Pôle IA — Inventaire · Politique · Registre · Formation
Politique d'utilisation de l'IA en entreprise : on la rédige, on forme vos employés, on tient le registre
Savez-vous quels outils d'IA vos employés utilisent, et ce qu'ils y mettent ?On fait l'inventaire des outils utilisés, on écrit avec vous une politique d'une ou deux pages, on forme vos employés et on tient le registre à jour. Vous savez ce qui est permis, et vous pouvez le montrer. Pour les PME de la Montérégie, de la Rive-Sud, de Montréal et de partout au Québec.
- Inventaire des outils
- Outils autorisés
- Politique écrite
- Registre
- Formation avec attestation
Politique d'utilisation de l'IA
- Pour qui
- PME dont les employés utilisent l'IA sans cadre écrit
- Format
- Mandat court à livrable fixe, puis revue annuelle
- Vous gardez
- La politique, le registre et les attestations
- À savoir
- Ce n'est pas un avis juridique
- Prix
- Sur devis
Une politique d'utilisation de l'IA est un document interne, court, qui dit quels outils d'intelligence artificielle les employés peuvent utiliser, quels renseignements ils peuvent y entrer, ce qui doit être relu par un humain et à qui s'adresser en cas de doute.
D'abord, l'inventaire : quels outils d'IA sont utilisés chez vous, par qui, avec quels comptes, et pour quoi faire.
Ensuite, la règle : une politique d'une ou deux pages, en français clair, et la liste des outils autorisés.
Puis, la preuve : un registre tenu à jour et une formation, avec une attestation pour chaque employé qui la réussit.
À savoir : ce n'est pas un avis juridique. La politique se fait valider par votre conseiller juridique.
Pour qui
À qui s'adresse ce mandat
Aux PME dont les employés utilisent déjà l'IA, sans que personne ait écrit ce qui est permis.
Un gros client vous demande comment vous encadrez l'IA
Son questionnaire de sécurité pose la question. Sans politique ni registre, il n'y a rien à lui montrer. Après le mandat, vous avez les deux.
Un incident vient d'arriver
Un employé a copié le dossier d'un client dans un outil grand public, ou une réponse fausse est partie. Il faut maintenant une règle que tout le monde connaît.
Vous ne savez pas ce qui se passe
Vous vous doutez que tout le monde utilise ChatGPT, mais personne n'en parle. Vous ne voulez ni interdire ni fermer les yeux : vous voulez savoir, puis décider.
Le contenu
Que contient une politique d'utilisation de l'IA ?
Une bonne politique tient en une ou deux pages : plus longue, personne ne la lit. Elle répond aux questions qu'un employé se pose devant son écran : ai-je le droit d'utiliser cet outil, et puis-je y coller ce document ?
On part d'un canevas, puis on l'adapte : les outils nommés sont les vôtres, les exemples viennent de vos métiers. Pour le détail de chaque outil, elle renvoie au registre.
Les rubriques d'une politique type
- À qui elle s'applique : employés, sous-traitants, stagiaires.
- Les outils autorisés, et le type de compte exigé.
- Ce qu'on peut y entrer, et ce qu'on n'y entre jamais.
- Ce qu'une personne doit relire avant l'envoi.
- Quand dire à un client qu'un outil d'IA a servi.
- Comment demander l'ajout d'un nouvel outil.
- Quoi faire en cas d'erreur ou de fuite.
- Le responsable, et la date de la prochaine revue.
Ce qui est livré
Ce que vous avez en main à la fin du mandat
Six éléments, pour répondre à deux questions : qu'est-ce qui est permis chez nous, et comment le montrer.
L'inventaire des outils utilisés
Les outils d'IA réellement utilisés, y compris ceux que personne n'a approuvés : qui s'en sert, pour quelle tâche, avec quel compte.
La liste des outils autorisés
Les outils retenus, le type de compte exigé pour chacun et les renseignements permis. Un employé sait d'un coup d'œil ce qu'il peut ouvrir.
La politique, en une ou deux pages
Un texte court, en français clair, adapté à vos métiers, prêt à être validé par votre conseiller juridique, puis adopté par la direction.
Le registre des outils, tenu à jour
Pour chaque outil : à quoi il sert, qui l'utilise, quels renseignements y entrent. On le met à jour à chaque revue et à chaque nouvel outil signalé.
La formation des employés, avec attestation
Une formation sur la sécurité des données dans les outils d'IA. Chaque employé qui réussit le test final reçoit une attestation à son nom ; l'entreprise garde la liste.
La revue annuelle
Une fois l'an, on refait le tour : les nouveaux outils, les règles qui ne tiennent plus, les nouveaux employés à former.
En option : un filtre de dépersonnalisation et une IA privée ; l'endroit où elle tourne est écrit au devis.
Les mots
Trois mots à connaître
- Registre des outils d'IA
- La liste, tenue à jour, de chaque outil d'intelligence artificielle utilisé dans l'entreprise : qui s'en sert, pour quoi, avec quel type de compte et quels renseignements y sont permis.
- Dépersonnalisation
- Le fait de retirer d'un texte ce qui identifie directement une personne, comme son nom ou son adresse, avant de l'utiliser. Un renseignement dépersonnalisé demeure un renseignement personnel au sens de la loi.
- Renseignement personnel
- Tout renseignement qui concerne une personne et permet de l'identifier, directement ou indirectement : un nom, un courriel, un numéro de dossier, un historique d'achats.
Les étapes
Comment on met la politique en place
Cinq étapes. Les décisions restent les vôtres : on prépare, vous tranchez.
Appel gratuit
Le premier appel
On parle de ce qui vous amène : un questionnaire, un incident, une inquiétude. On vous dit ce que le mandat couvre ; le devis suit.
L'inventaire
Le tour des outils utilisés
Un court questionnaire aux employés, quelques entretiens par métier, la liste des abonnements payés. On cherche à savoir, pas à trouver un coupable.
Les choix
Les outils autorisés et les règles
On vous présente le portrait et nos recommandations. La direction décide quels outils restent, avec quels comptes, et ce qui n'entre dans aucun.
La rédaction
La politique et le registre
On rédige la politique et on monte le registre. Vous faites valider le texte par votre conseiller juridique, puis la direction l'adopte.
La formation
La formation, puis la revue annuelle
Chaque employé suit la formation ; celui qui réussit le test final reçoit son attestation. Une fois l'an, on met à jour l'inventaire, le registre et la politique.
Le cadre légal
La loi derrière la politique, en mots simples
La Loi 25, de son nom complet la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, ne vise pas l'intelligence artificielle par son nom. Elle encadre les renseignements personnels, peu importe l'outil. La Commission d'accès à l'information du Québec veille à son application.
Deux de ses règles touchent de près l'usage de l'IA au travail. Avant de communiquer un renseignement personnel à l'extérieur du Québec, l'entreprise doit en évaluer les risques. Et la personne visée par une décision fondée uniquement sur un traitement automatisé doit en être informée et pouvoir présenter ses observations à une personne en mesure de réviser la décision.
Le détail est dans notre guide IA et Loi 25 au Québec.
À savoir
Ce n'est pas un avis juridique
Novi Intelligence n'est pas un cabinet d'avocats. La politique et le registre décrivent ce que votre entreprise permet ; ils ne disent pas si elle respecte la loi. Avant d'adopter la politique, faites-la valider par votre conseiller juridique.
Le prix
Ce qui fait varier le prix, et ce qui est toujours inclus
C'est un mandat court, à livrable fixe : le prix est établi après le premier appel. La revue annuelle et les options sont décrites à part dans le devis.
Ce qui fait varier le prix
- Le nombre d'employés à rencontrer et à former.
- Le nombre d'outils d'IA déjà utilisés dans l'entreprise.
- La sensibilité des renseignements que vous traitez.
- Les exigences d'un client qui vous a envoyé un questionnaire.
- Les options : filtre de dépersonnalisation, IA privée.
Ce qui est toujours inclus
- Le premier appel, gratuit.
- L'inventaire des outils utilisés.
- La liste des outils autorisés, la politique et le registre.
- La formation des employés et les attestations.
- La propriété de tous les documents : ils restent à vous.
La limite honnête
Ce qu'une politique ne règle pas, et quand elle n'est pas le bon point de départ
Une politique dit ce qui est permis. Elle n'empêche pas une erreur : elle la rend moins probable et plus facile à repérer. Aucune protection n'est totale.
Ni avis juridique, ni entreprise « conforme »
On rédige un document de gestion. Il ne délivre aucune certification et ne couvre pas vos autres obligations en vertu de la Loi 25 : voyez Loi 25 et questionnaires de sécurité.
On ne surveille pas vos employés
L'inventaire repose sur ce que les gens déclarent et sur vos abonnements. Il ne sera jamais complet. On n'installe aucun outil pour épier les écrans.
« Aucune donnée ne sort » : on ne l'écrit pas
Un outil d'IA externe traite les textes chez son fournisseur. Les règles, les comptes d'entreprise et le filtre de dépersonnalisation réduisent ce qui part ; ils ne l'annulent pas.
Pas le bon départ si personne n'a encore d'outil
Si vos employés n'utilisent pas encore l'IA, choisissez d'abord l'outil et ses règles de base : voyez ChatGPT, Copilot et Gemini en entreprise.
Si votre question est d'abord juridique, on vous le dit au premier appel et on vous renvoie à un juriste.
Région desservie
Montérégie, Rive-Sud, Montréal et partout au Québec
L'inventaire, la rédaction et le registre se font à distance. Les entretiens et la formation se donnent dans vos bureaux, en Montérégie, sur la Rive-Sud et à Montréal, ou en visioconférence partout au Québec. La rencontre avec la direction se fait en personne quand c'est possible.
- Nos bureaux
- Sorel-TracySaint-HyacintheTerrebonne
- Notre région
- MontérégieRive-SudMontréal
- À distance
- Partout au Québec
Pour aller plus loin
Services liés
ChatGPT, Copilot et Gemini en entreprise
La mise en route de ChatGPT, de Copilot ou de Gemini dans une PME : le choix de l'outil, le réglage des comptes et des accès, une page de règles et un atelier par métier.
Voir le serviceInformatique et cybersécuritéFormation cybersécurité des employés
Une formation qui donne aux employés les réflexes de sécurité de tous les jours, y compris avec ChatGPT et les assistants IA, suivie d'un test final et d'une attestation datée par employé.
Voir le serviceInformatique et cybersécuritéLoi 25 et questionnaires de sécurité
Un accompagnement pratique, et non juridique, pour mettre en place ce qu'exige la loi québécoise sur les renseignements personnels, en garder la preuve et répondre aux questionnaires de sécurité.
Voir le serviceFormation IA pour les entreprises
Une fois les règles fixées, apprendre à bien se servir des outils : des ateliers et des parcours de formation à l'intelligence artificielle, par outil et par métier, sur place ou à distance.
Voir le serviceQuestions fréquentes
Politique d'utilisation de l'IA : vos questions.
Que contient une politique d'utilisation de l'IA ?
Huit rubriques, en une ou deux pages : à qui elle s'applique ; les outils autorisés et le type de compte exigé ; ce qu'on peut y entrer et ce qu'on n'y entre jamais ; ce qu'une personne doit relire ; quand informer un client ; comment demander un nouvel outil ; quoi faire en cas d'erreur ou de fuite ; qui en est responsable.
Mes employés ont-ils le droit de mettre des renseignements de clients dans ChatGPT ?
Tant que rien n'est écrit, la réponse prudente est non pour tout renseignement qui permet d'identifier une personne. La suite dépend du type de compte, personnel ou d'entreprise, et de la nature des renseignements. Communiquer des renseignements personnels à l'extérieur du Québec demande d'abord d'en évaluer les risques. La politique tranche, outil par outil.
Que dit la Loi 25 sur l'intelligence artificielle ?
La Loi 25 ne vise pas l'intelligence artificielle par son nom : elle encadre les renseignements personnels, peu importe l'outil. Avant d'en communiquer à l'extérieur du Québec, il faut en évaluer les risques. Et une personne visée par une décision fondée uniquement sur un traitement automatisé doit en être informée et pouvoir présenter ses observations à une personne en mesure de réviser la décision. La Commission d'accès à l'information veille à son application.
Comment savoir quels outils d'IA mes employés utilisent ?
En le leur demandant, sans chercher de coupable. On envoie un court questionnaire, on rencontre quelques personnes par métier et on relève les abonnements payés par l'entreprise. Le portrait repose sur ce que les gens déclarent : il ne sera jamais complet, mais il suffit pour décider.
Est-ce un avis juridique ?
Non. Novi Intelligence n'est pas un cabinet d'avocats. La politique et le registre décrivent ce que votre entreprise permet, pas si elle respecte la loi. Avant d'adopter la politique, on vous recommande de la faire valider par votre conseiller juridique.
La formation donne-t-elle une attestation ?
Oui. Chaque employé qui réussit le test final reçoit une attestation d'apprentissage à son nom, et l'entreprise garde la liste des personnes formées. Ce n'est ni une certification ni un diplôme. Pour apprendre à reconnaître une fraude par courriel, voyez la formation cybersécurité des employés.
Combien coûte la mise en place d'une politique d'utilisation de l'IA ?
Le mandat est sur devis. Le prix dépend du nombre d'employés à rencontrer et à former, du nombre d'outils déjà utilisés, de la sensibilité des renseignements traités et des options retenues. L'inventaire, la politique, le registre et la formation sont toujours compris. Le premier appel est gratuit.
Savoir ce qui est permis, et pouvoir le montrer.
Consultation gratuite : racontez-nous comment l'IA est utilisée chez vous, on vous dit ce qu'il faut écrire en premier.
À lire ensuite
Sources
Mis à jour le