Loi 25, AI Act, NIST, ISO 42001 : quel cadre suivre pour gouverner l'IA

Quatre sigles reviennent dans toutes les discussions sur la gouvernance de l'IA : Loi 25, AI Act européen, NIST AI RMF et ISO/IEC 42001. Ils ne jouent pas dans la même catégorie — deux sont des lois, un est un cadre volontaire, un est une norme certifiable — et une PME québécoise n'a pas besoin de les appliquer tous les quatre.

Voici ce que chacun couvre, lequel s'impose à vous et comment les faire travailler ensemble au lieu de les subir.

Loi 25 : votre obligation légale au Québec

La Loi 25 n'est pas une loi sur l'IA à proprement parler : c'est la loi québécoise de protection des renseignements personnels. Mais comme la quasi-totalité des usages d'IA en entreprise implique des renseignements personnels, elle est de facto votre premier cadre de gouvernance de l'IA — et le seul dont le non-respect entraîne des sanctions directes ici, pouvant atteindre 10 millions de dollars ou 2 pour cent du chiffre d'affaires mondial en sanctions administratives, le montant le plus élevé étant retenu.

Pour vos projets d'IA, elle impose notamment : un responsable de la protection des renseignements personnels, des politiques publiées, une évaluation des facteurs relatifs à la vie privée avant de déployer un système traitant des renseignements personnels ou de les communiquer hors Québec, la transparence sur les décisions entièrement automatisées et la gestion documentée des incidents de confidentialité.

Si vous ne deviez retenir qu'un cadre, c'est celui-ci : il est obligatoire, il est contrôlé par la Commission d'accès à l'information, et il couvre le risque le plus concret de l'IA générative en entreprise — la fuite de renseignements personnels dans les prompts.

AI Act européen : obligatoire si vous touchez le marché européen

L'AI Act est le premier grand règlement au monde consacré spécifiquement à l'IA. Son approche est fondée sur le risque : pratiques interdites (manipulation, notation sociale), systèmes à haut risque soumis à des obligations lourdes (gestion des risques, documentation technique, supervision humaine, qualité des données), obligations de transparence pour les systèmes en contact avec le public, et règles particulières pour les modèles à usage général.

Son application est extraterritoriale : une entreprise québécoise qui fournit un système d'IA sur le marché européen, ou dont les sorties d'un système d'IA sont utilisées dans l'Union, peut y être soumise. Si vos clients ou vos produits touchent l'Europe, une lecture attentive s'impose. Sinon, l'AI Act reste un excellent référentiel d'anticipation : ses catégories de risque inspirent déjà les réflexions réglementaires canadiennes.

NIST AI RMF : le cadre volontaire pour structurer votre démarche

L'AI Risk Management Framework du NIST américain n'est pas une loi : c'est un cadre de gestion des risques, gratuit et volontaire, organisé en quatre fonctions — gouverner, cartographier, mesurer, gérer. Il ne vous dit pas quoi faire légalement ; il vous donne une méthode pour identifier et traiter les risques de vos usages d'IA de façon systématique.

Son intérêt pour une PME : c'est un langage commun reconnu internationalement. Structurer votre gouvernance selon ses quatre fonctions facilite les réponses aux questionnaires de sécurité de vos clients et prépare le terrain pour toute certification future.

ISO/IEC 42001 : la norme certifiable

ISO/IEC 42001 définit un système de management de l'IA, sur le modèle d'ISO 27001 pour la sécurité de l'information : politiques, rôles, gestion des risques, amélioration continue — et la possibilité d'une certification par un organisme accrédité.

Pour la plupart des PME, la certification n'est pas une priorité immédiate. Elle le devient quand vos clients grands comptes l'exigent dans leurs appels d'offres, ou quand vous vendez vous-même des services d'IA et avez besoin d'un signal de confiance vérifiable.

Quatre cadres, une seule réalité opérationnelle

La superposition impressionne, mais les exigences convergent vers un socle commun étonnamment stable :

• savoir quels systèmes d'IA sont utilisés dans l'organisation et pour quoi ;
• encadrer les usages par des politiques claires et un responsable identifié ;
• protéger les données qui transitent par ces systèmes, en particulier les renseignements personnels ;
• superviser les sorties par des humains responsables ;
• prouver le tout par une documentation à jour : évaluations, registres, journaux.

Une organisation qui tient ce socle satisfait l'essentiel de la Loi 25, coche la majorité des attentes du NIST AI RMF, et part avec une longueur d'avance le jour où l'AI Act ou ISO 42001 entre dans son champ.

Par où commencer, concrètement

Pour une PME québécoise, l'ordre de marche raisonnable tient en trois temps : d'abord la conformité Loi 25 (elle est obligatoire et sanctionnée), ensuite la structuration selon le NIST AI RMF (elle organise votre démarche sans coût de licence), enfin l'AI Act et ISO 42001 selon votre exposition au marché européen et aux grands comptes.

C'est exactement la logique du score de gouvernance de Kairos Intelligence : un ensemble de contrôles opérationnels mesurés en continu, cartographiés à la fois sur la Loi 25, l'AI Act, le NIST AI RMF et ISO/IEC 42001 — pour que le même travail de gouvernance serve les quatre cadres à la fois.