Survol et points à retenir
Oubliez l’invention du téléphone intelligent, d’Internet ou de l’ordinateur personnel : la dernière découverte ayant eu un effet transformationnel aussi grand que celui de l’intelligence artificielle (IA) est l’électricité. La différence est que l’électrification a été relativement lente. Or, le déploiement de l’IA s’accélère sans cesse.
Les sociétés averties et leur conseil d’administration savent qu’il faut s’adapter, mais se demandent comment et dans quel ordre le faire. Une partie de la réponse résultera de l’évolution du cadre réglementaire de l’IA et de son application au contexte de chaque société. Les dirigeants doivent également surveiller l’évolution de la réglementation sur l’IA en dehors de leur secteur.
La Ligne directrice sur l’utilisation de l’intelligence artificielle (la « ligne directrice ») publiée par l’Autorité des marchés financiers (l’« AMF ») du Québec en mars 2026 en est un bel exemple.[1] Bien qu’elle énonce les attentes de l’AMF en matière de gouvernance de l’IA pour les institutions financières sous sa supervision,[2] la ligne directrice s’appuie sur des principes élargis de gestion des risques liés à l’IA.[3] C’est pourquoi elle est utile non seulement pour le secteur financier, mais aussi pour les grandes sociétés canadiennes en général.
Les administrateurs au Canada qui supervisent l’élaboration des politiques sur l’IA de leur société peuvent donc inclure la ligne directrice dans leur analyse. Elle établit notamment un cadre général de gouvernance de l’IA dont les sociétés peuvent s’inspirer, selon ce qui convient à leur situation, et présente des facteurs qui pourraient être pris en compte pour évaluer si un conseil d’administration a rempli son obligation de diligence à l’égard de la gestion des risques liés à l’IA.
Il s’agit du deuxième volet de notre série IA et CA. Lisez le premier article ici. Pour découvrir plus de ressources de Fasken en matière de gouvernance d’entreprise, visitez notre Centre du savoir sur les marchés des capitaux et les fusions et acquisitions. N’hésitez pas à vous y abonner.
Trois éléments clés de la ligne directrice
La ligne directrice comporte trois éléments clés qui présentent un intérêt au-delà du secteur des institutions financières : 1) l’importance d’une approche holistique; 2) l’adoption d’une approche structurée de l’évaluation des risques; et 3) la répartition appropriée des responsabilités entre le conseil d’administration et la haute direction.
Approche holistique
La ligne directrice précise qu’une organisation doit adopter une approche holistique de la gouvernance et de la gestion des risques liés à l’IA. Cette approche devrait lui permettre « d’identifier, d’évaluer, de quantifier, de contrôler, d’atténuer et de suivre » chacun de ses systèmes d’IA et de comprendre son exposition globale aux risques liés à l’IA.
Gestion et notation des risques
Dans le cadre de cette approche holistique, la ligne directrice indique qu’une organisation devrait attribuer une cote de risque à chacun de ses systèmes d’IA, et ce, de façon uniforme dans l’ensemble de l’organisation. Tous les risques importants liés à un système d’IA devraient être pris en considération. Voici des exemples de facteurs à examiner :
- Les facteurs qualitatifs, notamment le niveau d’autonomie de l’IA ou les risques de non-conformité qui y sont associés;
- Les facteurs quantitatifs, notamment l’estimation des répercussions potentielles sur le plan opérationnel, financier ou en matière de sécurité.
La cote de risque associée à un système d’IA devrait déterminer le degré de gestion du risque qui lui est appliqué, notamment : 1) le niveau d’approbation requis pour utiliser l’IA; et 2) l’intensité de la surveillance du système d’IA. Elle devrait aussi orienter l’approche de l’organisation quant au cycle de vie de ce système (voir ci-dessous).
La répartition des responsabilités entre les administrateurs et les membres de la direction
La ligne directrice établit des attentes progressives concernant les rôles et les responsabilités des membres du conseil d’administration, mais aussi des membres de la haute direction.
Le rôle du conseil d’administration consiste à exercer une surveillance globale, mais constante et éclairée. Il devrait s’assurer de posséder une expertise collective suffisante pour comprendre clairement l’exposition de l’organisation aux risques liés à l’IA, surtout dans les activités « critiques ». Il doit être informé sur une base régulière de « l’évolution des tendances, des risques et des changements importants » qui pourraient modifier le profil de risque de l’organisation. Le conseil d’administration doit aussi s’assurer que la direction fasse la promotion d’une culture d’entreprise axée sur l’utilisation responsable de l’IA.
De son côté, la haute direction doit aussi assurer une surveillance constante, mais à un niveau plus opérationnel. Plus particulièrement, un membre de la haute direction doit assumer la responsabilité de tous les systèmes d’IA utilisés par l’organisation. Les personnes relevant de ce membre de la haute direction devraient comprendre les « responsables » de l’IA, soit les personnes chargées de superviser l’ensemble du cycle de vie des systèmes d’IA utilisés par l’organisation.
La ligne directrice divise ce cycle de vie en sept étapes : 1) le bien-fondé de l’adoption d’un système d’IA; 2) la validation de la provenance et de la qualité des données; 3) l’application de critères de sélection à l’approvisionnement ou au développement de l’IA; 4) l’évaluation du rendement et des risques associés à l’IA (p. ex. les biais, la dérive de modèle, les hallucinations et la cybersécurité); 5) l’approbation (y compris l’application de restrictions et de mesures d’atténuation des risques); 6) le déploiement; et 7) la surveillance constante.
Trois thèmes récurrents de la ligne directrice
En plus des trois éléments clés, la ligne directrice présente aussi trois thèmes récurrents qui présentent une portée générale au-delà du secteur des institutions financières. Les voici :
- Le dynamisme de l’IA. La ligne directrice souligne à plusieurs reprises le caractère dynamique et l’évolution rapide de l’IA. Il faut en retenir que l’exposition d’une organisation aux risques liés à l’IA et les efforts connexes d’atténuation des risques devraient être réévalués régulièrement. De même, plus la cote de risque d’un système d’IA est élevée, plus l’évaluation de ce système devrait être fréquente.
- Compétence en IA. La ligne directrice souligne souvent qu’un niveau de compréhension suffisant de l’IA est nécessaire pour bien gérer et contrôler les risques liés à l’IA. Ce point vise surtout la haute direction, les gestionnaires des équipes qui utilisent ou valident les systèmes d’IA ainsi que les « responsables » de l’IA (voir ci-dessus). Un autre exemple est celui des personnes impliquées dans l’approvisionnement des systèmes d’IA, qui doivent avoir une connaissance suffisante des besoins d’affaires de l’organisation, du fonctionnement des systèmes d’IA, ainsi que des risques et des mesures d’atténuation associés au système d’IA.
- Proportionnalité. La ligne directrice reconnaît expressément le « principe de proportionnalité ». En d’autres termes, dans l’établissement de son cadre de gouvernance et de gestion des risques liés à l’IA, une organisation peut tenir compte de sa nature, de sa taille, de la complexité de ses activités et de son profil de risque. La ligne directrice reconnaît également à plusieurs reprises que les organisations n’ont pas toutes le même « appétit pour le risque ».
Principaux points pratiques à retenir pour les conseils et les cadres supérieurs
Comme nous l’avons mentionné dans le premier volet, l’IA est une arme à double tranchant pour les administrateurs. Elle présente des risques, mais peut aussi offrir des avantages. Remplir leur obligation de diligence exige des administrateurs qu’ils trouvent le juste équilibre.
La ligne directrice s’adresse aux institutions financières, mais ses principes peuvent s’appliquer de façon générale aux conseils d’administration de sociétés d’autres secteurs d’activité. Il faut surtout retenir que, même si la ligne directrice ne prévoit qu’une surveillance globale par le conseil d’administration, celle-ci doit être constante et éclairée. Le conseil doit s’assurer que la haute direction met en œuvre un cadre de gestion bien structuré et rigoureux des risques liés à l’IA sur le plan opérationnel.
Un élément de la ligne directrice que les conseils d’administration peuvent intégrer est notamment l’importance d’une approche holistique ainsi que de l’évaluation et de la notation des risques. En outre, un membre de la haute direction doit assumer la responsabilité de tous les systèmes d’IA et un « responsable » distinct doit superviser l’ensemble du cycle de vie de chaque système d’IA et rendre régulièrement compte des développements au membre de la haute direction. De même, les sept étapes du cycle de vie d’un système d’IA définies dans la ligne directrice ne se limitent pas à un secteur en particulier et peuvent donc présenter un intérêt pour des organisations autres que les institutions financières.
Enfin, et comme le montrent les thèmes récurrents dans la ligne directrice, il importe avant tout que le conseil d’administration démontre une rigueur et une expertise en IA suffisantes (que ce soit par ses propres moyens ou par l’intermédiaire de conseillers externes) pour assurer la gouvernance et la gestion des risques liés à l’IA de la société. Effectuée correctement, cette analyse sera toujours, en fin de compte, propre à la société et à la situation et appliquera le principe de proportionnalité. Cependant, et conformément aux attentes énoncées dans la ligne directrice, toute analyse devrait tenir compte du dynamisme et de l’évolution constante (communément attendue) de l’IA.
