Une politique d’utilisation de l’IA est un document de deux ou trois pages qui dit à vos employés quels outils d’intelligence artificielle ils peuvent utiliser, quelles données ils ne doivent jamais y entrer, qui vérifie ce qui est produit et quoi faire en cas d’erreur. Pour une PME québécoise, elle sert aussi de point d’appui pour respecter la Loi 25. Vous trouverez plus bas un modèle complet, à copier et à adapter en une demi-journée.
La question n’est plus de savoir si vos employés utilisent l’IA. Selon le Work Trend Index 2024 de Microsoft et LinkedIn, 78 % des personnes qui utilisent l’IA au travail y apportent leurs propres outils, une proportion qui atteint 80 % dans les petites et moyennes entreprises. Sans règle écrite, chacun décide seul de ce qu’il peut copier dans ChatGPT, Claude, Gemini ou Copilot.
Cet article approfondit un chapitre de notre guide sur les erreurs à éviter avec l’intelligence artificielle en entreprise : celui qui recommande de mettre en place une politique interne. Ici, nous passons de la recommandation au document lui-même.
Sommaire
Pourquoi une politique IA devient nécessaire dans une PME
L’adoption officielle de l’IA progresse vite au Canada. Selon Statistique Canada, 19,2 % des entreprises ont utilisé l’IA pour produire des biens ou fournir des services au deuxième trimestre de 2026, contre 12,2 % un an plus tôt et 6,1 % en 2024. Au Québec, l’Institut de la statistique du Québec situait ce taux à 12,7 % au deuxième trimestre de 2025.
Ces chiffres mesurent ce que l’entreprise a décidé. Ils ne mesurent pas ce que les employés font déjà de leur côté. L’écart entre une entreprise sur cinq qui utilise officiellement l’IA et trois employés de bureau sur quatre qui l’utilisent au travail porte un nom : le Shadow AI, l’usage d’outils d’IA sans validation ni encadrement.
La formation suit mal. Parmi les entreprises canadiennes qui utilisent l’IA, Statistique Canada observe que 32 % ont formé leurs employés, et seulement 24 % dans les entreprises de 1 à 4 employés. Côté employés, l’enquête de Microsoft indique que 39 % des utilisateurs de l’IA ont reçu une formation de leur employeur.
Une politique écrite ne règle pas tout. Elle donne toutefois à chacun la même réponse aux trois questions qui causent la plupart des incidents :
- Quel outil ai-je le droit d’utiliser ?
- Quelles informations puis-je y entrer ?
- Qui doit relire avant que le résultat sorte de l’entreprise ?
Ce que doit contenir une politique d’utilisation de l’IA
Une bonne politique IA répond à dix questions concrètes, chacune en quelques lignes. Si une section ne tient pas sur un paragraphe, elle appartient probablement à une procédure séparée.
| Section | Question à laquelle elle répond |
|---|---|
| Objet et champ d’application | À qui s’applique la politique : employés, contractuels, stagiaires ? |
| Principes | Qui reste responsable du travail produit avec l’IA ? |
| Outils autorisés | Quels outils, avec quel type de compte ? |
| Classification des données | Quelles informations peuvent aller dans quel outil ? |
| Usages interdits | Qu’est-ce qui est exclu, quel que soit l’outil ? |
| Validation humaine | Qui relit, et avant quoi ? |
| Renseignements personnels | Quelles obligations de la Loi 25 s’appliquent ? |
| Ajout d’un outil | Comment faire approuver un nouvel outil ? |
| Formation | Qui doit être formé, et quand ? |
| Incidents et révision | Que faire en cas d’erreur, et quand revoir la politique ? |
Pour une version plus détaillée, le guide L’IA générative dans votre organisation, publié par Nord Ouvert en janvier 2026, propose aussi des clauses types pour les PME du Québec.
Modèle de politique d’utilisation de l’IA pour PME
Copiez ce modèle dans votre traitement de texte et remplacez les éléments entre crochets. Il est pensé pour une entreprise de 5 à 50 employés, sans service TI dédié. Comptez une demi-journée pour l’adapter, puis faites-le relire par votre responsable de la protection des renseignements personnels.
1. Objet et champ d’application
[Nom de l’entreprise] encourage l’utilisation de l’intelligence artificielle pour gagner du temps et améliorer la qualité du travail. La présente politique encadre cette utilisation afin de protéger nos clients, nos employés et nos informations. Elle s’applique à toute personne qui travaille pour l’entreprise ou en son nom : employés, gestionnaires, stagiaires, contractuels et sous-traitants, sur tout appareil, y compris personnel.
2. Principes
- La personne reste responsable. L’IA est un outil d’assistance. Celui ou celle qui utilise un contenu produit par l’IA en répond comme s’il l’avait rédigé lui-même.
- La confidentialité passe avant la rapidité. En cas de doute sur une information, on ne l’entre pas dans un outil d’IA.
- Les outils sont choisis par l’entreprise. Seuls les outils inscrits à la liste de la section 3 peuvent être utilisés pour le travail.
3. Outils autorisés
| Outil | Type de compte | Niveau de données maximal | Usages prévus |
|---|---|---|---|
| [Assistant principal, ex. ChatGPT, Claude ou Gemini] | [Compte entreprise fourni par l’employeur] | Jaune | [Rédaction, résumés, analyse de documents internes] |
| [Outil intégré, ex. Copilot dans Microsoft 365] | [Licence de l’entreprise] | Jaune | [Courriels, documents, réunions] |
| Tout autre outil, gratuit ou personnel | Compte personnel | Vert seulement | Recherche d’idées, contenus publics |
La liste est tenue à jour par [nom ou fonction du responsable]. Un outil absent de la liste n’est pas autorisé pour des données jaunes ou rouges.
4. Classification des données
| Niveau | Exemples | Règle |
|---|---|---|
| Vert : public | Textes déjà publiés sur notre site, brochures, offres d’emploi, idées générales | Permis dans tout outil |
| Jaune : interne | Procédures, notes de réunion sans noms, documents de travail, chiffres agrégés | Permis seulement dans les outils approuvés avec compte entreprise |
| Rouge : confidentiel | Renseignements personnels de clients ou d’employés, dossiers RH, données financières non publiques, contrats, soumissions, mots de passe et accès | Interdit, sauf outil approuvé par écrit pour cet usage précis |
Avant d’entrer un document jaune ou rouge, retirez ce qui n’est pas nécessaire : noms, adresses, numéros de dossier, montants. Un document anonymisé peut souvent changer de niveau.
5. Usages interdits
- Prendre une décision concernant une personne (embauche, crédit, tarif, sanction) sur la seule base d’un résultat produit par l’IA.
- Entrer des mots de passe, clés d’accès ou codes de sécurité dans un outil d’IA.
- Créer de fausses preuves, de faux avis clients ou un contenu qui imite une personne réelle sans son accord.
- Connecter un outil d’IA à nos systèmes (courriel, CRM, site Web, comptabilité) sans approbation écrite.
- Mettre en production une application ou un code généré par l’IA sans révision par une personne compétente.
6. Validation humaine et transparence
Tout contenu produit avec l’IA est relu par une personne avant de sortir de l’entreprise : courriel à un client, soumission, contrat, publication sur le site ou les réseaux sociaux. Les chiffres, dates, lois, règlements et citations sont vérifiés à la source officielle avant usage. Lorsqu’un client le demande, ou lorsqu’un contenu est en grande partie généré, nous indiquons que l’IA a été utilisée.
7. Renseignements personnels et Loi 25
- Aucun renseignement personnel n’est entré dans un outil qui n’a pas été approuvé pour cet usage.
- Tout projet d’outil d’IA qui traitera des renseignements personnels fait l’objet d’une évaluation des facteurs relatifs à la vie privée (EFVP) avec le responsable de la protection des renseignements personnels, y compris lorsque les données sont hébergées à l’extérieur du Québec.
- Si une décision concernant une personne devait être prise exclusivement par un traitement automatisé, la personne en est informée et peut demander qu’une personne de l’entreprise révise la décision.
8. Ajout d’un nouvel outil
Une demande d’ajout est adressée à [responsable]. Avant d’approuver un outil, le responsable vérifie au minimum : où les données sont hébergées, combien de temps les conversations sont conservées, si les données servent à entraîner le modèle, comment les accès sont contrôlés et ce que prévoit le contrat. La décision est consignée et la liste de la section 3 est mise à jour.
9. Formation
Toute personne visée reçoit une formation sur la présente politique à son arrivée, puis un rappel au moins une fois par année. La formation couvre la classification des données, la vérification des réponses et le signalement des incidents.
10. Incidents
Toute personne qui a entré par erreur une information rouge dans un outil non autorisé, ou qui constate une erreur importante dans un contenu déjà diffusé, le signale à [responsable] dans les [24] heures. Le signalement de bonne foi n’entraîne pas de sanction. Le responsable détermine s’il s’agit d’un incident de confidentialité au sens de la Loi 25, l’inscrit au registre et, si le risque de préjudice est sérieux, avise la Commission d’accès à l’information et les personnes concernées.
11. Révision
La présente politique est revue tous les [six] mois, ou plus tôt si un nouvel outil majeur est adopté. Version [1.0], adoptée le [date] par [nom, fonction].
Engagement : J’ai lu la politique d’utilisation de l’IA de [Nom de l’entreprise] et je m’engage à la respecter. Nom, signature, date.
Politique IA et Loi 25 : les trois obligations à connaître
Aucune loi québécoise n’oblige une entreprise privée à adopter une politique propre à l’IA. La Loi 25 exige toutefois d’adopter des politiques et des pratiques de gouvernance pour les renseignements personnels, et l’IA touche directement trois de ses obligations. Le cadre général est expliqué dans notre article pour comprendre la Loi 25.
- L’évaluation des facteurs relatifs à la vie privée (article 3.3). Tout projet d’acquisition, de développement ou de refonte d’un système d’information qui traite des renseignements personnels exige une EFVP. Un assistant IA branché sur votre CRM ou votre boîte de réception de service à la clientèle entre dans cette catégorie. La Commission d’accès à l’information publie un guide pour réaliser une EFVP.
- La communication à l’extérieur du Québec (article 17). La plupart des outils d’IA traitent les données sur des serveurs situés hors du Québec. Comme le rappelle Fasken, l’hébergement de renseignements personnels hors Québec, notamment en infonuagique, exige une EFVP préalable.
- Les décisions automatisées (article 12.1). En vigueur depuis septembre 2023, cet article oblige à informer une personne lorsqu’une décision la concernant est fondée exclusivement sur un traitement automatisé de ses renseignements personnels. Elle peut alors présenter ses observations à une personne de l’entreprise. Un tri automatique de CV sans regard humain en est l’exemple type.
La Commission d’accès à l’information va plus loin. Dans son mémoire L’IA au travail : pour un meilleur encadrement, déposé en janvier 2025, elle recommande aux employeurs de documenter dans une politique interne les systèmes d’IA utilisés, leurs fins, les données traitées et la façon dont les résultats servent aux décisions.
Mettre en place la politique IA en 30 jours
Une politique qui reste dans un dossier partagé ne change rien. Voici un déroulement réaliste pour une PME, sur quatre semaines.
- Semaine 1 : faire l’inventaire. Demandez à chaque équipe quels outils d’IA elle utilise déjà, avec quel compte et pour quelles tâches. Présentez-le comme un sondage, pas comme une enquête : vous voulez des réponses honnêtes.
- Semaine 2 : choisir les outils et classer les données. Retenez un ou deux outils avec compte entreprise, puis remplissez le tableau de classification avec vos propres exemples de documents.
- Semaine 3 : adapter et faire valider. Ajustez le modèle, faites-le relire par votre responsable de la protection des renseignements personnels et, au besoin, par votre conseiller juridique.
- Semaine 4 : former et faire signer. Une séance d’une heure suffit pour présenter la politique avec des exemples tirés de votre quotidien. Nos formations peuvent servir de point de départ.
Exemple concret : un cabinet de services de 15 employés
Prenons un scénario type. Dans un cabinet de services des Laurentides, l’inventaire de la semaine 1 révèle cinq outils différents, dont trois sur des comptes personnels gratuits. Une adjointe y résume des contrats clients, un conseiller y reformule des courriels contenant des numéros de dossier.
Le cabinet retient un seul assistant avec compte entreprise et classe les contrats en rouge. L’adjointe continue d’obtenir ses résumés, mais à partir de versions sans noms ni montants. Personne n’a perdu d’outil utile : les usages sont simplement passés dans un cadre connu.
Les erreurs qui rendent une politique IA inutile
- Tout interdire. Une interdiction générale pousse les usages vers les comptes personnels, là où vous ne voyez plus rien. C’est le meilleur moyen de nourrir le Shadow AI.
- Écrire cinquante pages. Personne ne lit un document qui ressemble à un contrat. Visez trois pages et un tableau.
- Figer la liste d’outils. Les outils changent tous les trimestres. Sans procédure d’ajout, la liste devient fausse en six mois.
- Oublier le développement. Une application créée avec l’IA par un employé doit aussi être encadrée, comme nous l’expliquons dans notre article sur le vibe coding sans développeur.
- Ne nommer personne. Sans responsable désigné, aucune demande d’outil n’est traitée et aucun incident n’est suivi.
Une politique d’utilisation de l’IA courte vaut mieux qu’aucune politique
Vos employés utilisent probablement déjà l’IA. Une politique d’utilisation de l’IA de trois pages leur dit quels outils choisir, quelles données protéger et qui relit avant l’envoi. Elle réduit les risques de fuite et d’erreur publiée, et elle vous place en bonne position face à la Loi 25.
Le modèle ci-dessus couvre l’essentiel. Sa valeur vient surtout de deux gestes : remplir le tableau de classification avec vos propres documents, et prendre une heure pour l’expliquer à votre équipe.
Besoin d’aide pour adapter ce modèle ?
Nous aidons les PME à faire l’inventaire des outils déjà utilisés, à classer leurs données, à adapter leur politique et à former leurs équipes. Découvrez notre accompagnement IA pour PME ou, pour un regard ponctuel sur vos outils et vos processus, notre service de consultant web.
Foire aux questions
Une politique d’utilisation de l’IA est-elle obligatoire au Québec ?
Aucune loi n’impose une politique propre à l’IA aux entreprises privées. La Loi 25 exige toutefois des politiques et des pratiques de gouvernance pour les renseignements personnels. Comme les outils d’IA traitent souvent ce type d’information, la politique IA devient en pratique un prolongement de ces obligations.
Peut-on interdire ChatGPT aux employés ?
Oui, un employeur peut restreindre les outils utilisés pour le travail. Une interdiction totale fonctionne toutefois rarement : les usages se déplacent vers les téléphones et les comptes personnels. Il est plus efficace d’autoriser un outil avec compte entreprise et d’interdire les données sensibles ailleurs.
Qui doit rédiger et approuver la politique IA ?
Dans une PME, le dirigeant l’approuve et la fait rédiger par la personne qui connaît le mieux les outils, avec le responsable de la protection des renseignements personnels. Sous la Loi 25, ce rôle revient par défaut à la personne ayant la plus haute autorité dans l’entreprise, à moins qu’elle ne le délègue par écrit.
À quelle fréquence faut-il mettre à jour la politique ?
Tous les six mois est un bon rythme, car les outils et leurs conditions changent vite. Une mise à jour s’impose aussi dès qu’un nouvel outil majeur est adopté ou qu’un incident révèle une règle mal comprise.
Faut-il informer ses clients qu’on utilise l’IA ?
C’est obligatoire lorsqu’une décision les concernant repose exclusivement sur un traitement automatisé de leurs renseignements personnels (article 12.1 de la Loi 25). Dans les autres cas, c’est une bonne pratique, surtout si leurs renseignements transitent par un outil d’IA : votre politique de confidentialité devrait alors le mentionner.
