Gouvernance des agents IA
Un agent IA peut agir : consulter un système, préparer une décision, exécuter une étape. Voici le cadre que nous écrivons avec vous avant de le laisser faire, avec un modèle de mandat, des exemples de seuils et un extrait de piste d’audit.
Vous écrivez à un agent IA. Confidentialité
La règle
Aucune décision critique sans validation humaine.
Ce qui est critique est écrit dans chaque mandat. Par défaut : toute décision qui touche les droits d’une personne, autorise une dépense au-delà du seuil fixé, modifie une donnée officielle ou engage votre organisation envers un tiers. Dans ces cas, l’agent prépare et une personne décide.
Liste par défaut établie d’après le Guide sur l’utilisation responsable de l’intelligence artificielle agentique (section 4), reformulée par nous.
Le cadre
Un mandat, des données, des actions, une preuve.
Chaque agent est décrit de la même façon, du premier atelier jusqu’en production. Tout le reste en découle.
Un mandat
Ce que l’agent peut décider, ce qu’il ne décide jamais, qui en répond chez vous, comment on l’arrête.
Des données
Ce qu’il peut lire, et seulement cela, selon vos droits d’accès.
Des actions
Ce qu’il peut faire dans vos systèmes, et jusqu’à quel seuil.
Une preuve
Le journal de chaque décision, conservé là où l’agent ne peut ni le modifier ni l’effacer.
Modèle de mandat
Modèle de mandat d’un agent IA.
Les rubriques que nous remplissons avec vous, dès l’atelier. Vous pouvez les reprendre telles quelles.
- Mandat
Finalité
La tâche confiée à l’agent, la valeur attendue et l’indicateur qui la mesure.
- Mandat
Responsables
La personne responsable du processus, celle des technologies, les personnes chargées de la supervision.
- Mandat
Décisions permises
La liste fermée de ce que l’agent peut décider seul.
- Mandat
Décisions interdites
Ce que l’agent ne fait jamais, même si on le lui demande.
- Données
Données et systèmes
Ce que l’agent peut consulter, avec quels droits; ce qui lui est fermé.
- Actions
Actions et seuils
Ce que l’agent peut exécuter, et la limite au-delà de laquelle il s’arrête.
- Actions
Validation humaine
Les actions qu’une personne approuve avant leur exécution, et qui est cette personne.
- Actions
Seuils d’escalade
Les situations où l’agent s’arrête et remet le dossier à une personne.
- Preuve
Journal
Ce qui est consigné, où, pendant combien de temps, et qui peut le consulter.
- Mandat
Arrêt
Qui peut suspendre l’agent, comment, et comment le travail reprend à la main.
- Actions
Coûts
Le plafond des coûts d’utilisation du modèle d’IA et le seuil d’alerte.
- Preuve
Revue et approbation
La fonction qui approuve, la date, la version du mandat, la date de la prochaine revue.
Seuils d’escalade
Quand l’agent s’arrête : exemples.
Les seuils sont fixés avec vous, mandat par mandat. Ceux-ci sont des exemples.
| Situation | Ce que fait l’agent |
|---|---|
| Un montant dépasse la limite fixée au mandat | Il prépare le dossier et le remet à la personne autorisée. |
| Deux sources se contredisent, ou une pièce manque | Il signale l’écart et attend. |
| Le dossier contient un renseignement personnel sensible | Il cesse le traitement et remet le dossier à la personne responsable. |
| La demande sort du périmètre du mandat | Il refuse, l’indique au demandeur et consigne la demande. |
| Une réponse doit sortir de l’organisation | Il rédige un projet; une personne l’envoie. |
| Le coût d’une exécution dépasse le seuil d’alerte | Il s’interrompt et avise la personne responsable des technologies. |
Validation humaine
Définie mandat par mandat.
La validation humaine n’est pas un principe général : chaque mandat dit ce que l’agent fait seul, ce qu’une personne approuve, et ce qu’il ne fait jamais. Exemple fictif, pour un agent qui trie les demandes d’accès à des documents internes.
Ce que l’agent fait seul
Il classe la demande, vérifie les pièces, retrouve les documents visés et prépare le dossier.
Ce qu’une personne approuve
Toute diffusion d’un document, et tout dossier où un renseignement personnel est détecté.
Ce que l’agent ne fait jamais
Refuser une demande, répondre au demandeur au nom de l’organisation, modifier un document.
Piste d’audit
Ce que contient la piste d’audit.
Exemple fictif, pour le même agent. Chaque entrée répond à quatre questions : qu’a-t-on demandé, sur quoi l’agent s’est-il appuyé, qu’a-t-il proposé, qui a décidé.
2026-10-11 14:32:07 A-0192 Demande reçue : accès à un document interne
Sources consultées : registre des demandes; politique de diffusion, version 3
Proposition de l’agent : acheminer à l’équipe responsable de l’accès à l’information
Seuil atteint : renseignement personnel détecté → validation humaine requise
2026-10-11 14:41:52 A-0192 Validation : personne responsable désignée → acheminement approuvé
Mandat : version 1.2 · Modèle : version consignée · Journal en lecture seule pour l’agentNotre propre agent
Le mandat de l’agent de ce site.
Nous appliquons ce cadre à l’agent qui vous répond ici. Une différence importante : il répond directement au public, sans validation préalable. C’est pourquoi son mandat lui interdit tout engagement au nom de l’entreprise.
Finalité
Répondre aux questions sur Virage agentique, comprendre votre enjeu, vous remettre une note préliminaire et une ébauche de mandat, et vous mettre en contact avec l’équipe.
Il peut
Expliquer l’offre et la méthode, poser des questions, résumer une page du site, afficher la fiche pour joindre l’équipe.
Il ne fait jamais
Se présenter comme une personne; donner un prix, une date ou une référence; prendre un engagement au nom de l’entreprise; donner un avis juridique; demander un renseignement sensible.
Escalade
Toute demande de proposition, de rendez-vous ou d’engagement est remise à l’équipe, qui répond en moins d’un jour ouvrable.
Supervision
L’équipe relit des conversations après coup et ajuste ses instructions.
Journal
Chaque échange est enregistré avec sa date et la page consultée, et conservé 12 mois après le dernier échange.
Arrêt
L’agent peut être désactivé en tout temps; la fiche de contact et le téléphone restent accessibles.
Modèle et hébergement
Un modèle Claude, d’Anthropic, exploité par Amazon Web Services. Les échanges avec l’agent de ce site sont traités à l’extérieur du Québec, notamment aux États-Unis.
Cadres québécois
Correspondance avec les cadres québécois.
Selon notre lecture, voici où chaque élément de notre cadre trouve son appui dans les documents du gouvernement du Québec et dans la Loi 25. Cette correspondance est la nôtre; l’autorisation d’un agent reste la décision de votre organisation.
| Notre cadre | Guide sur l’IA agentique (2026) | Énoncé de principes (2025) | Loi 25 |
|---|---|---|---|
| Mandat écrit : décisions permises et interdites | Section 8 | Responsabilité | — |
| Seuils d’escalade et validation humaine | Section 9 | Autonomie et supervision humaine | Art. 12.1 (secteur privé), art. 65.2 (secteur public) |
| Preuve : journal que l’agent ne peut pas modifier | Section 9 | Transparence; explicabilité | — |
| Arrêt et retour au mode manuel | Sections 8 et 9 | Fiabilité et robustesse | — |
| Données : accès limités au strict nécessaire | Section 8 | Sécurité | — |
| EFVP faite par votre organisation, avec notre description technique | Section 8; annexe C | Respect des personnes et de la règle de droit | Art. 3.3 (secteur privé), art. 63.5 (secteur public) |
| Lieu d’hébergement et de traitement, écrit au contrat | — | Souveraineté numérique | Art. 17 (secteur privé), art. 70.1 (secteur public) |
| Plafond des coûts d’utilisation du modèle | Section 10 | Efficience, efficacité et pertinence | — |
| Registre et revue périodique | Sections 11 et 12 | Responsabilité | — |
Les trois autres principes de l’Énoncé (inclusion et équité, durabilité, compétence) sont abordés avec vous au diagnostic. Documents consultés le 14 novembre 2026.
Sources
- Guide sur l’utilisation responsable de l’intelligence artificielle agentique (nouvel onglet), ministère de la Cybersécurité et du Numérique, 2026
- Énoncé de principes pour une utilisation responsable de l’intelligence artificielle par les organismes publics (nouvel onglet), édition 2025
- Loi sur la protection des renseignements personnels dans le secteur privé (nouvel onglet), RLRQ, c. P-39.1
- Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (nouvel onglet), RLRQ, c. A-2.1
Loi 25
Votre EFVP, documentée avec vous.
Quand un projet touche des renseignements personnels, la loi demande une évaluation des facteurs relatifs à la vie privée (EFVP). Elle relève de votre organisation. Nous vous remettons la description technique dont votre responsable a besoin : données, accès, hébergement, journal.
Questions fréquentes
La gouvernance en questions.
Qu’est-ce qu’une décision critique pour un agent IA?
C’est une décision qu’une personne doit valider avant que l’agent l’exécute. Chez Virage agentique, elle est définie dans chaque mandat. Par défaut : toute décision qui touche les droits d’une personne, autorise une dépense au-delà du seuil fixé, modifie une donnée officielle ou engage l’organisation envers un tiers. Dans ces cas, l’agent prépare et une personne décide.
Qui peut consulter le journal d’un agent IA?
Les personnes que vous désignez dans le mandat. Par défaut, nous prévoyons que chaque consultation du journal soit elle-même consignée, et que l’agent ne puisse ni modifier ni effacer ses propres traces.
Un agent IA peut-il décider seul au sujet d’une personne?
Dans nos mandats, non : une décision qui touche les droits d’une personne est validée par un humain. La loi encadre aussi ce cas : quand une décision est fondée exclusivement sur un traitement automatisé de renseignements personnels, la personne concernée doit en être informée et pouvoir présenter ses observations à une personne en mesure de réviser la décision (article 12.1 de la loi sur le secteur privé, article 65.2 de la Loi sur l’accès pour les organismes publics).
Comment arrête-t-on un agent IA?
Le mandat nomme la personne qui peut suspendre l’agent, dit dans quels cas, et comment le travail reprend à la main. Le mécanisme d’arrêt et le retour au mode manuel sont essayés avant la mise en production.
Qui approuve la mise en production d’un agent IA?
La personne que votre organisation désigne dans le mandat. Elle approuve le mandat avant le pilote, puis la mise en production, sur la base du bilan du pilote.
Garantissez-vous la conformité à la Loi 25?
Non. La conformité est une obligation de votre organisation, et aucun fournisseur ne peut la garantir à sa place. Nos agents sont conçus pour soutenir la conformité à la Loi 25 : mandat écrit, validation humaine, journal, et la documentation dont votre responsable de la protection des renseignements personnels a besoin pour la démontrer.