Dans l'article sur l'IA fantôme, on concluait qu'une PME a besoin de deux choses pour encadrer l'usage de ChatGPT par ses employés : un outil approuvé, et une politique d'une page. On n'avait pas écrit la page. La voici. Elle sert aussi de socle à tout projet d'agent IA : un agent hérite des règles que l'entreprise s'est déjà données sur ses données.
Les modèles qu'on trouve en français sont de longs cadres de gouvernance, des politiques d'organismes publics ou des gabarits génériques sans lien avec la loi québécoise. Celui-ci tient sur une page, et chaque clause est suivie de ce qui la justifie : le plus souvent un article de la Loi sur la protection des renseignements personnels dans le secteur privé (la Loi 25), parfois une condition publiée par le fournisseur, ou une simple raison pratique. Une clause qu'on ne sait pas expliquer à un employé ne sera pas respectée.
Copiez les clauses en remplaçant ce qui est entre crochets par vos outils et vos noms.
La réponse courte, pour les pressés
Une politique d'utilisation de l'IA pour une PME québécoise tient en huit clauses. Elle nomme les outils autorisés et exige le compte de l'entreprise, parce que les forfaits professionnels de ChatGPT, de Claude et de Copilot excluent par défaut l'entraînement des modèles sur vos données, alors que les comptes personnels ne l'excluent pas toujours. Elle interdit de coller des renseignements personnels de clients ou d'employés dans un outil qui n'a pas été évalué, puisque l'article 17 de la Loi 25 exige une évaluation des facteurs relatifs à la vie privée avant toute communication hors Québec. Elle interdit qu'une décision sur une personne repose sur l'IA seule sans que cette personne en soit informée, comme l'exige l'article 12.1. Elle impose une relecture humaine avant qu'un texte produit par l'IA parte chez un client, encadre les preneurs de notes en réunion, nomme la personne à qui poser ses questions et se rattache à la politique de gouvernance exigée par l'article 3.2.
Pourquoi une page, et pourquoi elle échoue seule
Vos employés utilisent déjà l'IA. Une page qui dit seulement « n'utilisez pas ChatGPT avec des données de clients » sera contournée dès la première semaine chargée.
Son vrai travail est d'indiquer la voie permise : tel outil, tel compte, telles données, et à qui demander quand ça ne rentre dans aucune case. Une page se relit quand on hésite; un cadre de trente pages se signe à l'embauche et ne se rouvre plus. Achetez donc l'outil avant de publier la politique, sinon vous publiez une interdiction.
Clauses 1 et 2 : l'outil et le compte
Clause 1. Outils autorisés. Les outils d'IA autorisés pour le travail sont [ChatGPT Business, Claude Team ou Copilot Chat de Microsoft, avec le compte de l'entreprise]. Tout autre outil d'IA, y compris une extension de navigateur ou une application mobile, doit être approuvé par [nom ou fonction] avant d'être utilisé avec des documents de l'entreprise.
Clause 2. Comptes. Ces outils s'utilisent uniquement avec le compte fourni par l'entreprise. Un compte personnel, gratuit ou payant, ne sert jamais pour un travail qui contient des renseignements sur nos clients, nos employés ou nos partenaires. Les administrateurs de l'entreprise peuvent consulter les conversations tenues avec les comptes de l'entreprise.
La clause 2 fait l'essentiel du travail, parce que l'écart entre les deux types de comptes est contractuel. Sur un compte personnel de ChatGPT ou de Claude, l'entraînement sur vos conversations reste permis tant que l'utilisateur ne le refuse pas; sur ChatGPT Business et Claude Team, il est exclu par défaut (notre comparaison des abonnements cite les pages des éditeurs). Le centre d'aide d'OpenAI ajoute un détail : sur les forfaits Free, Plus et Pro, même après le retrait, un pouce levé ou baissé sur une réponse permet d'utiliser toute la conversation pour entraîner les modèles. Sur ChatGPT Business, ce pouce n'autorise aucun entraînement. L'employé prudent qui a désactivé l'option puis note une réponse peut donc quand même verser dans l'entraînement le dossier client qu'il venait de coller.
Chez Microsoft, la protection des données d'entreprise s'applique à Copilot Chat sans frais supplémentaires, et les requêtes et les réponses ne servent pas à entraîner les modèles de fondation. Mais l'application Copilot accepte aussi un compte Microsoft personnel, et les protections suivent le compte utilisé. Deux repères les distinguent : une étiquette « Work » sous le profil et un bouclier vert en haut de la fenêtre. Montrez-les à vos employés : c'est le contrôle le plus simple de la politique. L'administrateur peut aussi bloquer les comptes personnels.
La dernière phrase de la clause 2 compte aussi : sur ChatGPT Business, les administrateurs peuvent consulter, exporter et supprimer les conversations des membres. Un employé prévenu choisit mieux ce qu'il écrit.
Clause 3 : ce qu'on ne colle jamais dans l'outil
Clause 3. Renseignements personnels. On ne colle pas dans un outil d'IA de renseignements personnels sur nos clients ou nos employés (nom avec coordonnées, numéro d'assurance sociale, renseignement de santé, dossier financier, évaluation de rendement), sauf dans un outil que [responsable] a évalué pour cet usage. En cas de doute, on retire ce qui permet d'identifier la personne, ou on pose la question avant.
L'article 3.1 rend l'entreprise responsable des renseignements personnels qu'elle détient, quel que soit l'outil choisi par l'employé. L'article 17 exige, avant de communiquer un renseignement personnel « à l'extérieur du Québec », une évaluation des facteurs relatifs à la vie privée, puis une entente écrite. La même règle vaut quand on confie à un tiers hors Québec la tâche de les utiliser ou de les conserver, ce qui décrit bien un abonnement d'IA. On détaille la mécanique dans l'article sur les données hors Québec, et notre générateur d'ÉFVP produit le document.
À part le nom avec coordonnées, les exemples entre parenthèses sont des renseignements sensibles au sens de l'article 12 : de nature « notamment médicale, biométrique ou autrement intime », ou sensibles par leur contexte. Le fournisseur d'IA est aussi un mandataire, et son contrat doit contenir ce que décrit notre article sur les contrats fournisseurs.
Clause 4 : les décisions sur des personnes
Clause 4. Décisions. Aucune décision concernant une personne (embauche, crédit, prix, refus de service, mesure disciplinaire) n'est prise par un outil d'IA seul. Une personne de l'équipe examine le dossier et assume la décision. Si un processus doit décider de façon automatisée, [responsable] l'approuve d'abord et la personne concernée en est informée.
L'article 12.1 vise une décision « fondée exclusivement sur un traitement automatisé ». L'entreprise doit en informer la personne au plus tard en lui communiquant la décision, puis, sur demande, expliquer quels renseignements ont servi et pourquoi, et la laisser présenter ses observations à quelqu'un qui peut réviser la décision. Selon nous, un humain qui approuve sans lire ne fait pas sortir la décision de l'article. L'article 11 exige aussi des renseignements exacts au moment de décider, et un résumé produit par l'IA est une nouvelle source d'erreur (notre article sur l'article 12.1 va plus loin).
Clause 5 : un humain relit avant que ça sorte
Clause 5. Relecture. Tout texte, chiffre ou document produit avec l'IA est relu par la personne qui l'envoie avant de partir chez un client, un fournisseur ou un organisme public. Cette personne en répond comme si elle l'avait écrit seule.
Aucun article de loi n'exige cette clause. Elle existe parce qu'un modèle de langage produit des erreurs plausibles : un chiffre inventé, une référence qui n'existe pas, le nom d'un autre client resté dans un gabarit. Le client ne distinguera pas votre erreur de celle de l'outil, et il aura raison. Relire, c'est vérifier chaque nom et chaque chiffre. La clause compte davantage pour ChatGPT Work et Claude Cowork, qui peuvent agir dans un navigateur ou dans vos fichiers : la validation se fait avant l'action.
Clause 6 : les preneurs de notes
Clause 6. Réunions. On n'enregistre pas une réunion avec un outil d'IA sans l'annoncer aux participants. Seul [outil approuvé] est permis, avec la participation automatique désactivée. On n'enregistre ni les rencontres disciplinaires ou de santé, ni celles couvertes par le secret professionnel.
C'est la version courte de la règle proposée dans notre article sur les preneurs de notes IA : l'entreprise hôte répond de ce que l'outil recueille sur des participants qui n'ont rien signé.
Clauses 7 et 8 : qui répond, et où la politique s'accroche
Clause 7. Questions et erreurs. Les questions sur cette politique vont à [nom, fonction, courriel]. Si vous avez collé par erreur un renseignement personnel dans un outil non autorisé, dites-le-lui le jour même. On ne sanctionne pas un signalement.
Clause 8. Cadre. Cette politique fait partie de nos politiques de gouvernance des renseignements personnels. Elle est approuvée par [responsable de la protection des renseignements personnels] et révisée chaque année, ou dès qu'un outil change.
Selon l'article 3.1, la personne ayant la plus haute autorité dans l'entreprise est responsable de la protection des renseignements personnels, sauf délégation écrite. Dans une PME, le nom de la clause 7 est donc souvent celui du dirigeant. Ne pas sanctionner le signalement est un choix pratique : une erreur cachée ne se corrige pas.
L'article 3.2 exige des politiques de gouvernance qui prévoient notamment « les rôles et les responsabilités des membres de son personnel », approuvées par ce même responsable. Une politique d'IA en est un morceau. Rattachez-la à votre politique de gouvernance au lieu d'en faire un document orphelin, et présentez-la dans la formation de vos employés.
Ce que cette page ne règle pas
La politique encadre ce que vos employés font avec l'outil. Elle ne remplace pas l'évaluation de l'outil lui-même. L'article 3.3 exige une évaluation des facteurs relatifs à la vie privée pour tout projet d'acquisition de système d'information impliquant des renseignements personnels, proportionnée notamment à leur sensibilité et à leur quantité. Selon nous, l'achat d'un abonnement d'IA en est un. Pour une équipe qui rédige des courriels, l'évaluation reste courte, mais elle doit exister.
Elle ne règle pas non plus le copier-coller refait chaque matin entre la boîte de courriel et le logiciel de facturation. Quand une tâche se répète ainsi, la bonne réponse est souvent un agent branché à vos systèmes, qui ne reçoit que les données nécessaires. Pour un regard sur l'ensemble (outils, contrats, ÉFVP), voyez notre service de sécurité et conformité.
Par où commencer
Choisissez l'outil et achetez les comptes. Remplissez les crochets, faites approuver la page par votre responsable, puis prenez vingt minutes en réunion d'équipe pour montrer deux choses : comment vérifier qu'on est dans le compte de l'entreprise, et ce que dit la clause 3.
Si une tâche précise vous semble mériter mieux qu'un abonnement, parlons-en. On regarde ce que votre équipe fait déjà avec l'IA et on vous dit franchement si un agent se justifie.
→ Première conversation, sans engagement
Conditions des fournisseurs lues sur leurs pages officielles le 28 octobre 2026; elles changent souvent. Ce texte vulgarise des obligations de la Loi 25 pour aider une PME à poser les bonnes questions, il ne constitue pas un avis juridique. Le modèle de politique est un point de départ à adapter à votre entreprise. Les textes de loi publiés sur LégisQuébec font foi.
Écrit parXavier Peich