Aller au contenu
Pilotez vos talents
avec précision et IA.
Lead your talent
with precision and AI.
Une plateforme unifiée — des décisions RH plus éclairées.
One unified platform — sharper HR decisions, every day.
Politique IA PME Québec : protéger sans tout interdire
Promesse : en moins de 5 minutes, vous saurez comment créer une politique d'utilisation de l'IA simple, humaine et applicable dans votre PME, sans transformer votre organisation en forteresse administrative.
Sommaire de l'article
Vos employés utilisent déjà l'IA. Mais selon quelles règles ?
Définition rapide
Une politique d'utilisation de l'IA est un cadre interne qui précise quels outils d'intelligence artificielle les employés peuvent utiliser, quelles données peuvent y être traitées, quelles validations humaines sont requises et qui demeure responsable des résultats.
Un gestionnaire résume une rencontre dans ChatGPT. Une employée demande à Copilot de reformuler un dossier client. Un recruteur copie un CV dans un outil d'IA pour accélérer son analyse.
Tout cela peut sembler banal. Jusqu'au jour où une information confidentielle, un renseignement personnel ou une décision sensible se retrouve au mauvais endroit.
La vraie question n'est donc plus : devrait-on permettre l'IA ? C'est plutôt : comment l'utiliser sans mettre l'entreprise, ses employés et ses clients inutilement à risque ?
Au Canada, 51 % des employés sondés par KPMG utilisent déjà des outils d'IA générative au travail. Parmi eux, 73 % les utilisent quotidiennement ou quelques fois par semaine. L'usage avance vite. La gouvernance doit maintenant suivre.
En résumé
L'essentiel
Interdire l'IA n'est pas durable, fermer les yeux non plus. La solution : une politique simple qui permet à chacun de savoir oui, non ou je demande avant d'agir. Cartographiez les usages réels, fixez cinq règles non négociables, alignez la gouvernance IA sur vos obligations Loi 25, puis formez et révisez. Objectif : moins de fragmentation, plus de clarté.
Le vrai problème derrière l'utilisation de l'IA en PME
Le danger apparaît lorsqu'une organisation laisse chaque employé décider seul quel outil utiliser, quelles données y déposer, ce qui peut être automatisé, ce qui doit être vérifié et ce qui peut servir à prendre une décision sur une personne.
Imaginez un gestionnaire qui copie dans une IA publique les notes d'une rencontre contenant le nom d'un employé, son rendement, ses difficultés et une situation personnelle. Son intention est excellente : gagner dix minutes. Le problème est ailleurs.
Au Québec, une entreprise demeure responsable des renseignements personnels qu'elle recueille, utilise, communique, conserve ou détient. La Commission d'accès à l'information rappelle aussi que les renseignements générés ou inférés par un système d'IA peuvent eux-mêmes constituer des renseignements personnels.
La Loi 25 n'interdit donc pas l'IA. Elle oblige plutôt l'organisation à conserver une vraie gouvernance de ses renseignements personnels. Et c'est précisément là qu'une politique interne devient utile.
Les signaux d'alerte à surveiller
Votre entreprise n'a peut-être pas encore vécu d'incident. Pourtant, certains comportements indiquent qu'un cadre devient urgent.
Les comportements qui doivent vous alerter
- Des employés utilisent leurs comptes personnels ChatGPT, Claude ou Gemini pour travailler.
- Des documents clients sont copiés intégralement dans des outils d'IA.
- Des CV, évaluations ou notes sur des employés sont soumis à l'IA sans règle commune.
- Personne ne sait clairement quels outils sont autorisés.
- Des textes générés sont envoyés à des clients sans validation humaine.
- Des gestionnaires utilisent l'IA pour soutenir des décisions RH sans comprendre les risques.
Le plus grand risque n'est pas nécessairement un employé irresponsable. C'est un bon employé qui veut aller plus vite dans un système où les règles n'ont jamais été clarifiées.
| Signal observé | Risque | Première question à poser |
|---|---|---|
| Document client copié dans une IA publique | Confidentialité | Ces données étaient-elles nécessaires ? |
| CV analysé automatiquement | Vie privée et biais | Qui valide réellement la décision ? |
| Multiplication des outils IA | Perte de contrôle | Quels outils sont officiellement approuvés ? |
| Contenu IA envoyé directement | Erreur ou réputation | Qui demeure responsable du résultat ? |
| Aucun cadre interne | Pratiques incohérentes | Quelle règle simple appliquer partout ? |
Construire votre politique IA en quatre étapes
Une politique efficace n'a pas besoin de compter quarante pages. Elle doit surtout permettre à une personne de savoir rapidement : oui, non ou je demande avant d'agir.
Étape 1 — Cartographier ce que vos équipes font déjà
Commencez par le terrain. Demandez aux gestionnaires et aux employés : quels outils utilisez-vous, pour quelles tâches, quelles données y entrez-vous, quels gains obtenez-vous et où voyez-vous un risque ?
Ne commencez pas par une interdiction. Commencez par la réalité. Vous découvrirez probablement des usages déjà bien implantés dont la direction ignore l'existence.
Étape 2 — Définir cinq règles non négociables
- Les outils autorisés. Distinguez les solutions approuvées des comptes personnels ou applications non vérifiées.
- Les données interdites dans les outils publics : renseignements personnels, dossiers employés, données salariales, informations médicales, mots de passe, secrets commerciaux, données financières et documents contractuels sensibles.
- La validation humaine. Une IA peut proposer. Elle ne devrait pas devenir automatiquement l'autorité qui décide.
- La responsabilité. L'employé demeure responsable du document, du conseil, de l'analyse ou de la décision qu'il utilise.
- Le processus d'escalade. En cas de doute ou de partage accidentel, l'employé doit savoir immédiatement qui contacter.
Étape 3 — Protéger les renseignements dès la conception
La gouvernance IA doit rejoindre votre gouvernance des renseignements personnels. La Commission d'accès à l'information précise qu'une évaluation des facteurs relatifs à la vie privée, une ÉFVP, est requise pour certains projets d'acquisition, de développement ou de refonte de systèmes impliquant des renseignements personnels.
Une ÉFVP est également requise avant certaines communications de renseignements personnels à l'extérieur du Québec. Et lorsqu'une décision est fondée exclusivement sur un traitement automatisé, des obligations particulières de transparence et de révision s'appliquent.
Ces informations sont générales et ne remplacent pas un avis juridique adapté à votre organisation.
Étape 4 — Former et réviser
Une politique que personne ne comprend devient un PDF oublié. Présentez plutôt des scénarios concrets : puis-je copier ce CV dans ChatGPT, puis-je faire résumer cette rencontre de gestion, puis-je rédiger une proposition client avec Copilot, puis-je demander à l'IA quel employé promouvoir ?
La formation compte particulièrement : 83 % des employés canadiens interrogés par KPMG indiquent vouloir ou devoir développer davantage leurs compétences en IA générative.
Mini cas : une PME de 85 employés remet de l'ordre
Exemple illustratif
Une PME québécoise de 85 personnes découvre que plusieurs équipes — marketing, ventes, administration et gestion — utilisent chacune leurs propres outils d'IA générative.
La tension monte quand un gestionnaire réalise qu'un document comportant des informations confidentielles a été soumis à une plateforme publique. Le déclic : plutôt que d'interdire l'IA, la direction décide d'établir un cadre commun.
Action : les usages sont cartographiés, trois outils sont approuvés, les données sensibles sont définies, une formation de soixante minutes est donnée et un responsable est identifié. Résultat visé et mesurable : cent pour cent des gestionnaires formés, un registre clair des outils autorisés et une vérification trimestrielle des usages à risque.
L'objectif n'est pas de ralentir l'innovation. C'est d'empêcher que la vitesse crée de la fragmentation, de la confusion et des risques évitables.
Quiz : votre PME est-elle prête à encadrer l'IA ?
Évaluez la maturité de votre organisation face à l'usage de l'IA avec ce diagnostic rapide pour dirigeants, gestionnaires et DRH.
1. Savez-vous quels outils d'IA vos équipes utilisent réellement au quotidien ?
2. Vos employés savent-ils quelles données ne doivent jamais être déposées dans une IA publique ?
3. Comment vos équipes valident-elles ce que produit l'IA avant de l'utiliser ?
4. Que se passe-t-il si un employé croit avoir partagé une information sensible par erreur ?
5. Votre gouvernance de l'IA est-elle reliée à vos obligations en matière de renseignements personnels ?
Comment M360 rend cette gouvernance plus simple
Chez M360 Leader, l'enjeu dépasse l'outil technologique. M360 travaille d'abord sur la clarté personnelle : priorités, décisions, discipline et responsabilisation. Le planificateur stratégique personnel M360 aide chacun à structurer cette clarté au quotidien.
Le programme Leadership, productivité et résultats aide ensuite les dirigeants et gestionnaires à transformer ces principes en comportements de gestion plus solides. L'application M360+ soutient les habitudes et la progression individuelle, alors que M360meet permet notamment de rendre visible le coût réel des réunions.
Puis vient M360 Compass. Compass n'est pas conçu comme un simple SIRH. Il vise à remplacer la fragmentation des objectifs, réunions, responsabilités, suivis et pratiques humaines par un système de gestion plus cohérent et actionnable.
Dans un contexte de gouvernance IA, cette logique devient particulièrement importante : les décisions, responsabilités et suivis ne devraient pas vivre dans une accumulation de courriels, fichiers, conversations et outils indépendants.
Pascal Dubois, coach exécutif d'expérience, accompagne la dimension humaine du changement. Thomas James Stewart, conseiller stratégique et accélérateur de transformation, vient renforcer l'écosystème M360 sur les enjeux de transformation, d'alignement et d'exécution.
Questions fréquentes
Une PME est-elle obligée d'avoir une politique IA ?
Il n'existe pas simplement une obligation générale appelée politique ChatGPT. Toutefois, les obligations existantes concernant la vie privée, la confidentialité, la sécurité et certains traitements automatisés continuent de s'appliquer. Un cadre interne aide à les traduire en comportements concrets.
Quelles données ne devraient jamais être copiées dans une IA publique ?
Renseignements personnels, dossiers RH, données médicales, salaires, mots de passe, informations confidentielles de clients, secrets commerciaux et documents sensibles devraient être exclus tant qu'un cadre sécurisé et autorisé n'a pas été établi.
Faut-il interdire ChatGPT aux employés ?
Pas nécessairement. Une approche fondée sur les usages autorisés, les données interdites, la validation humaine et la responsabilisation est souvent plus applicable qu'une interdiction générale.
Peut-on utiliser l'IA pour prendre des décisions RH ?
L'IA peut soutenir l'analyse, mais une prudence accrue est nécessaire lorsque des renseignements personnels ou des décisions concernant des personnes sont en jeu. Les décisions exclusivement automatisées peuvent déclencher des obligations particulières de transparence et de révision.
À propos des auteurs
Expertise et confiance
Cet article et cet épisode s'appuient sur du terrain : coaching, accompagnement de dirigeants et outils concrets pour ancrer une gestion claire dans le quotidien.
Checklist à télécharger
Guide Politique IA en PME (PDF)
Un format simple, concret et prêt à utiliser : les étapes essentielles pour encadrer l'IA sans bloquer vos équipes.
Encadrez l'IA sans freiner vos équipes
Si vous avez aimé cet article, n'hésitez pas à le liker et à le partager sur vos réseaux sociaux. Et si vous le souhaitez, prenez rendez-vous avec notre équipe via le lien ci-dessous.
Prendre rendez-vous avec notre équipe