Gouvernance des agents IA au Canada : quoi préparer avant le déploiement

La gouvernance des agents IA au Canada doit être examinée avant de leur confier des actions dans l’organisation. Un agent qui peut consulter des dossiers, modifier un système ou exécuter une transaction crée des besoins de contrôle très concrets. Pour une PME québécoise, la question utile consiste à déterminer ce qui doit être en place avant le lancement, puis à vérifier que ces contrôles fonctionnent dans le travail réel.

Lire le rapport Salesforce dans son périmètre

Le rapport State of Agentic AI in the Enterprise, publié par Salesforce en 2026, porte sur 2 025 décideurs dans 20 pays, interrogés du 14 au 28 mai. Les répondants influencent l’achat d’agents et travaillent dans des organisations qui en déploient, en testent ou envisagent d’en acheter. Une grande partie des résultats concerne les organisations ayant déjà déployé des agents. Le rapport observe que plusieurs structures de gouvernance arrivent après le déploiement; il mesure des associations, pas des relations de cause à effet. Présentation officielle du rapport.

Mon point de départ sur LinkedIn était une lecture du filtre Canada. Pour cet article, je retiens la question opérationnelle que cette lecture soulève. Je ne reproduis pas un classement du Canada : sans disposer ici d’une base nationale vérifiable pour chaque indicateur, des écarts de pourcentage seraient trop faciles à généraliser. Une PME québécoise doit évaluer ses propres contrôles plutôt que se déclarer en avance ou en retard sur cette seule comparaison.

Cette prudence améliore aussi la qualité des décisions internes. Un chiffre peut être exact dans son rapport tout en répondant mal à la question du comité de direction. Avant de citer une enquête, vérifiez qui a été interrogé, à quelle date, pour quel usage et avec quel dénominateur. Une proportion d’organisations déjà engagées dans un achat ne décrit pas la proportion de toutes les entreprises prêtes à déployer.

Définir la gouvernance des agents IA avant leur mise en service

La gouvernance d’un agent commence par une description de son mandat. L’organisation doit savoir ce qu’il peut faire, avec quelles données, au nom de qui et dans quelles limites. « Aider le service client » est trop large pour décider des accès. « Préparer une réponse à partir d’une base approuvée, sans l’envoyer » permet déjà de définir un périmètre plus facile à vérifier.

Le passage de la préparation à l’action change le niveau de contrôle. Un agent qui rédige un brouillon n’exerce pas les mêmes pouvoirs qu’un agent qui envoie le message, accorde un remboursement et met à jour un dossier. Ces actions peuvent appartenir au même parcours utilisateur, mais elles doivent rester distinguées dans les autorisations. La conception doit permettre de comprendre où la décision humaine intervient et ce qu’elle peut encore modifier.

Un registre initial peut tenir dans un tableau partagé avec les bonnes personnes. Il devrait identifier le responsable, les systèmes accessibles, les données utilisées, les actions permises et la date de dernière vérification. La qualité du registre dépend de sa correspondance avec la réalité. Un inventaire complet mais jamais mis à jour peut donner une impression de maîtrise sans aider à résoudre un incident.

Le dossier minimal avant lancement

Les éléments suivants constituent une proposition pratique pour préparer un premier agent. Le niveau de détail dépend de la sensibilité du contexte. L’objectif est de rendre les décisions vérifiables et de permettre à une autre personne compétente de comprendre le fonctionnement autorisé.

Le test hors périmètre compte autant que le scénario attendu. Un agent de préparation de réponses devrait, par exemple, refuser ou faire remonter une demande de modification bancaire qu’il n’est pas autorisé à traiter. Un agent confronté à deux dossiers similaires devrait reconnaître l’incertitude plutôt que choisir silencieusement. Le test doit porter sur l’action réelle du système, avec des données fictives ou adaptées à un environnement d’essai.

Au Québec, relier l’usage aux obligations applicables

Dans le secteur privé québécois, l’article 3.3 de la Loi sur la protection des renseignements personnels dans le secteur privé prévoit une évaluation des facteurs relatifs à la vie privée pour un projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique impliquant des renseignements personnels. L’article 12.1 vise spécifiquement une décision fondée exclusivement sur un traitement automatisé de tels renseignements et prévoit des obligations d’information et de possibilité de présenter des observations. Texte officiel de la loi, articles 3.3 et 12.1.

Ces dispositions doivent être examinées selon le projet. Ajouter un clic d’approbation ne démontre pas, à lui seul, qu’une personne exerce un examen utile. Le rôle de cette personne, l’information à sa disposition et sa capacité de modifier la décision méritent d’être documentés. Les organismes publics relèvent d’un cadre juridique distinct; une règle rédigée pour une entreprise privée ne doit pas leur être appliquée automatiquement.

Les contrats fournisseurs constituent un autre point de passage. L’organisation doit comprendre les conditions d’utilisation des données, les possibilités d’export et les informations disponibles en cas d’erreur. Une promesse commerciale de transparence mérite d’être traduite en questions concrètes : quels journaux sont accessibles, à qui, pendant combien de temps et sous quel format? Le suivi des changements fournisseurs permet de maintenir cette compréhension après l’achat.

Répartir le travail de supervision

Un agent autonome sur une tâche conserve des dépendances humaines. Quelqu’un doit examiner les exceptions, suivre les incidents et réviser les limites lorsque le contexte change. Ces tâches doivent apparaître dans l’organisation du travail. Les confier implicitement au gestionnaire le plus proche risque de créer une charge de validation invisible, sans temps réservé ni compétence suffisante.

Pour un premier déploiement, une réunion de suivi courte peut examiner trois éléments : les actions réalisées, les erreurs ou ambiguïtés et les changements proposés. Le responsable doit pouvoir décider de poursuivre, de restreindre ou de suspendre l’usage. Un résultat stable sur une période limitée n’autorise pas automatiquement l’ajout de nouvelles données ou de nouvelles actions. Chaque extension mérite une décision proportionnée aux conséquences possibles.

Les garde-fous avant passage en production détaillent une série de scénarios de test. Ils complètent le registre et les responsabilités en vérifiant le comportement du système. Une gouvernance utile relie ainsi les décisions prises, les contrôles installés et les preuves de fonctionnement.

Questions fréquentes

Une PME a-t-elle besoin d’un registre des agents IA?

Un inventaire simple aide à connaître les agents utilisés, leurs responsables, leurs accès et leurs actions permises. Il peut commencer avec quelques lignes. Sa valeur dépend surtout de sa mise à jour et de son utilisation lors d’un changement ou d’un incident.

Peut-on copier une politique d’IA générative pour encadrer des agents?

Une politique existante peut servir de base, mais elle doit couvrir les actions et les accès des agents. Il faut notamment préciser les limites d’exécution, les escalades, les journaux et les moyens d’arrêt. Des règles conçues pour la rédaction de textes peuvent laisser ces questions sans réponse.

Quel est le premier contrôle à tester?

Commencez par une limite directement liée aux conséquences du projet : une action interdite, une donnée non autorisée ou un cas nécessitant une validation. Vérifiez ensuite que l’agent s’arrête ou transmet le dossier à la bonne personne, avec assez d’information pour comprendre la situation.