Sagentix Cybersécurité et IA · Bilan de préparation des agents d’IA
Vos agents d’IA ont besoin de règles
avant d’obtenir plus d’accès.
Vos équipes commencent à demander à des agents d’intelligence artificielle (IA) de lire les systèmes de l’entreprise, de rédiger et d’agir. Avant qu’un agent touche aux données des clients ou des employés, votre conseil, votre auditeur ou votre plus gros client posera deux questions. Que peut voir l’agent, et qui approuve ce qu’il fait?
Le bilan de préparation répond aux deux, par écrit, pour chaque usage prévu. Il dure au plus six semaines et vous demande deux ateliers de 90 minutes.
Pourquoi maintenant : des règles assorties de dates
Cinq règles datées peuvent viser une entreprise canadienne qui utilise l’IA, selon où elle exerce ses activités et qui elle sert. Chaque ligne renvoie au texte officiel.
Loi 25 du Québec — art. 12.1 de la loi sur le secteur privé
Les entreprises assujetties à la loi québécoise sur le secteur privé
En vigueur
Informer la personne qu’une décision la concernant est fondée exclusivement sur un traitement automatisé de ses renseignements personnels, au plus tard au moment où on l’en informe, et lui permettre de présenter ses observations à un membre du personnel en mesure de réviser la décision.
Source : Commission d’accès à l’information du QuébecLoi de 2000 sur les normes d’emploi de l’Ontario — art. 8.4
Employeurs ontariens de 25 employés ou plus (Règl. de l’Ont. 476/24)
Depuis le 1er janvier 2026
L’employeur qui a recours à l’intelligence artificielle pour trier, évaluer ou sélectionner des candidats doit le déclarer dans toute annonce publique de poste.
Source : Lois-en-ligne de l’OntarioRèglement de l’Union européenne (UE) sur l’IA — art. 50, par. 2, marquage lisible par machine
Entreprises dont les produits d’IA atteignent des personnes dans l’UE
2 décembre 2026
Les fournisseurs de systèmes qui génèrent du texte, des images, du son ou de la vidéo, mis sur le marché avant le 2 août 2026, doivent marquer ce contenu comme généré artificiellement.
Source : Règlement (UE) 2026/1744, EUR-LexBureau du surintendant des institutions financières (BSIF) — ligne directrice E-23, Gestion du risque de modélisation
Banques, assureurs et sociétés de fiducie sous réglementation fédérale
1er mai 2027
La définition de modèle englobe les méthodes d’intelligence artificielle et d’apprentissage automatique; les agents d’IA qui produisent des résultats relèvent donc de la gestion du risque de modélisation.
Source : BSIFRèglement de l’UE sur l’IA — usages à haut risque de l’annexe III (embauche, crédit, éducation et autres)
Entreprises dont l’IA sert à ces fins dans l’UE
2 décembre 2027
Les obligations de gestion des risques, de gouvernance des données, de journalisation et de contrôle humain s’appliquent à ces systèmes à compter de cette date, reportée du 2 août 2026.
Source : Règlement (UE) 2026/1744, EUR-LexLe 1er mai 2026, le Centre canadien pour la cybersécurité et cinq organismes alliés ont publié le Bulletin conjoint sur l’adoption prudente des services d’intelligence artificielle agentive. Ce sont des conseils, pas une loi. Ils demandent le droit d’accès minimal, l’approbation humaine avant qu’un agent pose un geste à fort impact, et aucun accès en écriture des agents aux journaux. Ils précisent aussi que ce sont les concepteurs ou les exploitants du système qui décident quand une approbation est requise, jamais l’agent.
Ce que couvre le bilan de préparation
Cinq étapes, une portée fixe. Vous recevez un résultat écrit à chaque étape.
1. Registre des usages
Chaque usage prévu, avec son responsable, les systèmes auxquels il se connecte et la sensibilité des données qu’il lit.
2. Tri des règles
Pour chaque usage, les règles ci-dessus qui s’appliquent et ce que chacune exige. Un usage qui touche l’embauche ou une décision visant une personne est signalé ici.
3. Zones de données
Quelles données peuvent atteindre quel agent, et quels usages attendent des contrôles plus solides.
4. Cinq questions du conseil
Inventaire, responsabilité, appétit pour le risque, conditions des fournisseurs et usage par le personnel, chacune répondue ou signalée.
5. Note de décision
Les usages qui peuvent commencer maintenant (lecture seule, données peu sensibles) et les conditions imposées aux autres.
Prix
Un prix fixe, annoncé pendant l’appel avant tout travail. Il est porté en entier au crédit de la trousse de gouvernance si vous poursuivez. Comment cette pratique est tarifée
La suite, si vous la voulez
La trousse de gouvernance rédige les règles que votre plateforme applique, pour au plus cinq systèmes connectés.
- Une politique d’utilisation acceptable de l’IA et une fiche d’une page pour le personnel
- Des règles d’approbation : ce que chaque agent peut lire et modifier, et qui approuve
- Un calendrier des journaux et des documents, avec un lecteur désigné pour chaque journal
- Une table de concordance avec les règles ci-dessus, la norme ISO/IEC 42001 et le cadre de gestion des risques liés à l’IA du NIST, prête pour un auditeur ou le questionnaire d’un client
Un examen trimestriel relit ensuite les règles d’approbation et échantillonne les journaux, afin que l’accès ne s’élargisse que lorsque la preuve montre que les contrôles fonctionnent.
Nous avons testé les contrôles nous-mêmes
Avant de rédiger cette offre, nous avons fait fonctionner un espace de travail d’agents à code source ouvert sur nos propres systèmes. Les modifications de code de l’agent attendaient derrière une étape d’approbation. Une tâche planifiée qu’il avait créée est restée désactivée jusqu’à ce qu’une personne l’active. Chaque étape indiquait ce que l’agent avait lu, et le coût du modèle s’affichait en direct : environ 0,05 $ US pour les deux essais.
La plupart des plateformes d’agents offrent de tels contrôles. Ils ne protègent rien tant que quelqu’un n’a pas écrit les règles derrière eux, et c’est notre travail.
Nous gouvernons la plateforme que vous avez choisie; nous ne la choisissons pas pour vous. Nous mettons les règles en correspondance et rédigeons les contrôles; l’interprétation juridique reste à votre conseiller juridique.
Lesquels de vos usages de l’IA peuvent commencer lundi?
Trente minutes. Apportez la liste des usages que vos équipes souhaitent. Nous vous disons quelles règles les touchent et ce que couvrirait le bilan de préparation.