La question qui revient le plus souvent est simple : « si l'IA se trompe, qui est responsable ? » La réponse l'est tout autant : vous. Exactement comme lorsqu'un employé fait une erreur dans un tableur, ou qu'un sous-traitant livre un travail bâclé. L'IA ne crée pas une nouvelle zone de non-droit. Elle s'insère dans des règles qui existent déjà.
Et c'est précisément ce qui rend l'enjeu gérable. Vous n'attendez pas qu'un outil soit « infaillible » pour l'utiliser ; vous l'encadrez pour que ses erreurs soient rattrapées avant de coûter quelque chose. Un système d'IA se gère de la même façon.
Ce que la loi demande vraiment
Au Québec, le texte central est la Loi 25 sur la protection des renseignements personnels. Pour l'essentiel, elle vous demande trois choses quand l'IA entre en jeu :
- Savoir où vont les renseignements personnels. Si un outil d'IA traite des données de clients ou d'employés, vous devez savoir où elles sont stockées et qui y accède. C'est le même exercice que pour n'importe quel logiciel infonuagique.
- Informer lorsqu'une décision est automatisée. Si un système rend seul une décision qui touche une personne (accorder un crédit, trier une candidature), celle-ci a le droit de le savoir et de demander une révision par un humain.
- Ne collecter que le nécessaire. Un système bien conçu ne transmet à l'IA que les informations dont elle a besoin pour sa tâche, rien de plus.
Rien de tout cela n'interdit l'automatisation. Ça interdit l'automatisation opaque et négligente, ce qui est très différent.
L'éthique, en une règle
Les débats sur les biais des modèles et la transparence des algorithmes sont réels. Mais pour une entreprise qui automatise ses opérations, ils se ramènent presque tous à une seule règle de conception :
Une décision qui touche une personne ne devrait jamais être rendue par l'IA seule. L'IA prépare, l'humain tranche.
C'est notre position, et on l'applique dans tout ce qu'on construit. Un système qui trie les courriels, prépare une réponse ou remplit le CRM travaille sur des tâches, pas sur des personnes : il peut aller loin en autonomie. Dès qu'une décision a un visage (un client, un candidat, un employé), le système propose et quelqu'un valide. Ce garde-fou règle à lui seul la majorité des inquiétudes éthiques, et il vous garde du bon côté de la Loi 25.
Le cadre minimal qui vous protège
- Tenez la liste de vos usages d'IA. Un simple document : quel outil, quelles données, qui s'en sert. Impossible de gouverner ce qu'on n'a pas inventorié.
- Classez vos données avant d'automatiser. Renseignements personnels, données confidentielles d'affaires, données publiques : chaque catégorie a ses environnements permis.
- Gardez un humain dans la boucle pour toute décision qui touche une personne.
- Documentez ce que fait chaque système. Si un client ou un vérificateur demande comment une réponse a été produite, vous devez pouvoir l'expliquer en français, pas en formules.
- Exigez les mêmes garanties de vos fournisseurs que celles que la loi exige de vous : localisation des données, non-entraînement, accès nominatifs.
- L'IA ne crée pas de vide juridique : la responsabilité reste la vôtre, comme pour tout outil ou sous-traitant.
- La Loi 25 encadre les renseignements personnels et les décisions automatisées ; elle n'interdit pas l'automatisation.
- La règle qui règle presque tout : l'IA prépare, l'humain tranche, dès qu'une personne est touchée.
- Un inventaire des usages et une classification des données suffisent comme point de départ.
Le risque de ne rien faire
Il y a une ironie dans le fait de reporter l'IA pour des raisons légales : sans cadre, vos employés l'utilisent déjà, et c'est cet usage-là qui vous expose. Des renseignements personnels collés dans un outil public, c'est un incident au sens de la Loi 25, que l'entreprise ait « adopté l'IA » officiellement ou non. Mettre en place les règles ci-dessus vous protège dans les deux cas. Les éviter ne vous protège dans aucun.