L’adoption progresse plus vite que la vue d’ensemble
Le portrait publié par le gouvernement du Québec dénombrait 258 initiatives d’intelligence artificielle dans l’administration publique en 2025, une hausse de 54 % par rapport à 2024. Le nombre d’organismes déclarants est passé de 65 à 83, tandis que 61 initiatives touchaient directement les services à la population. Les usages recensés comprennent notamment 81 projets d’aide à la décision, de planification ou de prédiction, 68 assistants conversationnels et 36 initiatives d’automatisation. Cette croissance illustre un problème qui concerne aussi les entreprises, les municipalités, les universités et les établissements de santé québécois. Lorsque chaque service expérimente ses propres outils, personne ne sait nécessairement quels systèmes traitent des renseignements personnels, influencent une décision ou communiquent avec un fournisseur externe. Un tableur d’achats ne suffit plus, car l’IA peut être intégrée à un logiciel déjà autorisé sans apparaître comme un nouveau produit. Le registre interne devient donc une carte des usages réels, y compris les essais et les fonctions activées après l’acquisition.
Un inventaire trop vague crée une fausse transparence
Le gouvernement fédéral a lancé en novembre 2025 un premier registre regroupant plus de 400 systèmes provenant de 42 institutions. Une consultation publique tenue en 2026 a toutefois révélé une limite importante : des expressions comme « assisté par l’IA » ou « automatisé » n’expliquent pas clairement le rôle du système dans une décision. Le rapport de consultation publié le 15 septembre 2026 recommande notamment de préciser si l’IA fournit un avis, participe à une décision avec intervention humaine ou exécute une décision de manière entièrement automatisée. Il propose aussi de décrire la place exacte du système dans le processus et d’identifier la responsabilité humaine. La leçon pour une organisation québécoise est directe. Inscrire « assistant de recrutement » dans un registre renseigne peu. Il faut indiquer si l’outil rédige des offres, classe les candidatures, recommande une liste ou rejette automatiquement certains dossiers. Deux fonctions offertes dans le même logiciel peuvent présenter des risques juridiques et opérationnels complètement différents.
Le registre doit suivre les décisions et les données
Un registre utile devrait consacrer une fiche à chaque cas d’usage, plutôt qu’à chaque abonnement. Une plateforme bureautique peut servir à résumer des documents publics dans une équipe et à analyser des dossiers confidentiels dans une autre. Regrouper ces usages sous un seul nom commercial masquerait les personnes touchées, les données employées et les contrôles nécessaires. La fiche minimale peut identifier le responsable d’affaires, l’objectif, l’état du projet, le fournisseur, les catégories de données, les utilisateurs autorisés et les systèmes connectés. Elle devrait aussi préciser le rôle décisionnel de l’IA, les validations humaines, les mesures de qualité, les incidents connus, la date de la prochaine révision et les conditions de retrait. Il faut également documenter les actions possibles. Un outil qui produit un brouillon n’a pas les mêmes pouvoirs qu’un agent capable d’envoyer un courriel, de modifier une fiche client ou de déclencher un paiement. La question essentielle n’est plus seulement « quel modèle utilisons-nous? », mais « que peut-il faire, avec quelles données et sous l’autorité de qui? ».
La Loi 25 rend cette précision concrètement utile
Au Québec, une organisation doit informer une personne lorsqu’une décision à son sujet repose exclusivement sur le traitement automatisé de ses renseignements personnels. Elle doit aussi lui permettre de présenter ses observations à un membre du personnel en mesure de réviser la décision. Un registre qui ne distingue pas la recommandation, l’approbation humaine et l’automatisation complète complique l’identification de cette obligation. Prenons un logiciel de recrutement. S’il reformule une description de poste, le risque décisionnel demeure limité. S’il classe les candidatures, son influence doit être comprise et supervisée. S’il écarte automatiquement un candidat, l’organisation entre dans une situation beaucoup plus sensible. Le même raisonnement s’applique à l’assurance, au crédit, à l’admission, à la détection de fraude et à la priorisation de demandes citoyennes. Le registre ne remplace pas une évaluation des facteurs relatifs à la vie privée, une analyse juridique ou des essais de biais. Il sert plutôt de mécanisme d’aiguillage : certaines réponses déclenchent une révision par la sécurité, les affaires juridiques, les ressources humaines ou la personne responsable de la protection des renseignements personnels.
Commencer petit, mais imposer une responsabilité claire
Une organisation n’a pas besoin d’attendre une politique parfaite. Elle peut lancer une collecte de quatre semaines auprès des gestionnaires, des achats, des technologies, de la sécurité et de la protection des renseignements personnels. Les employés devraient pouvoir déclarer simplement un nouvel usage, y compris un essai gratuit ou une fonction intégrée à un logiciel existant. Chaque fiche doit avoir un propriétaire capable de confirmer que l’usage demeure nécessaire, que les contrôles fonctionnent et que les renseignements sont à jour. Une révision trimestrielle convient aux usages sensibles ou connectés à des systèmes opérationnels; une révision annuelle peut suffire pour des tâches internes à faible risque. Les projets abandonnés doivent rester traçables pendant une période définie afin de préserver l’historique des décisions et des incidents. Le véritable indicateur de maturité n’est pas le nombre d’outils inscrits. C’est la capacité de répondre rapidement à trois questions : où l’IA intervient-elle, quelle autorité possède-t-elle et quelle personne demeure imputable? Un registre conçu autour de ces réponses transforme un inventaire administratif en véritable contrôle de gestion.
