La plupart des organisations commencent par une politique IA. Elle est nécessaire, mais répond rarement aux questions opérationnelles : l'initiative doit-elle avancer, qui peut l'approuver, quelles preuves suffisent et que faire si le système se comporte autrement en production?
Le meilleur cadre est un modèle opérationnel de gouvernance de l'IA : un système répétable de décisions, de preuves, de contrôles et de rétroaction qui relie les principes à la livraison.
Pourquoi maintenant
Pour les institutions fédérales visées par la Directive sur la prise de décisions automatisée, les systèmes développés ou acquis avant le 24 juin 2025 avaient jusqu'au 24 juin 2026 pour respecter les exigences nouvelles ou mises à jour. La directive couvre les systèmes en production qui prennent ou appuient une décision administrative concernant un client.
Au Québec, l'indication d'application IA-RI-2025-003-OP est entrée en vigueur le 5 décembre 2025. Elle vise les organismes publics assujettis à l'article 2 de la Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement, permettait d'échelonner la mise en œuvre jusqu'au 5 juin 2026 et abrogeait IA-RI-2025-001-OP.
Pourquoi la distinction compte
Ces échéances créent l'urgence; les référentiels donnent forme au modèle. Le NIST AI Risk Management Framework traite Govern comme une fonction transversale du cycle de vie. La norme ISO/IEC 42001 définit un système de management fondé sur des politiques, des objectifs, des processus et l'amélioration continue, et non sur un document ponctuel.
Sept décisions opérationnelles
1. Définir ce qui entre dans le système
La limite d'inventaire doit suivre le cas d'usage, pas l'équipe qui l'a construit. L'erreur courante consiste à confondre inventaire IA et registre de modèles de science des données. Celui-ci capte les modèles sur mesure, mais oublie les fonctions achetées, les copilotes intégrés, les modèles appelés par API, les automatisations utilisant leurs sorties et les outils parallèles du personnel.
L'unité à gouverner est l'usage en contexte, pas la plateforme. Un même copilote peut reformuler une note interne dans un processus et influencer une décision concernant une personne dans un autre. Une seule entrée de plateforme empêche alors d'attribuer à chaque usage le bon propriétaire, le bon seuil de preuve, le bon suivi et le bon parcours d'approbation.
2. Attribuer les droits de décision
Donnez à chaque initiative un propriétaire d'affaires responsable du résultat et un propriétaire technique responsable du système. Précisez ensuite qui peut accepter le risque résiduel, approuver l'utilisation en production, accorder une exception et arrêter le système. Les comités peuvent conseiller; des rôles nommés doivent décider.
3. Créer une voie unique de prise en charge et de classement du risque
Utilisez un court formulaire qui porte sur la décision soutenue, les personnes touchées, la sensibilité des données, l'autonomie, la réversibilité et le contexte réglementaire. Les réponses doivent placer l'initiative dans un niveau de risque qui modifie la profondeur de l'examen. Un assistant de rédaction et une recommandation automatisée d'admissibilité ne devraient pas fr