Politique d’utilisation acceptable de l’IA : ce qu’une organisation canadienne devrait y inclure

Une politique d’utilisation acceptable de l’IA indique au personnel quels outils d’IA il peut utiliser pour le travail, quels renseignements il peut y saisir, ce qu’il doit vérifier avant de se fier au résultat et à qui s’adresser lorsqu’un cas n’est pas prévu. Elle vise les assistants conversationnels autonomes, mais aussi les fonctions d’IA intégrées aux logiciels que l’organisation utilise déjà : courriel, documents, plateformes de réunion, outils de soutien et éditeurs de code.

Les 10 mesures de sécurité en matière d’intelligence artificielle du Centre canadien pour la cybersécurité (mai 2026) comprennent la mesure suivante : « Créer une politique opérationnelle interne pour l’utilisation acceptable d’outils d’IA. » En date d’octobre 2026, le Canada n’a aucune loi sur l’IA en vigueur pour les entreprises privées, et aucune des lois fédérales, ontariennes, québécoises, albertaines ou britanno-colombiennes que nous avons examinées n’exige un document portant ce nom. Les obligations en matière de vie privée, d’emploi, de droits de la personne, de contrats et de déontologie s’appliquent toujours à l’utilisation de l’IA par le personnel, et une politique écrite permet de les traduire en consignes applicables. L’article complémentaire sur les lois et la réglementation sur l’IA au Canada explique quelles obligations vérifier.

Partir du travail que les gens font déjà

Faites un court inventaire avant de rédiger quoi que ce soit. Demandez à chaque équipe quels outils d’IA elle utilise, avec quels comptes et pour quelles tâches. Incluez :

• Les comptes personnels utilisés pour le travail.
• Les fonctions d’IA activées dans des logiciels que l’organisation a déjà approuvés.
• Les extensions de navigateur, les enregistreurs de réunion et les outils de transcription.
• Les assistants de programmation et tout outil connecté au courriel, aux fichiers ou aux systèmes d’affaires.

L’inventaire montre quels usages approuver, lesquels transférer vers un compte géré et lesquels arrêter. Sans cet inventaire, une politique peut interdire un outil dont les gens se servent chaque jour, et ils risquent de continuer à l’utiliser sans le dire.

Ce que devrait contenir une politique d’utilisation acceptable de l’IA

Ces douze sections conviennent à la plupart des petites et moyennes organisations. Gardez la partie destinée au personnel assez courte pour être consultée en cours de travail, et consignez les décisions détaillées sur les outils dans un registre distinct. Adaptez les formulations citées et remplacez les parties entre crochets.

1. Portée

Indiquez à qui s’applique la politique (employés, contractuels, bénévoles) et à quels outils. Définissez l’IA de façon assez large pour inclure les fonctions intégrées à d’autres logiciels et les agents qui agissent au nom d’une personne.

La présente politique s’applique à toute personne qui travaille pour [Organisation], sur n’importe quel appareil, lorsqu’elle utilise un outil qui produit du texte, des images, du son, du code ou des recommandations au moyen de l’intelligence artificielle, y compris les fonctions d’IA des logiciels que nous utilisons déjà.

2. Outils et comptes approuvés

Dressez la liste des outils approuvés en précisant le type de compte exigé, les tâches autorisées et les renseignements que chaque outil peut recevoir. Exigez des comptes gérés par l’organisation, afin que l’accès prenne fin avec l’emploi. Approuvez les outils tâche par tâche : un outil autorisé pour rédiger du texte public exige une décision distincte avant d’enregistrer des réunions ou de fouiller les dossiers de clients. Les nouvelles fonctions d’IA des logiciels approuvés exigent aussi une décision. La norme sur l’IA générative de la Ville d’Edmonton (en anglais), par exemple, renvoie au processus d’accueil technologique de la Ville tout logiciel approuvé qui gagne des fonctions d’IA générative.

Utilisez uniquement les outils inscrits au registre des outils d’IA, en vous connectant avec votre compte de travail. N’utilisez pas de compte personnel pour des renseignements de travail. Consultez [personne-ressource] avant d’utiliser un nouvel outil ou d’activer une nouvelle fonction d’IA.

3. Règles sur les renseignements

Le personnel consultera cette section en cours de travail; rendez donc chaque niveau concret. Partez de la classification déjà en usage dans l’organisation :

• Jamais : mots de passe, clés d’API, jetons d’accès et autres identifiants, ainsi que les renseignements qu’un contrat interdit de communiquer à un tiers.
• Seulement avec une approbation pour cet outil et cette tâche : renseignements personnels sur des clients, des employés ou des candidats, dossiers de santé et financiers, renseignements confidentiels de clients, code source non publié, et opinions juridiques ou autres communications privilégiées.
• Outils approuvés seulement : documents internes non publics.
• Tout outil approuvé : renseignements déjà publiés.

Retirer un nom ne rend pas un document anonyme, car le contexte peut permettre d’identifier une personne. Les principes des commissaires à la protection de la vie privée sur l’IA générative (décembre 2023) demandent aux organisations qui utilisent ces outils de saisir des renseignements dépersonnalisés dans les requêtes lorsque c’est possible et raisonnable, de n’y saisir des renseignements personnels que si elles y sont autorisées, et de ne pas conserver, réutiliser ou communiquer les requêtes à d’autres fins, sauf obligation. Ils traitent aussi comme des renseignements personnels les inférences qu’un outil produit au sujet d’une personne identifiable.

Ne saisissez jamais de mots de passe, de clés ou d’autres identifiants dans un outil d’IA. Ne saisissez pas de renseignements personnels ni de renseignements confidentiels de clients, sauf si le registre des outils l’autorise pour cet outil et cette tâche.

4. Vérification des résultats

La personne qui utilise un résultat en est responsable. Exigez une vérification adaptée à la tâche : comparer un résumé au document original, vérifier les calculs à partir des données de départ, ouvrir chaque source citée pour confirmer qu’elle appuie l’affirmation et soumettre le code au processus de revue habituel. Dans Zhang v. Chen, 2024 BCSC 285 (en anglais), la Cour suprême de la Colombie-Britannique a condamné une avocate à payer personnellement des dépens après qu’une demande au tribunal eut cité deux décisions inventées par ChatGPT.

Vous êtes responsable de tout ce que vous envoyez, publiez ou décidez à partir d’un résultat produit par l’IA. Vérifiez les faits dans la source et ne citez jamais un document que vous n’avez pas ouvert.

5. Décisions concernant des personnes

Nommez les décisions pour lesquelles l’IA peut aider, mais où une personne doit trancher : embauche, rémunération, mesures disciplinaires, évaluation du rendement et admissibilité à un service. Deux règles provinciales visent directement cette section :

• Un employeur qui compte 25 employés ou plus en Ontario le jour où l’offre est publiée et qui utilise l’IA pour présélectionner, évaluer ou sélectionner des candidats doit l’indiquer dans chaque offre d’emploi annoncée publiquement à compter du 1er janvier 2026, y compris lorsqu’un recruteur effectue la présélection pour son compte (guide de la Loi sur les normes d’emploi).
• Au Québec, une entreprise qui rend une décision fondée exclusivement sur un traitement automatisé de renseignements personnels doit en informer la personne concernée et lui permettre de présenter ses observations à un membre du personnel en mesure de réviser la décision. Sur demande, elle doit aussi lui indiquer les renseignements personnels utilisés ainsi que les raisons et les principaux facteurs et paramètres ayant mené à la décision (article 12.1 de la loi québécoise sur le secteur privé).

N’utilisez pas l’IA pour prendre la décision finale sur l’emploi, la rémunération, une mesure disciplinaire ou l’admissibilité d’une personne. Avisez [personne-ressource] avant d’utiliser un outil d’IA pour présélectionner ou évaluer des candidats.

6. Informer les gens lorsque l’IA intervient

Déterminez quand les clients ou le public doivent être informés qu’un contenu a été produit, en tout ou en partie, par l’IA, et exigez qu’un agent conversationnel indique qu’il en est un. Une organisation répond de ce que dit son agent conversationnel. Dans Moffatt v. Air Canada, 2024 BCCRT 149 (en anglais), le Tribunal de résolution civile de la Colombie-Britannique a rejeté l’argument voulant que l’agent conversationnel d’un site Web soit responsable de ses propres déclarations et a tenu la compagnie aérienne responsable d’un renseignement tarifaire erroné qu’il avait donné à un client.

Indiquez qu’un contenu a été produit par l’IA lorsque [cas]. Un assistant destiné à la clientèle doit préciser qu’il est automatisé et offrir un moyen de joindre une personne.

7. Réunions et enregistrements

Les outils de prise de notes par IA enregistrent et transcrivent d’autres personnes. Exigez que les participants soient avisés avant le début de l’enregistrement, respectez les règles du client lors des réunions avec celui-ci, et conservez et supprimez les transcriptions comme les autres documents.

8. Connecteurs, agents et actions

Un outil qui peut lire une boîte de courriel, fouiller un lecteur partagé ou appeler un autre système exige sa propre approbation, distincte de celle de l’outil conversationnel auquel il est rattaché. Dressez la liste des connecteurs approuvés. Pour les agents qui peuvent envoyer des messages, modifier des dossiers ou engager des dépenses, précisez quelles actions exigent chaque fois l’approbation d’une personne, et qui peut la donner. Fixez ensuite les mêmes limites dans les permissions de l’agent, car la politique écrite ne restreint pas à elle seule ce qu’un agent peut faire.

9. Fraude facilitée par l’IA

Le clonage de voix et l’hypertrucage vidéo rendent l’usurpation d’identité peu coûteuse. Le Centre pour la cybersécurité recommande de « former le personnel pour qu’il vérifie les demandes inhabituelles sur tous les canaux » et de mettre en place une vérification hors bande pour les actions sensibles. Inscrivez la règle dans la politique et nommez le canal.

Si vous recevez une demande inhabituelle de paiement, d’identifiant ou de renseignements sensibles, confirmez-la par un autre canal que vous connaissez déjà, même si la voix ou la vidéo semble authentique.

10. Documents

Les requêtes, les fichiers téléversés et les résultats peuvent constituer des documents de l’organisation. La norme d’Edmonton, par exemple, considère toutes les entrées et sorties de l’IA générative comme des documents de la Ville. Ils peuvent être visés par des calendriers de conservation, des ordonnances de conservation pour litige et, lorsqu’ils contiennent des renseignements personnels, des demandes d’accès. Lorsque l’IA intervient dans une décision concernant une personne, les principes des commissaires demandent de conserver des dossiers suffisants pour répondre à une demande d’accès au sujet de cette décision. Indiquez où sont conservés les produits de l’IA et pendant combien de temps, et vérifiez ce que le fournisseur conserve de son côté.

11. Questions, erreurs et exceptions

Prévoyez une seule personne-ressource ou un seul canal pour les questions, les demandes de nouvel outil et les incidents. Demandez au personnel d’arrêter et de signaler la situation s’il a saisi des renseignements interdits, sans recopier ces renseignements dans un autre message. Consignez chaque exception avec son objectif, la personne qui l’a approuvée, les mesures de protection et sa date d’expiration.

Si vous avez saisi des renseignements que la présente politique n’autorise pas, cessez d’utiliser l’outil pour cette tâche et avisez [personne-ressource] le jour même. Indiquez l’outil, le compte, l’heure et le type de renseignements, et non les renseignements eux-mêmes.

12. Responsabilité, formation et révision

Nommez la personne responsable de la politique et du registre des outils. Informez le personnel avant de lui donner accès à un outil. Révisez la politique selon un calendrier fixe, mais aussi lorsqu’un fournisseur modifie ses conditions, qu’un outil ajoute des connecteurs ou des agents, ou que l’organisation commence à traiter un nouveau type de renseignements.

Ce que recommandent les sources officielles canadiennes

Quatre sources canadiennes décrivent ce qu’une telle politique devrait couvrir :

• Les 10 mesures de sécurité en matière d’intelligence artificielle du Centre pour la cybersécurité (ITSAP.10.049) prévoient une politique d’utilisation acceptable, des listes d’autorisation et d’interdiction pour les outils d’IA, moins de renseignements personnels dans les requêtes, l’encadrement de l’« IA fantôme » et des clauses contractuelles qui interdisent aux fournisseurs d’entraîner leurs modèles avec les données de l’organisation sans autorisation.
• Les principes des commissaires sur l’IA générative portent sur le fondement juridique et le consentement, les fins acceptables, la limitation de la collecte, l’exactitude, les mesures de protection, la transparence et l’accès des personnes.
• Le Guide sur l’utilisation de l’intelligence artificielle générative du Conseil du Trésor s’applique uniquement aux institutions fédérales. Ses principes PRETES (pertinente, responsable, équitable, transparente, éclairée, sécurisée) et ses listes de ce que le personnel devrait faire ou éviter restent un modèle utile. La politique sur l’IA de la Ville de Windsor (en anglais), adoptée en avril 2026, reprend les six mêmes principes.
• La norme CAN/DGSI 101:2025, une norme canadienne sur la conception et l’utilisation éthiques de l’IA par les petites et moyennes organisations (généralement moins de 500 employés), vise les outils de tiers utilisés à l’interne autant que les outils que l’organisation conçoit.

La norme ISO/IEC 42001 et le cadre de gestion des risques liés à l’IA du NIST décrivent des systèmes de gestion complets. Une politique d’utilisation acceptable fait partie de chacun, et une petite organisation peut rédiger une politique utile sans adopter ni l’un ni l’autre.

Faire respecter les règles dans les outils

La plupart des règles ont besoin d’un paramètre qui les applique. La règle « utilisez votre compte de travail » ne tient que si les connexions personnelles sont bloquées, et une règle sur les dossiers de clients ne tient que si l’outil ne peut pas y accéder. Pour chaque règle, indiquez ce qui la fait respecter :

• Des comptes gérés avec authentification unique pour chaque outil approuvé.
• Les paramètres d’administration sur l’entraînement des modèles, la conservation et le partage des données, vérifiés par rapport aux conditions actuelles du fournisseur.
• Des listes d’autorisation et d’interdiction dans la gestion du navigateur, du réseau ou des appareils.
• Des règles de prévention des pertes de données correspondant aux niveaux de la section 3.
• Des permissions de connecteurs et d’agents limitées à la tâche, avec des étapes d’approbation pour les actions.
• Des journaux d’utilisation dont le personnel est informé. Un employeur qui compte 25 employés ou plus en Ontario au 1er janvier doit décrire dans une politique écrite prévue par la Loi sur les normes d’emploi la façon dont il surveille électroniquement ses employés.

Les mêmes règles s’appliquent lorsque l’organisation relie l’IA à ses propres systèmes, par exemple un assistant qui répond à partir du centre d’aide ou un agent qui rédige des réponses à partir des dossiers de clients. La politique doit alors être intégrée au système : les données auxquelles il peut accéder, les actions qui exigent une approbation et ce qu’il journalise. ai.lua.haus construit ces systèmes dans l’environnement du client, sous la forme d’une intégration de l’IA pour un flux de travail ou d’une configuration de la plateforme d’IA avec l’accès aux modèles, les permissions, la journalisation et le contrôle des coûts dans les propres comptes du client.

Ce texte fournit des renseignements généraux et ne constitue pas un avis juridique. Confirmez les obligations qui s’appliquent à votre organisation auprès d’une personne qualifiée.