Gouvernance IA au Québec : bâtir avant que la loi arrive

L'article en 30 secondes

• Le cadre législatif fédéral sur l'IA arrivera après la stratégie nationale, ce qui laisse aux organisations québécoises une fenêtre pour bâtir leur gouvernance interne avant d'y être contraintes.
• Une politique interne et un guide d'utilisation de l'IA sont les documents courts qui définissent les usages permis, les usages interdits et la personne responsable en cas de doute.
• Selon l'étude KPMG et Université de Melbourne Trust, attitudes and use of AI (2025, 48 000 répondants, 47 pays), 24 % des Canadiens ont reçu une formation sur l'IA contre 52 % à l'échelle mondiale, et le Canada se classe 42e sur 47 pays en matière de confiance envers l'IA.
• Le lecteur repart avec une grille de cinq briques et une séquence de 90 jours applicable sans budget dédié.

Ottawa chiffre ses ambitions et reporte l'encadrement

La question revient dans presque tous nos mandats depuis le printemps : « On attend de voir ce que la loi va dire avant de se doter d'une politique. » C'est une prudence compréhensible (personne n'a envie d'écrire deux fois le même document). Sauf que la stratégie nationale en IA annoncée par le gouvernement du Canada ne fournit pas d'encadrement. Elle fixe des cibles d'adoption et d'emploi, mais elle reporte l'encadrement. Le ministre responsable de l'intelligence artificielle, Evan Solomon, a confirmé que les projets de loi sur la vie privée et sur les préjudices en ligne suivraient la publication de la stratégie, sans échéancier précisé. Pour une PME ou un OBNL qui veut avancer maintenant, attendre revient à repousser une décision qui se prend déjà tous les jours, poste par poste, par des employés qui utilisent des outils génératifs sans balises.

Quelles cibles la stratégie canadienne fixe-t-elle vraiment

Selon Radio-Canada (2 juin 2026), la stratégie nationale en IA vise à faire passer l'adoption de l'intelligence artificielle en entreprise de 12 % à 50 % d'ici 2030. Elle prévoit également 90 000 postes destinés aux jeunes, 250 000 nouveaux emplois dans l'ensemble de l'économie et un million d'étudiants postsecondaires touchés par des initiatives d'éducation. Ces cibles portent sur l'adoption, la main-d'œuvre et la formation. Aucune d'entre elles ne constitue une obligation, car elles indiquent une direction politique, pas un cadre de conformité.

Ce qu'est une politique interne d'utilisation de l'IA

Une politique préliminaire interne d'utilisation de l'intelligence artificielle est un document adopté par une organisation pour encadrer l'usage des outils d'IA par son personnel. Elle précise quatre choses : les outils autorisés, les catégories de données qui peuvent y être versées, les usages formellement interdits, et la personne ou le comité à qui adresser une question. Elle ne remplace pas la loi. Elle applique les obligations existantes en matière de protection des renseignements personnels, de confidentialité et de propriété intellectuelle aux nouveaux outils utilisés dans l'organisation. Un document de trois à cinq pages suffit dans la majorité des cas.

Un Canadien sur quatre a été formé, neuf sur dix ignorent les règles

L'étude Trust, attitudes and use of AI: A global study 2025 , menée par KPMG avec l'Université de Melbourne auprès de 48 000 répondants dans 47 pays, donne la mesure du déficit canadien. Seulement 24 % des Canadiens déclarent avoir reçu une formation sur l'intelligence artificielle, contre 52 % à l'échelle mondiale. Une proportion de 92 % ignore l'existence de lois ou de politiques encadrant l'IA au Canada. Le pays se classe 42e sur 47 en matière de confiance envers ces technologies.

Les préoccupations exprimées sont précises et cohérentes entre elles : cybersécurité (87 %), protection de la vie privée et de la propriété intellectuelle (86 %), déclin du contact humain (86 %), désinformation (83 %). À noter qu'il s'agit de perceptions déclarées, à l'échelle du grand public, et non d'une mesure de pratiques organisationnelles. La méfiance mesurée ne dit pas que les organisations gèrent mal l'IA. Elle dit que le personnel et les publics n'ont ni les repères ni la formation pour juger.

Pour une PME, un OBNL ou une institution du Québec, la traduction est directe. Un employé sur quatre, tout au plus, a reçu une formation. La quasi-totalité des équipes ignore quel cadre s'applique. Autrement dit, dans une organisation de trente personnes, il faut présumer que la vaste majorité utilise ou utilisera un outil génératif sans savoir quelles données elle a le droit d'y verser.

Cinq briques pour bâtir sa gouvernance avant le cadre législatif

Voici la grille que nous utilisons en mandat auprès d'organisations de 10 à 300 personnes. Elle se construit dans l'ordre. Chaque brique est utile même si l'organisation s'arrête à la suivante.

La séquence tient en 90 jours pour une organisation de taille moyenne. Trente jours pour l'inventaire et la classification, trente jours pour la rédaction et la validation, trente jours pour le déploiement et la formation. Le document doit ensuite être daté et révisé, minimalement une fois par année ou à chaque changement réglementaire significatif.

Ce qui encadre déjà l'IA au Québec, sans attendre Ottawa

Le vide réglementaire fédéral en matière d'intelligence artificielle n'équivaut pas à une absence de règles. Au Québec, la Loi 25 encadre déjà la collecte, l'utilisation et la communication des renseignements personnels, y compris lorsque ces renseignements transitent par un outil d'intelligence artificielle. Les obligations en matière de consentement, de transparence sur les décisions fondées sur un traitement automatisé et d'évaluation des facteurs relatifs à la vie privée s'appliquent indépendamment de la technologie employée. Une organisation qui verse des dossiers clients dans un outil génératif hébergé à l'étranger prend une décision qui relève de ce cadre, pas d'une loi future.

Au fédéral, la stratégie annonce des projets de loi sur la vie privée et sur les préjudices en ligne à venir. Tant qu'ils ne sont pas adoptés, ils ne créent aucune obligation. Ils créent une prévisibilité : les organisations qui auront documenté leurs usages, classé leurs données et formé leur personnel disposeront de la matière première exigée par à peu près n'importe quel cadre futur.

Ce que j'en pense

La stratégie canadienne s'attaque aux symptômes, pas aux causes. On peut viser 50 % d'adoption en 2030, si 24 % des gens ont été formés et que 92 % ignorent les règles, l'adoption se fera dans l'improvisation ou ne se fera pas du tout. La méfiance canadienne mesurée par KPMG n'est pas de la technophobie. C'est une réponse rationnelle à un déficit de littératie et de clarté. On ne fait pas confiance à un outil dont on ne connaît ni les limites ni les règles d'usage.

Pour les organisations qui attendent un signal clair avant d'agir, mon avis est que le vide actuel est le signal. L'histoire réglementaire est constante sur ce point : le cadre arrive après les pratiques, et il codifie souvent ce que les organisations sérieuses faisaient déjà. Celles qui bâtissent leur gouvernance maintenant ne subiront pas la conformité, elles la reconnaîtront. Les autres découvriront leurs usages en même temps que leurs obligations.



Les limites de cette approche

La grille en cinq briques couvre l'usage interne d'outils d'IA générative par du personnel. Elle ne couvre pas le développement de systèmes d'IA à l'interne, la gestion d'un modèle entraîné sur des données propriétaires, ni les obligations sectorielles particulières en santé, en services financiers ou dans les ordres professionnels. Les données de l'étude KPMG portent sur des perceptions du grand public et non sur des pratiques organisationnelles vérifiées : elles éclairent le climat de confiance, elles ne mesurent pas la maturité des organisations. Enfin, les cibles de la stratégie canadienne sont des intentions politiques rapportées par la presse en juin 2026. Leur mise en œuvre, leur financement et leur calendrier restent à confirmer.



À propos de l'auteure

 Annie Daigneault est fondatrice et présidente d'extensio.ai, firme-conseil québécoise spécialisée en gouvernance et en adoption responsable de l'intelligence artificielle. Elle accompagne les PME, les OBNL, les ordres professionnels et les institutions publiques du Québec. extensio.ai est un organisme formateur agréé par la Commission des partenaires du marché du travail (agrément no 0061225).



Sources

1. Radio-Canada, Ambitions chiffrées et flou sécuritaire , 2 juin 2026
2. L'actualité, Stratégie IA : Ottawa mise sur la confiance , 3 juin 2026
3. KPMG et Université de Melbourne, Trust, attitudes and use of AI: A global study 2025 , 2025



Passez de la réflexion à l'action

Nos services visent à vous donner les clés pour agir. Découvrez comment nous pouvons accompagner votre organisation :

• Évaluez votre niveau de préparation avec le diagnostic de maturité IA, Posture IA™.
• Structurez votre démarche avec un accompagnement en développement d'un plan d'adoption de l'IA.
• Assurez un déploiement éthique grâce à notre expertise en gouvernance IA responsable.
• Renforcez les compétences de vos équipes via nos ateliers de formation et de vulgarisation en IA.



Questions fréquemment posées

Faut-il attendre la loi fédérale sur l'IA avant d'adopter une politique interne?

Non. Selon Radio-Canada (2 juin 2026), les projets de loi fédéraux sur la vie privée et les préjudices en ligne suivront la publication de la stratégie nationale en IA, sans échéancier précisé. Pendant ce temps, la Loi 25 encadre déjà les renseignements personnels au Québec. Une organisation qui documente ses usages et forme son personnel maintenant disposera de la matière exigée par tout cadre futur.

Qu'est-ce qu'une politique d'utilisation de l'IA pour une PME au Québec?

C'est un document court, généralement de trois à cinq pages, qui précise quatre éléments : les outils d'IA autorisés, les catégories de données qui peuvent y être versées, les usages formellement interdits et la personne responsable de trancher les cas ambigus. Elle traduit les obligations existantes de confidentialité et de protection des renseignements personnels dans le contexte des outils génératifs utilisés au quotidien.

Quelles sont les cibles de la stratégie nationale en IA du Canada?

Selon Radio-Canada (2 juin 2026), la stratégie vise à faire passer l'adoption de l'IA en entreprise de 12 % à 50 % d'ici 2030. Elle prévoit aussi 90 000 postes destinés aux jeunes, 250 000 nouveaux emplois dans l'ensemble de l'économie et un million d'étudiants postsecondaires touchés par des initiatives d'éducation. Ces cibles ne créent aucune obligation pour une organisation privée ou communautaire.

Pourquoi la confiance envers l'IA est-elle si faible au Canada?

L'étude KPMG et Université de Melbourne, Trust, attitudes and use of AI (2025, 48 000 répondants, 47 pays), classe le Canada 42e sur 47 pays en matière de confiance. Seulement 24 % des Canadiens ont reçu une formation sur l'IA, contre 52 % mondialement, et 92 % ignorent l'existence de lois encadrant l'IA au pays. Les préoccupations dominantes sont la cybersécurité, la vie privée, la perte de contact humain et la désinformation.

Combien de temps faut-il pour mettre en place une gouvernance de l'IA?

Pour une organisation de dix à trois cents personnes, comptez environ 90 jours : trente jours pour inventorier les usages réels et classer les données en trois niveaux, trente jours pour rédiger et faire valider les règles, trente jours pour déployer et former le personnel. Le document doit ensuite être daté et révisé au moins une fois par année ou à chaque changement réglementaire significatif.

La Loi 25 s'applique-t-elle à l'utilisation de ChatGPT dans une organisation québécoise?

Oui, dès que des renseignements personnels sont concernés. La Loi 25 encadre la collecte, l'utilisation et la communication de ces renseignements, y compris lorsqu'ils transitent par un outil d'intelligence artificielle hébergé à l'étranger. Les obligations de consentement, de transparence sur les décisions automatisées et d'évaluation des facteurs relatifs à la vie privée s'appliquent indépendamment de la technologie utilisée. Une validation juridique demeure recommandée.

Par où commencer si mon organisation n'a aucune balise sur l'IA?

Commencez par l'inventaire des usages réels : recensez, sans jugement et sans mesure punitive, quels outils sont déjà utilisés et pour quelles tâches. Cette étape révèle presque toujours des usages informels ignorés de la direction. Classez ensuite vos données en trois niveaux, publiques, internes, confidentielles, puis écrivez les règles. Un inventaire honnête vaut mieux qu'une politique parfaite appliquée à des usages inconnus.