La gouvernance de l'IA n'est pas un cartable. Ce sont cinq contrôles qui agissent pendant que l'agent travaille.

Si la gouvernance de votre agent IA tient en une phrase, c'est probablement celle-ci : « Quelqu'un lit tout avant que ça sorte. » Cette phrase correspond à quelque chose de réel, et elle vaut la peine d'être gardée. Elle ne représente pourtant qu'un contrôle sur cinq, et elle ne voit que ce que l'agent écrit, pas ce qu'il a lu ni ce à quoi il a touché pour en arriver là. Quand un agent déraille en production, soutient le rapport dont nous sommes partis, la cause est souvent quelque chose qui s'est passé pendant son exécution : une instruction cachée dans un courriel qu'il a lu, un outil qu'il n'aurait pas dû avoir, un fichier qui n'était plus à jour, une boucle qui a continué de dépenser. Une politique écrite d'avance n'en arrête aucun. Des contrôles qui agissent pendant l'exécution, si.

Ce que la gouvernance de l'IA signifie à votre taille.

La gouvernance de l'IA, à l'échelle d'une PME, c'est l'ensemble des contrôles qui maintiennent un agent IA, pendant qu'il fonctionne, dans les limites que vous entendiez lui fixer. Le rapport dont nous sommes partis en nomme cinq : des données fiables (l'agent lit une source approuvée et à jour), des contrôles d'accès (il ne détient jamais plus d'accès que la personne pour qui il agit), des garde-fous (les actions sont vérifiées avant d'avoir lieu, pas seulement le texte après coup), l'escalade humaine (les cas sensibles ou ambigus quittent la voie automatique et vont à une personne désignée) et la surveillance continue (des tests et des alertes liés à un moyen de revenir en arrière). La politique compte toujours, puisqu'elle dit quelles sont les limites. Mais le rapport appelle la couche d'exécution, celle où ces limites sont appliquées, « the least appreciated layer and one of the most important » (en anglais dans l'original), c'est-à-dire la couche la plus sous-estimée et l'une des plus importantes,[1] et pour une équipe de quinze personnes, c'est la partie à bâtir en premier.

Cinq couches, une seule fait le travail.

Le rapport dessine la gouvernance comme une pile de cinq couches, chacune avec un rôle différent.[1] Les grandes organisations affectent une équipe à chaque couche. Une petite entreprise a besoin que chaque couche existe dans sa plus petite forme fonctionnelle, ce qui veut généralement dire une page, un paramètre ou une habitude, pas un produit. La troisième ligne de chaque bande ci-dessous est notre adaptation à cette échelle.

Lisez la pile à partir du milieu. La couche 1 dit ce qui est permis. Les couches 3 à 5 s'assurent que le modèle, ses intrants et la mécanique en dessous sont bien ce que vous pensez. La couche 2 est celle où une action est réellement arrêtée, retenue pour une personne ou laissée passer. Une entreprise peut avoir une bonne politique et un serveur verrouillé, et quand même avoir un agent qui envoie un remboursement que personne n'a approuvé, parce que rien ne se trouvait entre la décision et l'action.

Cinq contrôles, ramenés à votre taille.

Le rapport nomme ensuite cinq contrôles qui traversent les couches.[1] Chacun est accompagné de ce qu'il doit garantir et de la façon dont il échoue habituellement. Nous avons gardé les modes de défaillance, qui sont la partie la plus utile, et rédigé la plus petite version de chacun que nous accepterions de considérer comme présente dans une entreprise de quinze personnes.

Deux de ces contrôles méritent un second regard, parce que les petites entreprises se trompent sur ces deux-là en sens inverse. Le contrôle d'accès est le plus facile à laisser de côté : la façon la plus rapide de brancher un agent est de lui donner le compte du propriétaire, et l'agent hérite alors de chaque dossier, de chaque boîte de courriel et de chaque relevé bancaire exporté que le propriétaire peut ouvrir. Le rapport énonce la règle sans détour : il range parmi les défaillances le fait de « granting the agent more access than the human user it represents » (en anglais dans l'original), c'est-à-dire accorder à l'agent plus d'accès que n'en a l'utilisateur humain qu'il représente.[1] Les garde-fous, à l'inverse, sont généralement présents, mais mal ciblés. Un filtre sur ce que l'agent écrit attrape les réponses impolies. Il n'attrape pas un appel d'outil bien rédigé qui envoie le mauvais montant au mauvais fournisseur. La liste de risques de l'OWASP pour les applications d'IA nomme cette seconde défaillance « Excessive Agency » (en anglais dans l'original), c'est-à-dire une autonomie excessive, et classe l'injection de prompt au premier rang.[3]

Un gestionnaire d'immeubles, noté.

Imaginez un gestionnaire d'immeubles résidentiels de Sherbrooke qui compte quinze employés et gère quelques centaines de logements. Il utilise un seul agent. L'agent lit les courriels des locataires, rédige des réponses, ouvre des bons de travail d'entretien et consulte les dossiers de locataires pour répondre aux questions sur les baux et les paiements. Le dirigeant décrit le dispositif comme encadré, parce que chaque réponse attend le feu vert du gestionnaire de bureau avant de partir. Voici comment ses cinq contrôles sont notés.

Le dirigeant a raison de dire que l'escalade est en place. Le gestionnaire de bureau lit chaque réponse, et la règle écrite envoie tout ce qui touche l'argent, les plaintes ou le Tribunal administratif du logement au dirigeant. C'est un vrai contrôle. Le problème, c'est ce qu'il ne peut pas voir. Une étape d'approbation vérifie ce que l'agent dit. Elle ne vérifie pas ce que l'agent a lu ni ce à quoi il avait accès. L'agent répond aux questions sur les baux à partir d'une copie des dossiers de locataires exportée en mars ; un locataire qui a renouvelé son bail en juin reçoit donc une réponse fondée sur l'ancien bail, et le gestionnaire de bureau n'a aucune raison d'en douter. Les dossiers des anciens locataires s'y trouvent encore, alors que plus personne n'en a besoin depuis des mois (l'article 23 de la loi québécoise sur la protection des renseignements personnels prévoit que, lorsque les fins d'un renseignement sont « accomplies », l'entreprise « doit le détruire ou l'anonymiser pour l'utiliser à des fins sérieuses et légitimes »). Et comme l'agent fonctionne sur le compte administrateur du dirigeant, un courriel habilement rédigé qui lui demande de « résumer le dossier de la paie » ne se heurte à aucune barrière. Le gestionnaire de bureau repérera peut-être la réponse ; tout dépend de la charge de son après-midi.

Aucun des correctifs n'est coûteux. Un compte distinct pour l'agent, limité aux dossiers de locataires et au système de bons de travail. L'exportation remplacée par une lecture directe depuis le logiciel de gestion immobilière, ou par une mise à jour de nuit qui retire les anciens locataires. Une vérification des bons de travail avant leur ouverture (un logement connu, un fournisseur connu, un montant sous une limite fixée, tout le reste retenu pour une personne). Quelques courriels d'essai relancés après chaque changement, un coup d'œil hebdomadaire aux journaux et une alerte quand une exécution échoue. Aucun n'exige de nouveau logiciel, et la plupart relèvent d'un réglage plutôt que d'un projet. Ensemble, ils font passer cette entreprise d'un contrôle en place à cinq.

L'ordre dans lequel les bâtir.

Le conseil du rapport sur la séquence est celui auquel nous adhérons le plus : « gateway first, then observability/evals, then metadata/access, then broader governance automation » (en anglais dans l'original), c'est-à-dire d'abord la passerelle, puis l'observabilité et les évaluations, puis les métadonnées et l'accès, puis une automatisation plus large de la gouvernance. Le rapport écarte l'inverse : « buying a giant platform before stabilizing your runtime surface » (en anglais dans l'original), soit acheter une énorme plateforme avant d'avoir stabilisé sa surface d'exécution.[1] Dans une grande entreprise, une passerelle (gateway) est un logiciel par lequel passe chaque appel à un modèle d'IA, de sorte que l'acheminement, les clés et les dépenses se trouvent au même endroit. À petite échelle, l'idée est plus simple : une porte par agent.

Une porte, c'est un compte ou une clé propre à chaque agent auprès du fournisseur du modèle, jamais une clé partagée entre outils, et un plafond de dépenses là où le fournisseur en offre un. Cela seul vous donne trois choses : vous voyez ce que chaque agent coûte, vous pouvez éteindre un agent sans toucher aux autres, et une boucle emballée bute contre un plafond au lieu de vider votre carte de crédit. Voir et tester vient ensuite, parce que chaque contrôle suivant suppose de savoir ce que l'agent fait réellement ; notre suite d'éval en 6 lignes est la plus petite version que nous connaissions. L'accès et les données viennent en troisième, une fois que vous savez ce dont l'agent a besoin, ce qui est la seule base honnête pour délimiter son compte. Notre note sur la séparation des lectures et des écritures d'un agent est un cas concret de cette étape. Les outils viennent en dernier, si tant est qu'ils viennent. Notre note sur l'ordre de construction des agents en production applique la même logique à un seul agent.

La Loi 25 s'applique-t-elle à un agent IA ?

Pas nommément. Mais dès qu'un agent touche à des renseignements personnels, les obligations de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), telle que modifiée par la Loi 25, s'appliquent à l'entreprise qui le fait fonctionner, et plusieurs d'entre elles recoupent ces contrôles.[4] La loi ne mentionne pas les agents IA ; la façon dont chaque article s'applique à l'un d'eux est donc une lecture, la nôtre, et une question pour votre propre conseiller juridique. Les articles ci-dessous correspondent aux couches et aux contrôles.

1. Quelqu'un en est déjà responsable (art. 3.1). La personne qui exerce la plus haute autorité dans l'entreprise exerce par défaut la fonction de responsable de la protection des renseignements personnels, et son titre et ses coordonnées doivent être publiés sur le site Internet de l'entreprise. Dans une entreprise de quinze personnes, la couche de la politique a donc un responsable, que quelqu'un ait ou non rédigé la politique.
2. L'accès repose sur le besoin de savoir (art. 20). Selon l'article 20, dans l'exploitation d'une entreprise, « un renseignement personnel n'est accessible, sans le consentement de la personne concernée, à tout préposé ou agent de l'exploitant qui a qualité pour le connaître qu'à la condition que ce renseignement soit nécessaire à l'exercice de ses fonctions ». Le préposé et l'agent dont parle la loi sont des personnes : la règle a été écrite pour elles. Il est difficile de soutenir qu'un logiciel qui accomplit la tâche d'un employé a besoin de plus d'accès que l'employé, ce qui correspond au contrôle d'accès de la figure 2.
3. Les données servant à une décision doivent être à jour (art. 11). L'article 11 pose la règle ainsi : « Toute personne qui exploite une entreprise doit veiller à ce que les renseignements personnels qu'elle détient sur autrui soient à jour et exacts au moment où elle les utilise pour prendre une décision relative à la personne concernée. » Un agent qui répond à des questions sur les baux à partir d'une exportation de mars, c'est exactement le contrôle des données fiables qui échoue de cette façon.
4. Un nouveau système fait l'objet d'une évaluation (art. 3.3). L'article 3.3 exige une évaluation des facteurs relatifs à la vie privée (ÉFVP) : « Toute personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée de tout projet d'acquisition, de développement et de refonte de système d'information ou de prestation électronique de services impliquant la collecte, l'utilisation, la communication, la conservation ou la destruction de renseignements personnels. » Un agent qui lit et écrit dans des dossiers de locataires y ressemble beaucoup. La loi demande que l'évaluation soit proportionnée à la sensibilité des renseignements, aux fins de leur utilisation, à leur quantité, à leur répartition et à leur support.
5. Sortir du Québec appelle aussi une évaluation (art. 17). Avant que des renseignements personnels soient communiqués à l'extérieur du Québec, y compris à un fournisseur qui les traite pour votre compte, une ÉFVP et une entente écrite sont exigées. Le deuxième alinéa pose la condition : « La communication peut s'effectuer si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate ». L'endroit où fonctionnent votre fournisseur de modèle et votre index de recherche est une question de gouvernance ; notre note sur l'IA sur votre propre matériel en traite.
6. Une décision automatisée doit pouvoir être revue par une personne (art. 12.1). Une entreprise qui utilise des renseignements personnels pour rendre « une décision fondée exclusivement sur un traitement automatisé » doit en informer la personne concernée et, à sa demande, l'informer des renseignements utilisés, « des raisons, ainsi que des principaux facteurs et paramètres, ayant mené à la décision » et « de son droit de faire rectifier les renseignements personnels utilisés pour rendre la décision ». Elle doit aussi lui donner l'occasion de « présenter ses observations à un membre du personnel de l'entreprise en mesure de réviser la décision ». Cela vaut après la décision, et seulement quand aucune personne n'y a pris part : ce n'est donc pas une escalade avant que l'agent agisse. C'est ce dont la loi se rapproche le plus, et une liste d'escalade écrite est le moyen le plus simple d'éviter qu'une décision soit exclusivement automatisée.
7. Une fuite est un incident assorti d'obligations (art. 3.5). L'article 3.5 pose la règle : « Une personne qui exploite une entreprise et qui a des motifs de croire que s'est produit un incident de confidentialité impliquant un renseignement personnel qu'elle détient doit prendre les mesures raisonnables pour diminuer les risques qu'un préjudice soit causé et éviter que de nouveaux incidents de même nature ne se produisent. » S'il existe un risque de préjudice sérieux, elle doit aviser « avec diligence » la Commission d'accès à l'information et chaque personne concernée. La surveillance est ce qui permet de s'en apercevoir à temps.

Les normes derrière le cadre.

Le rapport appuie sa pile sur une poignée de normes et affirme que les couches s'y rattachent. Cette correspondance est celle du rapport, pas un parcours de certification, mais les normes existent bel et bien, et deux d'entre elles valent qu'un propriétaire d'entreprise y consacre du temps.

NIST AI Risk Management Framework 1.0 (cadre de gestion des risques de l'IA). Publié par le National Institute of Standards and Technology des États-Unis le 26 janvier 2023, pour usage volontaire, et téléchargeable gratuitement.[2] Ses quatre fonctions (Govern, Map, Measure, Manage, soit gouverner, cartographier, mesurer, gérer) forment une liste de vérification utile pour savoir si vous avez réfléchi à un système avant, pendant et après son déploiement. Le NIST indique qu'il est en cours de révision. Si vous ne lisez qu'une norme, lisez celle-là. Le Top 10 de l'OWASP pour les applications LLM (édition 2025) en est le complément pratique : dix modes de défaillance nommés, de l'injection de prompt à la consommation sans limite, chacun avec ses mesures d'atténuation.[3] C'est ce qui ressemble le plus à un plan de test pour les garde-fous.

ISO/IEC 42001 est la norme internationale certifiable pour un système de management de l'IA ; ISO/IEC 23894 est un guide sur la gestion des risques liés à l'IA. Ce sont deux documents payants, écrits pour de plus grandes organisations ; nous ne les avons pas lus, et nous ne les nommons que parce que le rapport s'y rattache. Le règlement européen sur l'IA (EU AI Act) fixe des obligations proportionnées au risque, dont une surveillance humaine pour les systèmes à haut risque et de la transparence pour certains autres, et il peut viser une entreprise établie hors de l'Union européenne dont les résultats d'IA y sont utilisés. Pour une entreprise qui ne vend qu'au Québec, c'est de l'information de contexte, pas la première chose à lire.

Où nous l'appliquons nous-mêmes.

Deux exemples tirés de nos propres activités, tous deux sur la couche d'exécution, et l'un est plus faible que nous le voudrions. Les agents qui rédigent nos courriels sortants peuvent mettre un brouillon en attente dans la boîte courriel. Les outils qui permettraient de l'envoyer sont configurés pour demander l'approbation d'une personne à chaque appel, et ce réglage se trouve à l'extérieur de l'agent, là où aucune instruction ne peut le contourner. Les agents qui rédigent ces notes de terrain écrivent dans une branche de travail du code de ce site, et une personne fusionne le résultat après l'avoir lu. Cette seconde barrière repose encore en grande partie sur les consignes de la chaîne de publication, auxquelles s'ajoutent des vérifications automatisées à la compilation, soit le genre de contrôle dont on peut faire démordre un agent à force de persuasion. Elle est donc la prochaine sur notre propre liste. C'est la distinction que trace notre note sur l'audit d'une automatisation par la lecture d'un seul fichier : ce à quoi un agent peut toucher se règle dans ses autorisations d'accès, pas dans son prompt.

À faire cette semaine.

1. Dressez la liste de tous les agents et de toutes les automatisations qui utilisent l'IA.

   Une ligne chacun : ce qu'il fait, sous quel compte il fonctionne, ce qu'il lit, ce qu'il peut modifier. Si personne ne peut remplir la colonne du compte, commencez par là.

   cible : une page, tous les agents
2. Donnez à chaque agent sa propre porte.

   Son propre compte ou sa propre clé auprès du fournisseur du modèle, jamais partagés, et un plafond de dépenses là où il y en a un. Vous voyez désormais ce qu'il coûte, et vous pouvez l'éteindre sans toucher aux autres.

3. Notez chaque agent sur les cinq contrôles.

   Servez-vous des minimums de la figure 2 : 0 s'il manque, 1 s'il est partiel, 2 si quelqu'un pourrait vous le montrer aujourd'hui. Méfiez-vous de tout agent dont le seul 2 est « une personne le lit ».

   cible : cinq notes par agent, les zéros nommés
4. Corrigez d'abord l'accès si c'est un zéro.

   Sortez l'agent de tout compte administrateur ou partagé et mettez-le sous son propre compte, limité à ce que la tâche exige. C'est la lacune qu'aucune étape d'approbation ne peut voir.

5. Mettez la liste d'escalade par écrit.

   Ce qui va toujours à une personne, et laquelle. L'argent, les plaintes et tout ce qui est juridique sont le point de départ habituel. Si un agent prend seul des décisions au sujet de personnes, vérifiez avec votre conseiller juridique les obligations de l'article 12.1.

6. Lisez le cadre du NIST avant d'acheter quoi que ce soit.

   Il est gratuit. Le logiciel qui promet de gouverner votre IA vient après que vous savez ce que font vos agents et ce à quoi ils ont accès.

Ce que cette note ne prétend pas.

La source est une synthèse générée par IA. Les cinq couches, les cinq contrôles et l'ordre de construction viennent d'un rapport de recherche produit avec un outil d'IA. Nous avons retenu sa structure parce qu'elle est cohérente et correspond à notre façon de faire fonctionner nos propres agents, pas parce qu'elle a été validée. Ses citations dans le texte n'ont pu être reliées à des pages ; aucun de ses chiffres, études de cas ou prix n'apparaît donc ici, et la façon dont il fait correspondre les contrôles au NIST, à l'ISO et au règlement européen sur l'IA lui est propre.

Pas un programme de conformité. Cinq contrôles en place ne rendent pas une entreprise conforme à la Loi 25 ni à aucune norme. Ils rendent un agent plus difficile à détourner et plus facile à expliquer. Les obligations en matière de vie privée décrites plus haut sont en partie citées de la loi, en partie décrites en termes généraux ; leur application relève d'un conseiller juridique.

Exemple illustratif. Le gestionnaire d'immeubles, son agent et ses notes sont les nôtres, bâtis pour montrer comment une entreprise peut avoir son meilleur contrôle et manquer les deux qu'elle ne peut pas voir. Ce n'est ni une mesure ni un dossier client. Les deux exemples tirés de nos propres activités décrivent le fonctionnement actuel de notre chaîne de publication, y compris la barrière que nous n'avons pas encore sortie des consignes.

Si vous voulez un second regard sur la façon dont vos agents sont notés, envoyez-nous la liste par le formulaire de contact. Trouver les zéros, corriger l'accès d'abord et décider de ce qui peut rester tel quel, c'est l'objet de notre audit d'automatisation.