La signification de l’IA pour les sociétés ouvertes et leurs obligations d’information continue a fait couler beaucoup d’encre. L’utilisation ou le développement de l’IA par la société est-il important pour ses activités? Une éventuelle discussion sur les projets liés à l’IA de la société pourrait-elle constituer de l’information prospective? Comment l’IA devrait-elle déterminer les facteurs de risque de la société?
En revanche, les questions clés entourant l’utilisation de l’IA dans le processus d’information continue (la préparation du contenu et l’ensemble des activités de la société qui s’y rapportent, et non le contenu en tant que tel) ont moins suscité d’attention. Cet article met en lumière l’une de ces considérations : la communication involontaire potentielle d’information privilégiée, tout particulièrement avec l’utilisation de l’« IA de l’ombre ». Une affaire récente survenue aux États-Unis fait figure de mise en garde. La principale leçon à retenir est l’importance de disposer de protocoles encadrant l’IA qui soient robustes, réactifs et adaptés à chaque entreprise.
Il s’agit du troisième volet de notre série IA et CA. Pour consulter les articles précédents de cette série, cliquez sur les liens suivants : volet 1 et volet 2. Pour en savoir plus sur les ressources de Fasken en matière de marchés des capitaux, visitez notre Centre du savoir sur les marchés des capitaux et les fusions et acquisitions. N’hésitez pas à vous y abonner.
Qu’est-ce que l’« IA de l’ombre » et à partir de quand la limite est-elle franchie?
L’« IA de l ombre » correspond à l’utilisation de l’IA en dehors des outils et des paramètres d’IA approuvés par une société. Contrairement à ce que son nom laisse entendre, cette pratique n’est pas forcément répréhensible.
De plus en plus de gens utilisent l’IA dans le cadre de leur travail au quotidien. Dans le contexte actuel, l’utilisation d’outils d’IA autres que ceux autorisés par la société dans le cadre des activités professionnelles ne relève pas nécessairement de l’IA de l’ombre. C’est le cas, par exemple, lorsqu’on utilise un agent conversationnel grand public pour mener des études de marché ou sectorielles d’ordre général. La ligne à ne pas franchir, là où commence l’IA de l’ombre, correspond à la saisie de renseignements de la société – que ce soit par le biais d’une requête, du téléchargement d’un document ou par tout autre moyen – dans des outils d’IA non approuvés, alors que ces renseignements sont censés être strictement protégés en vertu des politiques relatives à l’IA de la société.
Quels sont les risques associés à l’IA de l’ombre?
Le risque majeur lié à l’IA de l’ombre réside dans la communication involontaire ou toute autre perte de contrôle quant aux renseignements de la société saisis dans l’IA. Contrairement aux logiciels traditionnels, certains outils d’IA conservent, traitent ou transmettent les renseignements saisis par les utilisateurs au-delà du cadre immédiat de l’application. Cela peut entraîner la divulgation, la reproduction ou tout autre partage de ces renseignements avec des tiers, indépendamment de l’intention de l’utilisateur. Ce risque est particulièrement élevé dans le cas de l’IA de l’ombre, lorsque les protocoles de sécurité et de confidentialité des outils utilisés n’ont pas été vérifiés par l’équipe des TI et l’équipe juridique de la société.
Qu’une société soit fermée ou ouverte, l’IA de l’ombre présente des risques pour les données d’entreprise, y compris les renseignements confidentiels ou sensibles sur le plan commercial et les renseignements juridiques protégés par le secret professionnel. Pour les sociétés ouvertes, les renseignements à risque comprennent également l’information privilégiée.
Information privilégiée : À manipuler avec soin!
Une information privilégiée désigne des faits ou des changements importants concernant une société ouverte qui ne sont pas encore connus du public, conformément à la législation sur les valeurs mobilières ou aux règles boursières applicables. Les sociétés ouvertes traitent de l’information privilégiée (et de l’information potentiellement privilégiée) dans le cours normal de leurs activités, notamment lorsqu’elles doivent déterminer si une nouvelle information revêt une importance suffisante pour être considérée comme un fait ou un changement important devant être rendu public.
L’information privilégiée soulève plusieurs questions et risques juridiques pour la société et son personnel, notamment la possibilité d’une opération d’initié ou d’une communication sélective (communication d’information privilégiée). La communication sélective se produit lorsque de l’information privilégiée est divulguée en dehors du cadre nécessaire à l’exercice des activités et des canaux appropriés, par exemple, à une ou plusieurs personnes physiques ou morales, et non à l’ensemble des investisseurs. Point important : il n’existe aucune règle d’exonération en cas de communication sélective involontaire d’information privilégiée.[1] Si cette situation se produit, la société doit immédiatement prendre les mesures nécessaires pour communiquer publiquement l’information.[2] Les opérations sur les valeurs mobilières de la société peuvent également être suspendues temporairement, et des sanctions financières, administratives, voire pénales, peuvent être imposées.
IA de l’ombre + information privilégiée = communication sélective?
La question qui s’ensuit naturellement est de savoir si la saisie d’information privilégiée dans un outil d’IA (p. ex. un agent conversationnel grand public) constituerait une communication sélective en vertu des lois sur les valeurs mobilières. La réponse n’est pas simple, mais les enjeux sont considérables : dans l’affirmative, la société pourrait être contrainte de communiquer immédiatement l’intégralité de l’information et pourrait faire l’objet d’une suspension temporaire de ses opérations sur les valeurs mobilières.
L’une des principales considérations pratiques des organismes de réglementation qui influent sur la législation relative aux valeurs mobilières est la communication sélective d’information privilégiée sur une société aux analystes, aux investisseurs institutionnels, aux courtiers en placement et aux autres professionnels du marché.[3] Dans une affaire récente concernant l’application des règles sur la communication sélective, le directeur d’une société cotée à la TSXV partageait de l’information privilégiée avec un partenaire commercial également ami de longue date, à l’occasion d’une demande de conseils sur une opération importante envisagée entre sa société et une autre société.[4]
L’entrée d’information privilégiée dans un outil d’IA ne s’inscrit pas précisément dans ces catégories de délits ou d’infractions similaires. L’analyse dépendrait donc très fortement du contexte. L’élément clé ici serait vraisemblablement les conditions d’utilisation de l’outil d’IA ainsi que le traitement en aval, la diffusion et l’utilisation de l’information saisie.
Exemple de mise en garde provenant des États-Unis
Une affaire récente survenue aux États-Unis fait ressortir les risques qui se posent lorsque des renseignements confidentiels et sensibles d’une société sont exposés à l’IA de l’ombre.
En mai 2026, une société de services financiers est devenue la première entreprise américaine à déposer un formulaire 8-K auprès de la Securities Exchange Commission (SEC),[5] une obligation déclenchée uniquement par l’utilisation non autorisée d’un outil d’IA par un employé. L’employé avait saisi de l’information privilégiée relative aux clients dans un outil d’IA grand public, apparemment pour gagner en productivité. Les données d’entrée comprenaient, entre autres renseignements, les noms, les numéros d’assurance sociale et les dates de naissance de clients. Même si la direction de la société a estimé que cet incident ne devrait pas avoir d’incidence majeure sur la situation financière ni les activités de la société, elle a néanmoins jugé qu’il s’agissait d’une information importante au sens du formulaire 8-K, compte tenu du « volume et du caractère sensible de l’information privilégiée en cause ».
En d’autres mots, l’incident n’impliquait pas la communication involontaire d’information privilégiée par l’entremise de l’IA de l’ombre, mais plutôt la communication par inadvertance de renseignements confidentiels de l’entreprise, d’une sensibilité telle que l’incident même est devenu un fait important et a nécessité une communication immédiate en vertu des lois américaines sur les valeurs mobilières. Il n’en demeure pas moins que cette affaire constitue une mise en garde claire quant aux risques que pose l’IA de l’ombre à l’égard des renseignements sensibles et inconnus du public, telle que l’information privilégiée. Elle permet également d’illustrer que ces risques ne se limitent pas à la communication involontaire d’information privilégiée : la saisie de renseignements sensibles de l’entreprise dans l’IA de l’ombre peut en soi entraîner des conséquences suffisantes pour être qualifiées de changement important – dans le présent cas, un incident de cybersécurité auto-infligé.
Considérations pratiques pour les sociétés ouvertes
Quelles sont les principales leçons à retenir pour les sociétés ouvertes et, en particulier, pour leur conseil d’administration?
Les outils d’IA permettent de gagner en efficacité, mais ils comportent des risques. Le plus connu d’entre eux est la possibilité d’erreurs affirmées avec confiance, allant d’imprécisions mineures à de véritables hallucinations.
L’IA de l’ombre entraîne d’autres risques, potentiellement beaucoup plus graves. Pour les sociétés ouvertes, ces risques comprennent la communication involontaire d’information privilégiée. De nombreux scénarios sont envisageables.
On peut citer, à titre d’exemple, la communication involontaire lors de la préparation de documents d’information continue. Ce serait le cas, si, lors de la préparation du prochain rapport de gestion ou de la prochaine notice annuelle d’une société, un employé utilise un outil d’IA grand public pour résumer les développements récents ou peaufiner le libellé d’un projet de communication.
Ce risque est particulièrement élevé pour les émetteurs publics du Québec, qui doivent, dans certains cas, préparer et déposer des documents d’information continue en français. Un employé pourrait être tenté d’utiliser un outil d’intelligence artificielle grand public pour traduire des ébauches de rapports de gestion, des notices annuelles, des communiqués de presse ou d’autres documents d’information, ou encore de s’en servir pour rédiger directement les versions françaises. Si ces documents contiennent de l’information privilégiée, l’utilisation d’un tel outil pourrait entraîner une communication involontaire avant la diffusion autorisée de l’information.
Un autre exemple envisageable est la communication involontaire de l’information pendant une analyse effectuée par une société visant à déterminer si un élément constitue un fait ou un changement important. Comme les avocats en droit des valeurs mobilières le savent bien, cette analyse s’avère souvent complexe et nécessite fréquemment de prendre des décisions délicates. Il est tout à fait naturel que les personnes appelées à participer à cette analyse ou à prendre une décision soient tentées de faire appel à l’IA pour éclairer leur réflexion, mettre en évidence les implications potentielles ou jouer le rôle de l’avocat du diable.
La leçon clé à retenir pour les sociétés ouvertes et leur conseil d’administration est donc que l’IA de l’ombre n’est pas une simple préoccupation liée à l’informatique, mais un enjeu de transparence et de gouvernance qui se situe à la croisée des technologies, du droit et du conseil d’administration – et la réponse à cette préoccupation doit aussi tenir compte de ces trois dimensions. La solution n’est pas d’interdire l’IA, mais de bien l’encadrer. Voici une liste de mesures concrètes :
- des protocoles rigoureux en matière d’IA propres à la société ainsi qu’une liste claire des outils d’IA approuvés, dont l’adoption et l’examen périodique, sont supervisés par le conseil d’administration;
- la formation des employés sur l’IA de l’ombre, les risques qu’elle présente et les cas d’utilisation interdits, notamment en ce qui concerne les renseignements de la société;
- des mesures de contrôle et des procédures relatives à la communication de l’information qui prévoient expressément l’utilisation de l’IA dans la préparation et l’analyse des documents d’information continue, sous la supervision du comité d’audit ou du comité responsable de la communication de l’information, selon le cas;
- un plan d’intervention en cas d’incident, lequel devrait être testé, dans l’éventualité d’une communication involontaire d’information privilégiée;
- l’inclusion des risques liés à l’IA – y compris l’IA de l’ombre – comme point régulier à l’ordre du jour du conseil d’administration ou d’un comité désigné, pour s’assurer que la surveillance suit le rythme soutenu de l’évolution des outils d’IA et de leur utilisation au sein de l’organisation.
Dans l’ensemble, l’IA et son utilisation continuent d’évoluer à un rythme toujours plus rapide. Ainsi, à mesure que de nouveaux cas de non-conformité sont révélés, les sociétés ouvertes et leur conseil d’administration doivent continuer à prendre les mesures nécessaires et à adapter leurs protocoles en matière d’IA de manière proactive.
