Gouvernance de l'IA dans les OBNL : bâtir une politique sans six mois de comité

« Il nous faut une politique d’IA » est devenu une des phrases que j’entends le plus souvent chez les dirigeants d’OBNL au Canada. Et celle qui suit, d’habitude : « mais on ne sait pas par où commencer, et personne n’a le temps d’en bâtir une comme il faut. »

Les deux sont vrais. Et c’est pour ça que la plupart des organisations se retrouvent sans politique du tout, le pire scénario possible.

Cet article vous propose une façon concrète de régler les deux. À la fin, vous aurez un modèle de politique d’une page que vous pourrez adapter et présenter à votre équipe cette semaine.

Pourquoi le processus de six mois pose mal le problème

L’envie de bâtir une politique d’IA complète par un vrai processus de comité, avec révision juridique, consultation du personnel, approbation du CA et déploiement complet, se comprend. C’est aussi la raison pour laquelle la plupart des organisations ne livrent jamais rien.

Le problème, c’est que cette approche traite la politique d’IA comme un produit fini plutôt que comme une pratique évolutive. Aucune politique d’IA rédigée en 2026 ne sera encore entièrement à jour en 2027. Les outils changent. La réglementation évolue. L’utilisation de l’IA dans votre organisation va s’élargir. Une politique bâtie pour durer sera dépassée avant même que l’encre soit sèche.

Les organisations qui ont de solides pratiques en IA ont compris que le but n’est pas un document parfait. C’est une vision commune de la place de l’IA dans votre travail, mise à jour régulièrement à mesure que vous en apprenez plus.

Vu comme ça, le processus change du tout au tout. Au lieu de : bâtir quelque chose d’assez complet pour ne pas avoir à y revenir, le but devient : mettre en place dès maintenant quelque chose de clair et fonctionnel, prévoir un calendrier de révision et l’améliorer en cours de route.

Les deux choses que votre politique doit vraiment faire

Une fois qu’on enlève tout ce qui n’est pas essentiel, une politique d’IA pour un OBNL a deux choses à faire :

1. Dire à votre équipe ce qu’elle peut faire et ce qu’elle ne peut pas faire, assez clairement pour qu’elle prenne de bonnes décisions sans faire remonter chaque cas limite.

2. Protéger l’organisation, et les personnes qu’elle sert, contre les risques les plus importants d’une utilisation de l’IA sans balises.

Tout le reste est utile, mais pas essentiel dans une version 1. Formation du personnel, processus d’évaluation des fournisseurs, reddition de comptes au CA, audits annuels : toutes de bonnes choses à ajouter avec le temps. Pas besoin de ça pour commencer.

Le modèle d’une page

Voici un modèle que votre organisation peut adapter dès aujourd’hui. Il est volontairement minimal. Ajoutez-y ce que votre situation exige, mais ne laissez pas ces ajouts vous empêcher d’avoir une version 1.

Politique d’utilisation de l’IA de [NOM DE L’ORGANISATION]
Version 1.0 — En vigueur le [date] — Prochaine révision : [date + 6 mois]

Pourquoi cette politique existe
Notre personnel utilise déjà des outils d’IA dans son travail. Cette politique vise à ce que nous les utilisions dans le respect de nos valeurs, en protégeant la vie privée et la dignité des personnes que nous servons, et en préservant la qualité et l’authenticité de notre travail.

Outils approuvés
Les outils d’IA suivants sont approuvés pour l’usage de l’organisation. Pour toute tâche de travail qui fait appel à l’IA, le personnel utilise uniquement ces outils, sauf approbation explicite de [rôle désigné] pour autre chose.

Ce qui ne doit jamais aller dans un outil d’IA
Peu importe l’outil utilisé :

• Les noms complets combinés à toute autre information permettant d’identifier des clients, des participants aux programmes ou des personnes que nous servons
• Les renseignements médicaux, de santé mentale, juridiques, d’immigration ou financiers sur des personnes
• Les numéros d’assurance sociale, les adresses ou tout autre identifiant direct
• Les renseignements confidentiels de l’organisation (prévisions financières, décisions relatives au personnel, questions juridiques, renseignements sur les donateurs visés par une entente de confidentialité)
• Les renseignements qui nous ont été confiés et qu’il ne nous revient pas de partager

Ce qui peut être utilisé librement avec les outils approuvés

• Les ébauches administratives et les communications internes
• Le contenu destiné au public (avec une révision humaine avant publication)
• La synthèse de recherche à partir de sources publiques
• Les ordres du jour, les modèles et la documentation des processus
• L’aide générale à la rédaction de rapports, de propositions et de communications qui ne contiennent aucun renseignement personnel

Si vous avez un doute
Si vous n’êtes pas certain qu’une tâche, ou l’information qu’elle implique, se prête à l’utilisation de l’IA : arrêtez-vous et communiquez avec [rôle/nom désigné] avant d’aller plus loin. Dans le doute, faites la tâche sans IA.

Ce qui arrive en cas de problème
Si vous vous rendez compte que vous avez entré dans un outil d’IA de l’information qui n’aurait pas dû s’y trouver, signalez-le immédiatement à [rôle désigné]. Nous évaluerons si des mesures s’imposent en vertu des lois applicables sur la protection des renseignements personnels. Il n’y a aucune pénalité pour un signalement fait de bonne foi. Il peut y avoir des conséquences si vous ne le signalez pas.

Nos engagements en tant qu’organisation
Nous offrirons de la formation pour aider le personnel à utiliser efficacement les outils approuvés. Nous réviserons cette politique tous les six mois et la mettrons à jour au besoin. Nous n’obligerons pas le personnel à utiliser des outils d’IA avec lesquels il n’est pas à l’aise.

Politique approuvée par : [nom/rôle] le [date]

Adapter le modèle

Quelques éléments à adapter à votre organisation :

C’est la liste des outils approuvés qui compte le plus. Soyez précis : nommez l’outil, le type de compte (grand public/gratuit ou payant/organisationnel, ça compte) et les cas d’utilisation approuvés. Des consignes vagues (« utilisez l’IA de façon responsable ») laissent le même vide que pas de consignes du tout.

La liste des renseignements interdits doit refléter votre contexte. Un organisme de santé doit mentionner explicitement les renseignements de santé. Une clinique d’aide juridique doit mentionner le secret professionnel de l’avocat. Un organisme de services en immigration doit mentionner le statut d’immigration. Partez de la liste de base ci-dessus et ajoutez ce qui est propre à votre travail.

Le rôle désigné doit être une vraie personne, vraiment disponible, pas un comité. Si quelqu’un ne sait pas quoi faire, il a besoin d’une réponse rapide, pas d’une réunion prévue la semaine prochaine.

La section sur les problèmes doit refléter vos véritables obligations légales. Les organisations assujetties à la Loi 25 au Québec ont des exigences précises de notification en cas d’incident de confidentialité. Celles qui sont assujetties à la LPRPDE en ont d’autres. Dans le doute, une courte conversation avec un avocat vaut la peine avant de finaliser.

La faire approuver sans processus de six mois

Pour la plupart des OBNL, voici comment l’approbation peut se faire concrètement :

Semaine 1 : la direction générale ou un membre de la haute direction rédige la politique à partir de ce modèle, adaptée à votre organisation. Faites-la lire à 2 ou 3 personnes de première ligne pour un test de flair : est-ce qu’elle colle à la façon dont l’IA est vraiment utilisée et aux vraies préoccupations?

Semaine 2 : faites-la connaître à toute l’équipe lors d’une courte réunion ou par écrit. Dites clairement que c’est une version 1 : vous mettez quelque chose en place maintenant et vous allez l’améliorer avec l’apport de l’équipe au cours des six premiers mois.

Prochaine réunion du CA : apportez une version ratifiée pour que le CA en prenne connaissance et l’approuve. Présentez-la avec un bref compte rendu de l’utilisation actuelle de l’IA dans l’organisation, des risques que la politique couvre et de ce que vous allez surveiller.

Cet échéancier fonctionne parce que vous ne demandez à personne d’approuver un cadre complet : vous demandez de ratifier un document évolutif qui s’améliorera à mesure que l’organisation apprendra.

Ce qui vient après la version 1

Une fois la version 1 en place et fonctionnelle, voici ce qui vaut la peine d’être planifié ensuite :

La formation du personnel. Même une politique claire doit être expliquée. Une séance d’équipe de 30 minutes qui passe en revue des exemples concrets de ce qui est permis ou non en fait plus que le document écrit seul.

Un processus d’évaluation des fournisseurs. À mesure que de nouveaux outils d’IA apparaissent, vous voudrez un processus léger pour décider s’il faut les ajouter à votre liste approuvée. Critères clés : engagements en matière de gouvernance des données, conformité aux exigences canadiennes, disponibilité de comptes organisationnels et preuves d’utilité pour votre travail.

Une évaluation des facteurs relatifs à la vie privée (EFVP). Pour les organisations du Québec qui traitent des renseignements personnels, une EFVP de vos outils et processus d’IA est une exigence de la Loi 25, pas une option. Ici, ça vaut la peine d’aller chercher des conseils professionnels : c’est trop propre à votre organisation pour qu’un modèle générique en fasse le tour.

La révision annuelle. Mettez-la au calendrier dès maintenant. Dans six mois, le paysage de l’IA sera assez différent de celui d’aujourd’hui pour que votre politique ait besoin de vraies mises à jour, pas juste d’un coup de tampon.

Mitch Schwartz est le fondateur d’Ops Machine, un cabinet de conseil en intégration de l’IA et en flux de travail établi à Montréal. Il travaille avec des OBNL et des organisations en pleine transformation pour trouver où l’IA a sa place, bâtir les bons systèmes et s’assurer que les équipes s’en servent vraiment. Réservez un appel découverte gratuit →