1. Objet
La présente Politique cadre établit le système de gouvernance des renseignements personnels et des actifs informationnels de Consultant Pixsenses Inc.
Elle constitue un document stratégique relevant de la haute direction et s’inscrit dans la démarche de structuration du Système de management de la sécurité de l’information (SMSI) de l’entreprise. Elle vise à assurer la conformité à la Loi 25, à structurer la gestion des risques informationnels et à encadrer les traitements automatisés réalisés au moyen des solutions d’intelligence artificielle développées par Consultant Pixsenses Inc.
Cette politique établit les principes, responsabilités, mécanismes de contrôle et processus de surveillance permettant d’assurer la confidentialité, l’intégrité, la disponibilité et la traçabilité des renseignements personnels et des données stratégiques traitées par l’entreprise.
2. Portée
La présente politique s’applique à l’ensemble des activités de Consultant Pixsenses Inc., incluant les environnements de développement, d’essai, de production, de service et d’exploitation SaaS. Elle couvre tous les employés, dirigeants, administrateurs, contractuels, fournisseurs et partenaires ayant accès aux systèmes d’information ou aux données traitées par l’entreprise.
Elle vise l’ensemble des renseignements personnels, des données clients et employés, des données d’entraînement, des métadonnées, des journaux d’accès ainsi que tout actif informationnel pertinent au fonctionnement des activités de Consultant Pixsenses Inc. et de toutes les solutions que l’entreprise commercialise.
3. Engagement de la direction et gouvernance stratégique
Consultant Pixsenses Inc. reconnaît que la protection des renseignements personnels et la sécurité de l’information constituent des enjeux stratégiques directement liés à la continuité des affaires, à la confiance des clients, à la stabilité opérationnelle et à la conformité réglementaire.
La direction affirme son engagement à structurer progressivement ses pratiques de sécurité de l’information selon les bonnes pratiques reconnues, notamment celles issues d’ISO/IEC 27001, dans le cadre d’une démarche évolutive d’amélioration continue.
Consultant Pixsenses Inc. s’engage à allouer les ressources humaines, technologiques et financières nécessaires à la mise en œuvre des contrôles appropriés, à définir des objectifs mesurables en matière de sécurité et de protection des données, et à assurer un processus formalisé d’amélioration continue du système.
La gouvernance de la sécurité de l’information repose sur une approche documentée, proportionnelle aux risques et adaptée à la nature technologique des activités de l’organisation, notamment en matière d’intelligence artificielle et de traitements automatisés.
Le Président-directeur général assume la responsabilité ultime du cadre de gouvernance et veille à son efficacité globale. La présente politique est adoptée dans le cadre de la mise en conformité à la Loi 25 et s’inscrit dans une démarche progressive de structuration d’un système formalisé de management de la sécurité de l’information. Les mécanismes et contrôles décrits évolueront en fonction de la maturité organisationnelle et des exigences futures.
4. Structure organisationnelle et responsabilités
La structure organisationnelle de Consultant Pixsenses Inc. assure une imputabilité claire en matière de protection des renseignements personnels et de sécurité de l’information.
Le Président-directeur général assume également la fonction de Responsable de la protection des renseignements personnels (RPRP). À ce titre, il est responsable de la conformité aux exigences légales applicables, de la supervision des incidents de confidentialité, de l’approbation des évaluations des facteurs relatifs à la vie privée, ainsi que de la tenue des registres obligatoires.
Il assure une surveillance active et continue des risques informationnels et des risques liés aux traitements automatisés et aux systèmes d’intelligence artificielle. Il examine périodiquement les rapports relatifs à l’état de la sécurité de l’information, aux incidents déclarés, aux évaluations de risques et aux plans de traitement associés.
Lorsque la nature ou la gravité d’une situation le justifie, Consultant Pixsenses Inc. peut recourir à une expertise externe indépendante afin d’assurer une évaluation objective, documentée et proportionnée aux enjeux.
Les responsabilités techniques liées à la sécurité des systèmes, à la gestion des accès, à la protection des environnements et à la mise en œuvre des contrôles sont assumées par les fonctions opérationnelles compétentes, sous la supervision de la direction.
Chaque employé et collaborateur de Consultant Pixsenses Inc. est tenu de respecter les politiques internes et de contribuer à la protection des renseignements personnels dans le cadre de ses fonctions.
5. Intégration au Système de management de la sécurité de l’information
La présente politique constitue un fondement de la démarche de structuration du Système de management de la sécurité de l’information (SMSI) de Consultant Pixsenses Inc., inspirée des principes d’ISO/IEC 27001.
Consultant Pixsenses Inc. maintient un inventaire formel et à jour de ses actifs informationnels. Cet inventaire comprend notamment les renseignements personnels, les bases de données clients, les modèles d’intelligence artificielle, les environnements d’hébergement, les systèmes applicatifs ainsi que les infrastructures technologiques soutenant l’exploitation des solutions.
L’organisation applique une méthodologie documentée d’appréciation et de traitement des risques. Cette méthodologie permet d’identifier les menaces, d’évaluer les vulnérabilités, d’analyser les impacts potentiels sur la confidentialité, l’intégrité et la disponibilité des actifs, et de déterminer les mesures de traitement appropriées. L’analyse des risques est révisée au minimum annuellement ou lors de tout changement significatif affectant les systèmes, les processus ou les traitements.
Les objectifs de sécurité sont progressivement définis dans le cadre de la structuration du SMSI et font l’objet d’un suivi documenté proportionnel à la maturité organisationnelle. Des indicateurs de performance sont utilisés afin d’évaluer l’efficacité des contrôles mis en place. Ces indicateurs incluent notamment les délais de traitement des incidents, les résultats des tests de vulnérabilité et d’intrusion, le taux de conformité aux politiques internes ainsi que les résultats des audits internes.
Les écarts identifiés dans le cadre des évaluations ou des audits donnent lieu à des plans d’action documentés et à un suivi dans une logique d’amélioration continue.
6. Encadrement spécifique des solutions d’intelligence artificielle
Compte tenu de la nature des activités de Consultant Pixsenses Inc. et de l’exploitation de solutions d’intelligence artificielle en mode SaaS, un encadrement spécifique est appliqué aux traitements automatisés, aux modèles algorithmiques ainsi qu’aux données utilisées à des fins d’entraînement, de validation et d’exploitation.
Cet encadrement s’inscrit dans la démarche de structuration du Système de management de la sécurité de l’information et vise à assurer la conformité réglementaire, la gestion adéquate des risques technologiques, la traçabilité des décisions techniques et l’intégration des principes de sécurité et de protection des renseignements personnels dès la conception des solutions.
6.1 Traitements automatisés et documentation technique
Toute solution SaaS produisant une prédiction, une classification, une recommandation ou tout autre résultat automatisé fait l’objet d’une documentation technique formelle.
Cette documentation décrit la logique générale du traitement, les catégories de données utilisées, les paramètres significatifs influençant les résultats, les hypothèses méthodologiques ainsi que les mécanismes de validation et de contrôle mis en place.
Lorsque le traitement automatisé est susceptible d’avoir un impact significatif sur une personne, des mécanismes d’intervention humaine sont prévus contractuellement et opérationnellement. Ces mécanismes permettent la révision, la validation ou la contestation du résultat généré par le système automatisé.
6.2 Gouvernance des données d’entraînement
Les données utilisées pour l’entraînement, l’ajustement ou la validation des modèles d’intelligence artificielle sont soumises à des exigences strictes de traçabilité.
Consultant Pixsenses Inc. s’assure que l’origine des données est documentée, que leur utilisation est autorisée contractuellement et qu’elle correspond aux finalités déclarées. Toute utilisation secondaire non autorisée est interdite.
Lorsque cela est possible et approprié, l’anonymisation ou la dépersonnalisation des données est privilégiée afin de réduire les risques résiduels.
Les jeux de données sont enregistrés dans un inventaire formel précisant leur source, leur finalité, leur environnement d’utilisation et leur durée de conservation.
6.3 Surveillance humaine et contrôle de performance
Consultant Pixsenses Inc. maintient une supervision humaine continue des systèmes d’intelligence artificielle.
Cette surveillance comprend la validation périodique de la qualité des données, la détection d’anomalies, l’analyse des dérives de données (data drift) et de modèles (model drift), l’évaluation de la performance statistique ainsi que la revue des résultats générés dans les contextes à risque élevé.
Les résultats de ces contrôles sont documentés et pris en compte dans la démarche d’amélioration continue des pratiques de sécurité de l’information de l’organisation.
6.4 Validation indépendante des modèles
Lorsque la nature, la complexité ou l’impact potentiel d’un modèle le justifie, Consultant Pixsenses Inc. peut mettre en place un mécanisme de validation indépendante proportionnel aux enjeux identifiés.
Cette validation peut être réalisée par une ressource interne distincte de l’équipe de développement ou par un expert externe indépendant. Elle vise notamment à évaluer la robustesse statistique du modèle, à analyser les risques de biais ou de discrimination indirecte, à vérifier la cohérence entre les données utilisées et les finalités déclarées, et à confirmer l’efficacité des mécanismes de contrôle des dérives.
Les conclusions sont documentées formellement et prises en compte dans la gestion des risques de l’organisation dans le cadre de la démarche de structuration du système de management de la sécurité de l’information. Les écarts identifiés font l’objet de mesures correctives et d’un suivi documenté.
6.5 Gouvernance des données synthétiques
Lorsque des données synthétiques sont utilisées à des fins d’entraînement, de test ou de validation, Consultant Pixsenses Inc. applique un encadrement formel.
Les méthodes de génération sont documentées et font l’objet d’une analyse visant à prévenir tout risque de réidentification directe ou indirecte. Lorsque les données synthétiques sont dérivées de données réelles soumises à des restrictions contractuelles, ces restrictions s’appliquent également aux jeux synthétiques.
La traçabilité complète des jeux de données synthétiques est assurée, incluant leur source, leur méthode de génération, leur finalité et leur durée de conservation.
6.6 Encadrement des modèles génératifs
Lorsque Consultant Pixsenses Inc. développe ou exploite des modèles génératifs capables de produire du texte, des images, du code ou tout autre contenu automatisé, des contrôles spécifiques sont mis en place.
Les risques liés à la reproduction involontaire de données protégées, à la génération de contenu inexact ou trompeur, à la production de contenu biaisé ou à l’usage détourné du système sont évalués de manière structurée.
Des mécanismes de contrôle peuvent inclure des filtres techniques, des limitations contractuelles d’usage, la journalisation des requêtes critiques et une validation humaine lorsque les résultats sont utilisés à des fins décisionnelles.
6.7 Gestion des biais algorithmiques
Consultant Pixsenses Inc. reconnaît que les systèmes d’intelligence artificielle peuvent comporter des risques de biais issus des données d’entraînement, des choix méthodologiques ou de la configuration des modèles.
Afin de réduire ces risques, un processus structuré de gestion des biais est appliqué. Ce processus comprend l’analyse de la représentativité des données, la détection statistique d’écarts de performance, l’identification de variables sensibles explicites ou implicites, la documentation des arbitrages techniques effectués et l’évaluation des impacts potentiels sur les personnes concernées.
Lorsque des biais significatifs sont identifiés, des mesures correctives sont mises en œuvre et documentées. Dans les cas présentant un niveau de risque élevé, une validation indépendante peut être requise.
6.8 Séparation des environnements
Les environnements de développement, d’essai et de production sont strictement séparés afin de limiter les risques de fuite, de contamination ou de manipulation non autorisée des données.
L’accès est accordé selon le principe du moindre privilège et fait l’objet d’une journalisation. Les déploiements de modèles suivent un processus formalisé incluant des contrôles de validation avant mise en production.
7. Gestion des risques et évaluations relatives à la vie privée
Consultant Pixsenses Inc. applique un processus structuré d’évaluation des risques combinant les bonnes pratiques reconnues en matière de gestion des risques, notamment celles issues d’ISO/IEC 27001, et les exigences de la Loi 25. Ce processus vise à identifier, analyser et traiter les risques susceptibles d’affecter la confidentialité, l’intégrité et la disponibilité des renseignements personnels ainsi que des autres actifs informationnels.
Une évaluation des facteurs relatifs à la vie privée (ÉFVP) est réalisée avant tout projet impliquant un nouveau type de traitement, un transfert de renseignements personnels hors Québec, l’utilisation de renseignements personnels sensibles ou la mise en œuvre d’un changement technologique significatif.
Les résultats des évaluations sont documentés, approuvés par le Responsable de la protection des renseignements personnels et consignés dans le registre des risques de l’organisation dans le cadre de la démarche de structuration du système de management de la sécurité de l’information. Les mesures de traitement retenues font l’objet d’un suivi formel. L’acceptation des risques résiduels relève de la direction et fait l’objet d’une validation documentée.
8. Gestion des incidents et continuité
Consultant Pixsenses Inc. maintient une procédure formelle de gestion des incidents de confidentialité et de sécurité de l’information, conforme aux exigences de la Loi 25 et aux autres obligations réglementaires applicables. Cette procédure s’inscrit dans la démarche globale de structuration des pratiques de sécurité de l’information de l’organisation.
Tout incident est documenté dans un registre conservé pour une période minimale de cinq (5) ans suivant la date de prise de connaissance de l’événement. Ce registre contient les renseignements exigés par la législation applicable.
Lorsqu’un incident présente un risque de préjudice sérieux pour les personnes concernées, la Commission d’accès à l’information (CAI) et les personnes concernées sont avisées avec diligence, conformément aux délais et modalités prévus par la loi.
Un plan de réponse aux incidents, incluant les responsabilités internes, les communications internes et externes ainsi que les mesures de mitigation, est maintenu et révisé périodiquement. Ce plan s’inscrit dans une approche globale de gestion de la continuité des activités.
9. Sécurité de l’information
Consultant Pixsenses Inc. applique des mesures organisationnelles et techniques proportionnelles aux risques identifiés. Ces mesures incluent notamment la gestion des accès basée sur les rôles et le principe de moindre privilège, l’authentification multifactorielle lorsque requis, le chiffrement des données en transit et au repos, la gestion des vulnérabilités, la réalisation de tests d’intrusion périodiques et la journalisation des activités critiques.
Les fournisseurs infonuagiques et autres partenaires technologiques sont soumis à un processus formel d’appréciation des risques et doivent offrir des garanties contractuelles adéquates en matière de protection des renseignements personnels et de sécurité de l’information.
Les contrôles de sécurité sont révisés périodiquement afin d’assurer leur adéquation face à l’évolution des menaces et des technologies.
10. Amélioration continue et audit
Consultant Pixsenses Inc. met en place des activités de revue interne périodiques visant à évaluer la conformité aux politiques internes ainsi qu’aux bonnes pratiques reconnues en matière de sécurité de l’information, notamment ISO/IEC 27001 et de la législation applicable en matière de renseignements personnels.
Les écarts identifiés font l’objet de plans d’action correctifs documentés et d’un suivi proportionné à la nature des risques identifiés. La direction examine périodiquement l’efficacité des pratiques de sécurité de l’information et des mécanismes de gouvernance des renseignements personnels dans le cadre de la démarche de structuration du système de management de la sécurité de l’information.
La présente politique est révisée au minimum une fois par année ou lors de tout changement organisationnel, technologique ou réglementaire significatif.
11. Entrée en vigueur et approbation
La présente politique cadre prévaut en cas d’incohérence avec toute procédure interne, sous réserve des obligations légales applicables. Les procédures et registres opérationnels sont adoptés en soutien à la présente politique.
La présente Politique cadre entre en vigueur à la date de son adoption par le Président-directeur général de Consultant Pixsenses Inc. Elle constitue le document de référence principal en matière de gouvernance des renseignements personnels et de sécurité de l’information.
Glossaire et abréviations
Abréviations
- CAI
- Commission d’accès à l’information
- ÉFVP
- Évaluation des facteurs relatifs à la vie privée
- RPRP
- Responsable de la protection des renseignements personnels
- SMSI
- Système de management de la sécurité de l’information