Cadre de gouvernance de l’intelligence artificielle (IA) pour les PME

Principes fondamentaux permettant aux petites organisations de bénéficier de l’IA

L’IA est omniprésente. Dans le sillage de l’évolution constante des technologies de l’information, l’émergence et l’omniprésence croissante de l’IA auront un impact sur les opérations à venir des PME. C’est pourquoi un cadre de gouvernance de l’IA (CGIA) est un outil précieux pour accompagner les PME dans leur adaptation à l’IA. Par conséquent, quels sont types d’utilisations de l’IA au sein des PME qui nécessitent un cadre de gouvernance? Notre Infolettre de cybersécurité a été rédigé avec soin pour répondre à cette question. Les ressources et références 1 à 16, indiquées à la fin de ce document, ont été consultées, analysées avec rigueur, synthétisées et adaptées méthodiquement pour la rédaction des 7 sections et sous-sections de ce manuscrit sur la cybersécurité.

Notre question principale : quels sont les types d’utilisations de l’IA au sein des PME qui nécessitent un cadre de gouvernance? Une part étonnamment importante des utilisations de l’IA au sein des PME nécessite un cadre de gouvernance, non pas par bureaucratie, mais parce que l’IA introduit de nouveaux risques opérationnels, juridiques et réputationnels susceptibles de s’accumuler insidieusement. La façon la plus simple d’y penser est la suivante : toute utilisation de l’IA ayant un impact sur les décisions, les données, les clients, les employés et la conformité nécessite un cadre de gouvernance.

SECTION I

Clarifications résumées des différents modèles d’architecture d’IA utilisés par les organisations, y compris les PME

L’architecture du modèle choisi d’IA a un impact direct sur le cadre de gouvernance, le profil de risque et les exigences de contrôle. La gouvernance est généralement plus simple lorsqu’une organisation utilise une version commerciale de ChatGPT ou un service similaire d’IA géré, car de nombreuses responsabilités en matière de sécurité, d’infrastructure, de maintenance et de conformité restent à la charge du fournisseur. En revanche, lorsqu’une organisation développe, affine ou exploite ses propres modèles d’IA, elle assume une responsabilité bien plus importante en matière de gouvernance des données, de supervision des modèles, de contrôles de sécurité, de conformité réglementaire, de surveillance et de gestion du cycle de vie. De plus, de nombreuses organisations intègrent maintenant des fonctionnalités d’IA directement dans leurs produits et services. Dans bien des cas, ces solutions reposent sur un entraînement limité à un domaine spécifique, des approches basées sur la récupération d’informations ou des modèles de connaissances spécialisés dont l’impact sur la gouvernance est relativement faible comparativement à celui de modèles propriétaires entièrement entraînés. Néanmoins, les exigences de gouvernance augmentent lorsque les systèmes d’IA influencent les décisions des clients, traitent des informations confidentielles ou fonctionnent avec un haut degré d’autonomie.

1. IA externalisée (IA dans l’infonuagique publique/IA hébergée par un fournisseur)

Emplacement du modèle : fonctionne entièrement dans l’infrastructure d’un fournisseur externe (Microsoft, OpenAI, Google, Anthropic, etc.)

Formation : préformation par le fournisseur d’utilisation des données PME. Dépend de la politique du fournisseur de conservation des données :

• Offres de niveau entreprise (par exemple : Google Gemini, ChatGPT, Microsoft Copilot, Azure OpenAI) → aucune donnée client n’est utilisée pour entraîner le modèle
• Offres grand public → peut utiliser des données pour améliorer le modèle, sauf désinscription

Caractéristiques

• Aucune charge d’infrastructure
• Adoption la plus rapide
• Haute conformité si vous utilisez des services de niveau entreprise
• Le risque dépend des garanties du fournisseur en matière de traitement des données.

Idéal pour : les PME sans équipes ML; déploiement rapide; faible surcharge opérationnelle.

2. Utilisation interne de modèles externes (déploiement dans une infonuagique privée/VPC)

Emplacement du modèle : modèle du fournisseur déployé dans l’infonuagique privée ou l’environnement privé virtuel de la PME.

Formation : généralement non réentraînée; parfois optimisée. Utilisation des données de la PME :

• Les données demeurent dans l’environnement contrôlé de la PME.
• Le fournisseur ne conserve ni n’exploite les données de la PME.

Caractéristiques :

• Sécurité et conformité renforcées.
• Permet l’intégration avec les systèmes internes.
• Plus coûteux que l’utilisation dans une infonuagique publique.

Idéal pour : les secteurs réglementés (finances, santé) et les environnements abritant des données confidentielles.

3. Formation à l’interne (modèles entièrement internes)

Emplacement du modèle : intégralement dans l’infrastructure de la PME

Formation : la PME entraîne le modèle à partir de zéro ou à l’aide d’architectures sources libres. Utilisation des données par la PME :

• Toutes les données d’entraînement sont contrôlées en interne.
• Aucune conservation externe.
• La responsabilité de la gouvernance incombe entièrement à la PME.

Caractéristiques :

• Contrôle maximal.
• Coût et complexité les plus élevés.
• Nécessite des ingénieurs en apprentissage machine, des grappes GPU et des pipelines MLOps.

Idéal pour : grandes entreprises, secteur de la défense, entreprises de technologies de pointe.

4. Formation externe utilisant les données des PME (modèles formés en collaboration avec le fournisseur)

Il s’agit de la catégorie la plus mal comprise et celle qui présente le risque de gouvernance le plus élevé.

Emplacement du modèle : infrastructure du fournisseur

Formation : le fournisseur forme ou affine un modèle à l’aide des données fournies par les PME. Utilisation des données des PME : il existe deux (2) sous-modèles :

4A. Conservation des données des PME pour la formation du fournisseur

• Le fournisseur conserve les données
• Les données peuvent être utilisées pour améliorer les modèles généraux du fournisseur
• Risques : perte d’avantage concurrentiel, fuite de propriété intellectuelle, risques de non-conformité

4B. Données PME exclues de la formation des fournisseurs

• Le fournisseur utilise les données PME uniquement pour le modèle propriétaire optimisé de la PME.
• Les données ne sont pas utilisées pour l’entraînement de modèles globaux.
• Les données sont supprimées ou isolées après l’entraînement.
• Pratique courante dans les contrats d’entreprise avec des accords de protection des données (APD) stricts.

Caractéristiques :

• Performances hautement personnalisées
• Nécessite des contrôles contractuels rigoureux
• Doit inclure : des clauses de conservation, des garanties de suppression et des garanties d’isolation des modèles.

Idéal pour : les PME ayant besoin d’une IA spécifique à un domaine (juridique, médical, ingénierie, flux de travail exclusif).

FIGURE 1 : Tableau récapitulatif (Architecture vs. Formation vs. Conservation des données)

Perspective non évidente

Le modèle d’architecture d’IA détermine en pratique votre niveau de risque en matière d’IA bien plus que le type de modèle (Transformer, LLM, etc.). Dans le contexte des réalités quotidiennes des PME, la plus grande erreur de gouvernance consiste à confondre « réglage de précision » et « formation ».

En réalité, « réglage de précision » et « formation » sont deux choses différentes :

• Réglage de précision → Le modèle d’architecture d’IA apprend des schémas mais n’intègre pas les données brutes.
• Formation → Le modèle d’architecture d’IA ajuste les pondérations en fonction de vos données, ce qui peut potentiellement intégrer des informations confidentielles.

Cette distinction est cruciale pour les achats et les accords de protection des données (APD).

SECTION II

Types d’utilisation de l’ia au sein des pme nécessitant un cadre de gouvernance de l’IA

1. IA qui fonctionne avec les données des clients

Il s’agit de la catégorie présentant le risque le plus élevé pour les PME.

• Robots conversationnels de soutien à la clientèle utilisant les données CRM
• Outils de vente assistés par IA qui analysent les profils des clients
• Personnalisation marketing automatisée
• Évaluation du crédit, de l’admissibilité ou des risques par l’IA

Pourquoi un cadre de gouvernance de l’IA est-il nécessaire? Pour respecter les lois sur la protection des données (LPRPDE, Loi 25 du Québec, RGPD), le consentement, la minimisation des données, la vérifiabilité et la prévention des décisions biaisées ou opaques.

2. IA qui traitent des données internes ou confidentielles

Cela inclut toute IA intégrant des informations confidentielles.

• Synthèse de documents (contrats, propositions, données financières)
• Outils de programmation assistée par IA ayant accès aux référentiels internes
• Analyses de données opérationnelles ou financières par IA
• IA utilisée dans les processus RH (sélection, analyse du rendement)

Pourquoi un cadre de gouvernance de l’IA est-il nécessaire ? Pour prévenir les fuites de données, assurer la confidentialité, valider les résultats des modèles et définir clairement les limites des données pouvant être transférées vers des systèmes externes.

3. IA qui automatise ou influence la prise de décision

Chaque fois que les résultats de l’IA mènent à des actions, vous avez besoin d’une surveillance.

• Traitement automatisé et approbation des factures
• Recommandations en matière d’approvisionnement basées sur l’IA
• Prévision des stocks et optimisation de la chaîne d’approvisionnement
• Recommandations d’embauche ou de promotion assistées par l’IA

Pourquoi un cadre de gouvernance de l’IA est-il nécessaire? Exigences humaines, responsabilisation, pistes d’audit et surveillance des préjugés.

4. IA utilisée pour la communication externe

Car elle a un impact sur la marque, la réputation et les risques juridiques.

• Contenu marketing généré par l’IA
• Courriels, propositions ou documents juridiques rédigés par l’IA
• Descriptions de produits ou de contenu web générés par l’IA

Pourquoi un cadre de gouvernance de l’IA est-il nécessaire? Pour assurer l’exactitude des informations, le respect des droits d’auteur, la cohérence du ton et de la marque, et prévenir les allégations mensongères.

5. IA utilisée en cybersécurité ou en opérations informatiques

Ces outils sont puissants, mais une mauvaise configuration peut entraîner des défaillances en cascade.

• Détection des menaces par l’IA
• Outils automatisés de correction ou de remédiation
• Évaluation des risques reliés à l’identité ou à l’accès par l’IA

Pourquoi un cadre de gouvernance de l’IA est-il nécessaire? Pour les processus de contrôle des changements, la surveillance et la validation des actions automatisées.

6. IA utilisée par les employés pour améliorer la productivité

C’est le domaine de risque le plus sous-estimé.

• IA à usage général (bureautique, programmation, conception)
• Prise de notes automatisée en réunion
• Outils automatisés de transcription et de traduction

Pourquoi un cadre de gouvernance de l’IA est-il nécessaire ? Il permet de définir clairement les règles d’utilisation acceptable, les limites de traitement des données et de former les employés aux données à ne pas intégrer aux systèmes d’IA.

7. IA utilisée dans les produits ou services fournis aux clients

Si votre PME intègre l’IA dans ce qu’elle vend, la gouvernance devient essentielle.

• Fonctionnalités SaaS améliorées par l’IA
• Analyses basées sur l’IA offertes aux clients
• Recommandations fondées sur l’IA dans les applications destinées aux clients

Pourquoi un cadre de gouvernance de l’IA est-il nécessaire? Transparence, fiabilité, attentes en matière de niveau de service et gestion des responsabilités.

8. IA utilisée pour les tâches relatives à la conformité

Si l’IA touche des processus réglementés, la gouvernance est obligatoire.

• Aide à l’information financière
• Recherche juridique soutenue par l’IA
• IA utilisée dans les flux essentiels de travail pour la sécurité

Pourquoi un cadre de gouvernance de l’IA est-il nécessaire? Validation, documentation et s’assurer que l’IA ne remplace pas le jugement humain requis.

9. IA utilisée pour la génération de code par de nombreuses organisations, y compris les PME

L’IA utilisée pour la génération de code repose sur de vastes modèles de langage (LLM) entraînés sur d’immenses corpus de code source, de documentation et de langage naturel. Le principe est simple : le modèle apprend les schémas statistiques de la manière dont le code est écrit, structuré et expliqué, puis utilise ces schémas pour générer du nouveau code, corriger des bogues ou suggérer des améliorations.

Que sont exactement les générateurs de code IA?

Ce sont des modèles d’IA basés sur l’architecture Transformer (tels que Google Gemini, les modèles de type

GPT, Microsoft Copilot, Code Llama et StarCoder) spécialisés dans les tâches de programmation. Ils fonctionnent en prédisant le jeton suivant dans une séquence, qui peut être :

• Des mots-clés (si, classer, retourner)
• Des noms de variables
• Fonctions entières
• Des commentaires et de la documentation
• Des fichiers de configuration
• Des cas de test

De par ce fait, ces générateurs de code IA sont capables de produire autant de petits extraits de code que des modules complets.

Comment fonctionnent concrètement les générateurs de code IA?

1. Vous fournissez le contexte :

• Un commentaire
• Une fonction partiellement écrite
• Un bogue
• Une requête en langage naturel

2. Le modèle analyse le contexte. Il utilise des mécanismes d’attention pour comprendre les dépendances, la portée des variables, les bibliothèques et les modèles.

3. Le modèle prédit la suite la plus probable. Il peut s’agir d’une ligne de code, d’un bloc ou d’une implémentation complète.

4. Le modèle peaufine le résultat grâce au raisonnement en langage naturel. Les modèles de code modernes combinent la compréhension du code et le raisonnement général, permettant :

• La refactorisation
• L’optimisation
• Des suggestions de sécurité
• La génération de documentation

À partir de quoi les générateurs de code IA sont-ils entraînés?

Dépôts publics à code source ouvert

• Manuels et documentations de programmation
• Systèmes de suivi des problèmes et forums de questions-réponses
• Code synthétique généré pendant l’entraînement

Les systèmes d’entreprise ne sont pas entraînés sur le code privé du client, sauf accord contractuel explicite.

Pourquoi les générateurs de code IA sont-ils utiles?

• Accélérer le développement
• Réduire le code répétitif
• Améliorer la cohérence
• Détecter les bogues le plus tôt possible
• Aider les développeurs juniors à apprendre les meilleures pratiques
• Aider les développeurs seniors dans leurs tâches répétitives

Les générateurs de code IA ne remplacent pas les ingénieurs en informatique; ils les complémentent.

Perspective non évidente

Les plus grandes défaillances en matière de gouvernance de l’IA dans les PME ne proviennent pas des systèmes d’IA avancés, mais de la saisie négligente de données confidentielles par les employés dans des outils d’IA généralistes. C’est pourquoi un cadre de gouvernance de l’IA (CGIA) doit couvrir à la fois les systèmes d’IA d’entreprise et les usages quotidiens des employés.

FIGURE 2 – Tableau récapitulatif : Quel type d’utilisation de l’IA nécessite un cadre de gouvernance de l’IA?

SECTION III

Échantillon de cadre de gouvernance de l’IA axé sur les politiques et les prescriptifs pour les PME

Vous trouverez ci-dessous un échantillon de cadre de gouvernance de l’IA (CGIA) adapté aux PME. Ce CGIA, axé sur les politiques et les prescriptifs, vise à répondre aux besoins des PME.

Cadre de gouvernance de l’IA: Échantillon CGIA pour PME axé sur les politiques et les prescriptifs

La page suivante présente un organigramme récapitulant les étapes d’approbation de l’IA et de classification des risques

SECTION IV

Échantillon de cadre allégé de gouvernance IA pour les entreprises en démarrage
(Aligné avec les normes NIST)

SECTION V

Cadre de gouvernance de l’IA – Gabarit de confirmation et de conformité des employés –
Version PME

SECTION VI

Formation, sensibilisation & culture du cadre de gouvernance de l’IA pour les PME

Points clefs : formation, sensibilisation & culture pour la promotion d’un cadre de gouvernance de l’IA au sein des PME

Pour les PME, le véritable facteur de différenciation pour une adoption sûre et efficace de l’IA n’est pas la technologie, mais les personnes. Une culture de gouvernance de l’IA solide garantit que les employés comprennent comment utiliser l’IA de manière responsable, éviter les risques et savoir quand signaler les problèmes. La formation et la sensibilisation transforment la gouvernance d’un document de politique en une pratique quotidienne.

Sommaire relatif à la gestion

Les PME ont besoin d’une culture où :

• Les employés comprennent les risques liés à l’IA
• Les dirigeants montrent l’exemple en matière de comportement responsable face à l’IA
• Les équipes suivent des procédures cohérentes
• Tout le monde sait ce qui est permis, ce qui est interdit et pourquoi

Cela repose sur 3 piliers :

• Formation : compétences et connaissances
• Sensibilisation : communication et renforcement
• Culture : leadership, normes et responsabilisation

Ensemble, ils créent une main-d’œuvre qui utilise l’IA avec confiance, sécurité et éthique.

1. Programmes de formation (axés sur les rôles et programmes allégés)

Les PME n’ont pas besoin de programmes de formation à l’échelle de l’entreprise. Elles ont besoin de modules ciblés et adaptés à chaque rôle, dispensés lors des séances brèves et percutantes.

1.1 Formation de base pour tous les employés

Cette formation couvre :

• Définition et fonctionnement de l’IA (aspects non techniques)
• Charte d’utilisation acceptable (CUA)
• Classification des données (données partageables et interdites avec l’IA)
• Principes de base de la protection de la vie privée (données personnelles, données confidentielles, conservation)
• Reconnaissance des anomalies de l’IA
• Procédure de signalement des problèmes ou incidents

Résultat : chaque employé devient un utilisateur sécuritaire de l’IA.

1.2 Formation spécialisée pour les rôles clés

Responsables des processus

• Responsabilités liées à l’intervention humaine
• Vérification des résultats
• Procédures d’escalade
• Personnel technique (ingénieurs, analystes)
• Essais de modèles, évaluation des biais
• Gouvernance des données
• Surveillance et détection des écarts

Leadership

• Conscientisation envers les risques en IA
• Alignement stratégique
• Responsabilisation et supervision

Résultat : chaque rôle comprend ses responsabilités en matière de gouvernance.

1.3 Formation annuelle de recyclage

• Réglementation mise à jour (loi européenne sur l’IA, lois sur la protection de la vie privée)
• Nouveaux risques (injection d’influx, dérive des fournisseurs)
• Leçons apprises des incidents

Résultat : amélioration continuelle et conformité réglementaire.

2. Mécanismes de sensibilisation (renforcement et communication)

La formation ne suffit pas : les PME ont besoin d’une sensibilisation continuelle pour que la gouvernance de l’IA demeure une priorité.

2.1 Bulletins mensuels de gouvernance de l’IA

Brèves mises à jour couvrant :

• Nouveaux outils d’IA approuvés
• Modifications aux politiques
• Résumés d’incidents (anonymisés)
• Conseils pour une utilisation sécuritaire de l’IA

2.2 Rappels visuels

Affiches près des postes de travail

• Rappels : « Ne pas copiez/collez des données confidentielles dans les outils d’IA. »
• Fiches de référence rapide pour la classification des données

2.3 Portail allégé de gouvernance de l’IA

Une page SharePoint/Confluence simplifiée contenant :

• Politiques
• Formulaires de saisie
• Supports de formation
• Inventaire de l’IA
• Formulaire de signalement d’incident

Résultat : les employés savent toujours où trouver des directives fiables.

3. Culture de l’IA responsable (leadership et normes)

La culture est l’aspect le plus difficile mais aussi le plus important. Les PME ont besoin d’un leadership qui incarne un comportement responsable en matière d’IA et qui renforce les normes.

3.1 Modélisation du leadership

Les dirigeants doivent :

• Utiliser l’IA de manière responsable
• Respecter la même Charte d’utilisation acceptable que les employés
• Éviter les utilisations non autorisées de l’IA
• Encourager la transparence et le signalement

3.2 Sécurité psychologique pour le signalement

Les employés doivent se sentir en sécurité pour signaler :

• Les erreurs de l’IA
• Les biais potentiels
• Les utilisations abusives des données
• Les comportements inattendus des modèles.

Le but n’est pas de blâmer mais d’apprendre.

3.3 Intégration de la gouvernance de l’IA dans les flux de travail quotidiens

• Intégration des formulaires de saisie dans le processus d’approvisionnement
• Intégration de la classification des données dans le processus d’intégration
• Intégration des contrôles des risques liés à l’IA dans la planification des projets.

La gouvernance devient une habitude, pas un obstacle.

FIGURE 5 : Tableau récapitulatif — Formation, sensibilisation & culture

SECTION VII

Alignement externe et pérennisation de la gouvernance de l’IA pour les PME

Points clefs : alignement externe et pérennisation d’un cadre de gouvernance de l’IA pour les PME

L’alignement externe assure la conformité de votre cadre de gouvernance IA avec l’évolution de la législation, son interopérabilité avec les normes internationales et sa crédibilité auprès des clients et partenaires. La pérennisation assure son adaptation à l’évolution des capacités, des risques et des réglementations liés à l’IA. Pour les PME, c’est ce qui fait la différence entre un système de gouvernance désuet en 12 mois et un système qui demeure stratégiquement résilient.

Sommaire exécutif pour la gestion

Les PME doivent aligner leur gouvernance IA sur les attentes externes (régulateurs, clients, partenaires, normes sectorielles) et mettre en place des mécanismes de pérennisation pour maintenir leur cadre à jour. Cela repose sur 4 piliers :

1. Alignement réglementaire : conformité aux lois internationales sur l’IA et la protection de la vie privée
2. Alignement avec les normes : interopérabilité avec les normes ISO, NIST, OCDE et G7
3. Alignement avec l’écosystème : fournisseurs, partenaires, chaîne d’approvisionnement
4. Mécanismes de pérennisation : veille stratégique, cycles de mise à jour, déclencheurs de changement

Ensemble, ces éléments créent un cadre de gouvernance IA crédible, conforme et résilient.

1. Alignement réglementaire (mondial, national, sectoriel)

Les PME doivent respecter et se conformer à l’ensemble minimal de réglementations relatives à l’IA. Cela permet d’éviter les risques juridiques et de renforcer la confiance des clients.

1.1 Cadre réglementaire fondamental

• Règlement d’application de l’UE sur l’IA – modèle de référence mondial pour une gouvernance des risques par paliers
• RGPD / LPRPDE / lois provinciales sur la protection de la vie privée – obligations en matière de protection des données
• Droit du travail et des droits de la personne – IA dans le recrutement, la performance et les RH
• Droit de la consommation – transparence, équité, résultats trompeurs

1.2 Contrôles d’alignement

• Tenir un registre des obligations réglementaires
• Effectuer des vérifications annuelles de conformité
• Documenter les bases juridiques des données utilisées en IA
• Assurer la transparence des informations relatives à l’IA destinées aux clients

Résultat : votre cadre de gouvernance de l’IA demeure juridiquement défendable.

2. Alignement sur les normes (ISO, NIST, OCDE, G7)

Les normes apportent structure, crédibilité et interopérabilité.

2.1 Alignement avec les normes ISO

• ISO/IEC 42001 – Système de gestion de l’IA (SMIA)
• ISO/IEC 23894 – Gestion des risques reliés à l’IA
• ISO/IEC 27001 – Sécurité de l’information
• ISO/IEC 27701 – Gestion des renseignements sur la protection de la vie privée

2.2 Alignement avec le cadre NIST de gestion des risques relatif à l’IA

Mettez vos contrôles en parallèle du cycle de vie du NIST :

• Cartographie → Mesurer → Gérer → Gouverner

2.3 Alignement avec les normes de l’OCDE et du G7

• Principes d’une IA digne de confiance
• Conception centrée sur l’humain
• Transparence et responsabilisation

Résultat : votre cadre de gouvernance de l’IA est conforme aux meilleures pratiques internationales.

3. Alignement avec l’écosystème (fournisseurs, partenaires, chaîne d’approvisionnement)

Les PME dépendent grandement d’outils d’IA externes. Un alignement externe garantit que les risques liés aux fournisseurs ne deviennent pas vos risques.

3.1 Contrôles de gouvernance des fournisseurs

• Liste de vérification de la diligence raisonnable des fournisseurs (sécurité, confidentialité, comportement des modèles)
• Clauses contractuelles relatives à :

Conservation des données

• Mises à jour des modèles
• Sous-traitants
• Avis d’incident
• Examen annuel des risques liés aux fournisseurs
• Surveillance des dérives des fournisseurs (modifications silencieuses des modèles)

3.2 Alignement avec les partenaires et les clients

• Fournir aux clients des déclarations de transparence sur l’IA
• S’aligner sur les exigences des partenaires (par exemple, les grandes entreprises clientes exigeant des contrôles sur l’IA)
• Maintenir une documentation prête pour les vérifications externes

Résultat : Votre cadre de gouvernance de l’IA s’intègre harmonieusement à votre écosystème métier.

4. Mécanismes de pérennisation (adaptabilité et résilience)

C’est là que les PME échouent souvent. La pérennisation garantit que votre cadre de gouvernance évolue avec l’IA.

4.1 Surveillance stratégique

Revue trimestrielle :

• Nouvelles réglementations en matière d’IA
• Risques émergents (hypertrucages, données synthétiques, émergence de l’IA agentique)
• Mises à jour des fournisseurs
• Meilleures pratiques de l’industrie

4.2 Déclencheurs de changement

Votre cadre de gouvernance devrait être mis à jour lorsque :

• Un fournisseur met à jour son modèle
• De nouvelles sources de données sont ajoutées
• Un nouvel outil d’IA est introduit
• Un incident majeur survient
• La réglementation évolue

4.3 Cycle d’examen de la gouvernance

• Trimestriel : contrôles opérationnels, inventaire de l’IA, évaluations des risques
• Annuel : examen complet du cadre de gouvernance
• Tous les 2 à 3 ans : refonte stratégique

4.4 Boucle d’apprentissage continu

• Leçons apprises des incidents
• Rétroactions des employés
• Mises à jour des formations et de la politique d’utilisation acceptable (PUA)
• Intégration des nouveaux contrôles

Résultat : votre cadre de gouvernance demeure pertinent, résilient et crédible.

FIGURE 6 : Tableau récapitulatif — Alignement externe & pérennisation

4.5 Tendances à venir : l’émergence de l’IA agentique

Contrairement aux systèmes d’IA traditionnels qui génèrent principalement du contenu ou fournissent des recommandations, l’IA agentique peut planifier des tâches, prendre des décisions, interagir avec de multiples systèmes et exécuter des actions avec une intervention humaine limitée.

À mesure que l’IA agentique se généralise, les cadres de gouvernance doivent aborder des questions telles que la délégation de l’autorité décisionnelle, la supervision humaine, la responsabilité, le contrôle d’accès, la vérifiabilité, la surveillance des actions autonomes et les mesures de protection pour prévenir les conséquences imprévues.

L’IA agentique vise à donner aux systèmes d’IA la capacité de prendre des initiatives, et non plus seulement de réagir. Au lieu d’attendre une instruction, un système agentique peut planifier, décider et agir en vue d’atteindre un objectif en utilisant des outils, la mémoire et le raisonnement.

En bref : l’IA agentique

L’IA agentique désigne les systèmes d’intelligence artificielle conçus pour fonctionner comme des agents autonomes capables de poursuivre des objectifs, d’élaborer des plans, de prendre des décisions et d’exécuter des actions en plusieurs étapes avec une intervention humaine minimale. Ces systèmes intègrent le raisonnement, la mémoire, l’utilisation d’outils et de mécanismes de rétroaction adaptatifs pour agir dans des environnements dynamiques et modifier leur comportement en fonction des résultats.

IA agentique = IA capable de décomposer des objectifs, de prendre des décisions, d’utiliser des outils et d’exécuter des actions en plusieurs étapes de manière autonome, sans nécessiter d’instructions humaines constantes.

Quelles sont les principales propriétés d’une IA agentique?

• Autonomie : le système initie des actions sans s’attendre à des instructions explicites.
• Orientation vers les objectifs : elle interprète les objectifs et les décompose en étapes concrètes.
• Planification et raisonnement : elle construit et ajuste ses plans à l’aide de stratégies logiques, probabilistes ou apprises.
• Utilisation d’outils : elle interagit avec des systèmes externes (API, logiciels, bases de données) pour accomplir des tâches.
• Gestion de la mémoire et de l’état : elle conserve le contexte, la progression et les actions précédentes afin d’éclairer ses décisions futures.
• Auto-évaluation : elle évalue les résultats et adapte sa stratégie par un processus d’amélioration itératif.

Qu’est-ce qui caractérise une IA « agentique »?

• Comportement axé sur les objectifs : on lui donne un objectif et elle détermine les étapes à suivre.
• Planification autonome : elle conçoit et met à jour son propre plan en fonction de l’évolution de la situation.
• Utilisation d’outils — API, bases de données, logiciels, navigateurs, exécution de code.
• Gestion de la mémoire et du contexte — le système conserve la trace des actions effectuées et de celles qui restent à effectuer.
• Autocorrection — le système peut évaluer ses propres résultats et procéder à des essais supplémentaires ou à des ajustements.

Pourquoi l’IA agentique est-elle importante?

Elle transforme l’IA, passant d’assistants statiques à des opérateurs dynamiques capables de :

• Exécuter des flux de travail de bout en bout
• Surveiller les systèmes et réagir aux déclencheurs
• Coordonner plusieurs sous-agents d’IA
• Effectuer des recherches ou des opérations complexes de manière autonome

Au sujet des tendances futures, l’IA agentique représente la voie vers laquelle évoluent les systèmes d’IA modernes :

• Plus d’autonomie
• Un raisonnement plus avancé
• Une meilleure capacité à gérer des tâches concrètes

RESSOURCES & RÉFÉRENCES

*** = disponible uniquement en anglais.

1. Thang Le Dinh, Manh‑Chiên Vu, Giang T.C. Tran. Artificial Intelligence in SMEs: Enhancing Business Functions Through Technologies and Applications. MDPI Open Access Journals – Volume 16, Issue 5, 18^th May 2025. Artificial Intelligence in SMEs: Enhancing Business Functions Through Technologies and Applications ***
2. Gouvernement du Canada – Réunion de 2025 des ministres de l’Industrie, du Numérique et de la Technologie du G7. Processus d’Hiroshima en matière d’IA (PHIA) – Trousse à outils 2025 pour les petites et moyennes entreprises déployant l’intelligence artificielle (IA). Trousse à outils pour les petites et moyennes entreprises (PME) déployant l’intelligence artificielle (IA)
3. Ashley Marshall. AI Governance Frameworks Every SME Needs in 2026. Precise Impact AI Inc. 14^th March 2026. AI Governance Frameworks Every SME Needs in 2026 ***
4. Gouvernement du Canada – Statistique Canada. Analyse de l’utilisation de l’intelligence artificielle par les entreprises au Canada, deuxième trimestre de 2025. Analyse de l’utilisation de l’intelligence artificielle par les entreprises au Canada, deuxième trimestre de 2025
5. Government of the USA – National Institute of Standards and Technology (NIST) – Information Technology Laboratory. NIST AI Risk Management Framework (AI RMF 1.0). 7^th April 2026. AI Risk Management Framework | NIST ***
6. European Union – The EU AI Compliance Kit Governed by the EU AI Act. AI Governance Framework for SMEs (2026): 6 Building Blocks. AI Governance Framework for SMEs: 6 Building Blocks [disponible uniquement en anglais et en allemand].
7. World Economic Forum – Davos, Switzerland. Advancing Responsible AI Innovation: A 2025 Playbook for All Types of Organizations. 22^nd September 2025. Advancing Responsible AI Innovation: A 2025 Playbook for All Types of Organizations | World Economic Forum ***
8. International Business Machines – IBM. Think 2026 – Turn Agentic AI into Real Business Value. Implementing AI Governance: A Practical Guide. 20^th February 2026. Guide for Implementing an AI Governance Framework | IBM ***
9. ALCEA Consulting Inc. Demystifying AI Governance: A Comprehensive Guide for SMEs to Thrive in the Age of AI. 17^th April 2024. Demystifying AI Governance: A comprehensive guide for SMEs to thrive in the age of AI – Alcea Consulting ***
10. The Control Check. Step-by-Step AI Governance Framework for SMEs Amidst Google Gemini Adoption Trends. 29^th December 2025. Step-by-Step AI Governance Framework for SMEs Amidst Google Gemini Adoption Trends
11. Databricks Inc. – San Francisco, California, USA Headquarters. AI Governance Best Practices: How to Build Responsible and Effective AI Programs. 18^th November 2025. AI Governance Best Practices: Frameworks & Principles | Databricks Blog ***
12. Joshua Garza. Touchstone Data Inc. Building an AI System Inventory and Risk Classification Framework. 14^th July 2025. Building an AI System Inventory and Risk Classification Framework | Touchstone Data Insights | Touchstone Data ***
13. IIENSTITU – Online Advanced IT Courses & Certifications for Small Businesses. Marco dela Cruz. AI Risk Assessment: SMEs’ Path to Compliance in 2026. 16^th May 2026. AI Risk Assessment: SMEs’ Path to Compliance in 2026 – IIENSTITU ***
14. I LIKE AI – AI Deontology, Ethics, Professional Practices & Policy Issue. Conducting an AI Risk Audit: A Simple Framework for SMEs. 3^rd May 2025. Conducting an AI Risk Audit: A Simple Framework for SMEs – I LIKE AI ***
15. Conseil de gouvernance numérique – CAN/DGSI 101:2025 – Conception et usage éthique de l’IA par les petites et moyennes entreprises (PME) au Canada. Assurer la pérennité de l’IA : la norme CAN/DGSI 101 révolutionne les technologies éthiques pour les PME. 8 janvier 2025. Assurer la pérennité de l’IA: la norme CAN/DGSI 101 révolutionne les technologies éthiques pour les PME – Conseil de gouvernance numérique
16. Haggai Roitman. The Hitchhiker’s Guide to Agentic AI: From Foundations to Systems. Published on 22^nd June 2026 by arXiv Independent Nonprofit Organization. 603-page PDF format available for free: [2606.24937] The Hitchhiker’s Guide to Agentic AI: From Foundations to Systems **

Contributions

Nous souhaitons remercier tout particulièrement le Conseil national de recherches du Canada (CNRC) pour son appui financier, accordé par l’entremise de son Programme d’aide à la recherche industrielle (PARI), un programme qui contribue activement au développement des PME innovantes dans l’ensemble des 10 provinces et des 3 territoires du Canada.

Les PME canadiennes innovantes admissibles peuvent répondre à leurs exigences en cybersécurité en obtenant un soutien financier pour la préparation à la conformité et les audits de certification. Pour en savoir plus sur le PARI du CNRC, veuillez consulter : À propos du Programme d’aide à la recherche industrielle ou communiquez avec votre conseiller en technologies industrielles du PARI du CNRC.

Éditeur-en-chef de l’infolettre :

Alan Bernardi, SSCP, PMP, auditeur principal pour ISO 27001, ISO 27701 et ISO 42001
B.Sc. Informatique et Mathématiques, Université McGill, Canada
Diplôme d’études supérieures en gestion, Université McGill, Canada

Auteur-Amazon USA, informaticien, rédacteur & traducteur professionnel certifié :
Ravi Jay Gunnoo, C.P.W. ISO 24495-1:2023 & C.P.T. ISO 17100:2015
B.Sc. Informatique et Cybersécurité, Université McGill, Canada
B.Sc. & M.A. Traduction Professionnelle, Université de Montréal, Canada

Ce contenu a été préparé au meilleur de nos connaissances. Bien que tous les efforts aient été déployés pour en assurer l’exactitude et la clarté, nous ne pouvons garantir que toutes les informations soient complètes, exemptes d’erreurs ou à jour. Les points de vue et les informations présentés le sont uniquement à des fins générales.

Ce contenu est publié sous licence Creative Commons Attribution (CC BY-NC).