Quand l’IA se trompe, qui paie? Responsabilité et traçabilité pour les entreprises québécoises

Philippe Dallaire

L’intelligence artificielle s’invite désormais dans les courriels aux clients, dans les CRM, dans les rapports financiers et dans les décisions stratégiques. Le gain de productivité est réel. Le risque juridique, lui, est massivement sous-estimé. Au Québec comme ailleurs au Canada, quand un outil d’IA commet une erreur, ce n’est jamais l’IA qui paie. C’est l’entreprise qui l’a déployée.

Et la jurisprudence canadienne a déjà tranché.

L’affaire qui a tout changé : Moffatt c. Air Canada

En février 2024, le Tribunal de résolution des différends de la Colombie-Britannique a rendu une décision qui sert maintenant de référence partout au Canada. Un client, Jake Moffatt, avait consulté le robot conversationnel d’Air Canada après le décès de sa grand-mère. Le chatbot lui a affirmé qu’il pouvait acheter un billet plein tarif et réclamer rétroactivement le tarif deuil dans les 90 jours. Cette politique n’existait pas. Quand le client a réclamé son remboursement, Air Canada a refusé.

La défense de la compagnie en cour était surprenante : Air Canada a soutenu que le chatbot était « une entité juridique distincte responsable de ses propres actions ». Le tribunal a qualifié cet argument de « remarquable » et l’a rejeté sans appel. La conclusion : un chatbot fait partie du site Web de l’entreprise, et l’entreprise est responsable de toute l’information qui s’y trouve, qu’elle provienne d’une page statique ou d’un agent conversationnel.

Le message pour toute entreprise canadienne est limpide : « c’est l’IA qui a halluciné » n’est pas une défense. Si votre robot promet un rabais inexistant, vous devrez probablement l’honorer. S’il donne de fausses informations à un client, c’est votre entreprise qui sera poursuivie.

La Loi 25 mord déjà

Au Québec, la Loi 25 s’applique pleinement depuis septembre 2023. Elle est probablement la loi sur la protection des renseignements personnels la plus stricte au Canada, et elle vise directement les systèmes d’IA qui traitent des données personnelles.

Trois obligations à retenir :

  • Article 12.1 : Toute décision prise exclusivement par traitement automatisé doit être divulguée à la personne concernée, qui a le droit d’obtenir les raisons principales de la décision et de demander une révision humaine.
  • Article 14 : Le consentement au traitement par IA doit être « manifeste, libre, éclairé et donné à des fins spécifiques ».
  • Évaluation des facteurs relatifs à la vie privée (EFVP) obligatoire avant tout déploiement traitant des renseignements personnels.

Les sanctions peuvent atteindre 4 % du chiffre d’affaires mondial ou 25 millions de dollars canadiens, selon le montant le plus élevé. Et la Commission d’accès à l’information (CAI) a déjà commencé à enquêter sur des cas d’automatisation problématique.

Les trois scénarios à risque

L’IA face au client. Un agent conversationnel donne une mauvaise information, promet un rabais inexistant, ou rédige une réponse contenant de fausses affirmations. C’est le scénario Air Canada, et il est maintenant prévisible.

L’IA qui écrit dans les systèmes internes. L’IA crée une mauvaise entrée dans le CRM, met à jour incorrectement un dossier client, accorde un crédit non autorisé, ou enregistre des chiffres de vente erronés. Le préjudice est interne, mais les conséquences peuvent être énormes — particulièrement si vous êtes coté en bourse ou avez une filiale américaine cotée, où la Sarbanes-Oxley Act tient le PDG et le DAF personnellement responsables des erreurs comptables.

L’IA qui produit des rapports pour la direction. L’IA hallucine des chiffres, invente des sources, présente une analyse contenant des erreurs. Si un dirigeant utilise ensuite ces données dans une communication aux investisseurs ou un communiqué public, l’exposition juridique devient personnelle.

Pourquoi la « revue humaine » ne suffit pas

La plupart des entreprises pensent qu’avoir un humain qui « valide » les sorties de l’IA suffit. C’est une illusion. Un employé qui doit valider 200 réponses générées par IA par jour ne valide rien — il appose un tampon.

La revue humaine ne fonctionne que si elle s’appuie sur une traçabilité complète. Quand une erreur se produit — et elle se produira — il faut pouvoir répondre à ces questions en quelques minutes :

  1. Quelle était la requête exacte de l’utilisateur?
  2. Quelles instructions le LLM a-t-il reçues?
  3. Quelles données a-t-il consultées et de quelles sources?
  4. Quelle décision a-t-il prise et avec quel raisonnement?
  5. Quelles actions ont été exécutées sur les systèmes?

Sans ces cinq éléments, il devient impossible de distinguer trois causes d’erreur fondamentalement différentes : l’IA n’avait pas accès à la bonne information, l’IA n’a pas reçu les bonnes instructions, ou l’IA a mal interprété une information pourtant correcte. Tant qu’on ne le sait pas, on ne peut ni corriger le système, ni se défendre devant la CAI, ni faire valoir un recours contre son fournisseur.

Le piège des règles codées en dur

Une fois qu’elles comprennent le risque, beaucoup d’entreprises tombent dans le piège inverse : tout coder en dur. « L’IA ne pourra pas dépenser plus de 5 000 $ sans approbation. » « L’IA ne pourra pas modifier un dossier client de plus de six mois. » « L’IA ne pourra pas accorder un rabais supérieur à 10 %. »

C’est rassurant sur papier. C’est ingérable en pratique.

Parce que la réalité d’une entreprise, c’est qu’il existe toujours des exceptions légitimes. Ce fournisseur stratégique avec qui on dépasse systématiquement la limite. Cette politique de rabais qui vient de changer mais que personne n’a pensé à mettre à jour dans le code. Ce client important qui mérite une exception. Le service TI prend deux semaines pour ajuster une règle. Pendant ce temps, des transactions importantes sont bloquées, des employés contournent le système, et la valeur de l’IA s’évapore.

Aucun humain, aucune équipe ne peut anticiper et coder toutes les combinaisons possibles de règles, d’exceptions et de cas particuliers. C’est mathématiquement impossible dans une entreprise réelle. Il faut donc laisser l’IA prendre des décisions — mais d’une façon qui reste traçable, vérifiable et corrigeable.

La bonne approche : décision par IA, exécution par code

Le bon équilibre se trouve dans une architecture qui sépare clairement deux choses : ce que l’IA décide, et ce que le système exécute.

L’IA n’écrit pas directement dans le CRM ou le grand livre. Elle propose une décision structurée — par exemple, sous forme de JSON — qui décrit ce qu’elle veut faire, sur quelles données, et avec quelle justification basée sur ce qu’elle a consulté dans le système. Ce JSON est ensuite traité par du code qui valide, exécute, et journalise l’opération. Les règles métier ne sont plus rigides : elles peuvent être consultées par l’IA, ajustées en fonction du contexte, et même modifiées par l’IA quand les données existantes le justifient — mais chaque modification est documentée et révisable par un humain.

C’est précisément ce que propose ContentAtlas, développé par Consuly. L’outil indexe l’information de l’entreprise pour que l’IA y accède de façon contrôlée, et structure les actions de l’IA sous forme de décisions auditables. Au lieu de laisser le LLM exécuter directement, l’IA propose la transformation, la manipulation ou la validation requise; le système exécute par code. Résultat : chaque décision peut être retracée jusqu’à sa source, éditée, renversée ou améliorée. Et parce que les règles peuvent évoluer en fonction des données réelles plutôt que d’être figées dans du code, l’entreprise n’a plus à choisir entre flexibilité et contrôle.

D’autres outils du marché — LangSmith, Langfuse, Helicone, Braintrust — couvrent l’observabilité et le traçage des appels IA. Ils répondent à la question « qu’est-ce que l’IA a fait? » après coup. ContentAtlas s’attaque à la question d’avant : « qu’est-ce que l’IA peut faire, comment, et comment on garde la main? »

Un plan d’action concret

Cartographier d’abord. Faites l’inventaire de tous les usages de l’IA dans votre organisation, y compris les usages « fantômes » — les employés qui utilisent ChatGPT ou Gemini sans autorisation. L’IA fantôme est probablement votre plus grosse exposition à la Loi 25 en ce moment, parce que des données personnelles de Québécois sortent vers des serveurs étrangers sans EFVP.

Classer par risque. Une IA qui résume des courriels n’est pas dans la même catégorie qu’une IA qui répond aux clients ou écrit dans le grand livre. Identifiez les usages à haut risque : interactions clients, écriture dans les systèmes de référence, production de rapports utilisés par la direction.

Instrumenter avant de mettre à l’échelle. N’élargissez jamais le déploiement d’un agent IA sans avoir d’abord mis en place une traçabilité complète. Sans ça, vous bâtissez une dette de conformité qui explosera au premier incident.

Séparer la décision de l’exécution. Pour tout ce qui touche les systèmes de référence, n’accordez jamais des permissions d’écriture directe au LLM. La décision vient de l’IA; l’exécution passe par du code; les règles restent éditables et auditables.

Formaliser la gouvernance. Documentez votre cadre de gouvernance IA au niveau du conseil d’administration. C’est ce que la CAI demandera lors d’une enquête, et c’est ce qui protège les administrateurs contre les recours pour manquement à leur devoir de surveillance.

Une opportunité, pas seulement un risque

L’argument selon lequel « le fournisseur de l’IA est responsable » ne tient pas devant les tribunaux canadiens ni devant la CAI. Les fournisseurs de LLM sont protégés par leurs conditions d’utilisation. Les fournisseurs SaaS limitent leur responsabilité à quelques mois de frais payés. Le risque retombe entièrement sur l’entreprise qui déploie l’outil.

Ce n’est pas une mauvaise nouvelle. C’est une opportunité concurrentielle. Les entreprises québécoises qui investissent maintenant dans une architecture où l’IA peut décider mais où le système contrôle et trace tout, seront celles qui pourront déployer l’IA à grande échelle sans paralysie. Les autres apprendront à leurs dépens.

L’IA n’élimine pas la responsabilité humaine. Elle la concentre et l’amplifie. La seule défense crédible, en 2026, c’est de pouvoir montrer exactement ce que l’IA a vu, ce qu’on lui a demandé de faire, et ce qu’elle a effectivement décidé — avec la possibilité de revenir en arrière quand elle se trompe.

Tout le reste relève de la chance. Et la chance n’est pas une stratégie de conformité.

Sources

Jurisprudence

Législation québécoise

Législation européenne

  • Règlement (UE) 2024/1689 du Parlement européen et du Conseil établissant des règles harmonisées concernant l’intelligence artificielle (Règlement IA / EU AI Act), entré en vigueur le 1er août 2024, applicable à compter du 2 août 2026 pour la majorité des dispositions sur les systèmes à haut risque.
  • Article 3 (définitions de « fournisseur » et « déployeur »), article 26 (obligations des déployeurs de systèmes à haut risque), article 50 (obligations de transparence).
  • Texte officiel et Explorer du Règlement IA : https://artificialintelligenceact.eu

Législation états-unienne (applicable aux filiales)

  • Sarbanes-Oxley Act of 2002, Public Law 107-204, articles 302 et 906 (certification par PDG et DAF des états financiers et contrôles internes).

Analyses juridiques et commentaires

  • McCarthy Tétrault, « Moffatt v. Air Canada: A Misrepresentation by an AI Chatbot » (février 2024) : https://www.mccarthy.ca/en/insights/blogs/techlex/moffatt-v-air-canada-misrepresentation-ai-chatbot
  • Dentons, « Airline ordered to compensate a B.C. man because its chatbot provided inaccurate information » (février 2024).
  • Foster and Company, « Air Canada Found Liable for Negligent Misrepresentation by Chatbot » (mars 2024).
  • Holland & Knight, « U.S. Companies Face EU AI Act’s Possible August 2026 Compliance Deadline » (avril 2026).
  • Baker McKenzie, « EU Regulation on AI » (Insight publication).
  • Borden Ladner Gervais (BLG), « Réforme des lois québécoises en matière de protection des renseignements personnels : Guide de conformité pour les entreprises ».

Outils mentionnés

Cet article a un but informatif et ne constitue pas un avis juridique. Pour une analyse de votre situation particulière en regard de la Loi 25, consultez un conseiller juridique qualifié.

Laisser un commentaire

Your email address will not be published. Required fields are marked *

Related Articles