Votre équipe utilise probablement déjà l'IA. Quelqu'un rédige ses courriels avec un robot conversationnel, une autre personne résume un contrat, et un gestionnaire lui demande de nettoyer un chiffrier. La question n'est plus de savoir si votre entreprise devrait utiliser l'IA, mais comment l'utiliser sans perdre le contrôle des renseignements de vos clients et de vos employés. Cet article explique les règles qui s'appliquent au Canada et au Québec, les risques que nous voyons le plus souvent et une façon concrète de commencer. Ce n'est pas un avis juridique; votre responsable de la protection des renseignements personnels ou votre avocat a le dernier mot.
Ce que dit la loi aujourd'hui
Le Canada n'a pas encore de loi fédérale consacrée à l'intelligence artificielle. Le projet de Loi sur l'intelligence artificielle et les données (LIAD), qui faisait partie du projet de loi C-27, est mort au feuilleton lors de la prorogation du Parlement en janvier 2025. Ottawa a indiqué que de nouvelles règles pourraient venir, mais pour l'instant, vos obligations découlent surtout des lois sur la protection des renseignements personnels.
- Au fédéral : la LPRPDE s'applique aux renseignements personnels traités dans le cadre d'activités commerciales dans la plupart des provinces. Quand vous confiez des renseignements à un fournisseur de services, y compris un fournisseur d'IA, vous en restez responsable et devez les protéger par contrat.
- Au Québec : la Loi 25 ajoute des règles plus strictes. Avant de communiquer des renseignements personnels à l'extérieur du Québec, vous devez évaluer les facteurs relatifs à la vie privée. Quand une décision au sujet d'une personne repose uniquement sur un traitement automatisé, vous devez l'en informer.
- Dans les autres provinces : l'Alberta et la Colombie-Britannique ont leurs propres lois sur la protection des renseignements personnels dans le secteur privé, et les renseignements de santé ont leurs propres règles provinciales.
Bref, l'IA n'est pas une zone grise juridique. Les règles qui s'appliquent à toute autre utilisation de renseignements personnels s'appliquent aussi à une question tapée dans un robot conversationnel.
Le vrai risque : ce qui accompagne la question
Le plus grand risque vient rarement de l'IA elle-même. Il vient de ce que votre personnel y colle : noms de clients, montants de contrats, salaires ou renseignements de santé. Quand ce texte entre dans un outil d'IA public, avec un compte personnel, il quitte votre entreprise, et vous ne pouvez généralement pas savoir où il est stocké ni combien de temps il est conservé.
Interdire l'IA règle rarement le problème. Les gens qui la trouvent utile continuent de s'en servir sur leur téléphone, et l'entreprise perd toute visibilité. Un outil que votre équipe préfère, avec des règles claires intégrées, fait bien plus qu'une politique que personne ne suit.
Quatre principes pour bien utiliser l'IA
- Sachez ce qui est sensible. Classez vos renseignements selon ce qui peut aller à un service d'IA externe, ce qui ne peut sortir qu'une fois les détails identifiants retirés, et ce qui ne doit jamais sortir. La paie ne se traite pas comme un texte marketing.
- Donnez à votre équipe un seul outil autorisé. Quand les gens ont un bon outil au travail, ils cessent d'utiliser leurs comptes personnels. Vous pouvez alors fixer les règles une seule fois, dans l'outil, au lieu d'espérer que tout le monde s'en souvienne.
- Gardez une personne dans chaque décision. L'IA peut rédiger, résumer et suggérer. Une personne nommée devrait réviser et approuver tout ce qui touche un client, un employé ou vos livres. Une vraie révision humaine aide aussi à garder vos usages de l'IA hors des décisions fondées uniquement sur un traitement automatisé.
- Gardez un registre. Sachez qui a demandé quoi, et ce qui est sorti de votre entreprise. Ce registre est ce dont votre responsable de la protection des renseignements personnels a besoin pour une évaluation, et ce dont vous avez besoin si un client pose des questions.
Une façon concrète de commencer
Vous n'avez pas besoin d'une équipe d'IA ni d'un grand projet pour commencer. Pour une entreprise de 20 à 200 personnes, un parcours raisonnable ressemble à ceci :
- Dressez la liste des endroits où votre équipe utilise déjà l'IA, et pour quoi faire.
- Rédigez une règle d'une page : ce qui peut être partagé, ce qui ne peut pas l'être et à qui s'adresser en cas de doute.
- Choisissez une équipe et une ou deux tâches utiles, avec des mesures de succès convenues d'avance.
- Menez un projet pilote dans un environnement que vous contrôlez, mesurez les résultats, puis étendez l'usage un service à la fois.
À qui appartient votre IA, ça compte
La plupart des outils d'IA sont loués. Vos questions, vos documents et la trace de ce qui s'est passé se trouvent dans les systèmes du fournisseur, selon ses conditions. Si le prix, les règles ou le fournisseur changent, vous vous adaptez ou vous recommencez.
L'autre option est de faire fonctionner l'IA dans une infrastructure qui appartient à votre entreprise : votre propre compte infonuagique, dans la région de votre choix. Vous décidez qui y a accès, vous gardez les registres, et vous ne dépendez pas d'un seul fournisseur d'IA à mesure que les modèles évoluent.
La réponse de l'IA privée hybride Zero-Trust
Chez BADEP, notre réponse à ces questions est l'IA privée hybride Zero-Trust. Elle donne à votre équipe la puissance des meilleurs modèles d'IA sans exposer les renseignements de vos clients ou de vos employés, sur une plateforme dont vous êtes propriétaire.
- Chaque requête reçoit l'un de trois niveaux. Le travail Scellé ne sort jamais de votre environnement : un modèle privé, à l'intérieur, traite la requête. Le travail Substitué ne sort qu'après le retrait des détails identifiants, qui sont remis en place au retour de la réponse. Le travail Standard, comme l'information publique, va directement au meilleur modèle.
- Scellé est le niveau par défaut. Dans le doute, la requête reste chez vous.
- Chaque requête est consignée dans votre environnement : ce qui a été demandé, ce qui est sorti et quel modèle a répondu.
- La plateforme fonctionne dans une infrastructure qui vous appartient. Si nos routes se séparent, elle continue de fonctionner.
- Vous n'avez pas besoin d'une équipe d'IA. Vous décrivez votre entreprise, et nous construisons, connectons et maintenons la plateforme.
Elle est conçue pour soutenir vos obligations en matière de protection des renseignements personnels sous la LPRPDE, la Loi 25 et les autres lois provinciales. Ces obligations demeurent les vôtres, et les registres que tient la plateforme alimentent vos évaluations des facteurs relatifs à la vie privée.
Parlons-en
BADEP est une nouvelle entreprise, mais son fondateur n'est pas nouveau dans le métier. En 16 ans, notre fondateur a réalisé plusieurs projets ERP et AWS pour des entreprises de plus de 200 utilisateurs.
Vous ne savez pas où en est votre entreprise? Lors d'un appel découverte gratuit, dites-nous comment votre équipe utilise l'IA aujourd'hui, et nous vous dirons ce que nous ferions et ce que cela demanderait. Vous pouvez aussi en lire plus sur nos services d'IA et sur l'IA privée hybride Zero-Trust.