Ce qui n’entre jamais dans un outil d’IA : une carte en trois niveaux

Pourquoi une règle écrite plutôt qu’un « soyez prudents »

« Soyez prudents » ne se vérifie pas. Une règle écrite, elle, s’affiche, s’applique et se corrige. Elle permet aussi de dire oui plus souvent : quand les employés savent précisément ce qui est interdit, ils utilisent l’outil sans crainte pour le reste.

La méthode proposée par Delester classe toutes les données de l’entreprise en trois niveaux [1].

Niveau 1 : interdit

Ce qui n’entre jamais dans un outil d’IA, quelle que soit la raison [1] :

• les mots de passe;
• les numéros d’assurance sociale;
• les cartes de paiement;
• les dossiers de santé;
• la paie nominative (le salaire d’une personne identifiée);
• les enregistrements de personnes qui n’ont pas été avisées.

Le dernier point est souvent oublié : enregistrer une réunion sans prévenir les participants, puis confier l’enregistrement à un outil de transcription, tombe dans cette catégorie.

Pourquoi une interdiction pure et simple plutôt qu’un « avec précaution »? Parce que, pour ces données, le risque est élevé et le bénéfice est faible. Un résumé de contrat de travail n’a pas besoin de contenir le numéro d’assurance sociale de l’employé.

Niveau 2 : sous conditions

Ici se trouve l’essentiel du travail quotidien d’un dirigeant : les courriels d’affaires, les réunions, la comptabilité [1]. Ces données sont permises, à des conditions que l’on fixe d’avance :

• le compte de l’outil est à votre nom;
• l’entraînement du modèle sur vos données est désactivé;
• pour les réunions, les participants sont avisés avant et l’enregistrement brut est effacé après quelques jours [1];
• la personne qui relit le résultat est identifiée.

Ajoutez une vérification propre au Québec : la Loi 25, la loi qui encadre les renseignements personnels, prévoit qu’une organisation doit faire une évaluation des facteurs relatifs à la vie privée avant de communiquer un renseignement personnel à l’extérieur du Québec [2]. Si l’outil traite vos données hors Québec, cette évaluation devient une étape de la mise en service, pas une formalité de fin de projet. Ce n’est pas un avis juridique : pour votre cas, consultez un avocat.

Exemple concret : une comptabilité contient des noms de fournisseurs et des montants. Elle est « sous conditions ». Un extrait où l’on a retiré les noms de personnes et gardé les catégories passe au niveau « libre ».

Niveau 3 : libre

Ce qui peut entrer sans souci [1] :

• les documents publics;
• les méthodes et procédures sans nom de personne;
• les données fictives ou agrégées (regroupées, sans identification individuelle).

C’est le niveau le plus utile pour apprendre. Une équipe qui s’exerce d’abord sur une procédure interne anonymisée ou sur des données fictives acquiert les bons réflexes avant de toucher à ses vraies données.

Mettre la carte en pratique en une heure

1. Imprimez les trois niveaux sur une page. Mettez-y le nom du responsable à qui poser les questions.
2. Ajoutez les cas de votre entreprise. Un restaurateur ajoutera « registres d’employés », un cabinet « dossiers clients ». Les trois niveaux restent les mêmes.
3. Choisissez un geste de rattrapage, par exemple « si vous avez déposé quelque chose d’interdit, prévenez-moi tout de suite, personne n’est puni ». Une règle qui punit l’aveu produit des erreurs cachées.
4. Nommez la personne responsable des renseignements personnels. La Commission d’accès à l’information rappelle que la personne qui dirige l’entreprise en est responsable, qu’elle peut déléguer cette fonction par écrit, et que le titre et les coordonnées de la personne responsable doivent être publiés sur le site [2].
5. Revoyez la carte tous les trois mois. Les outils changent; vos règles doivent suivre.

Ce que cette carte ne fait pas

Elle ne remplace pas un avis juridique. Elle ne dit pas quel outil choisir. Elle ne garantit rien : elle réduit les erreurs évitables. Chaque entreprise a ses contraintes propres, et la carte doit être adaptée.

C’est pourtant par là que commence le travail avec un dirigeant. Au diagnostic, on cartographie le temps, les outils et les données avant d’installer quoi que ce soit [3]. Vous pouvez aussi consulter la carte complète sur la page Vos données de Delester (delester.ca/vos-donnees).

Questions fréquentes

Qu’est-ce qu’une politique d’usage de l’IA?

C’est un document court qui dit à l’équipe quels outils sont permis, quelles données peuvent y entrer, et qui contacter en cas de doute. Les trois niveaux de cet article en constituent le cœur.

Dois-je interdire ChatGPT à mes employés?

Ce n’est pas la proposition de cet article. L’interdiction totale pousse souvent l’usage dans l’ombre, sur des comptes personnels. Une règle claire, avec des données permises, est plus facile à faire respecter. Cette position est un avis de pratique, pas une exigence légale.

Que faire si un employé a déposé des données interdites?

Prévoir à l’avance un geste de rattrapage simple et sans sanction pour l’aveu : prévenir la personne responsable, supprimer l’enregistrement quand l’outil le permet, noter l’incident. Pour les incidents touchant des renseignements personnels, consultez un avocat sur vos obligations.

La Loi 25 s’applique-t-elle à une petite entreprise?

Les pages de la CAI consultées s’adressent aux entreprises privées en général [2]. Elles ne fixent pas de seuil de taille dans les passages relus pour cet article. Confirmez votre situation auprès d’un avocat.

Sources

1. Delester, Conseil et Vos données, règle sur les données en trois niveaux (consultées le 2026-11-09 et le 2026-11-10). https://delester.ca/vos-donnees
2. CAI, Principaux changements de la Loi 25 (consultée le 2026-11-09). https://www.cai.gouv.qc.ca/protection-renseignements-personnels/sujets-et-domaines-dinteret/principaux-changements-loi-25
3. Delester, Conseil (diagnostic d’une demi-journée) (consultée le 2026-11-09). https://delester.ca/conseil

Si vous voulez la faire adapter à votre entreprise, la première rencontre de 30 minutes est gratuite et sans engagement.