois erreurs qui rendent une politique inutile

Liste de produits au lieu de règles

La première est de faire reposer la politique sur une liste de produits permis ou interdits. Une liste d’outils approuvés est utile, elle vous dit quel compte utiliser demain matin. Par contre elle ne peut pas être le cœur de la politique, puisqu’elle devient désuète dès qu’un nouvel outil apparaît. Les règles de fond doivent porter sur les données, les usages et les niveaux d’autorisation. La liste d’outils vient après, comme une application de ces règles, pas comme leur fondement.

Principes sans règles vérifiables

La deuxième est d’écrire uniquement des principes. « L’employé doit faire preuve de jugement » n’est pas une règle, c’est un souhait. Une règle se vérifie : soit la personne a validé les faits avant d’envoyer le document au client, soit elle ne l’a pas fait.

Un seul document pour deux publics

La troisième est de rédiger un seul document pour deux publics. La gestion a besoin du cadre complet. L’employé a besoin de savoir quoi faire mardi matin. C’est pourquoi la section 8 du gabarit est écrite pour être détachée du reste et signée telle quelle.

Le gabarit

Ce qui suit est un point de départ, à adapter à votre réalité et à faire valider par votre conseiller juridique et par votre responsable de la protection des renseignements personnels. Remplacez tout ce qui est entre crochets. Coupez ce qui ne s’applique pas à vous : une entreprise qui utilise seulement des outils commerciaux peut supprimer une bonne partie de la section 9. Si vous n’utilisez que des outils SaaS, j’ai aussi détaillé quels contrôles ISO 42001 peuvent ne pas s’appliquer dans ISO 42001 : votre PME n’utilise que ChatGPT?.

Une note pour les puristes de la norme : ce gabarit regroupe dans un seul document ce qu’une grande organisation séparerait en politique, directive et procédure. Dans une PME, ce regroupement est acceptable et souvent préférable. Ce qui compte est que les règles soient approuvées, connues et appliquées, pas qu’elles soient réparties dans trois documents que personne ne lit.

Copiez tout ce qui suit.

Politique de gouvernance de l’intelligence artificielle

Organisation : [Nom de l’entreprise]
Version : 1.0
Date d’entrée en vigueur : [date]
Approuvée par : [nom, titre]
Prochaine révision : [date, maximum 12 mois]

1. Objet

Cette politique établit comment [Nom de l’entreprise] encadre l’acquisition, l’utilisation, la surveillance et le retrait des systèmes d’intelligence artificielle. Elle vise à permettre l’usage de ces outils tout en protégeant les renseignements personnels, les informations confidentielles, la qualité du travail livré à nos clients et les personnes touchées par nos décisions.

2. Portée

Cette politique s’applique à tous les employés, contractuels, stagiaires et administrateurs de [Nom de l’entreprise], sans exception, y compris la gestion.

Elle vise tout système qui génère du contenu, analyse de l’information, produit une recommandation ou exécute des tâches à partir d’un modèle d’intelligence artificielle, qu’il soit acheté, infonuagique, intégré dans un logiciel existant ou développé à l’interne. Cela inclut les assistants conversationnels, les fonctions d’IA intégrées dans un logiciel que vous utilisez déjà, les extensions de navigateur, les outils de transcription et de résumé de réunion, les traducteurs en ligne et les agents autonomes.

Si vous n’êtes pas certain qu’un outil est visé, présumez qu’il l’est et posez la question à la personne responsable identifiée à la section 4.

3. Définitions

Système d’IA : logiciel qui, à partir de données, produit du contenu, des prédictions, des recommandations ou des décisions.
IA générative : système qui produit du texte, des images, du code, de l’audio ou de la vidéo.
Agent : système d’IA qui exécute des actions de façon autonome dans un autre logiciel ou service.
Décision automatisée : décision concernant une personne prise à partir d’un traitement automatisé, sans intervention humaine.
Hallucination : résultat inventé par un système d’IA, présenté avec la même assurance qu’un résultat exact.

4. Rôles et responsabilités

[Nom, titre] est le responsable de la gouvernance de l’IA. Il approuve cette politique, arbitre les cas d’exception et rend compte à [conseil d’administration ou comité de gestion] au moins une fois par année.
[Nom, titre] tient l’inventaire des systèmes d’IA, approuve toute nouvelle utilisation et conserve les évaluations de risque.
[Nom, titre], responsable de la protection des renseignements personnels, est consulté avant tout usage impliquant des renseignements personnels.
Chaque gestionnaire s’assure que les membres de son équipe ont lu cette politique et l’ont attestée.
Chaque employé demeure responsable du travail qu’il produit, peu importe l’outil utilisé pour le produire.

5. Objectifs

[Nom de l’entreprise] se fixe les objectifs suivants pour la période [année] :

Maintenir un inventaire à jour de tous les systèmes d’IA utilisés, révisé au moins [trimestriellement]
Former [100 %] du personnel visé avant le [date]
Évaluer le risque de tout nouveau système avant sa mise en service, sans exception
Consigner et traiter [100 %] des incidents liés à l’IA signalés

Ces objectifs sont revus annuellement en même temps que la politique.

6. Inventaire des systèmes d’IA

[Nom de l’entreprise] tient un inventaire écrit de tous les systèmes d’IA en service. Pour chacun, l’inventaire indique le nom de l’outil, le fournisseur, le département utilisateur, l’usage prévu, le type de données traitées, le propriétaire interne, le niveau de risque attribué et la date de dernière révision.

Aucun système ne peut être mis en service sans y être inscrit. L’inventaire est révisé au moins [trimestriellement].

7. Évaluation des risques et des répercussions

Avant la mise en service d’un système d’IA, [Nom, titre] évalue et consigne les éléments suivants : la nature des données traitées, les conséquences possibles d’un résultat erroné, les personnes qui pourraient être touchées, le risque de traitement discriminatoire et le degré d’autonomie accordé au système.

Chaque système reçoit un niveau de risque : faible, moyen ou élevé.

Aux fins de la présente politique, un système est automatiquement classé à risque interne élevé s’il touche l’embauche, la rémunération, la discipline, l’accès à un service, l’octroi de crédit, la santé ou la sécurité d’une personne. Cette classification est interne. Elle ne détermine pas la qualification juridique du système au sens d’une loi applicable.

Un système à risque interne élevé exige une approbation écrite de [Nom, titre] avant sa mise en service. S’il traite des renseignements personnels, une évaluation des facteurs relatifs à la vie privée est réalisée avant la mise en service lorsque la loi applicable ou nos règles internes l’exigent.

L’évaluation est refaite si l’usage change ou au moins une fois par année pour les systèmes à risque élevé.

8. Règles d’usage acceptable

Cette section est remise à chaque employé et fait l’objet de l’attestation prévue à la section 16.

8.1 Outils autorisés

Seuls les outils suivants sont approuvés pour un usage professionnel, uniquement à partir du compte d’entreprise fourni par [Nom de l’entreprise] :

[Outil 1, ex. Microsoft 365 Copilot, compte d’entreprise]
[Outil 2]
[Outil 3]

L’utilisation d’un compte personnel gratuit pour du travail de l’entreprise est interdite, même s’il s’agit du même produit. Les protections contractuelles qui nous protègent sont attachées au compte d’entreprise, pas au logo à l’écran.

Pour demander l’ajout d’un outil, écrivez à [adresse courriel]. N’installez rien avant d’avoir reçu une réponse.

8.2 Données : ce qui peut être saisi et où

Type d’information	Outil public, compte personnel	Outil approuvé, compte d’entreprise
Information déjà publique	Permis	Permis
Document interne non sensible	Interdit	Permis
Renseignement personnel (client, employé, candidat)	Interdit	Permis seulement si autorisé par écrit par [Nom, titre] et compatible avec nos obligations légales et contractuelles
Secret commercial, code source, contrat client	Interdit	Permis seulement si autorisé par écrit par [Nom, titre] et compatible avec nos obligations légales et contractuelles
Donnée de santé, financière ou judiciaire	Interdit	Interdit sans autorisation écrite de [Nom, titre]

Une autorisation interne ne suffit pas à elle seule. Plusieurs de nos contrats clients interdisent de transmettre leur information à un tiers, y compris à un fournisseur d’IA, sans leur accord. Vérifiez le contrat avant de demander l’autorisation.

Dans le doute, posez-vous cette question avant de coller quoi que ce soit : est-ce que cette information identifie une personne, révèle un avantage concurrentiel de l’entreprise, appartient à un client ou pourrait causer un préjudice si elle sortait? Si oui, arrêtez et demandez.

8.3 Usages interdits

Les usages suivants sont interdits en tout temps :

Contourner une mesure de sécurité, un contrôle d’accès ou une règle de confidentialité de l’entreprise ou d’un client
Produire du contenu discriminatoire, harcelant, diffamatoire ou illégal
Générer du contenu qui imite une personne réelle, sa voix ou son image, sans son consentement écrit
Utiliser un outil d’IA pour prendre seul une décision qui touche l’emploi, l’embauche, la rémunération, la discipline ou l’accès à un service d’une personne
Téléverser un document client dans un outil non approuvé, y compris pour le traduire ou le résumer
Présenter un contenu généré par IA comme provenant d’une source vérifiée sans avoir fait la vérification décrite à la section 8.4

8.4 Vérification obligatoire avant utilisation

Cette règle vise le contenu produit par un outil d’IA à la demande d’une personne. Les actions exécutées par un agent approuvé selon la section 8.6 suivent plutôt les limites définies lors de son approbation.

Un contenu produit par un outil d’IA est un brouillon. Il ne devient un livrable qu’après vérification humaine.

Avant d’envoyer à un client, de publier, de déposer dans un dossier officiel, de transmettre à un tiers ou d’appuyer une décision importante sur un contenu produit avec l’aide de l’IA, vous devez :

Vérifier chaque fait, chiffre, citation, référence, article de loi ou nom cité dans une source primaire, pas dans l’outil qui l’a généré
Confirmer que le contenu correspond réellement à la demande et au contexte du dossier
Corriger ou retirer tout élément que vous ne pouvez pas confirmer

Un outil d’IA peut inventer une référence qui a toutes les apparences d’une vraie. Cette vérification n’est pas une suggestion.

8.5 Supervision humaine

Aucune décision qui produit un effet juridique ou un effet important sur une personne ne peut être prise uniquement à partir d’un traitement automatisé. Un humain identifié doit réviser la décision et l’assumer.

Quand un système d’IA est utilisé dans un processus qui touche une personne, [Nom, titre] doit être avisé avant le déploiement pour évaluer les obligations d’information et de révision prévues par la Loi 25, notamment son article 12.1.

8.6 Agents et automatisation

Un agent qui exécute des actions de façon autonome, comme envoyer un courriel, modifier un fichier, créer un enregistrement dans un système ou déclencher un paiement, doit être approuvé par [Nom, titre] avant sa mise en service.

Chaque agent doit avoir un propriétaire nommé, une liste documentée des systèmes auxquels il a accès et une limite claire des actions qu’il peut exécuter sans validation humaine.

9. Cycle de vie des systèmes développés à l’interne

Cette section s’applique si [Nom de l’entreprise] conçoit, entraîne, affine ou intègre ses propres systèmes d’IA.

Pour chaque système développé, [Nom de l’entreprise] documente l’objectif visé et les usages exclus, les données d’entraînement et leur provenance, les tests effectués avant la mise en service (exactitude, comportement en cas d’entrée inattendue, tentatives d’injection d’instructions), les personnes qui ont approuvé la mise en production et les critères de retrait du système.

Cette documentation est conservée pendant toute la vie du système et [durée] après son retrait.

10. Données

Les données utilisées pour alimenter ou entraîner un système d’IA doivent avoir une provenance connue et un droit d’utilisation vérifié.

Aucun renseignement personnel n’est utilisé pour entraîner un modèle sans une base légale documentée et l’autorisation écrite de [Nom, titre].

La rétention des données transmises à un fournisseur d’IA doit être connue et consignée dans l’inventaire.

11. Fournisseurs et tiers

Avant de contracter avec un fournisseur d’IA, [Nom, titre] vérifie et conserve la preuve des éléments suivants : l’entente exclut-elle l’utilisation de nos données pour entraîner les modèles du fournisseur, où les données sont-elles hébergées et conservées, combien de temps, quelles sont les obligations de notification en cas d’incident et les mesures contractuelles, organisationnelles et techniques du fournisseur sont-elles compatibles avec les obligations qui s’appliquent à nous.

Le recours à un fournisseur qui traite des renseignements personnels pour notre compte doit faire l’objet d’un écrit qui prévoit les mesures de protection applicables, comme l’exige la Loi 25. Une communication de renseignements personnels à l’extérieur du Québec exige en plus une évaluation préalable, à faire valider par [Nom, titre] ou par un conseiller juridique.

12. Transparence envers les personnes

[Nom de l’entreprise] applique le principe suivant : quand une personne pourrait raisonnablement croire qu’elle échange avec un employé alors qu’elle échange avec un système d’IA, elle en est informée clairement.

Quand une décision la concernant est fondée sur un traitement automatisé, elle en est informée, peut obtenir les principaux facteurs ayant mené à la décision et peut demander une révision par une personne.

Le contenu généré par IA publié au nom de [Nom de l’entreprise] est vérifié selon la section 8.4 avant publication.

13. Compétence et formation

Chaque employé visé doit suivre la formation sur l’usage de l’IA avant d’utiliser un outil approuvé, puis une mise à jour annuelle. La formation couvre la reconnaissance d’un renseignement personnel, les hallucinations et la procédure de vérification de la section 8.4.

La participation et la compréhension sont consignées (attestation signée, résultat de questionnaire ou registre de formation).

14. Incidents liés à l’IA

Signalez immédiatement à [Nom, titre ou adresse courriel] toute situation où :

Une information confidentielle ou un renseignement personnel a été saisi dans un outil non approuvé
Un contenu généré par IA contenant une erreur a été transmis à un client ou publié
Un système d’IA a produit un résultat discriminatoire ou inapproprié
Un agent a exécuté une action non prévue

Signaler rapidement n’entraîne aucune sanction. Ne pas signaler, oui.

Chaque signalement est consigné dans le registre des incidents liés à l’IA avec la date, la description, les mesures prises et la correction apportée. L’entreprise évalue et consigne chaque incident de confidentialité, puis détermine si un avis à la Commission d’accès à l’information et aux personnes concernées est requis parce qu’un risque de préjudice sérieux existe.

15. Surveillance et amélioration

[Nom, titre] présente à [conseil d’administration ou comité de gestion], au moins une fois par année, un bilan qui couvre l’état de l’inventaire, les incidents survenus et leur traitement, l’atteinte des objectifs de la section 5, les écarts constatés et les correctifs prévus avec un responsable et une échéance.

Cette politique est révisée au moins une fois par année, ou plus tôt si un changement réglementaire, un incident ou l’arrivée d’un nouveau système le justifie.

Le non-respect de cette politique peut mener à des mesures disciplinaires, jusqu’au congédiement, selon la gravité et les conséquences pour l’entreprise ou ses clients.

16. Attestation

J’ai lu et compris les règles d’usage acceptable de l’intelligence artificielle de [Nom de l’entreprise]. Je m’engage à les respecter et à signaler tout incident visé à la section 14.

Nom : ______________________
Signature : ______________________
Date : ______________________

Fin du gabarit.

En pratique : l’adopter en 30 jours

Ne bâtissez pas les seize sections en même temps. L’ennemi de la sécurité est la complexité. Voici un ordre qui fonctionne.

Semaine 1

Faites la liste des outils d’IA réellement utilisés, en demandant sans menace. Vous allez en trouver que vous ne soupçonniez pas. Cette liste devient votre section 6.

Semaine 2

Nommez les responsables des sections 4 et remplissez les crochets des sections 1 à 8. Une personne par rôle, pas un comité.

Faites relire les sections 8.2, 8.5 et 11 par votre conseiller juridique. Ce sont les trois qui vous exposent le plus.

Semaine 3

Faites approuver la politique par la personne qui a l’autorité de le faire, en gardant la trace (procès-verbal, courriel daté).

Diffusez la section 8 à tout le personnel avec une rencontre de trente minutes, puis faites signer l’attestation. Conservez les attestations dans un même dossier.

Semaine 4

Remplissez les sections 9 à 12 seulement pour les systèmes déjà en service. Une section non applicable est acceptable, à condition que la non-applicabilité soit justifiée et écrite.

Au bout de 30 jours, vous avez un document approuvé, un inventaire, un responsable nommé et des attestations datées.

Ce que ce gabarit ne fait pas

Il ne vous rend pas conforme à ISO 42001. La norme exige aussi une analyse du contexte, une planification documentée, des audits internes et une revue de gestion en bonne et due forme. Le gabarit vous donne plusieurs éléments du système de gouvernance, pas le système de gestion au complet.

Il ne remplace pas une évaluation des facteurs relatifs à la vie privée quand elle est requise. La CAI en attend une avant le déploiement, pas après une plainte.

Si vous vendez à des clients européens, deux dates ont changé cet été. Le règlement omnibus numérique de l’Union européenne est entré en vigueur le 27 juillet 2026 et reporte au 2 décembre 2027 l’essentiel des obligations sur les systèmes à haut risque, qui devaient s’appliquer le 2 août 2026. Par contre, les obligations de transparence, comme divulguer qu’une personne interagit avec une IA et étiqueter un contenu généré, s’appliquent depuis le 2 août 2026. L’obligation de littératie en IA a été assouplie : elle demande maintenant de prendre des mesures pour soutenir la compétence de vos équipes, sans garantir un niveau précis. Le report vous donne du temps, il ne vous donne pas congé.

Bref

Une politique de gouvernance ne rend pas un système d’IA infaillible. Elle réduit le risque qu’il se trompe, puis elle nomme la personne qui devait vérifier avant que l’erreur sorte de chez vous. C’est une différence mince sur papier et énorme le jour où un document erroné arrive chez un client.

Dans l’affaire d’avril, la sentence a été annulée parce que le raisonnement reposait sur des sources inventées. La question que je pose à mes clients depuis : si un de vos livrables des trois derniers mois contenait une référence inventée, sauriez-vous lequel?

Vous voulez savoir où vous en êtes là-dessus? Parlons-en.

Rédigez votre politique de gouvernance et d'usage acceptable de l'IA (gabarit à copier)