Révisé le 24 septembre 2026. Une politique utile permet à quelqu’un de décider quoi faire devant une situation réelle : utiliser un document, préparer un brouillon, demander une autorisation ou signaler un problème.
Une page peut servir de résumé opérationnel. Elle ne remplace pas les décisions de l’organisation, les réglages des outils, les contrats ni les obligations applicables. Le résultat de ce guide sera un projet de cadre à faire approuver, accompagné d’une matrice et d’un test de compréhension.
Prépare la liste des usages envisagés, les environnements disponibles et les personnes responsables du travail, de la TI/sécurité et de la protection des renseignements personnels. Dans une petite équipe, une personne peut porter plusieurs rôles; il faut quand même savoir lesquels.
1. Définis le périmètre que tu peux réellement encadrer
Commence avec des tâches précises. Par exemple : rédiger un brouillon de publication à partir de textes publics approuvés, résumer une procédure interne autorisée ou préparer une réponse qui sera révisée avant envoi.
La politique doit préciser qui est concerné et quels usages restent exclus. Pour un premier cadre, tu peux limiter l’expérimentation aux brouillons et empêcher les envois, achats et modifications de systèmes sans approbation. Une telle restriction est une décision organisationnelle proposée, pas une propriété automatique de l’IA.
Ne nomme pas simplement une marque. Inscris le produit, l’offre, l’espace de travail, le mode de connexion et les fonctions autorisées. Une connexion à une base documentaire ou une fonction qui envoie des messages change le périmètre. Consulte le guide de choix des outils pour préparer cette vérification.
2. Relie chaque type de données à un usage autorisé
« Ne mets rien de confidentiel dans l’IA » laisse trop de questions ouvertes. De quelle information parle-t-on, dans quel environnement et pour quel usage?
Construis une matrice comme celle-ci. Il s’agit d’un exemple de cadre prudent pour un pilote fictif, pas d’une autorisation d’utiliser tes données.
| Situation | Règle proposée dans cet exemple | Action attendue |
|---|---|---|
| Textes publics de l’organisation, approuvés et sans renseignements personnels | Utilisables dans l’espace de travail approuvé pour préparer un brouillon | Vérifier sources, faits et droits d’utilisation avant diffusion |
| Procédure interne non publique | Utilisable seulement si sa catégorie et cet usage sont inscrits comme autorisés pour cet espace | Vérifier la matrice; demander si elle ne tranche pas |
| Dossier client, renseignements personnels, information sous engagement de confidentialité | Hors périmètre du pilote jusqu’à évaluation et autorisation spécifiques | Utiliser un scénario fictif pour explorer; soumettre le cas réel au responsable |
| Mots de passe, clés d’accès ou secrets de connexion | Interdits dans les conversations et documents fournis | Utiliser les mécanismes approuvés de gestion des accès |
| Document dont la classification est inconnue | Aucune autorisation présumée | Suspendre l’importation et poser la question |
Le caractère public d’une information ne règle pas à lui seul les questions de renseignements personnels ou de droit d’utilisation. Et remplacer un nom ne garantit pas l’anonymisation : des détails de contexte peuvent encore identifier une personne. Pour les exercices, un dossier entièrement fictif est souvent plus simple.
La liste des outils approuvés et la matrice doivent se répondre. Approuver un outil ne veut pas dire approuver toutes les données, toutes les connexions et toutes les actions possibles dans cet outil.
3. Écris qui vérifie et qui décide
Une règle comme « garder un humain dans la boucle » devient utile quand tu précises son travail. Pour un courriel client : vérifier les faits contre les sources, confirmer les engagements et les destinataires, puis autoriser l’envoi. Relire uniquement le style ne suffit pas.
Pour chaque usage, nomme le rôle responsable et les critères de refus. Une date inventée, un prix non approuvé ou une source introuvable peuvent empêcher l’utilisation du brouillon. Le réviseur doit pouvoir demander une correction, revenir au processus habituel ou arrêter le traitement.
Les décisions qui affectent fortement une personne — emploi, accès à un service, santé ou droits, par exemple — demandent un examen spécifique. Ce modèle de démarrage ne les autorise pas. Une simple signature humaine ne remplace pas cette analyse.
4. Prévois le problème avant qu’il arrive
Le cadre doit expliquer quoi faire si un document est transmis au mauvais outil ou si une action inattendue se produit. Une personne hésitante doit trouver un contact, un canal et une première action.
Dans le modèle proposé : arrêter l’usage concerné, limiter les nouveaux partages, signaler rapidement au contact désigné et préserver les éléments utiles selon la procédure interne. Décrire le type de données, l’outil, l’heure et les actions déjà réalisées sans recopier les informations sensibles dans un canal inapproprié.
La personne responsable coordonne la sécurité, la protection des renseignements personnels et, au besoin, le fournisseur. Elle détermine la procédure de conservation, les mesures correctives et les notifications requises. Effacer une conversation ne démontre pas que toutes les copies ont disparu.
Au Québec, la CAI décrit les mesures à prendre lorsqu’un incident de confidentialité implique des renseignements personnels, la tenue d’un registre et les avis requis dans certaines situations. Intègre cette procédure existante à ton cadre IA; ne crée pas une voie parallèle improvisée. Référence officielle sur les incidents.
5. Prépare le résumé que l’équipe utilisera
Voici un exemple rempli pour une équipe fictive de communication. Les rôles sont précisés; les noms et coordonnées doivent être complétés avant adoption.
Périmètre : brouillons de contenus à partir de textes publics approuvés, sans renseignements personnels. Aucun envoi ni publication automatiques.
Environnement : espace professionnel géré par l’organisation et désigné par la TI. L’offre exacte et le lien d’accès figurent dans la liste approuvée. Aucun compte personnel dans ce pilote.
Données : seuls les textes du périmètre sont autorisés. Les documents internes non classifiés, dossiers clients et secrets d’accès sont exclus.
Validation : la personne responsable des communications vérifie faits, sources, droits et engagements avant toute diffusion. Une information non vérifiable empêche l’utilisation du passage concerné.
Question ou nouvel usage : soumettre tâche, outil, données et action prévue au responsable IA. Attendre une décision documentée avant de changer le périmètre.
Incident : arrêter l’usage concerné et joindre le contact sécurité/confidentialité selon le canal interne prévu. Suivre la procédure d’incident de l’organisation.
Suivi : le responsable IA tient la matrice et les versions à jour. La direction approuve l’entrée en vigueur. Réviser à la date fixée et lors d’un changement d’outil, de données, d’accès ou après un incident.
Ce résumé tient peu de place parce qu’il renvoie à des éléments précis : liste des environnements, matrice, contacts et procédure d’incident. Si ces éléments n’existent pas, la page n’est pas encore prête à devenir une règle d’équipe.
6. Teste la compréhension avec des situations
Donne le résumé et la matrice à une personne qui n’a pas participé à la rédaction. Demande-lui ce qu’elle ferait et quelle règle soutient sa décision.
| Situation du pilote fictif | Réponse attendue |
|---|---|
| Reformuler un texte public approuvé, sans données personnelles | Utiliser l’espace désigné; faire vérifier le brouillon avant publication |
| Importer un fichier client en retirant seulement le nom | Ne pas l’importer; demander l’évaluation du cas ou utiliser un dossier fictif |
| Utiliser un compte personnel parce que l’espace professionnel est indisponible | Revenir au processus habituel; ne pas contourner le cadre |
| L’assistant propose d’envoyer directement le courriel | Garder le brouillon et appliquer la validation; l’envoi automatique est hors périmètre |
| Un document interne a déjà été téléversé par erreur | Arrêter l’usage concerné et signaler selon la procédure; ne pas cacher l’incident |
| Ajouter une connexion au dossier partagé de l’équipe | Soumettre la connexion et ses permissions à approbation avant activation |
Si deux lecteurs raisonnables arrivent à des décisions opposées, améliore la règle ou la matrice. Corrige aussi les blocages concrets : contact introuvable, lien inaccessible ou absence de remplaçant.
7. Fais approuver, puis fais vivre le cadre
Fais vérifier le projet par les personnes qui portent réellement les responsabilités : métier pour les usages, TI/sécurité pour les accès, responsable de la protection des renseignements personnels pour les données, direction pour l’adoption, et conseil juridique lorsque le contexte l’exige.
Au Québec, certains projets impliquant des renseignements personnels nécessitent une évaluation des facteurs relatifs à la vie privée. La CAI fournit un cadre pour déterminer et réaliser cette démarche. Le modèle de politique ne remplace pas cette évaluation. Responsabilités des entreprises et EFVP.
Télécharger le modèle à adapter et la liste d’adoption · Télécharger les six exercices et le corrigé.
Avant diffusion interne, remplace tous les champs vides, renseigne les contacts et les liens, fixe la version et la date d’entrée en vigueur. Présente ensuite les situations, pas seulement le document. Prévois comment les employés poseront leurs questions et comment les réponses modifieront la matrice.
Prochain geste : choisis un usage que ton équipe souhaite faire demain et demande si le cadre permet de trancher : quel outil, quelles données, quelle validation et qui contacter. C’est cette réponse concrète qui rend la politique utile.
Guide pratique à adapter au secteur et à la juridiction de l’organisation. Sources officielles vérifiées le 24 septembre 2026; ce modèle ne constitue ni une politique déjà adoptée ni une validation juridique de ton environnement.