Prouver vos usages IA,chaque mois, au Canada
Le responsable de la protection des renseignements personnels, ou l’auditeur, demande la liste des outils d’IA en usage, ce qui leur a été envoyé et les règles qui s’appliquaient. Les outils de vos équipes appellent un modèle par la passerelle d’Agent Libre, qui inscrit ces trois choses au passage. Votre équipe conformité en tire un rapport chaque mois, sans demande aux TI.
Parler de votre conformitéTrois questions sans réponse écrite
Un audit de l’IA commence par trois questions. Dans la plupart des organisations, la réponse est dans la tête de quelqu’un.
Quels outils d’IA sont en usage
Le marketing s’est abonné à un outil de rédaction en mars, le développement à un assistant de codage, le soutien à un agent de première ligne. Chacun appelle un modèle chez un fournisseur différent. La liste tenue par les TI date de la dernière revue annuelle et ne compte que les outils achetés par bon de commande.
Quelles données sont sorties
Un conseiller a collé le dossier d’un client dans un outil de rédaction pour préparer une lettre. Le nom, l’adresse et le numéro de compte sont partis chez un fournisseur étranger, dont les conditions permettent parfois de garder le texte pour entraîner ses modèles. Personne ne peut dire quel jour, ni combien de dossiers ont suivi le même chemin.
Quelles règles étaient en place
La politique interne interdit les renseignements personnels dans les outils d’IA. L’auditeur demande la preuve qu’elle s’applique : le nombre de cas où une règle a arrêté quelque chose, et la date de chaque cas. Un document de politique ne produit pas cette preuve.
Vous, votre outil, et le modèle qui lui répond
Votre outil reste le même. Ce qui change, c’est le modèle qui lui répond.
Votre organisation
Vos équipes, vos données et vos règles. Vous décidez ce que l’outil fait, et avec quelles données.
Les outils que vos équipes utilisent
L’outil de rédaction du marketing, l’assistant de codage des développeurs, l’agent qui répond à vos clients : c’est l’équipe qui s’en sert, ou son fournisseur, qui le met en place. Tous passent par la passerelle d’Agent Libre pour obtenir leurs réponses.
Le modèle qui répond à l’outil
Chaque fois que l’outil a besoin d’une réponse, il appelle un modèle de langage. Ce modèle peut venir de différents fournisseurs. C’est ici qu’Agent Libre intervient.
Ce que change Agent Libre derrière vos outils
Vos outils d’IA restent ceux de vos équipes ou de vos fournisseurs. Ils changent d’adresse pour passer par la passerelle d’Agent Libre, qui inscrit et filtre chaque appel. Le détail des contrôles est sur la page Gouvernance ; cette page décrit ce que votre équipe conformité en fait.
Tous les outils branchés
Chaque appel est inscrit avec l’équipe, l’outil qui l’envoie, le modèle appelé et le volume. La passerelle inscrit aussi les appels que vous laissez partir vers un fournisseur public ; l’inventaire couvre alors tout ce que vous avez branché, pas seulement le modèle d’Agent Libre.
Bloquer, ou masquer et laisser passer
Pour chaque catégorie (renseignements personnels, numéros de carte, secrets, code sensible), vous choisissez le mode : l’appel est arrêté, ou le champ est remplacé par « [masqué] » et le travail continue. Une alerte peut partir vers l’équipe de sécurité à chaque cas. Chaque application d’une règle est datée dans le journal.
Un rapport par exigence
Pour la période choisie, le rapport donne l’état de chaque exigence : renseignements personnels, masquage des secrets, données au Canada, rétention des journaux, revue des accès par équipe, avec les écarts à corriger. Il s’exporte en CSV ou en PDF. Loi 25, RGPD, PCI DSS ou HIPAA selon votre secteur : le lien entre chaque ligne et l’article de loi reste le travail de votre équipe.
Données au Canada
La passerelle est hébergée et opérée au Canada. Avec le modèle d’Agent Libre derrière vos outils, les données ne quittent pas le pays. Les requêtes ne sont pas conservées au-delà du traitement et ne servent jamais à entraîner un modèle.
Trois gestes de l’équipe conformité, mois après mois
Les nouveaux outils
L’inventaire montre les outils apparus depuis le mois dernier. L’équipe rattache chacun à une équipe et à un responsable, ou fait fermer l’accès.
Le rapport de la période close
En début de mois, l’équipe exporte le rapport du mois précédent, le compare à celui d’avant et classe l’export avec les autres pièces d’audit. À la visite de l’auditeur, douze rapports sont prêts.
Les règles à revoir
L’équipe lit les cas bloqués et les champs masqués du mois. Une règle qui arrête le même outil chaque jour se règle avec l’équipe concernée ; une règle qui n’a rien arrêté se vérifie. Les ajustements se font depuis la console, sans toucher aux outils.
Ce que chaque équipe décide avant de brancher ses outils
Quatre décisions à prendre avant le premier rapport.
Dressez la liste des renseignements qui ne doivent pas atteindre un modèle (nom, adresse, date de naissance, numéro d’assurance sociale, numéro de compte) et décidez, pour chacun, si la passerelle arrête l’appel ou masque le champ. Cette liste devient la règle écrite que l’auditeur compare au journal, et elle sert de base à l’évaluation exigée par la Loi 25.
Recensez les outils qui appellent un modèle aujourd’hui, abonnements des équipes compris, et faites-les passer par la passerelle un à la fois, en commençant par ceux qui touchent des dossiers de clients. Un outil qui n’y passe pas reste absent du rapport ; la liste des outils branchés est aussi la liste de ce que vous pouvez prouver.
Fixez la date de l’export mensuel et les exigences que le rapport doit couvrir, avant le premier mois. Un rapport tiré à la même date, avec les mêmes exigences, se compare d’un mois à l’autre ; un rapport tiré à la demande, la veille de l’audit, ne prouve que ce mois-là.
Désignez qui reçoit l’alerte quand une règle arrête un appel, et le délai pour lire le journal. Une règle qui bloque le même outil des dizaines de fois par jour signale d’abord un outil mal réglé ; un cas isolé sur un dossier de client demande un suivi le jour même.
Ce qu’on nous demande sur ce sujet
Agent Libre fournit-il les outils d’IA que la passerelle surveille ?
Non. Les outils et les agents sont mis en place par vos équipes ou vos fournisseurs. Agent Libre fournit la passerelle qui inscrit et filtre les appels, et le modèle qui répond derrière, servi au Canada pour un montant fixe par mois.
La passerelle voit-elle un outil que les équipes utilisent sans passer par elle ?
Non. Elle inscrit ce qui passe par elle. Un outil branché directement sur son fournisseur reste invisible, et le faire passer par la passerelle revient aux TI. L’audit gratuit de 24 heures à une semaine place la passerelle devant votre fournisseur actuel et donne un premier inventaire de ce qui y passe.
Que contient le journal, et pendant combien de temps ?
Pour chaque appel : l’équipe, l’outil, le modèle, le moment, le volume et les règles appliquées. Les journaux sont conservés douze mois. Le contenu des requêtes n’est pas conservé au-delà du traitement ; le journal prouve qu’un appel a eu lieu et qu’une règle s’est appliquée, sans garder le texte envoyé.
Le rapport remplace-t-il l’évaluation exigée par la Loi 25 ?
Non. Le rapport fournit les preuves : appels, règles, cas bloqués, période couverte. L’évaluation des facteurs relatifs à la vie privée, et le lien avec chaque article de la Loi 25, du RGPD ou des règles de votre secteur, restent le travail de votre équipe ou de votre conseiller juridique. Agent Libre ne rédige pas d’avis de conformité.
Peut-on garder un fournisseur public derrière la passerelle ?
Oui. La passerelle inscrit et filtre les appels vers un fournisseur public comme ceux vers le modèle d’Agent Libre ; le rapport couvre les deux. La différence se voit à la ligne « données au Canada » : elle signale les appels qui partent à l’étranger.
À lire aussi
Services financiers
Banques, assureurs, coopératives et fintechs : ce que la conformité, la protection des renseignements personnels et les finances décident avant de mettre le modèle d’Agent Libre derrière leurs outils d’IA.
Secteur public et municipalités
Ce qu’un ministère, une ville, un hôpital ou un cégep décide avant de mettre un modèle servi au Canada derrière ses outils, et ce que le vérificateur y retrouve.
Ce que « hébergé au Canada » veut dire, concrètement
Serveurs, opérateur, lois applicables : ce qu’il faut vérifier derrière une promesse d’hébergement au Canada.
Votre entreprise a deux chaînes d’approvisionnement
La première, vous la connaissez. Des matières entrent, elles sont transportées, entreposées, transformées, livrées. Chaque étape a un fournisseur, un délai, un coût unitaire. Quand la marge se resserre, vous descendez cette chaîne étape par étape, et vous savez généralement où regarder.
La seconde fait circuler de l’information au lieu de matières. Une demande de prix arrive et devient une soumission. Une commande arrive et devient un bon de production, une facture, une livraison confirmée. Un rapport de chantier devient un avenant, ou ne le devient pas. Cette chaîne traverse tous vos départements et elle emploie une partie importante de vos gens.
L’audit de 24 heures à une semaine
On mesure votre consommation réelle chez votre fournisseur actuel : qui appelle quoi, combien ça coûte, et ce qui sort de chez vous. Gratuit, sans engagement, et le rapport vous appartient même si vous n’allez pas plus loin.