Cadre de gouvernance de l'IA : un modèle pratique pour les organisations canadiennes (mis en correspondance avec NIST et ISO/CEI 42001)

Au printemps 2026, 19,2 % des entreprises canadiennes ont déclaré à Statistique Canada avoir utilisé l'IA pour produire des biens ou fournir des services au cours de la dernière année. Deux ans plus tôt, c'était 6,1 %. L'adoption a donc triplé. Moins du tiers de ces entreprises avaient formé leur propre personnel à l'IA (Statistique Canada, 2026-06-11).

Voilà l'écart que comble un cadre de gouvernance de l'IA. Et vous l'avez probablement déjà senti : un membre du conseil demande qui a approuvé le robot conversationnel, le questionnaire de sécurité d'un client comporte maintenant une section sur l'IA, ou quelqu'un découvre que l'outil de présélection des RH classe des CV depuis mars.

Voici la réponse courte. Un cadre de gouvernance de l'IA est l'ensemble des rôles, des règles, des registres et des contrôles techniques qui détermine quelle IA votre organisation peut utiliser, qui répond de chaque système, et comment vous prouvez qu'il fonctionne de façon sûre. Pour une organisation canadienne, un cadre pratique compte dix volets : un registre des obligations, des responsables nommés, une courte politique sur l'IA, un inventaire des systèmes d'IA, des évaluations des risques et des incidences, des règles sur les données, des contrôles de sécurité, une supervision humaine, des règles sur l'IA de tiers et un cycle de surveillance et de revue.

Ce guide vous donne ce modèle, mis en correspondance ligne par ligne avec le cadre de gestion des risques liés à l'IA du NIST (AI RMF), la norme ISO/CEI 42001 et les règles canadiennes qui s'appliquent vraiment : la LPRPDE, la Loi 25 du Québec, la ligne directrice E-23 du BSIF, ainsi que les directives du secteur public fédéral et ontarien. Nous bâtissons la gouvernance de l'IA pour les organisations canadiennes depuis North York, alors ce texte est écrit du côté de la réalisation, pas du côté des politiques.

Qu'est-ce qu'un cadre de gouvernance de l'IA?

Un cadre de gouvernance de l'IA est la façon dont une organisation décide, consigne et vérifie tout ce qu'elle fait avec l'IA. Il couvre les personnes (qui est responsable de quoi), les processus (comment une nouvelle utilisation de l'IA est approuvée puis revue) et la technologie (la journalisation, les limites d'accès et les points de contrôle de revue qui donnent du poids aux règles).

Pensez-y comme à la différence entre « nous avons une politique sur l'IA » et « nous pouvons vous montrer le dossier d'approbation, le responsable et le rapport de surveillance du mois dernier pour chaque modèle que nous exploitons ». Le premier est un document. Le second, c'est de la gouvernance.

Ce n'est pas la même chose que la gouvernance des données, même si elle s'y appuie. Un cadre de gouvernance des données de l'IA couvre la provenance des données d'entraînement et de prompt, et qui peut les utiliser. Un cadre de gouvernance des modèles d'IA couvre la vie de chaque modèle, de l'approbation au retrait. Un cadre complet de gouvernance de l'IA inclut les deux, en plus des éléments juridiques, de sécurité et humains qui les entourent.

Quel est l'objectif principal d'un cadre de gouvernance de l'IA?

L'objectif principal est une responsabilité que vous pouvez prouver. Chaque système d'IA a un responsable désigné, une finalité documentée, un niveau de risque connu et la preuve que ses contrôles fonctionnent. La raison d'être principale de la gouvernance de l'IA en découle : vous laisser utiliser l'IA plus vite, parce que les approbations cessent d'être un débat chaque fois.

Ce deuxième point passe souvent inaperçu. Une bonne gouvernance n'est pas un frein. Sans elle, les équipes se figent (personne ne veut approuver) ou se dispersent (chacun approuve de son côté). Les deux sont plus lents qu'un processus clair.

Existe-t-il un cadre de gouvernance de l'IA que les organisations canadiennes doivent suivre?

Aucun cadre unique n'est obligatoire, et le Canada n'a aucune loi sur l'IA en vigueur. La Loi sur l'intelligence artificielle et les données (LIAD) est morte avec le projet de loi C-27 lorsque le Parlement a été prorogé en janvier 2025. Le ministre de l'IA, Evan Solomon, a affirmé qu'elle ne reviendrait pas telle qu'elle a été rédigée.

Mais « pas de loi sur l'IA » ne veut pas dire « pas de règles ». Une IA qui touche des renseignements personnels, des décisions de crédit ou des services gouvernementaux est déjà couverte par des lois que vous connaissez. Voici ce qui s'applique réellement à une organisation canadienne au 2026-09-30 :

La règle pratique : bâtissez votre cadre de gouvernance de l'IA pour les lignes qui s'appliquent à vous, pas pour le régime le plus strict dont vous avez entendu parler. Un distributeur de Mississauga sans client dans l'UE n'a pas besoin d'un programme pour le Règlement sur l'IA de l'UE. Une société de fiducie sous réglementation fédérale, elle, a besoin de preuves de conformité à la ligne directrice E-23 d'ici mai 2027.

À savoir : la stratégie nationale d'Ottawa de juin 2026, L'IA pour tous, énumère « bâtir la confiance » comme principe directeur et vise une multiplication par cinq de l'adoption par les entreprises. Attendez-vous à ce que clients et organismes de réglementation demandent de la gouvernance avant qu'une loi vous y oblige.

Vous ne savez pas quelles lignes s'appliquent à vous? Notre évaluation gratuite de la préparation en gouvernance de l'IA prend deux minutes et vous donne un niveau de préparation et vos trois prochains gestes.

Qu'est-ce que le cadre du NIST pour la gouvernance de l'IA?

Le cadre de gestion des risques liés à l'IA du NIST (AI RMF 1.0, janvier 2023) est un cadre américain volontaire bâti sur quatre fonctions : Govern (gouverner), Map (cartographier), Measure (mesurer) et Manage (gérer). Il est gratuit, neutre à l'égard des fournisseurs et l'une des structures les plus citées pour un programme de gouvernance de l'IA. Chaque guide de fournisseur que Google cite dans ses Aperçus IA sur ce sujet le nomme.

• Govern (gouverner) : politiques, rôles, formation et culture. Elle traverse les trois autres.
• Map (cartographier) : comprendre le contexte, la finalité de chaque système d'IA et les personnes qu'il pourrait toucher.
• Measure (mesurer) : tester et suivre les risques comme les biais, la sécurité, la vie privée et la fiabilité.
• Manage (gérer) : décider quoi faire de chaque risque, le surveiller et réagir aux incidents.

Pour l'IA générative, le NIST a ajouté un profil en juillet 2024, NIST AI 600-1. Il nomme 12 risques spécifiques aux systèmes génératifs, dont la confabulation (le modèle qui invente des faits), la confidentialité des données et la sécurité de l'information. Si vous rédigez un cadre de gouvernance de l'IA générative pour Copilot, ChatGPT Enterprise ou une application RAG maison, ce profil est votre liste de vérification.

Quand les gens cherchent un « cadre de gouvernance de l'IA du NIST », c'est de cela qu'ils parlent. Il vous dit comment réfléchir au risque. Il ne vous donne pas de certificat.

Qu'ajoute la norme ISO/CEI 42001 à un cadre de gouvernance de l'IA?

L'ISO/CEI 42001:2023 est la norme internationale pour un système de management de l'IA, et contrairement au NIST, elle est certifiable. Elle suit la même structure d'articles que l'ISO/CEI 27001 (contexte, leadership, planification, support, fonctionnement, évaluation, amélioration) et ajoute une annexe A de 38 contrôles répartis en neuf domaines, de la politique sur l'IA aux relations avec les tiers.

Au Canada, le Conseil canadien des normes (CCN) est le seul organisme qui accrédite les organismes de certification ISO/CEI 42001 (CCN). Quand un client demande « ISO/CEI 42001 », il veut donc un certificat délivré par un auditeur accrédité par le CCN, et non une lettre d'un consultant.

Une façon simple de les départager : l'ISO/CEI 42001 vous dit quel système exploiter. Le NIST vous dit comment évaluer les risques qu'il contient. La plupart des organisations utilisent le NIST pour organiser le travail et l'ISO/CEI 42001 quand un acheteur ou un appel d'offres exige une preuve. Si c'est votre cas, voici comment nous abordons la préparation à l'ISO/CEI 42001, circonscrite aux systèmes que vous exploitez réellement.

Quelles sont les composantes clés de la gouvernance de l'IA? Le modèle en 10 volets

Voici le modèle de cadre de gouvernance de l'IA. Copiez le tableau dans un chiffrier, gardez une ligne par composante et ajoutez un responsable et une date de revue à chacune. Les colonnes NIST et ISO sont là pour qu'un auditeur puisse suivre votre travail. La colonne « Ancrage canadien » vous indique quelle règle donne du mordant à chaque composante.

Quelques notes tirées de la construction de ces cadres :

Les composantes 1 et 4 déterminent le coût de tout le reste. Si vous sautez le registre des obligations, vous rédigerez des contrôles pour des règles qui ne vous lient pas. Si vous sautez l'inventaire, vous gouvernerez les trois systèmes d'IA que vous connaissez et vous passerez à côté des onze fonctions d'IA activées dans des logiciels que vous payez déjà.

La composante 7 est celle où se loge la gouvernance de la sécurité de l'IA. L'accès à un modèle est l'accès à tout ce que le modèle peut lire. La même logique de droit d'accès minimal que celle des réseaux Zero Trust s'applique à un assistant d'IA relié à SharePoint. C'est pourquoi nous testons le modèle lui-même, et pas seulement le réseau qui l'entoure, dans nos travaux de sécurité de l'IA.

La composante 2 exige des gens qui comprennent les systèmes. La gouvernance échoue quand seuls les juristes en sont responsables. Statistique Canada a constaté que seulement 32,0 % des entreprises qui utilisent l'IA ont formé leurs employés actuels à l'IA. Si votre équipe TI exploite les modèles, elle a aussi besoin du volet opérationnel.

Une vérification des correspondances : les numéros de sous-catégories du NIST et d'articles de l'ISO ci-dessus concordent avec les textes publiés au 2026-09-30. Comparez-les à votre propre exemplaire de l'ISO/CEI 42001 avant un audit, parce que le détail de l'annexe A n'est accessible qu'avec la licence de la norme.

À quoi ressemble un exemple de cadre de gouvernance de l'IA?

Voici une ligne d'inventaire remplie. Imaginez un cabinet de courtage d'assurance de Toronto de 300 personnes (un composite, pas un client) qui a déployé un assistant d'IA rédigeant des réponses aux courriels des titulaires de police.

Voilà. Une ligne, neuf champs, et le cabinet peut répondre à un organisme de réglementation, à un auditeur ou à son propre conseil en cinq minutes. Un cadre de gouvernance de l'IA d'entreprise, c'est cette ligne répétée, plus les neuf autres composantes qui la soutiennent.

Quels sont les trois piliers de la gouvernance de l'IA, et les cinq principes?

Il n'existe aucun ensemble officiel de trois piliers. Les sources ne s'entendent pas : responsabilité, transparence et gestion des risques forment un trio courant, et les Aperçus IA de Google en énumèrent actuellement quatre. Celui que nous utilisons, parce qu'il correspond au travail réel, est le suivant :

1. Cartographie des obligations : savoir quelles règles vous lient.
2. Inventaire et responsables : savoir quelle IA vous exploitez et qui en est responsable.
3. Contrôles techniques : journalisation, accès et points de contrôle de revue qui s'exécutent à l'intérieur des systèmes.

Les cinq principes dont parlent la plupart des gens sont les Principes de l'OCDE sur l'IA, adoptés en 2019 et mis à jour en mai 2024 (OECD.AI). Le Canada y adhère :

• Croissance inclusive, développement durable et bien-être
• Droits de la personne et valeurs démocratiques, y compris l'équité et la vie privée
• Transparence et explicabilité
• « Robustesse, sûreté et sécurité » (la formulation de l'OCDE)
• Responsabilité

Quand quelqu'un demande donc un cadre de gouvernance de l'IA de l'OCDE, un cadre de gouvernance de l'IA responsable ou un cadre de gouvernance de l'IA éthique, il demande habituellement ces principes traduits en contrôles. En Ontario, les principes du CIPVP et de la CODP en sont la version locale, avec six principes et un angle plus marqué sur les droits de la personne. Mettez les principes dans votre politique (composante 3). Mettez les contrôles dans les composantes 4 à 10.

En quoi un cadre de gouvernance de l'IA agentique est-il différent?

Les agents d'IA agissent, ils ne se contentent pas de produire du texte, de sorte que la gouvernance doit couvrir ce que l'agent a le droit de faire. Un robot conversationnel qui donne une mauvaise réponse commet une erreur. Un agent qui émet un mauvais remboursement, modifie une règle de pare-feu ou envoie un courriel à un client provoque un incident.

Singapour a publié ce qu'elle présente comme le premier cadre modèle de gouvernance de l'IA au monde pour l'IA agentique, le 2026-01-22 (IMDA). Ses quatre dimensions forment une base solide pour tout cadre de gouvernance des agents d'IA : délimiter les risques dès le départ, garder des humains réellement responsables, mettre en place des contrôles techniques et aider les utilisateurs finaux à agir de façon responsable.

En pratique, ajoutez quatre champs à la ligne d'inventaire de chaque agent :

• Identité : l'agent a son propre compte de service, jamais les identifiants d'une personne.
• Autorisations sur les outils : une liste écrite de chaque système et de chaque action qu'il peut toucher.
• Journal des actions : chaque appel d'outil consigné, avec le prompt qui l'a déclenché.
• Arrêt d'urgence : une personne désignée qui peut l'arrêter, et une façon éprouvée de le faire.

Si vos agents s'exécutent sur votre propre matériel pour des raisons d'hébergement des données, ces contrôles se trouvent dans votre réseau, et c'est exactement là que nous bâtissons des systèmes d'IA agentique.

Comment bâtir un cadre de gouvernance de l'IA en 90 jours?

Bâtir un cadre de gouvernance de l'IA ne demande pas un an. Pour une organisation de taille moyenne, 90 jours, c'est réaliste si vous commencez par l'inventaire et que vous gardez une portée restreinte.

Jours 1 à 15 : cadrer. Remplissez le registre des obligations. Nommez un commanditaire de la direction. Décidez, par écrit, quels régimes ne s'appliquent pas.

Jours 16 à 40 : inventaire. Repérez chaque système d'IA, y compris les fonctions d'IA dans Microsoft 365, votre CRM, votre plateforme RH et votre centre d'assistance. Attribuez à chacun un responsable et un niveau de risque.

Jours 41 à 65 : contrôles. Rédigez la politique de deux à quatre pages. Faites d'abord les évaluations des incidences des systèmes à risque élevé. Intégrez la journalisation et les points de contrôle de revue humaine aux systèmes eux-mêmes.

Jours 66 à 90 : fonctionnement. Fixez des dates de revue, un processus de gestion des incidents et un plan de formation. Faites votre première revue trimestrielle avant le jour 90, pour que le cycle soit bien réel.

Voyons comment cela se passe à Montréal (un autre composite). Une firme de logistique de 150 personnes utilise un outil d'IA pour présélectionner des candidatures. À la troisième semaine, l'inventaire montre qu'il rejette certains candidats sans aucune intervention humaine.

En vertu de la Loi 25, art. 12.1, cela signifie que la firme doit informer ces candidats qu'une décision a été prise par traitement automatisé. Elle doit aussi leur donner la possibilité de demander les raisons et de présenter leurs observations à une personne en mesure de réviser la décision.

Le correctif n'est pas une nouvelle politique. C'est un changement de configuration : une personne du recrutement révise chaque rejet avant son envoi. Le système n'est plus « exclusivement automatisé », le niveau de risque passe d'élevé à moyen, et la firme conserve une trace claire de la raison.

Vous voulez un second regard sur votre inventaire? Un spécialiste chevronné examinera votre liste de systèmes d'IA et vous dira quelles lignes sont à risque élevé. Parlez-nous de gouvernance de l'IA.

Quand les services-conseils en gouvernance de l'IA ont-ils du sens?

Vous pouvez bâtir vous-même les dix composantes. Le modèle ci-dessus suffit pour commencer. Les services-conseils en gouvernance de l'IA ont du sens quand l'une de ces trois conditions est remplie :

1. Une échéance que vous ne pouvez pas déplacer. Une date de la ligne directrice E-23 du BSIF, un appel d'offres qui exige l'ISO/CEI 42001, ou l'audit d'un client.
2. Votre IA fonctionne sur une infrastructure que personne n'a cartographiée. Les preuves de gouvernance se trouvent dans les journaux, les systèmes d'identité et les chemins réseau. Si vous ne pouvez pas extraire le journal d'une décision prise par un modèle mardi dernier, l'écart est technique, pas juridique.
3. Vous êtes réglementé à plus d'un endroit. Une firme qui a des clients au Québec, des contrats avec le secteur public ontarien et une société mère réglementée par le BSIF a trois recueils de règles à concilier.

Voici un troisième composite. Imaginez une entreprise de logiciels d'Ottawa qui vend un outil de triage de dossiers à un ministère fédéral. Le ministère doit remplir une évaluation de l'incidence algorithmique en vertu de la Directive du Conseil du Trésor, et les réponses dépendent du fonctionnement du modèle du fournisseur.

Le fournisseur qui peut remettre sa ligne d'inventaire, ses résultats de tests et la conception de sa journalisation remporte le contrat. Le fournisseur qui envoie une déclaration d'éthique de deux pages attend.

Choisissez un partenaire capable de faire les deux moitiés : cartographier les règles et bâtir les contrôles. La plupart des firmes-conseils en IA n'ont pas d'équipe d'infrastructure, et la plupart des firmes d'infrastructure n'ont pas de pratique en IA. Nous avons des CCIE Data Center, des CCIE Security et des CCDE dans la même équipe que notre pratique en IA, au service de clients à Toronto, à Montréal et dans le secteur public d'Ottawa. Pour les secteurs réglementés, voyez comment cela s'applique aux services financiers et au gouvernement.

Que faire cette semaine?

Au bout du compte, un cadre de gouvernance de l'IA, c'est un inventaire avec des responsables, une courte politique et des contrôles que vous pouvez prouver. Le Canada n'a pas de loi sur l'IA, mais la LPRPDE, la Loi 25, la ligne directrice E-23 du BSIF et les directives du secteur public s'appliquent déjà à la plupart des IA qui touchent des personnes.

Trois choses à faire cette semaine :

1. Bâtissez l'inventaire. Dressez la liste de chaque système et de chaque fonction d'IA, avec un responsable pour chacun. Cela prend un après-midi.
2. Remplissez le registre des obligations. Servez-vous du tableau de ce guide et rayez les lignes qui ne s'appliquent pas.
3. Choisissez vos trois systèmes les plus risqués et appliquez-leur d'abord les composantes 5, 7 et 8.

Vous voulez un aperçu rapide de votre situation? Faites l'évaluation gratuite de préparation en gouvernance de l'IA. Si vous préférez que les écarts soient comblés plutôt qu'énumérés, réservez un appel avec un spécialiste chevronné et nous circonscrirons votre cadre de gouvernance de l'IA aux règles qui vous lient réellement.

Rédigé par Saeid Ghobadi, CCIE Data Center et fondateur de SMEnode. Statut juridique vérifié le 2026-09-30. Ce guide est une information générale, pas un avis juridique. Vérifiez vos obligations auprès d'un avocat avant de vous y fier.