Gouvernance de l’IA en RH : risques et jugement humain

Résumer une politique interne, préparer un document, retrouver une information : les possibilités de l’intelligence artificielle suscitent l’intérêt des équipes RH, déjà très occupées par les tâches administratives. Les premiers échanges portent donc naturellement sur le temps qu’elle peut leur faire gagner. Mais dès que l’IA accède aux données de l’organisation, d’autres questions se posent. Quels renseignements peut-on lui confier? Que peut-elle en faire? Et qui est responsable des décisions prises avec son aide?

Les équipes RH détiennent des renseignements particulièrement sensibles sur la rémunération, le rendement, les absences, le recrutement, les incidents au travail, la santé ou les relations de travail. Les confier à un outil d’IA ne change rien aux exigences de protection. Selon l’usage prévu, des contrôles supplémentaires peuvent même être nécessaires. Il faut donc définir le rôle de l’IA dans chaque activité, les limites de son intervention et les responsabilités des personnes qui l’utilisent.

Quels usages de l’IA en RH nécessitent un encadrement plus rigoureux ?

L’IA peut faciliter de nombreuses tâches en RH. Un assistant peut préparer un message destiné aux employés, résumer un document avant une réunion ou retrouver une information dans les documents de l’organisation. La personne qui l’utilise gagne du temps, tout en restant responsable du contenu qu’elle reprend et de l’usage qu’elle en fait.

Les enjeux changent lorsque l’IA intervient dans une décision qui concerne un employé ou une personne candidate. Reformuler un courriel interne n’a pas les mêmes conséquences que sélectionner les candidatures retenues pour une entrevue. Dans ce second cas, l’outil peut influencer l’accès à l’emploi, les revenus ou le cheminement professionnel d’une personne. Le niveau de supervision doit en tenir compte.

Les commissaires à la protection de la vie privée du Canada établissent une distinction semblable. Dans une résolution conjointe de 2023 sur la protection de la vie privée au travail, ils recommandent aux employeurs de recourir à l’IA uniquement à des fins équitables et appropriées, dans la mesure où cela est raisonnablement nécessaire. Ils mettent aussi en garde contre son utilisation pour prendre des décisions importantes concernant le rendement, la candidature ou les perspectives d’emploi d’une personne sans intervention humaine. Ils recommandent également de réaliser des évaluations des facteurs relatifs à la vie privée et, lorsque c’est pertinent, des évaluations de l’incidence algorithmique.

Au Québec, la Loi 25 a renforcé les obligations des organisations en matière de protection des renseignements personnels. Lorsqu’une organisation prend une décision fondée exclusivement sur un traitement automatisé de renseignements personnels, elle doit en informer la personne concernée et lui permettre de présenter ses observations à un membre du personnel en mesure de réviser la décision. Elle doit également réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) pour tout projet d’acquisition, de développement ou de refonte d’un système d’information qui implique des renseignements personnels.

En pratique, plus un outil peut influencer une décision importante pour une personne, plus sa supervision doit être rigoureuse. La grille suivante aide les équipes RH à déterminer les contrôles à prévoir pour chaque usage :

Tableau comparant les risques faibles, modérés et élevés liés à l’IA en RH, avec les usages, les mesures de supervision et la traçabilité recommandées.

Comment repérer et encadrer l’IA fantôme en RH?

Avant de définir des règles d’utilisation, il faut savoir quels outils sont déjà utilisés. L’IA entre souvent dans l’organisation sans déploiement officiel, par l’ajout d’une fonctionnalité à un logiciel de recrutement, à une suite bureautique ou à une application que les employés utilisent déjà. Des employés adoptent aussi de leur propre initiative des assistants conversationnels généralistes. Lorsque ces outils sont utilisés sans l’approbation des TI ou des RH, on parle d’IA fantôme, ou de « shadow AI ». Ces pratiques peuvent échapper aux responsables chargés de protéger les données et d’encadrer les usages.

L’écart entre l’utilisation de l’IA et son encadrement est déjà visible. Selon le premier Baromètre de l’IA en RH au Canada de NexaRH, 67 % des professionnels RH utilisent l’IA à titre individuel, mais seulement 33 % affirment que leur organisation a mis en place une gouvernance de l’IA.

« Pendant que les dirigeants réfléchissent à leur stratégie IA, les équipes, elles, utilisent déjà des outils gratuits pour aller plus vite. C’est ce qu’on appelle le shadow AI. Il n’apparaît dans aucun plan de déploiement, mais il s’installe partout : dans les courriels, dans les comptes rendus, dans l’analyse de données. »

Pour chaque outil, l’inventaire doit préciser à quoi il sert et quelles conséquences son utilisation peut avoir. Un assistant de rédaction ne soulève pas les mêmes questions qu’un outil de présélection des candidatures ou d’évaluation du rendement. L’organisation peut alors décider des usages qu’elle autorise et des conditions à respecter pour chacun, avec des règles suffisamment précises pour guider les équipes.

L’inventaire doit aussi porter sur les renseignements qui circulent dans ces outils. Les restrictions d’accès aux dossiers des employés doivent continuer à s’appliquer lorsqu’une IA intervient. Où les renseignements sont-ils traités? Sont-ils conservés, et pendant combien de temps? Qui peut les consulter? Sont-ils tous nécessaires à la tâche?

Fournir davantage de données à l’IA n’améliore pas nécessairement ses résultats. Cela peut toutefois exposer inutilement des renseignements confidentiels. L’outil doit disposer des données utiles à la tâche et du contexte nécessaire pour les interpréter, sans accéder à l’ensemble des renseignements de l’organisation.

Pour établir cet inventaire :

Recensez les outils d’IA utilisés, y compris les fonctionnalités intégrées aux logiciels et les assistants adoptés directement par les équipes.

Précisez l’objectif de chaque usage et ses conséquences possibles pour les employés ou les personnes candidates, puis déterminez le niveau de supervision nécessaire.

Déterminez à quelles données chaque outil peut accéder, où elles sont traitées et dans quelles conditions elles sont conservées.

Définissez qui peut utiliser l’outil, avec quelles données, qui vérifie ses résultats et quelles traces doivent être conservées.

Silhouettes de professionnels superposées à des images de gratte-ciel illuminés, sur fond urbain flou.

Donner aux équipes les moyens d’exercer leur jugement

On parle souvent de « human in the loop » pour désigner l’intervention d’une personne dans un processus utilisant l’IA. Encore faut-il que cette intervention permette un véritable examen du résultat. Un gestionnaire qui approuve systématiquement les recommandations d’un outil sans les vérifier ne joue pas ce rôle. La personne chargée de cette vérification doit pouvoir comprendre le résultat, consulter les renseignements utilisés et repérer ce que l’outil a pu négliger. Elle doit aussi avoir les compétences, le temps et l’autorité nécessaires pour contester une recommandation et prendre une autre décision.

Ce regard critique est essentiel face à des réponses qui peuvent sembler convaincantes tout en reposant sur des renseignements incomplets ou une hypothèse erronée. La qualité de la rédaction ne garantit pas la fiabilité du résultat. En RH, une erreur peut avoir des conséquences directes sur la situation d’un employé ou d’une personne candidate.

Il faut également pouvoir retracer les étapes d’une décision prise avec l’aide de l’IA, notamment si elle est contestée plusieurs mois plus tard. Toutes les interactions ne nécessitent pas le même degré de détail. Pour les décisions importantes, l’organisation devrait toutefois pouvoir retrouver l’outil utilisé, les renseignements pris en compte, le résultat obtenu et l’intervention de la personne responsable. Ces traces aident à comprendre ce qui s’est passé et à corriger les erreurs.

IA en ressources humaines: Un guide pour une adoption éthique et sécurisée

Découvrez comment encadrer les risques liés à l’IA, protéger les renseignements personnels et intégrer l’intelligence artificielle de façon responsable dans vos processus RH.

Télécharger le livre blanc

Une IA utile doit tenir compte des règles de l’organisation

La pertinence d’une réponse ne dépend pas uniquement du modèle d’IA. Elle dépend aussi des données auxquelles l’outil a accès et des règles qu’il peut prendre en compte. Un dossier d’employé, par exemple, ne suffit pas toujours à comprendre une situation. Le poste, le lieu de travail, le service, l’horaire, la convention collective ou les politiques internes peuvent déterminer la règle à appliquer. L’IA peut traiter un grand volume de données sans pour autant disposer de tous ces éléments.

Lorsque les renseignements et les règles sont répartis entre plusieurs systèmes qui ne communiquent pas entre eux, les équipes doivent reconstituer ce contexte à chaque utilisation. Elles risquent alors de travailler à partir de renseignements incomplets ou de passer à côté d’une règle applicable. Des données RH structurées et des règles clairement définies facilitent ce travail. L’outil peut ainsi accéder aux renseignements utiles à une tâche, dans les limites des droits d’accès de l’utilisateur.

C’est l’approche retenue par Sigmia. Son IA est intégrée à la plateforme et intervient dans les écrans, les documents et les processus RH et de paie où ses fonctionnalités sont offertes. Elle s’appuie sur les documents et les règles approuvés par les administrateurs. Les équipes peuvent ainsi utiliser l’IA dans leurs processus habituels, tout en gardant la responsabilité de vérifier les résultats et de prendre les décisions importantes.

Cette prise en compte du contexte est particulièrement utile dans les organisations qui regroupent plusieurs entités ou lieux de travail, avec des conventions collectives, des exigences de paie et des règles de gestion différentes. Les résultats de l’IA doivent pouvoir être examinés en fonction de la situation réelle des employés concernés.

« L’IA doit fonctionner dans un environnement sécuritaire et conforme. Lorsqu’elle est intégrée directement au SIRH, ce cadre est déjà en place : les données sensibles sont protégées, les actions de l’IA peuvent être vérifiées et les accès sont contrôlés. »

Patrice Poirier, président, Sigmia (1er Baromètre de l’IA en RH au Canada, 2026)

Découvrez l’IA de Sigmia en action

Découvrir comment l’IA de Sigmia peut soutenir vos équipes RH et de paie au quotidien, dans le respect des règles et des droits d’accès de votre organisation.

Demander une démo

Des règles claires pour faciliter l’adoption

Définir un cadre demande du temps au départ. Mais des règles connues de tous évitent ensuite de longues hésitations à chaque nouvel usage.

Sans ce cadre, les mêmes questions reviennent : peut-on utiliser ces données? Le responsable de la protection des renseignements personnels doit-il examiner le projet? Faut-il consulter l’équipe de sécurité? Qui valide les résultats? Clarifier les rôles et les vérifications à prévoir permet aux équipes de savoir quand avancer et quand demander un avis.

Les usages à faible risque peuvent ainsi être mis en place plus facilement. Ceux qui présentent des risques plus importants font l’objet d’un examen approfondi et peuvent être écartés si les avantages attendus ne justifient pas les risques.

Une gouvernance utile donne donc aux équipes des repères concrets : ce qu’elles peuvent confier à l’IA, les renseignements qu’elles peuvent utiliser et les situations qui exigent un examen humain. Elles peuvent alors tirer parti de l’outil en connaissant ses limites et les responsabilités qui leur reviennent.

Cinq actions pour encadrer l’IA en RH :

Adaptez les contrôles aux conséquences de chaque usage pour les employés et les personnes candidates.

Recensez les outils déjà utilisés, y compris ceux que les équipes ont adoptés de leur propre initiative.

Limitez l’accès de l’IA aux données nécessaires à la tâche, dans le respect des droits d’accès existants.

Donnez aux personnes chargées de la supervision les moyens de vérifier les résultats et d’écarter une recommandation.

Conservez les traces nécessaires pour expliquer les décisions importantes prises avec l’aide de l’IA.

Questions fréquentes

La gouvernance de l’IA en RH définit les usages autorisés, les données accessibles aux outils et les responsabilités de chacun. Elle précise qui vérifie les résultats, qui prend les décisions et quels contrôles appliquer selon les risques pour les employés et les personnes candidates.

L’IA fantôme, aussi appelée « shadow AI », désigne les outils d’IA utilisés sans l’approbation des TI ou des RH. Il peut s’agir, par exemple, d’un assistant conversationnel auquel un employé confie des renseignements professionnels. Des renseignements confidentiels peuvent ainsi être transmis à un outil que l’organisation n’a pas évalué. Faire l’inventaire des pratiques permet de repérer ces usages et de les encadrer.

Oui, à condition de respecter les règles applicables et de mettre en place des mesures de protection. Les autorités canadiennes de protection de la vie privée recommandent d’utiliser l’IA à des fins équitables et appropriées. Elles préconisent également une véritable intervention humaine lorsque l’IA contribue à des décisions importantes en matière d’emploi, comme la présélection des candidatures. Une personne qualifiée devrait demeurer responsable de la décision.

Cette expression désigne l’intervention d’une personne dans un processus utilisant l’IA. En RH, cette personne doit pouvoir vérifier le résultat avant qu’il serve à une décision, accéder aux renseignements utilisés et comprendre suffisamment l’outil pour en repérer les limites. Elle doit aussi pouvoir écarter sa recommandation. Une approbation de principe ne constitue pas une véritable supervision.

Au Québec, une EFVP est obligatoire pour tout projet d’acquisition, de développement ou de refonte d’un système d’information qui implique des renseignements personnels. Un projet d’IA en RH qui répond à ces critères est donc visé. Les commissaires à la protection de la vie privée du Canada recommandent également de réaliser une EFVP et, au besoin, une évaluation de l’incidence algorithmique. Ces démarches permettent de préciser les données nécessaires, les droits d’accès et les mesures de protection à prévoir.