Gouvernance des données IA : cadrer avant de déployer | Force5

Activer une intelligence artificielle ou un agent intelligent sur votre ERP ou votre CRM prend quelques minutes. Définir qui contrôle quoi, ce qui peut circuler et comment vous restez conformes — cela demande de la réflexion. Et c’est exactement ce qui fait la différence entre un déploiement solide et un projet qui vous revient en pleine figure.

Dans le billet précédent, nous avons exploré les vecteurs de risque concrets liés à l’IA branchée sur vos progiciels : Sécurité et IA : bombe à retardement ou levier de contrôle ?. Aujourd’hui, nous allons un cran plus loin : comment construire le cadre de gouvernance qui permet de déployer l’intelligence artificielle avec confiance — sans paralyser l’organisation ni freiner l’innovation.

Ce que nous partageons ici est le fruit de notre expérience de terrain auprès d’organisations de toutes tailles : notre objectif est de vous amener à réfléchir et à assumer une responsabilité pleine et entière sur votre gouvernance. Celle-ci n’est pas un simple projet des technologies de l’information. C’est une décision d’affaires capitale qui engage la direction, les opérations, les équipes juridiques et vos partenaires technologiques.

Pourquoi la gouvernance IA diffère de la gestion classique des données

Votre organisation possède probablement déjà une politique de gestion des données. Des règles sur qui accède à quoi, des processus de sauvegarde et des niveaux d’autorisation. C’est un bon départ, mais l’intelligence artificielle ajoute des dimensions que les cadres classiques ne couvrent pas :

• Une ingestion active (vs Interprétation humaine) : Lorsqu’un humain consulte une donnée, il l’interprète à travers des filtres subtils : le contexte implicite, l’intuition et un jugement éthique. Il « comprend » le sens et peut déceler une anomalie flagrante par simple bon sens. À l’inverse, l’intelligence artificielle n’interprète pas ; elle ingère la donnée de manière littérale et statistique pour calculer des probabilités. Sans cette subtile capacité d’interprétation humaine, l’IA peut transformer une corrélation absurde en une recommandation d’affaires erronée, car elle consomme la donnée « brute » sans filtre contextuel.

• L’IA prend des décisions (Délégation de responsabilité) : Quand votre ERP calcule une taxe, il applique une règle programmée. Quand un agent intelligent recommande de bloquer le crédit d’un client, de prioriser une opportunité ou de reséquencer vos bons de travail de production, il prend une décision basée sur un modèle statistique que personne dans votre organisation ne maîtrise complètement. Qui est responsable de cette décision ?

• L’IA évolue (Dérive comportementale) : Vos règles de gestion dans l’ERP restent stables jusqu’à ce que vous les changiez. Un modèle d’intelligence artificielle peut dériver dans le temps et produire des résultats différents sur les mêmes données selon les mises à jour du fournisseur — sans que personne ne l’ait décidé. En fait, nous observons déjà cette dérive concrètement : d’une semaine à l’autre, que ce soit avec Gemini, Claude ou ChatGPT, les comportements varient grandement. Par exemple, l’usage de « master prompts » ou de « GEMS » ne donnera pas nécessairement les mêmes résultats que la semaine dernière ou le mois dernier.

  Note de Force5 : L'instabilité comme norme transitoire

  Cette instabilité des modèles, de leur comportement et de leurs capacités est un passage obligé lié à l'évolution fulgurante de la technologie. Tous les concepteurs de modèles sont engagés dans une course effrénée pour produire le petit avantage technologique sur leur voisin. Mais ces itérations rapides rendent les grands modèles instables.

  C'est pourquoi, pour des projets sérieux et coûteux, ce risque inacceptable nous dirige vers l'usage de modèles plus stables. L'installation de modèles plus petits, spécialisés et « fine-tunés » pour votre contexte vous assurera des résultats constants sans cette dérive imprévisible.

  Je parle d'expérience : un projet basé sur Gemini s'est vu dérailler quand Google a réduit les fenêtres de contexte de ses modèles. Le matin où le modèle « Thinking » est arrivé, la fenêtre de retour a été dramatiquement réduite. Après investigation, nous avons découvert que la partie thinking du modèle partageait la fenêtre de réponse du modèle, limitant ainsi drastiquement les résultats que Gemini pouvait produire.

Les sept piliers d’une gouvernance IA pour vos progiciels

1. Classifier vos données avant de donner l’accès

Toutes vos données n’ont pas le même niveau de sensibilité. Avant de décider ce que l’IA peut utiliser, vous devez savoir ce que vous possédez.

• Public : Données pouvant circuler librement (catalogues produits, informations générales).
• Interne : Données réservées aux employés (procédures, rapports internes).
• Confidentiel : Données sensibles aux affaires (salaires, procédures et méthodes propriétaires, secrets commerciaux, marges, contrats, conditions clients, prévisions).
• Restreint : Données personnelles ou réglementées (données clients au sens de la Loi 25, données RH, informations financières réglementées, profils d’investisseur et composition des portefeuilles de placement, pour les avocats : l’ensemble des informations sous le privilège client-avocat, pour les comptables : informations financières des clients).

Règles de base et axes de vigilance :

Les données classées « Confidentiel » et « Restreint » ne devraient jamais être envoyées à un modèle externe sans évaluation explicite. Deux enjeux majeurs doivent dicter votre prudence :

1. La souveraineté et l’accès par des tiers : Où résident réellement vos données ? Si vous utilisez des modèles d’IA hébergés sur des nuages américains, vos données pourraient être assujetties au Patriot Act ou aux pouvoirs d’accès du DHS (Department of Homeland Security), même si les serveurs sont physiquement situés au Canada. Une entente contractuelle bétonnée avec le fournisseur est votre seul rempart.
2. La porosité de la gouvernance interne : L’intelligence artificielle peut involontairement permettre à un employé de contourner les barrières de sécurité internes. Si un utilisateur pose une question détournée à un agent IA qui a des droits de lecture trop larges sur l’ERP, il pourrait accéder à des informations hautement sensibles — comme le détail des salaires des dirigeants — sans jamais ouvrir un dossier restreint. Vos permissions doivent être isolées à la source, au niveau de la donnée, et non seulement de l’interface.

2. Définir une politique d’usage par cas d’usage

Plutôt qu’une politique globale et abstraite, construisez des règles spécifiques pour chaque agent ou fonctionnalité activée :

• Accès : Quelles données peut-il consulter (liste explicite des champs et périmètre) ?

• Actions : Quelles actions peut-il exécuter (Lecture seule, suggestion, action autonome, approbation requise) ?

• Transferts : Vers quels services externes transite-t-il des données (fournisseur, région d’hébergement) ?

• Responsabilité : Qui est le propriétaire fonctionnel identifié ?

• Révision : Quand et comment sera-t-il révisé (fréquence, critères de désactivation) ?

  Note de Force5

  Une astuce stratégique dans cette démarche consiste à adopter la règle du « strict minimum ». Plusieurs services permettent de définir des durées de rétention précises. Dans un mandat récent, nous avons accompagné un client qui devait soumettre un ensemble de documents sensibles via une architecture RAG (Retrieval-Augmented Generation). L’application prépare la requête et ne transmet que les segments de documents strictement nécessaires au traitement. Mieux encore, dans certains scénarios, l'usage d'un modèle de langage local (LLM spécialisé) permet d'analyser les documents sans qu'ils ne quittent jamais l'écosystème du client ; seules les informations critiques sont ensuite relayées au modèle externe le plus puissant. En fixant contractuellement un temps de rétention de 24h sur les infrastructures externes, nous réduisons la surface de risque à la fois dans la quantité d'informations exposées et dans la durée de l'exposition. Ce type d'orchestration coopérative entre plusieurs modèles est précisément l'une des raisons de se faire accompagner par un spécialiste comme Force5.

3. Établir des règles claires sur la résidence des données

La Loi 25 impose des obligations précises sur le traitement des données personnelles par des tiers. Posez ces questions à chaque fournisseur :

• Où sont hébergés vos modèles et vos serveurs ?

• Mes données sont-elles utilisées pour entraîner vos modèles globaux ?

• Pouvez-vous garantir que mes données restent au Canada ou au Québec ?

• Avez-vous une entente de traitement de données conforme à la Loi 25 et à la LPRPDE ?

  Note de Force5

  Cette réalité est si criante que la société Mistral AI, qui détient une part de marché corporative importante en Europe, en a fait un pilier de ses atouts commerciaux. Avec son initiative « Mistral Forge », elle propose non seulement des modèles adaptés à vos données spécifiques, mais offre surtout des garanties de confidentialité et de souveraineté qui font défaut aux géants américains. Leur stratégie répond directement aux préoccupations des entreprises pour qui l'exposition des données constitue un risque d'affaires inacceptable.

4. Fixer un modèle de responsabilité clair

Qui est responsable quand l’intelligence artificielle se trompe ?

• Le propriétaire fonctionnel : La personne responsable de la pertinence et de la qualité des recommandations dans son domaine (ex: le contrôleur financier pour la comptabilité).

• Le propriétaire technique : La personne responsable de la configuration et de la maintenance au sein des ressources en technologies de l’information.

• Le processus d’escalade : Que faire en cas de recommandation erronée ? Qui décide de désactiver l’outil ?

• Les lignes rouges : Identifiez les décisions qui ne peuvent jamais être déléguées (ex: accès aux salaires, modifications contractuelles majeures).

  Note de Force5

  Ce modèle de responsabilité sous-tend une réalité incontournable : il faut accepter que l’IA puisse se tromper, halluciner ou inventer des réponses. Dans notre pratique-conseil, nous insistons sur le principe du « Human-in-the-loop » (l'humain dans la boucle). Lors du déploiement initial, 100 % des cas d’utilisation doivent être inspectés par un humain. Une fois le système stabilisé, un échantillonnage statistique rigoureux demeure essentiel pour garantir une performance optimale. Il faut également dissiper un mirage technologique : l'idée que l’IA éliminera l'effort humain. Bien qu'il y ait un gain de productivité réel, la nécessité d'une supervision constante pour prévenir tout déraillement catastrophique réduit l'économie de temps perçue. Au final, si certains postes disparaîtront, nous assisterons surtout à une mutation des tâches : le travail glissera de l'exécution pure vers la surveillance et la validation stratégique de l'IA.

5. Configurer l’audit trail des actions automatisées

Votre cadre de gouvernance doit exiger que chaque déploiement soit configuré pour journaliser : qui a déclenché l’action, quelles données ont été consultées, quelle action a été exécutée (lecture, modification) et quel résultat a été produit.

Sur les plateformes majeures :

• Dynamics 365 F&O / Business Central : Configurer les journaux d’audit natifs et activer le suivi des modifications pour les entités touchées.
• SAP S/4HANA : Utiliser le Change Document et les journaux d’application, complétés par SAP Audit Management.
• Salesforce : Activer Shield Event Monitoring pour capturer les actions des agents et des automatisations.
• NetSuite : Configurer les Audit Trail et System Notes sur les enregistrements modifiés.
• Odoo : Utiliser le module de journaux d’audit (Audit Log) pour capturer les modifications détaillées et s’assurer que le suivi des champs (Track Visibility) est actif sur les modèles de données stratégiques.
• Zoho : Consulter les journaux d’audit (Audit Log) pour le suivi des activités et activer le suivi de l’historique des champs (Field History Tracking) sur les modules critiques.

6. Exiger une qualité de données minimale

Puisque l’IA consomme la donnée « telle quelle » sans la subtile interprétation humaine, une donnée erronée devient une vérité absolue pour le modèle. Définissez des seuils de complétude et de cohérence comme prérequis formels avant d’activer un agent sur un périmètre de données. L’IA n’est pas une baguette magique pour vos données sales.

7. Planifier les revues et la désactivation

L’IA n’est pas un actif que l’on oublie une fois installé. Votre cadre doit inclure un cycle de vie rigoureux pour chaque agent :

• Revue trimestrielle (Hygiène technique) :
  • Audit des accès : Les employés ayant quitté ou changé de rôle ont-ils toujours leurs droits révoqués au niveau des agents ?
  • Analyse de la dérive (Model Drift) : Le modèle produit-il toujours des résultats de même qualité qu’à l’installation ?
  • Nettoyage : Suppression des agents expérimentaux ou des « prompts » orphelins qui ne sont plus utilisés mais consomment des ressources de sécurité.
• Revue annuelle (Alignement stratégique) :
  • ROI réel : Les gains de productivité promis sont-ils au rendez-vous ?
  • Adéquation technologique : Un nouveau modèle (plus petit, plus rapide, plus stable ou plus conforme) est-il disponible pour remplacer l’existant ?
  • Évolution métier : Les cas d’usage sont-ils toujours alignés avec les nouveaux objectifs de croissance ?
• Critères de désactivation immédiate (Les lignes rouges) :
  • Hallucinations persistantes : Si un agent invente des données financières ou contractuelles après plusieurs tentatives de correction.
  • Bris de confidentialité : Détection d’une fuite d’information ou d’une vulnérabilité par injection de prompt.
  • Perte de confiance des usagers : Si les équipes commencent à contourner l’outil parce qu’elles ne se fient plus à ses résultats, il vaut mieux désactiver l’agent pour protéger la crédibilité globale de votre stratégie IA.

La gouvernance : Un accélérateur d’innovation

La tentation est grande de voir la gouvernance comme un obstacle bureaucratique. C’est l’inverse : les organisations possédant un cadre clair déploient l’intelligence artificielle plus rapidement que les autres, car elles n’ont pas à débattre de chaque nouveau projet à partir de zéro. Sans gouvernance, le premier incident sérieux provoque souvent un gel total des déploiements et une méfiance généralisée qui paralyse l’innovation.

Par où commencer concrètement ? (Plan 90 jours)

1. Semaines 1-2 : Inventorier tous les déploiements et accès IA actifs sur vos progiciels.
2. Semaines 3-4 : Classifier vos données selon les quatre niveaux de sensibilité.
3. Semaines 5-6 : Pour chaque déploiement actif, documenter la politique d’usage en une page.
4. Semaines 7-8 : Identifier et combler les lacunes de journalisation et d’audit trail.
5. Semaines 9-10 : Valider la conformité Loi 25 avec votre conseiller juridique sur les cas d’usage impliquant des données personnelles.
6. Semaines 11-12 : Formaliser le modèle de responsabilité et planifier les premières revues trimestrielles.

Ce n’est pas un chantier de transformation insurmontable ; c’est un travail de rigueur méthodique essentiel pour protéger votre ADN d’entreprise tout en embrassant le futur. En partageant ces réflexions issues de notre pratique quotidienne, nous espérons vous donner les clés d’une transition réussie et sécurisée.

Vous voulez un coup de main pour structurer votre cadre de gouvernance IA ? C’est exactement le type d’accompagnement concret que nous offrons chez Force5, notamment dans notre série sur l’IA appliquée aux ERP et CRM.

Huitième billet de notre série sur l’IA appliquée aux ERP et CRM. La semaine prochaine, nous aborderons la construction de votre plan directeur IA : comment articuler vision d’affaires et feuille de route technologique.

gouvernance IA données ERP CRM Loi 25 résidence des données responsabilité IA audit trail Human-in-the-loop Model Drift sécurité IA Force5 Québec