# Route Nord — Contrôles de départ pour une IA responsable

Un point de départ opérationnel, et non une certification, un avis juridique ou un programme de conformité complet. Adaptez-le au secteur et au territoire avant le déploiement.

## Responsabilités et utilisation approuvée

[ ] Désigner la personne responsable du mandat, la personne responsable du processus, la personne qui effectue la révision humaine et la personne-ressource pour les incidents.
[ ] Documenter l’objectif, les utilisateurs, les personnes touchées et les résultats inacceptables.
[ ] Convenir des actions que le système peut effectuer et de celles qui exigent une approbation.
[ ] Tenir un registre des outils et des utilisations approuvés.

## Données et accès

[ ] Identifier les catégories de données, les droits sur les sources, la confidentialité, le consentement et les obligations pertinentes.
[ ] Avant le déploiement, évaluer si une évaluation des facteurs relatifs à la vie privée (EFVP) est requise pour un projet d’acquisition, de développement ou de refonte d’un système impliquant des renseignements personnels, ou avant de communiquer ces renseignements ou d’en confier le traitement à l’extérieur du Québec. Consulter la personne responsable de la protection des renseignements personnels dès le départ et documenter les ententes applicables. Cette vérification opérationnelle ne constitue pas une garantie de conformité.
[ ] Réduire au minimum les données avant de les transmettre à un modèle; caviarder au besoin.
[ ] Vérifier le forfait du fournisseur, la conservation, les réglages d’utilisation pour l’entraînement, la région de traitement et les modalités contractuelles.
[ ] Utiliser des identifiants à privilèges minimaux dans un coffre à secrets approuvé, et non dans le code du navigateur.
[ ] Restreindre l’accès aux documents selon l’utilisateur; la récupération ne doit pas contourner les autorisations.
[ ] Convenir de la conservation et de la suppression dans les systèmes sources, les journaux du modèle, les journaux d’automatisation et les sauvegardes.

## Contrôles des résultats et des actions

[ ] Fonder les résultats factuels sur des dossiers ou documents approuvés; afficher les sources lorsque cela est utile.
[ ] Valider les champs obligatoires et les résultats structurés avant l’utilisation en aval.
[ ] Traiter les messages et documents récupérés comme des données non fiables; tester l’injection de prompts.
[ ] Empêcher le modèle de définir lui-même les indicateurs d’approbation ou d’autoriser des actions.
[ ] Utiliser des identifiants stables pour éviter les messages en double ou les mises à jour de système en double.
[ ] Préserver les préférences de contact et les règles de désabonnement pour chaque canal.
[ ] Prévoir une escalade humaine et une solution manuelle de repli.

## Tests du projet pilote

[ ] Tester les données d’entrée attendues, ambiguës, manquantes, en double, malformées, adverses et sensibles.
[ ] Confirmer qu’il n’y a aucune récupération non autorisée ni exposition de données entre clients.
[ ] Vérifier que le comportement de nouvelle tentative ne répète pas les actions ayant des conséquences.
[ ] Vérifier l’exactitude factuelle, l’effort de révision et les limites professionnelles.
[ ] Résoudre les défaillances critiques avant la mise en production; consigner les limites connues.
[ ] Obtenir l’approbation du client pour les actions réelles exactes et les flux de données permis.

## Opérations continues

[ ] Consigner l’état opérationnel sans charges utiles sensibles inutiles.
[ ] Définir les alertes d’erreur, la personne responsable de la surveillance, les heures de soutien et le processus d’escalade.
[ ] Réviser les changements aux prompts, aux modèles, aux intégrations, aux forfaits des fournisseurs et aux règles d’affaires.
[ ] Refaire les tests concernés avant la mise en production des processus modifiés.
[ ] Maintenir un interrupteur d’arrêt, des instructions de retour en arrière et un processus de communication des incidents.
[ ] Mesurer le temps épargné, net de la révision humaine et du travail à refaire.

## Référence de cadre

Le NIST AI RMF 1.0 organise le travail sur les risques selon les fonctions Gouverner, Cartographier, Mesurer et Gérer. Ces fonctions sont continues et transversales, et non une liste de vérification ponctuelle. Le cadre est volontaire et en cours de révision; consultez la version officielle actuelle au début d’un mandat.

https://www.nist.gov/itl/ai-risk-management-framework
https://airc.nist.gov/airmf-resources/airmf/5-sec-core/

Référence québécoise : https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/responsable-protection-renseignements-personnels-entreprise