Politique d’utilisation acceptable de l’intelligence artificielle (IA) pour les PME

Directives claires en matière d’IA concernant les actions autorisées et interdites aux employés

Les outils d’intelligence artificielle (IA) sont plus que jamais essentiels au fonctionnement quotidien des PME, offrant des gains considérables en termes de productivité, de prise de décision et de service clientèle. Pour utiliser ces technologies d’IA de manière sécuritaire et responsable, toutes les PME devraient établir et mettre en œuvre une Politique d’utilisation acceptable de l’IA (PUADIA). Cette politique a pour objectifs de définir comment les employés peuvent utiliser les systèmes d’IA, quels types de données peuvent être partagés et les normes de cybersécurité, d’éthique et de conformité à respecter.

Rédigée conformément aux ressources et références 1 à 14 indiquées à la fin de ce manuscrit sur la cybersécurité, cette PUADIA garantit que l’IA est utilisée de manière à protéger les renseignements de l’entreprise, à respecter la vie privée, à assurer la conformité réglementaire et à réduire les risques opérationnels. Elle fournit également aux employés des directives claires sur les cas d’utilisation appropriés, les activités interdites et les responsabilités attendues. En respectant scrupuleusement ces principes, chacun est en mesure de favoriser l’innovation tout en protégeant nos employés, nos clients et nos activités.

Une Politique d’utilisation acceptable de l’IA fait partie de ces documents qui semblent d’une simplicité trompeuse jusqu’à ce qu’on essaie de la rédiger de manière professionnelle. Les PME ont besoin d’un document concis, pratique et applicable. Vous trouverez ci-dessous un modèle clair que vous pouvez adapter à vos besoins opérationnels au quotidien. Sa structure reflète le fonctionnement réel des PME : responsabilités clairement définies, cadre opérationnel précis et règles d’autorisation et d’interdiction concrètes. Il est également à noter que la PUADIA d’une organisation peut varier en fonction des rôles et des responsabilités de chaque individu.

SECTION I

DEUX 2 CONTEXTES D’UNE PUADIA POUR LES PME

CONTEXTE 1 – Types d’IA traditionnelle : IA publique, IA privée, IA prédictive & IA générative

Pour les PME canadiennes, le contexte d’une PUADIA est déterminé par les obligations réglementaires, les exigences des compagnies d’assurance, les normes éthiques et les réalités opérationnelles des petites organisations qui déploient l’IA.

Cette politique n’est pas générique : elle dépend du type de système d’IA utilisé par la PME (développeur vs. déployeur, modèle public vs. modèle d’entreprise, prédictif vs. génératif) et du cadre juridique canadien régissant les renseignements personnels, la prise de décision automatisée et la résidence des données.

Le contexte d’une PUADIA résulte de quatre forces convergentes :

1. Environnement réglementaire et juridique (spécifique au Canada)

Les PME canadiennes doivent harmoniser leur utilisation de l’IA avec un ensemble disparate de règles de confidentialité et de gouvernance :

• La LPRPDE encadre la gestion des renseignements personnels à l’échelle nationale. Les outils d’IA qui traitent des données identifiables sont assujettis à ses exigences en matière de consentement, de limitation des finalités et de protection.
• La LPRPS (Ontario), la Loi 25 du Québec et les règles sectorielles imposent des obligations plus strictes en matière de données sur la santé, de données sur les employés et de transferts transfrontaliers.
• La Directive du Conseil du Trésor sur la prise de décision automatisée influence les meilleures pratiques en matière de transparence algorithmique et de surveillance humaine, même pour les PME du secteur privé.
• Le projet de loi C-27/AIDA a été abandonné en 2025, ne laissant aucune loi fédérale sur l’IA. Toutefois, les assureurs et les fournisseurs comblent maintenant cette lacune par des exigences contractuelles.

Incidence de l’environnement réglementaire et juridique : la PUADIA d’une PME doit classer les types de données (renseignements confidentiels, renseignements personnels sur la santé, propriété intellectuelle, renseignements privilégiés) et restreindre les systèmes d’IA autorisés à les traiter.

2. Pression des assureurs et des fournisseurs (le véritable facteur aujourd’hui)

Certains assureurs cybernétiques canadiens et fournisseurs du secteur financier (FRFI) exigent désormais :

• Des politiques écrites d’utilisation acceptable de l’IA
• Une formation annuelle du personnel
• La preuve d’une vérification humaine des livrables destinés aux clients
• La divulgation de l’utilisation de l’IA dans les flux de travail

Cette pression est plus forte que la réglementation fédérale. Les assureurs traitent le risque relatif à l’IA comme ils traitent le risque relié à l’infonuagique : pas de politique d’utilisation, pas de renouvellement.

Répercussions

Les PME ont besoin de politiques applicables, avec un périmètre clair, des niveaux d’outils définis, des interdictions d’utilisation et une fréquence de révision précise.

3. Exigences éthiques et fondées sur des normes

Deux normes majeures encadrent le contexte :

• CAN/DGSI 101 : Conception et utilisation éthiques de l’IA par les PME définit les exigences minimales en matière de conception et d’utilisation éthiques de l’IA, notamment la gestion des risques, l’éthique dès la conception, les contrôles de déploiement et la surveillance.
• Processus du G7 d’Hiroshima pour l’IA (PHIA) : ce processus guide le déploiement fiable de l’IA pour les PME, en distinguant les développeurs et les déployeurs d’IA. La plupart des PME canadiennes sont des déployeurs qui intègrent des outils d’IA tiers.

Répercusssions

La PUADIA doit intégrer des principes éthiques, des contrôles des risques et une surveillance conformes aux normes DGSI 101 et PHIA.

4. Réalités opérationnelles des PME canadiennes

Les PME canadiennes sont confrontées à des contraintes particulières :

• Personnel limité en cybersécurité
• Adoption rapide d’outils d’IA grand public (IA parallèle)
• Besoin de gains de productivité sans compromettre la protection de la vie privée
• Utilisation des modèles publics (ChatGPT, Gemini) plutôt que des solutions d’entreprise

Le Guide 2026 de Fusion Computing souligne que les outils d’IA grand public ne répondent souvent pas aux exigences canadiennes en raison des problèmes de résidence des données, des paramètres de conservation par défaut et de l’absence d’autorités canadiennes de protection des données (ACPD).

Répercussions

Au sein d’une organisation utilisant des robots-clavardages et des robots-conversations, la PUADIA doit faire la distinction entre les outils autorisés et interdits, exiger des solutions d’entreprise et imposer une vérification humaine pour toutes les communications destinées aux clients.

En résumé : le cadre contextuel d’une PUADIA

Pour les PME canadiennes, une PUADIA se trouve à l’intersection des éléments suivants :

Pourquoi la PUADIA dépend-elle du système d’IA utilisé?

Parce que chaque système d’IA comporte des risques différents :

• Modèles publics → les données quittent le Canada; leur durée de conservation est inconnue; utilisation interdite pour les données sensibles.
• Entreprises locataires → protections contractuelles; utilisation autorisée pour les flux de travail internes.
• IA prédictive → risque de décisions automatisées; exige transparence et supervision humaine.
• IA générative → risque d’hallucinations, de fuites de propriété intellectuelle et d’atteintes à la confidentialité.
• Les développeurs d’IA doivent respecter les exigences de conception et de test du DGSI 101.
• Les déployeurs d’IA → doivent gérer l’intégration, les invites, les résultats et la divulgation.

Par conséquent, la PUADIA doit être adaptée au contexte des systèmes d’IA utilisés par les PME canadiennes.

CONTEXTE 2 – PUADIA pour l’émergence de l’IA agentive

Le contexte d’une IA agentive diffère fondamentalement de celui de l’IA traditionnelle, car les systèmes agentifs agissent, et ils ne se contentent pas de prédire ou de générer. Ils initient des tâches, prennent des décisions, utilisent des outils, exécutent des flux de travail et interagissent avec des systèmes externes. Cela crée une nouvelle catégorie de risques opérationnels, juridiques, éthiques et de sécurité que les PME canadiennes doivent explicitement maîtriser.

En quelques mots, l’IA introduit l’autonomie, l’utilisation d’outils et l’action environnementale, ce qui redéfinit le paysage de la gouvernance pour les PME canadiennes.

1. IA agentive = systèmes qui agissent, et non simplement qui génèrent

L’IA agentive peut :

• Déclencher des flux de travail (exemples : envoyer des courriels, mettre à jour des enregistrements CRM, planifier des réunions)
• Exécuter des plans en plusieurs étapes
• Appeler des API et des outils
• Surveiller les environnements et agir sans intervention directe
• Prendre des décisions ayant des conséquences concrètes

Répercussions

La PUADIA doit définir les limites de l’autonomie, les actions autorisées, les actions interdites et la supervision humaine requise.

2. Contexte réglementaire canadien (LPRPDE, Loi 25 du Québec, LPRPS)

L’IA agentive peut par inadvertance :

• Traiter des renseignements personnels sans consentement explicite
• Transférer des données au-delà des frontières
• Créer des scénarios de prise de décision automatisée
• Déclencher des actions qui constituent une « utilisation » ou une « divulgation » en vertu de la Loi sur la protection des renseignements personnels

Les PME canadiennes doivent s’assurer d’accomplir les responsabilités suivantes :

• Obtenir le consentement pour les actions automatisées impliquant des données personnelles
• Limiter la finalité des flux de travail autonomes
• Contrôler la résidence des données (notamment la Loi 25 du Québec)
• Maintenir une intervention humaine dans les décisions concernant les personnes

Répercussions

La PUADIA doit empêcher l’IA agentive d’agir sur des données personnelles ou confidentielles, sauf si des mesures de protection explicites existent et sont mises en œuvre.

3. Contexte des risques opérationnels (réalités des PME)

L’IA agentive peut :

• Envoyer des communications non intentionnelles
• Modifier les systèmes d’information
• Prendre des engagements financiers
• Interagir avec les clients de manière autonome
• Signaler les erreurs plus rapidement que les humains ne peuvent les détecter

Les PME manquent souvent les éléments suivants :

• Équipes dédiées à la sécurité de l’IA
• Processus éprouvé de gestion du changement
• Environnements segmentés

Répercussions

La PUADIA doit imposer les environnements de bac à sable, les listes blanches d’actions, les contrôles d’approbation et la journalisation des audits.

4. Contexte éthique et normatif (DGSI 101, Processus du G7 d’Hiroshima pour l’IA)

L’IA agentive soulève plusieurs questions éthiques :

• Autonomie vs. contrôle humain
• Transparence des actions de l’agent
• Explicabilité des plans à plusieurs étapes
• Responsabilité des décisions autonomes

La norme DGSI 101 (norme d’éthique canadienne pour les PME en matière d’IA) exige :

• L’évaluation des risques
• La surveillance
• La supervision humaine
• La définition claire des rôles (développeur vs. déployeur)

Répercussions

La PUADIA doit intégrer des contraintes éthiques et exiger la documentation des flux de travail de l’IA agentive.

5. Exigences des assureurs et des fournisseurs (tendances 2025-2026)

Les assureurs cybernétiques exigent maintenant :

• Des Politiques écrites d’utilisation acceptable de l’IA
• Des restrictions sur les actions autonomes
• La preuve d’une vérification humaine des communications externes
• La divulgation de l’utilisation de l’IA dans les processus d’affaires

Les fournisseurs (Microsoft, Google, Salesforce) exigent :

Des listes blanches d’actions

Des autorisations d’utilisation des outils

La journalisation et l’auditabilité

Répercussions

La PUADIA doit être conforme aux exigences des assureurs et des fournisseurs afin de maintenir la couverture et l’accès à la plateforme.

6. Contexte technique : l’IA agentive nécessite des garde-fous

L’IA agentive introduit des risques absents de l’IA générative :

• Boucles d’emballement
• Mauvaise utilisation des outils
• Injection de prompts entraînant des actions non autorisées
• Manipulation de l’environnement
• Propagations intersystèmes

Répercussions

La PUADIA doit définir les :

• Outils autorisés
• Environnements permis
• Niveaux maximaux d’autonomie
• Exigences de surveillance
• Mécanismes d’arrêt d’urgence

Tableau récapitulatif – contexte de la PUADIA agentive pour les PME

Pourquoi l’IA agentive exige-t-elle une Politique d’utilisation acceptable différente?

Parce que l’IA agentive agit concrètement. En réalité, elle peut :

• Agir
• Déclencher
• Modifier
• Valider
• Intensifier
• Interagir

L’IA traditionnelle se contente de générer. L’IA agentive, quant à elle, exécute. Une telle révolution technologique numérique conséquente transforme radicalement le cadre de gouvernance de l’IA.

SECTION II

ÉCHANTILLON D’UNE PUADIA POUR LES PMES

Vous trouverez ci-dessous un échantillon d’une Politique d’utilisation acceptable de l’IA adaptée aux PME. Après cet échantillon concis, nous fournissons des explications plus détaillées sur chaque section.

EXPLICATIONS DÉTAILLÉES pour chaque section de l’échantillon de la PUADIA ci-dessus

1. OBJECTIFS

Cette section explique la raison d’être de cette politique et définit les principes d’une adoption responsable de l’IA.

Texte de l’échantillon : cette politique vise à définir une utilisation acceptable, sécuritaire et responsable des technologies d’intelligence artificielle (IA) au sein de l’organisation. Elle garantit que l’IA améliore la productivité, favorise l’innovation et respecte les exigences légales, éthiques et de sécurité. Elle établit des attentes claires pour les employés et fournit des mesures de protection pour prévenir les abus, les fuites de données et les risques opérationnels.

Explication : les PME adoptent souvent l’IA rapidement, sans cadre de gouvernance. Cette section ancre la politique dans la réduction des risques, la conformité et la productivité — les trois piliers essentiels pour les PME.

2. CHAMP D’APPLICATION

Cette section précise qui est tenu de respecter la politique et quels systèmes elle couvre.

Texte de l’échantillon : cette politique s’applique à :

• Tous les employés, sous-traitants, stagiaires et fournisseurs de services externes.
• Tous les outils, systèmes et services d’IA utilisés à des fins professionnelles, y compris l’IA générative, l’analytique prédictive, les outils d’automatisation et les fonctionnalités d’IA intégrées aux logiciels d’entreprise.
• Tous les appareils, réseaux et comptes de l’entreprise utilisés pour accéder aux outils d’IA.

Explication : les PME oublient souvent les sous-traitants et les fonctionnalités d’IA intégrées (par exemple : l’automatisation CRM). Cette section permet d’assurer une couverture complète.

3. DÉFINITIONS

Cette section élimine toute ambiguïté en définissant les termes clés.

Texte de l’échantillon :

• Système d’IA : Tout logiciel ou service qui effectue des tâches à l’aide de l’apprentissage automatique (AA), du traitement automatique du langage naturel (TALN), de l’automatisation ou des technologies informatiques similaires.
• IA générative : IA qui produit du texte, des images, du code, de l’audio ou tout autre contenu.
• Données confidentielles : Renseignements confidentiels, personnels, réglementés, exclusifs ou relatifs aux clients.
• Outils d’IA publics : Systèmes d’IA accessibles sur Internet sans contrôle d’entreprise.
• Outils d’IA approuvés : Systèmes d’IA validés et autorisés par l’organisation.

Explication : Des définitions claires évitent toute ambiguïté en délimitant clairement les termes et notions essentiels et permettent une compréhension commune entre les parties prenantes, évitant ainsi que quiconque puisse prétendre ignorer qu’un système ou une application est un outil d’IA.

4. UTILISATION ACCEPTABLE

Cette section définit les actions autorisées pour les employés – élément essentiel pour une adoption et une compréhension claire.

Texte de l’échantillon : Les employés peuvent utiliser les outils d’IA approuvés pour :

• Rédiger des documents, des rapports, des présentations et des communications.
• Effectuer du remue-méninge, synthétiser des informations ou tirer des conclusions.
• Automatiser les tâches répétitives comme la mise en forme, la saisie de données ou la transcription.
• Soutenir la prise de décision à l’aide d’ensembles de données non confidentielles.
• Améliorer le service à la clientèle grâce aux plateformes d’IA approuvées.
• Améliorer les flux de travail internes, pourvu que les résultats soient vérifiés par un humain.

Toute utilisation doit être conforme aux normes de l’entreprise en matière de cybersécurité, de confidentialité et de traitement des données.

Explication : Cette section encourage une utilisation productive tout en renforçant le contrôle humain.

5. USAGE INTERDIT

Cette section établit des limites claires afin de prévenir les risques juridiques, éthiques et sécuritaires.

Texte de l’échantillon : Les employés ne doivent pas utiliser les outils d’IA pour :

• Saisir, télécharger, téléverser ou partager des données confidentielles, sauf autorisation expresse et protection par des garanties contractuelles et techniques.
• Générer du contenu discriminatoire, nuisible, trompeur ou inapproprié.
• Créer des hypertrucages, des usurpations d’identité ou du contenu trompeur.
• Contourner les contrôles de sécurité, les systèmes de surveillance ou les restrictions d’accès.
• Prendre des décisions commerciales finales uniquement sur la base des résultats de l’IA, sans vérification humaine.
• Utiliser des outils d’IA non approuvés ou personnels pour le travail de l’entreprise.
• Procéder à l’ingénierie inverse, au débridage ou à la manipulation des systèmes d’IA d’une manière qui contrevient aux conditions du fournisseur.

Explication : Cette section protège les PME des risques les plus courants reliés à l’IA : fuites de données, atteinte à la réputation et non-conformité.

6. PROTECTION DES DONNÉES ET EXIGENCES EN MATIÈRE DE CONFIDENTIALITÉ

Cette section s’assure que les employés comprennent comment les données doivent être traitées lors de l’utilisation de l’IA.

Texte de l’échantillon :

• Seuls les outils d’IA approuvés peuvent être utilisés avec les données de l’entreprise.
• Les données confidentielles ou réglementées (données personnelles, financières, dossiers clients, données de santé) ne doivent jamais être saisies dans des systèmes d’IA publics.
• Avant toute utilisation, les employés doivent vérifier si un outil d’IA stocke, s’entraîne ou partage des données d’entrée.
• Les résultats de l’IA doivent être vérifiés quant à leur exactitude, leur absence de biais et leur conformité avant leur diffusion.
• Les données utilisées pour la formation ou le réglage fin de l’IA doivent respecter les exigences légales et contractuelles.

Explication : Les PME sous-estiment souvent la facilité avec laquelle des données peuvent fuiter dans les processus d’entraînement de l’IA. Cette section aide à prévenir ce risque.

7. EXIGENCES EN CYBERSÉCURITÉ

Cette section Aligne l’utilisation de l’IA avec les pratiques de cybersécurité.

Texte de l’échantillon :

• Les outils d’IA doivent être vérifiés par les TI et la sécurité avant leur déploiement.
• L’accès aux systèmes d’IA doit utiliser des méthodes d’authentification approuvées par l’entreprise.
• Le code généré par l’IA doit subir un examen et des tests de sécurité standard.
• Tout soupçon d’utilisation abusive, de fuite de données ou d’incident de sécurité impliquant l’IA doit être signalé immédiatement.
• Les intégrations d’IA doivent suivre des pratiques sécurisées en matière d’API et de réseau.

Explication : L’IA introduit de nouvelles surfaces d’attaque. Cette section garantit que les PME traitent l’IA comme n’importe quel autre système d’entreprise.

8. PROPRIÉTÉ INTELLECTUELLE ET PROPRIÉTÉ DU CONTENU

Cette section protège l’entreprise des litiges relatifs aux droits d’auteur et à la propriété intellectuelle.

Texte de l’échantillon :

• Les employés doivent s’assurer que le contenu généré par l’IA ne porte pas atteinte aux droits d’auteur ni aux marques déposées.
• Les résultats de l’IA utilisés dans les livrables doivent être vérifiés afin de garantir leur originalité.
• Le cas échéant, les employés doivent divulguer aux clients ou partenaires le contenu qui a bénéficié du soutien de l’IA.
• Les employés ne doivent pas revendiquer la paternité personnelle du contenu généré par l’IA.

Explication : Le contenu généré par l’IA peut reproduire accidentellement du matériel protégé par le droit d’auteur. Les PME ont besoin de règles explicites.

9. EXACTITUDE, BIAIS/PRÉJUGÉS ET UTILISATION ÉTHIQUE

Cette section aborde les limites et les risques éthiques de l’IA.

Texte de l’échantillon :

• Les résultats de l’IA peuvent contenir des erreurs ou des biais ; les employés doivent valider toutes les informations critiques.
• L’IA ne doit pas être utilisée pour prendre des décisions ayant une incidence importante sur l’emploi, la rémunération ou les droits des clients sans supervision humaine.
• Les employés doivent éviter d’inciter les systèmes d’IA à générer du contenu contraire à l’éthique, nuisible ou discriminatoire.
• L’utilisation de l’IA doit être conforme aux valeurs et aux normes éthiques de l’entreprise.

Explication : Cette section garantit que l’IA ne devienne pas une source de discrimination ou de préjudice.

10. APPROBATION DES FOURNISSEURS ET DES OUTILS

Cette section établit un processus formel d’approbation des outils d’IA.

Texte de l’échantillon : Tous les outils d’IA doivent :

• Être évalués par le service informatique en matière de sécurité, d’intégration et de risques opérationnels.
• Être examinés par le service juridique/conformité concernant le traitement des données et les obligations contractuelles.
• Être approuvés par la direction avant leur utilisation en production.
• Faire l’objet d’une réévaluation périodique de leur conformité et de leurs performances.

Explication : Les PME adoptent souvent les outils de manière informelle; cette section instaure une gouvernance.

11. RESPONSABILITÉS DES EMPLOYÉS

Cette section précise les obligations des employés en matière de conformité.

Texte de l’échantillon : Les employés doivent :

• Utiliser les outils d’IA de manière responsable et conformément à la présente politique.
• Vérifier l’exactitude, la conformité et la pertinence des résultats de l’IA.
• Signaler tout abus ou problème au service informatique ou au service de conformité.
• Suivre chaque année les modules de formation obligatoires sur l’IA.
• Respecter tous les protocoles de gestion et de sécurité des données lors de l’utilisation de l’IA.

Explication : Cette section permet aux employés de comprendre leur rôle dans l’utilisation sécuritaire de l’IA.

12. SURVEILLANCE ET APPLICATION

Cette section explique comment l’entreprise appliquera la politique.

Texte de l’échantillon :

• L’entreprise peut surveiller l’utilisation de l’IA à des fins de sécurité, de conformité et d’intégrité opérationnelle.
• Les infractions peuvent entraîner des mesures disciplinaires, comme la révocation de l’accès, une formation complémentaire ou un congédiement, selon leur gravité.
• Les infractions graves peuvent donner lieu à des poursuites judiciaires ou à un signalement aux autorités compétentes.

Explication : Des conséquences claires favorisent le respect de la politique et limitent les abus.

13. RÉVISION DE LA POLITIQUE

Cette section assure la mise à jour de la politique.

Texte de l’échantillon :

Cette politique sera révisée annuellement ou en cas d’évolution significative des technologies d’IA, de la réglementation ou des opérations commerciales. Les mises à jour seront communiquées à tous les employés.

Explication : L’IA évolue rapidement; les PME ont besoin de mises à jour régulières.

14. ACCUSÉ DE RÉCEPTION DE L’UTILISATEUR

Cette section consigne l’entente officielle des employés.

Texte de l’échantillon :

Tous les employés doivent accuser réception de la présente politique, l’avoir lue, comprise et s’engager à la respecter. Cet accusé de réception peut être recueilli par signature électronique, via les systèmes RH ou les documents d’intégration.

Explication : Cette section protège l’entreprise sur le plan juridique et opérationnel.

SECTION III

OUTILS AUTORISÉS ET INTERDITS AU SEIN DES PME

L’organisation doit établir et maintenir un processus formel d’évaluation, d’approbation et de gouvernance de l’utilisation des outils et services d’intelligence artificielle.

• Établir et maintenir un processus officiel d’évaluation, d’approbation et de gouvernance des outils et services d’intelligence artificielle (IA).
• Définir et communiquer une liste des outils d’IA autorisés que les employés sont autorisés à utiliser à des fins professionnelles.
• Identifier et communiquer les outils et services d’IA qui sont interdits pour des raisons de sécurité, de protection de la vie privée, de conformité, d’éthique ou d’ordre opérationnel.
• Effectuer une évaluation des risques liés aux outils d’IA avant leur approbation, y compris des examens portant sur la sécurité de l’information, la protection de la vie privée, les pratiques de traitement des données, la conformité réglementaire, les risques liés aux tiers et la fiabilité des modèles.
• S’assurer que les considérations contractuelles, juridiques et relatives à la propriété intellectuelle sont évaluées avant l’adoption de toute solution d’IA.
• Interdire la saisie d’informations confidentielles, sensibles, exclusives ou assujetties à une réglementation dans des systèmes d’IA non autorisés.
• Fournir aux employés des directives et de la formation sur l’utilisation appropriée des outils d’IA approuvés.
• Examiner et réévaluer régulièrement les outils d’IA approuvés, ainsi que chaque fois que des changements importants surviennent au niveau de l’outil, de son fournisseur, des règlements applicables ou des exigences organisationnelles.
• Surveiller l’utilisation des outils d’IA afin de garantir le respect des politiques organisationnelles et des cas d’utilisation approuvés.
• Traiter l’utilisation d’outils d’IA non autorisés conformément aux politiques de sécurité de l’information et d’utilisation acceptable de l’organisation.

SECTION IV

ACTIVITÉS AUTORISÉES, ACTIVITÉS INTERDITES ET EXIGENCES RELATIVES À LA PROPRIÉTÉ INTELLECTUELLE

Seuls les outils d’IA d’entreprise approuvés par l’organisation peuvent être utilisés, et tous les résultats générés par l’IA doivent être examinés par un humain avant d’être considérés comme fiables, publiés ou utilisés à des fins décisionnelles.

Utilisations autorisées

• Tâches liées à la productivité, telles que la rédaction de courriels, de rapports, de présentations, de comptes rendus de réunion et de communications internes.
• Analyse de données, intelligence d’affaires et assistance pour les feuilles de calcul, les requêtes et la production de rapports.
• Soutien au développement de logiciels, y compris la génération de code, la documentation, les essais et les analyses de sécurité approuvées.
• Activités de soutien à la clientèle, telles que la rédaction de réponses, la gestion des tickets et la création d’une base de connaissances.
• Élaboration de contenu de marketing et de vente, sous réserve d’un examen et d’une approbation appropriés.
• Formation interne, intégration des nouveaux employés, élaboration de politiques et activités de soutien aux RH.
• Remue-méninges, recherche, synthèse de contenu et première ébauche de documents rédigés par des experts en la matière.

Conditions essentielles

• Seuls les outils d’IA d’entreprise approuvés peuvent être utilisés.
• Les renseignements confidentiels, réglementés, relatifs aux clients ou sensibles ne peuvent être traités que dans des environnements autorisés dotés de mesures de protection appropriées.
• L’examen et la supervision par des humains sont obligatoires.
• Les résultats générés par l’IA doivent être validés en termes d’exactitude, de conformité, de propriété intellectuelle et d’adéquation aux besoins de l’entreprise.

Utilisations interdites ou restreintes

• Le téléchargement d’informations sensibles, réglementées, confidentielles, relatives aux clients, financières, médicales, juridiques ou exclusives dans des outils d’IA non autorisés.
• L’utilisation de solutions d’IA grand public ou non approuvées qui ne disposent pas des mesures de sécurité, de protection de la vie privée ou de conformité appropriées.
• Le fait de permettre à l’IA de prendre des décisions autonomes concernant des questions liées à l’emploi, au droit, aux finances, à la sécurité ou à la conformité.
• Générer du contenu trompeur, frauduleux, préjudiciable, d’usurpation d’identité ou de type « deepfake ».
• Utiliser l’IA pour contourner les contrôles de sécurité, développer des logiciels malveillants ou effectuer des analyses non autorisées du système.
• Se fier à l’IA pour remplacer le jugement professionnel en matière juridique, financière, médicale, de conformité ou d’ingénierie.
• Téléverser sans autorisation de la propriété intellectuelle de tiers, du contenu protégé par le droit d’auteur, des renseignements confidentiels sur des partenaires ou du matériel sous licence.
• Publier à l’externe du contenu généré par l’IA sans examen ni approbation humaine appropriés.

Exigences en matière de propriété intellectuelle

• L’IA est un outil d’aide et ne remplace en aucun cas la responsabilité, l’obligation de rendre compte ou la révision par des humains.
• Tout contenu généré par l’IA doit faire l’objet de vérifications techniques, de conformité et en matière de propriété intellectuelle avant toute utilisation externe.
• Les organisations demeurent responsables de l’exactitude, de la légalité et de la propriété de tout contenu généré par l’IA.
• Le contenu généré par l’IA ne peut être considéré comme la propriété de l’organisation que s’il a été créé à l’aide d’outils approuvés, révisé par du personnel autorisé et exempt de toute propriété intellectuelle non autorisée appartenant à des tiers.

SECTION V

USAGES ÉTHIQUES ET DÉONTOLOGIQUES DE L’IA

1. Fondements éthiques de l’IA dans les PME (principes normatifs)

Voici les principaux principes philosophiques qui guident une utilisation responsable de l’IA :

A. Bienfaisance (faire le bien)

L’IA doit être utilisée pour renforcer les capacités humaines, améliorer l’efficacité, réduire les préjudices et favoriser des résultats équitables.

B. Non-malfaisance (ne pas nuire)

L’IA ne doit ni créer ni amplifier les risques, qu’ils soient physiques, psychologiques, financiers ou de réputation.

C. Autonomie (Respecter la capacité de décision humaine)

L’IA doit appuyer la prise de décision humaine, et non la remplacer. La responsabilité incombe aux humains.

D. Justice (équité et impartialité)

Les systèmes d’IA doivent éviter les biais, la discrimination et les traitements inégaux.

E. Responsabilité (responsabilité morale et opérationnelle)

Seuls les êtres humains, et non les algorithmes, sont responsables des résultats, des décisions et des conséquences liés à l’utilisation des outils d’IA.

2. Principes éthiques (obligations éthiques)

Les obligations non négociables que les employés et les PME doivent respecter, quelles qu’en soient les conséquences, sont résumées ci-dessous.

A. Devoir de sincérité

L’IA ne doit pas être utilisée pour tromper, manipuler ou induire en erreur des individus ou des groupes.

B. Le respect des personnes

L’IA ne doit pas porter atteinte à la dignité, à la vie privée ou aux droits individuels.

C. Devoir de confidentialité

L’IA ne doit pas être utilisée pour divulguer, déduire ou exploiter des renseignements sensibles.

D. Devoir d’intégrité professionnelle

Les employés ne doivent pas utiliser l’IA pour contourner leur expertise, falsifier des qualifications ou simuler une autorité.

E. Devoir de loyauté

L’IA ne doit pas être utilisée pour obtenir un avantage indu, fausser la concurrence ou exploiter des vulnérabilités.

3. Cadre de décision éthique pour l’IA – liste de contrôle déontologique

Avant d’utiliser l’IA, TOUS les employés DOIVENT RÉPONDRE CLAIREMENT aux questions suivantes :

IMPORTANT : Toute réponse négative entraîne l’interdiction de l’activité.

SECTION VI

FORMATION RÉGULIÈRE ET SENSIBILISATION À L’UTILISATION DE L’IA AU SEIN DES PETITES ORGANISATIONS

1. Objectif de la formation et de la sensibilisation à l’IA dans les PME

La gouvernance de l’IA n’est efficace que si les employés comprennent :

• Ce qu’ils sont autorisés à faire
• Ce qu’ils ne doivent absolument pas faire
• Comment identifier les risques
• Comment signaler les problèmes
• L’impact de l’IA sur l’éthique, la propriété intellectuelle, la confidentialité et la sécurité

La formation est essentielle : elle constitue le fondement d’une adoption sécuritaire de l’IA.

2. Composantes essentielles d’un programme de formation en IA pour PME

A. Notions fondamentales de l’IA

Les employés doivent comprendre :

• Qu’est-ce que l’IA (et ce qu’elle n’est pas)
• Le fonctionnement de l’IA générative
• Ses limites : hallucinations, biais, excès de confiance
• L’importance de l’intervention humaine
• Les outils permis et interdits

B. Utilisation acceptable et sensibilisation aux politiques

La formation couvre :

• Les activités d’IA autorisées
• Activités strictement interdites
• Les règles de classification des données
• Les processus de vérification de la propriété intellectuelle et du contenu
• Les obligations éthiques et déontologiques
• Les procédures d’escalade en cas de violation

C. Sensibilisation à la sécurité et à la confidentialité

Les employés apprennent :

• Pourquoi les données sensibles ne devraient jamais être téléchargées ?
• Comment les outils d’IA peuvent divulguer des renseignements ?
• Comment identifier les messages non sécurisés ?
• Comment signaler un comportement suspect de l’IA ?
• Comment la sécurité informatique surveille-t-elle l’utilisation de l’IA ?

D. Formation aux compétences pratiques

Modules pratiques :

• Comment rédiger des messages sécurisés ?
• Comment analyser les résultats de l’IA ?
• Comment détecter les biais ou les anomalies ?
• Comment utiliser efficacement les outils d’IA en entreprise ?
• Comment valider le code ou le contenu généré par l’IA ?

E. Formations spécifiques aux rôles

Les différents rôles nécessitent différents niveaux de formation :

• Gestionnaires : supervision, examen, approbations
• Sécurité informatique : surveillance, gestion des incidents
• RH : recrutement éthique, protection des données, équité
• Marketing : sécurité de la marque, conformité en matière de propriété intellectuelle
• Développeurs : examen du code, licences, risques liés aux modèles

SECTION VII

RÉVISION ANNUELLE DE LA POLITIQUE D’UTILISATION ACCEPTABLE DE L’IA

1. Objectifs de la révision annuelle

La révision annuelle garantit que la Politique d’utilisation acceptable de l’IA demeure :

• À jour face aux technologies émergentes
• Conforme aux évolutions juridiques, éthiques et réglementaires
• Réactive aux nouveaux risques (hypertrucages, fuites de données, dérive des modèles)
• Efficace pour encadrer le comportement des employés
• Cohérente à la stratégie et au niveau de sécurité de l’entreprise

La révision annuelle est le point de contrôle officiel qui assure la mise à jour de la politique.

2. Objectifs de la révision annuelle

Chaque cycle de révision doit permettre d’atteindre les objectifs suivants :

A. Évaluation de l’efficacité de la politique

• Les employés ont-ils respecté les règles ?
• Des infractions ont-elles été détectées ?
• La politique a-t-elle permis d’éviter les abus ?
• Les contrôles sont-ils efficaces ?

B. Mise à jour des évaluations des risques

• Nouveaux outils d’IA
• Nouveaux vecteurs de menaces
• Nouvelles exigences réglementaires
• Nouvelles considérations éthiques
• Nouveaux risques reliés à la propriété intellectuelle et à la protection des données

C. Mise à jour des outils permis et interdits

• Ajout des nouveaux outils d’entreprise validés
• Suppression des outils désuets ou non sécurisés
• Mise à jour des restrictions en fonction des modifications apportées par les fournisseurs

D. Renforcement de la supervision et de la responsabilisation

• Ajustement des rôles et des responsabilités
• Amélioration des procédures d’escalade
• Renforcement des mécanismes de surveillance et de rapport

E. Amélioration de la formation et de la sensibilisation

• Mise à jour des modules de formation
• Ajout de nouvelles études de cas
• Amélioration des points faibles identifiés lors des audits

RESSOURCES ET RÉFÉRENCES

Les ressources et références (***) ci-après sont disponibles uniquement en anglais.

1. Justin B. Bullock (ed.), Yu-Che Chen (ed.), Johannes Himmelreich (ed.) et al. The Oxford Handbook of AI Governance. Oxford University Press, 19 April 2024, 1104 pages. The Oxford Handbook of AI Governance | Oxford Academic ***
2. Vincent C. Müller. Ethics of Artificial Intelligence and Robotics: The Standford Encyclopedia of Philosophy. Summer 2026 Edition. Standford University Press, 598 pages. Ethics of Artificial Intelligence and Robotics (Stanford Encyclopedia of Philosophy/Summer 2026 Edition) ***
3. Tim-Dorian Knöchel, Konrad J. Schweizer, Oguz A. Acar, et al. Core Principles of Responsible Generative AI Usage in Research. Springer Nature Publishing, 14 October 2025, Volume 5, pages 6371-6377. Core principles of responsible generative AI usage in research | AI and Ethics | Springer Nature Link ***
4. Ryan Abbott (ed.). Research Handbook on Intellectual Property and Artificial Intelligence. World Intellectual Property Organization (WIPO) Knowledge Repository, 26 September 2023, 498 pages. Research Handbook on Intellectual Property and Artificial Intelligence
5. Jozefien Vanherpe & Nathalie A. Smuha. The Cambridge Handbook of Law, Ethics and Policy of Artificial Intelligence. Cambridge University Press, 6 February 2025, 983 pages. Artificial Intelligence and Intellectual Property Law (Chapter 11) – The Cambridge Handbook of the Law, Ethics and Policy of Artificial Intelligence ***
6. Tiyyaba Furqan, Hamda M. Aleissaee, Nadirah Ghenimi et al. Global Laws Governing Intellectual Property Rights for AI-Generated Works. Springer Nature Publishing, 12 May 2026, Volume 6, Article No 449. Global laws governing intellectual property rights for AI-generated works | Discover Artificial Intelligence | Springer Nature Link ***
7. Gergely Ferenc Lendvi, Peter Mezei & Annette Pogacsas. The State of AI and Intellectual Property – A Thematic Scientometric Assessment. Springer Nature Publishing, 8 June 2026, Volume 6, Article No 240. The state of AI and intellectual property – a thematic scientometric assessment | SN Social Sciences | Springer Nature Link ***
8. William D’Alessandro. Deontology and Safe Artificial Intelligence: Philosophical Studies Collection. Springer Nature Publishing, 13 June 2025, Volume 182, pages 1681-1704. Deontology and safe artificial intelligence | Philosophical Studies | Springer Nature Link ***
9. Jasper Kyle Katapang. Building the Ethical AI Framework for the Future: From Philosophy to Practice. Springer Nature Publishing, 9 February 2026, Volume 6, Article No 150. Building the ethical AI framework of the future: from philosophy to practice | AI and Ethics | Springer Nature Link ***
10. Steven S. Gouveia (ed.). The Palgrave Handbook on the Ethics of Artificial Intelligence. Jointly published by the Institute of Philosophy, University of Porto, Porto, Portugal Springer Nature Publishing, 8 May 2026, 898 pages. The Palgrave Handbook on the Ethics of Artificial Intelligence | Springer Nature Link ***
11. Thang Le Dinh, Manh‑Chiên Vu, Giang T.C. Tran. Artificial Intelligence in SMEs: Enhancing Business Functions Through Technologies and Applications. MDPI Open Access Journals – Volume 16, Issue 5, 18^th May 2025. Artificial Intelligence in SMEs: Enhancing Business Functions Through Technologies and Applications ***
12. World Economic Forum – Davos, Switzerland. Advancing Responsible AI Innovation: A 2025 Playbook for All Types of Organizations. 22^nd September 2025. Advancing Responsible AI Innovation: A 2025 Playbook for All Types of Organizations | World Economic Forum ***
13. IIENSTITU – Online Advanced IT Courses & Certifications for Small Businesses. Marco dela Cruz. AI Risk Assessment: SMEs’ Path to Compliance in 2026. 16^th May 2026. AI Risk Assessment: SMEs’ Path to Compliance in 2026 – IIENSTITU ***
14. I LIKE AI – AI Deontology, Ethics, Professional Practices & Policy Issue. Conducting an AI Risk Audit: A Simple Framework for SMEs. 3^rd May 2025. Conducting an AI Risk Audit: A Simple Framework for SMEs – I LIKE AI ***

CONTRIBUTIONS

Nous souhaitons remercier tout particulièrement le Conseil national de recherches du Canada (CNRC) pour son appui financier, accordé par l’entremise de son Programme d’aide à la recherche industrielle (PARI), un programme qui contribue activement au développement des PME innovantes dans l’ensemble des 10 provinces et des 3 territoires du Canada.

Les PME canadiennes innovantes admissibles peuvent répondre à leurs exigences en cybersécurité en obtenant un soutien financier pour la préparation à la conformité et les audits de certification. Pour en savoir plus sur le PARI du CNRC, veuillez consulter : À propos du Programme d’aide à la recherche industrielle ou communiquez avec votre conseiller en technologies industrielles du PARI du CNRC.

Éditeur-en-chef de l’infolettre :

Alan Bernardi, SSCP, PMP, auditeur principal pour ISO 27001, ISO 27701 et ISO 42001
B.Sc. Informatique et Mathématiques, Université McGill, Canada
Diplôme d’études supérieures en gestion, Université McGill, Canada

Auteur-Amazon USA, informaticien, rédacteur & traducteur professionnel certifié :

Ravi Jay Gunnoo, C.P.W. ISO 24495-1:2023 & C.P.T. ISO 17100:2015
B.Sc. Informatique et Cybersécurité, Université McGill, Canada
B.Sc. & M.A. Traduction Professionnelle, Université de Montréal, Canada

Ce contenu a été préparé au meilleur de nos connaissances. Bien que tous les efforts aient été déployés pour en assurer l’exactitude et la clarté, nous ne pouvons garantir que toutes les informations soient complètes, exemptes d’erreurs ou à jour. Les points de vue et les informations présentés le sont uniquement à des fins générales.

Ce contenu est publié sous licence Creative Commons Attribution (CC BY-NC).