Depuis le lancement de ChatGPT d’OpenAI à la fin de 2022, l’intelligence artificielle (IA) est rapidement passée d’une technologie faisant l’objet de projets pilotes expérimentaux à un levier opérationnel essentiel pour de nombreuses sociétés ouvertes.[1] Toutefois, pour certains émetteurs, l’adoption de l’IA semble avoir progressé plus rapidement que l’encadrement nécessaire à sa gouvernance. L’un des principaux risques liés à l’IA pour les sociétés ouvertes ne réside donc pas dans l’IA elle-même, mais dans son intégration à l’entreprise sans la mise en place de structures de gouvernance rigoureuses et adaptées à la réalité de chaque émetteur.
À la lumière de statistiques présentées dans l’étude 2026 sur l’information relative aux facteurs ESG de Fasken (l’« étude de Fasken »), qui aborde l’information communiquée par les sociétés ouvertes canadiennes au sujet de l’IA, nous expliquons pourquoi les organisations les mieux placées pour tirer pleinement parti des avantages de l’IA tout en maîtrisant les risques efficacement sont celles qui : 1) font de la maîtrise des fondements de l’IA un préalable à son adoption; et 2) mettent en place de manière proactive des cadres de gouvernance adaptés à l’utilisation réelle de l’IA au sein de leur entreprise.
Approfondissez vos connaissances avec les volets 1,[2] 2 ,[3] et 3 [4] de notre série de bulletins « IA et CA ». Pour découvrir plus de ressources de Fasken en matière de gouvernance d’entreprise, visitez notre Centre du savoir sur les marchés des capitaux et les fusions et acquisitions. N’hésitez pas à vous y abonner.
I. Écarts en matière de valeur et de gouvernance de l’IA
L’ampleur de l’adoption de l’IA par les entreprises canadiennes ne fait désormais plus de doute. Dans l’étude de Fasken, 73 % des sociétés étudiées ont déclaré avoir adopté l’IA sous une forme ou une autre, que ce soit à l’égard de leurs produits, de leurs activités ou de leurs services.[5] Cette adoption ne se cantonne pas à des outils ciblés conçus pour exécuter des tâches précises. Les entreprises adoptent de plus en plus des systèmes agentiques pouvant contribuer directement à la prise de décisions organisationnelles, ce qui augmente les risques associés à une gouvernance inadéquate.
Statistiques clés relatives à la création de valeur et au degré de préparation en matière de gouvernance
L’IA ne crée pas systématiquement de la valeur pour toutes les sociétés qui l’adoptent. Un récent rapport de PwC a révélé que seules 20 % des entreprises tirent parti de la majorité des avantages économiques de l’IA,[6] ce qui démontre un écart marqué entre celles qui en font un usage stratégique et efficace et celles qui tardent à le faire. Par ailleurs, 72 % des organisations considèrent l’utilisation responsable de l’IA comme une priorité absolue. Pourtant, 36 % ne disposent toujours pas d’une fonction de gouvernance dédiée à la gestion des risques connexes.[7] Ces données soulèvent deux questions importantes : qu’est-ce qui distingue les entreprises qui réussissent à mieux tirer parti de l’IA, et comment parviennent-elles à en atténuer les risques efficacement?
Écart de préparation entre les entreprises canadiennes en matière d’IA
Les entreprises canadiennes illustrent très bien cet écart de valeur et de préparation en matière de gouvernance de l’IA. Selon une étude de KPMG, le Canada se classe au 44e rang parmi les 47 pays étudiés en matière de littéracie en IA.[8] L’étude de Fasken révèle par ailleurs que seules 20 % des sociétés étudiées comptent des administrateurs possédant des connaissances précises sur l’IA, tandis que seules 4 % comptent au moins un dirigeant dont le titre ou la description de poste mentionne expressément l’IA.[9] Ces statistiques laissent entendre que les équipes de direction et les conseils d’administration canadiens n’ont peut-être pas les connaissances techniques nécessaires pour assurer la mise en place et la gouvernance efficaces des systèmes d’IA.
Propositions d’actionnaires liées à l’IA au Canada
Afin de mieux mesurer les préoccupations des investisseurs à l’égard de l’adoption de l’IA et de sa gouvernance au sein des sociétés ouvertes canadiennes, l’étude de Fasken a analysé les propositions d’actionnaires liées à l’IA soumises aux 100 sociétés inscrites à la TSX affichant la plus importante capitalisation boursière. Au total, 14 propositions ont été reçues, dont 71 % ont été soumises à un vote.[10] Le niveau moyen de soutien pour les propositions qui ont été soumises au vote était de seulement 8,63 %.
À première vue, ces statistiques donnent à penser que les sociétés ouvertes subissent peu de pression directe de la part des marchés pour renforcer leurs mécanismes de gouvernance de l’IA. Une telle interprétation serait toutefois trop simpliste. La diversité des propositions, tout comme celle des arguments invoqués par les sociétés visées, rend toute généralisation hasardeuse. Cela dit, alors qu’un mouvement de résistance à l’égard de l’IA gagne du terrain dans certains milieux (au Canada comme à l’étranger), nous nous attendons à ce que les propositions d’actionnaires liées à l’IA se multiplient et se complexifient. Nous continuerons par ailleurs de suivre leur évolution dans les prochaines éditions annuelles de l’étude de Fasken.
II. Définition des risques liés à l’IA
Les risques liés à l’IA sont multidimensionnels. Dans l’étude de Fasken (en anglais seulement), 72 % des sociétés étudiées ont inclus l’IA dans les risques qu’elles ont déclarés.[11] Les risques réputationnels, réglementaires et de cybersécurité figurent d’ailleurs parmi les principales préoccupations des leaders du secteur.[12] Bien qu’il soit impossible de dresser ici un portrait exhaustif des risques liés à l’IA, ceux-ci étant largement tributaires des réalités propres à chaque entreprise, nous en présentons néanmoins ci-dessous un échantillon représentatif.
IA de l’ombre
L’« IA de l’ombre » consiste en l’utilisation non autorisée d’outils d’IA par le personnel d’une société. L’un des principaux risques créés par l’IA de l’ombre réside dans l’utilisation, sans surveillance organisationnelle, de plateformes publiques d’IA pour traiter des données commerciales sensibles ou des renseignements exclusifs appartenant à l’entreprise ou à ses clients. Une telle utilisation peut entraîner plusieurs enjeux de concurrence, de protection des données, de sécurité et de conformité à la réglementation.
Les risques causés par l’IA de l’ombre ne se limitent pas forcément aux employés des échelons inférieurs ou intermédiaires d’une entreprise. Comme nous l’avons souligné dans notre bulletin intitulé « IA et CA : entre avantages, risques et équilibre complexe à maintenir », une récente étude de Nasdaq indique que seuls 8 % des administrateurs et des dirigeants ont déclaré que leur conseil utilise un outil d’IA approuvé, mais que [traduction] « selon certaines sources, environ les deux tiers des administrateurs utilisent actuellement l’IA dans l’exercice de leurs fonctions ». Parmi les risques que présente l’IA de l’ombre pour les sociétés ouvertes figure la communication involontaire potentielle d’information privilégiée (p. ex. dans le cadre de mécanismes internes relatifs aux obligations d’information continue de la société – voir « IA et CA – Volet 3 : “IA de l’ombre”, information continue et communication involontaire d’information privilégiée »).
Risques liés à la propriété intellectuelle
L’IA soulève des risques de propriété intellectuelle à divers égards, notamment : 1) la divulgation de secrets commerciaux (p. ex. lorsque des données commerciales sensibles ou des spécifications de produits confidentielles sont saisies dans un outil d’IA accessible au public); 2) l’atteinte au droit d’auteur (les outils d’IA peuvent reproduire du contenu protégé par le droit d’auteur et accessible sur Internet, exposant ainsi l’entreprise à d’éventuelles réclamations pour violation du droit d’auteur présentées par des tiers si elle utilise du contenu généré par l’IA dans ses documents d’affaires); et 3) l’incertitude quant à la titularité des droits (comme le droit d’auteur) sur le contenu généré par l’IA (p. ex. lorsque les conditions d’utilisation applicables accordent au fournisseur d’IA certains droits sur les données d’entrée ou les résultats générés).
Risques liés à la sous-utilisation de l’IA
Les risques liés à l’adoption de l’IA sont généralement ceux qui attirent le plus l’attention. Cela dit, il convient de souligner qu’une adoption insuffisante de l’IA comporte également son lot de risques dont les répercussions se font sentir à plusieurs égards.
Les risques de perte de compétitivité et d’obsolescence sont sans doute les plus marquants. En pratique, les entreprises qui tardent trop à intégrer l’IA de manière efficace risquent de voir leurs produits et services perdre leur avantage concurrentiel, et même devenir obsolètes, au regard de ceux de concurrents qui suivent de près l’évolution du marché. Ce risque concerne tout autant les entreprises pour lesquelles l’IA constitue un levier opérationnel actuel ou potentiel que celles dont le modèle d’affaires repose sur des produits ou des services alimentés par l’IA.
Ne pas adopter d’outils d’IA comporte aussi son lot de risques internes. Comme nous l’avons souligné dans notre bulletin intitulé « IA et CA : entre avantages, risques et équilibre complexe à maintenir », l’IA constitue une arme à double tranchant pour les administrateurs. D’une part, en se fiant trop aux outils d’IA, les administrateurs risquent de ne pas respecter leurs obligations fiduciaires à l’égard de la société. D’autre part, compte tenu de l’utilité indéniable de l’IA, ne pas avoir assez recours à cette technologie pourrait vraisemblablement engendrer des risques similaires : les conseils d’administration ne devraient pas éviter indûment des technologies susceptibles d’enrichir la profondeur et la rigueur de leur prise de décisions. En outre, les entreprises qui tardent à intégrer l’IA à leurs activités peuvent compromettre leur capacité à attirer des talents potentiels et à retenir les talents actuels. Dans certains secteurs, dont celui des technologies, l’essor rapide de l’IA a donné lieu à une véritable guerre pour les talents. La révolution de l’IA a redéfini les attentes pour bon nombre d’employés actuels et potentiels (tous secteurs confondus), qui considèrent l’accès à des outils d’IA avancés comme allant de soi.
III. Communication des risques liés à l’IA par les sociétés ouvertes
Les pratiques relatives à la communication d’information démontrent que les risques liés à l’IA font désormais partie intégrante des enjeux de gouvernance actuels : 94 % des sociétés dans l’étude de Fasken ont traité de questions portant sur l’IA dans leurs documents d’information continue.[13]
Les stratégies de communication d’information varient néanmoins considérablement d’un secteur à l’autre. Certaines entreprises traitent des risques liés à l’IA dans des sections distinctes de leurs documents d’information, comme s’il s’agissait d’une catégorie à part entière méritant une analyse particulière. D’autres les intègrent à leurs renseignements sur les risques opérationnels existants, sans les distinguer des autres risques. De façon générale, les entreprises dont le modèle d’affaires repose sur une plateforme ou un produit d’IA sont plus susceptibles de considérer les risques liés à l’IA comme un enjeu central à leurs activités et de les présenter de cette façon.
Pour analyser ce phénomène, il est utile de recourir à un modèle en U inversé qui établit un lien entre les risques liés à l’IA et l’ampleur des informations communiquées à son sujet au fil de son adoption, comme l’explique le professeur Bonelli de la Venice School of Management.[14] Au cours des premières étapes de l’adoption de l’IA, les risques atteignent généralement leur paroxysme. Les pressions concurrentielles incitent les entreprises à accélérer l’adoption de cette technologie, tandis que les structures de gouvernance nécessaires pour en encadrer l’utilisation sont souvent insuffisantes. Les entreprises qui intègrent de nouveaux systèmes d’IA à leurs processus existants se heurtent souvent à d’importantes difficultés de mise en œuvre, et leurs modèles de gouvernance accusent fréquemment un retard par rapport aux réalités opérationnelles de systèmes de plus en plus autonomes. En revanche, les risques tendent à diminuer lors des phases d’adoption subséquentes, à mesure que les processus d’IA s’intègrent davantage aux mécanismes de contrôle et de surveillance.[15] Nous suivrons de près l’évolution de cette tendance sur le marché canadien dans les prochaines éditions annuelles de l’étude de Fasken.
IV. Stratégies d’atténuation des risques
Comme nous l’avons souligné, la gestion des risques liés à l’IA passe par la mise en place de mécanismes de contrôle de l’IA qui sont adaptés aux réalités opérationnelles particulières de chaque entreprise. Voici quelques exemples de mesures concrètes que les sociétés ouvertes canadiennes peuvent prendre :
- Développement des compétences en IA : L’étude de Fasken a révélé que seules 41 % des sociétés étudiées offrent à leurs administrateurs des occasions de formation relatives à l’IA. La formation des administrateurs et le recours à des experts en IA contribuent à renforcer les connaissances organisationnelles nécessaires pour permettre aux conseils d’administration de superviser de manière rigoureuse et proactive la gestion et la mise en œuvre des mécanismes de gouvernance de l’IA.
- Politiques d’utilisation acceptable : Les sociétés doivent adopter et régulièrement mettre à jour des politiques écrites qui encadrent l’utilisation acceptable des outils d’IA internes et externes, en portant une attention particulière à l’IA de l’ombre et aux principales sources de risques liés à l’IA au sein de leur entreprise. La gestion efficace de l’IA repose en grande partie sur le renforcement des compétences et de la responsabilisation dans l’ensemble de l’entreprise.
- Approche à l’échelle de l’entreprise : L’adoption d’une approche de gouvernance à l’échelle de l’entreprise permet d’atténuer les risques liés à l’utilisation et à la gestion de l’IA en vase clos et d’établir un cadre de référence commun et centralisé, réduisant ainsi les probabilités que l’IA soit utilisée sans autorisation ou encadrement adéquat. Les entreprises gagneraient à mettre sur pied des comités multidisciplinaires robustes qui réunissent des représentants des secteurs d’activités concernés afin d’assurer une surveillance continue des risques liés à l’IA et de prendre les mesures appropriées pour les gérer.
Pour en savoir plus, consultez notre bulletin intitulé « IA et CA – Volet 2 : Pas seulement pour les institutions financières : ce que les autres sociétés canadiennes peuvent retenir des lignes directrices de l’AMF sur l’IA ».
Conclusion
L’étude de Fasken révèle que l’un des principaux risques auxquels sont exposées les sociétés ouvertes canadiennes réside dans l’écart entre, d’une part, la rapidité de l’évolution et de l’adoption de l’IA et, d’autre part, le développement de l’expertise interne nécessaire à la mise en œuvre efficace des outils d’IA et de leurs mécanismes de gouvernance. Les entreprises qui parviennent à combler cet écart de manière proactive en ciblant les domaines pour lesquels l’IA présente le plus grand potentiel de création de valeur et pour lesquels les risques sont les plus importants seront les mieux placées pour tirer parti des avantages de l’IA tout en atténuant les risques. Au bout du compte, il reviendra aux conseils d’administration et à la direction d’assumer cette responsabilité, notamment afin de s’acquitter de leurs obligations de diligence à l’égard de la société (consultez notre bulletin intitulé « IA et CA : entre avantages, risques et équilibre complexe à maintenir »).
