Conformité et Assistant d'audit
L’onglet Conformité de la page Mon organisation montre où en sont les mesures de protection de l’IA de votre organisation au regard des lois, des codes de déontologie et des normes qui vous concernent, à partir de vos propres paramètres et de votre activité. Il couvre des lois du Canada, des États-Unis, de l’Union européenne, du Royaume-Uni et d’autres pays, des codes de déontologie des avocats et d’autres professions, et des normes comme ISO/IEC 27001 et SOC 2.
L’onglet a deux états :
- Avant que vous enregistriez un profil de conformité : l’onglet n’affiche qu’une carte, Configurer la conformité, avec quelques questions. Vos réponses déterminent les lois et les référentiels couverts. L’Assistant d’audit et les options du rapport apparaissent une fois le profil enregistré.
- Une fois un profil enregistré, même sans aucune réponse, l’onglet
affiche, de haut en bas :
- une ligne de profil : votre profil de conformité en une ligne, avec Modifier le profil;
- l’Assistant d’audit : où vous en êtes, loi par loi, et les correctifs les plus utiles;
- la carte Rapports : le Rapport sur les mesures de protection de l’IA, un PDF pour votre responsable de la protection des renseignements personnels, vos vérificateurs ou votre conseil, et Envoyer le rapport par courriel, le même PDF envoyé chaque mois ou chaque trimestre;
- une ligne qui rappelle sur quoi reposent les résultats, et qu’ils ne constituent ni un certificat de conformité ni un avis juridique.
Remplir votre profil de conformité
Votre profil détermine les lois et les référentiels que couvrent l’Assistant d’audit et le rapport. La LPRPDE, la loi fédérale, est toujours incluse. Vos réponses font ressortir les autres.
Tant que vous n’avez pas enregistré de profil, l’onglet Conformité n’affiche que la carte Configurer la conformité. Pour configurer votre profil :
- Dans la page Mon organisation, ouvrez l’onglet Conformité.
- Dans Configurer la conformité, répondez aux questions de chaque étape : Où vous exercez vos activités, Ce que vous faites et Responsable. Pour avancer, cliquez sur le bouton Suivant, comme Suivant : Ce que vous faites. Pour revenir en arrière, cliquez sur Retour.
- À l’étape Vérification, ajoutez les normes que vous suivez, puis vérifiez Vos réponses.
- Vérifiez la liste sous Votre rapport couvrira. Consultez Votre rapport couvrira.
- Cliquez sur Enregistrer et voir où vous en êtes.
L’onglet affiche alors la ligne de profil, l’Assistant d’audit et les rapports.
Pour vous arrêter en cours de route, cliquez sur Enregistrer et terminer plus tard à l’une des trois premières étapes. Vos réponses sont enregistrées, et l’onglet montre où vous en êtes avec ces réponses. Pour terminer, cliquez sur Modifier le profil.
Vous pouvez aussi cliquer sur le nom d’une étape, dans la rangée du haut, pour y aller directement. Si le courriel professionnel du responsable n’est pas valide, vous ne pouvez pas enregistrer avant de le corriger.
Pour modifier vos réponses plus tard, consultez Modifier votre profil.
Où vous exercez vos activités
- Dans quelles provinces et quels territoires exercez-vous vos activités? Tapez une partie d’un nom dans la case, puis choisissez-le dans la liste. Chaque choix s’affiche sous forme de puce. Pour en retirer un, cliquez sur le × de sa puce. Cliquez sur Tout le Canada pour tous les choisir, ou sur Effacer pour tous les retirer. Le Québec, l’Alberta et la Colombie-Britannique ajoutent leur loi sur la protection des renseignements personnels dans le secteur privé. La LPRPDE, la loi fédérale, est toujours incluse.
- Exercez-vous vos activités dans d’autres pays, ou y offrez-vous des services? Choisissez Oui si vous exercez vos activités dans un autre pays, ou si vous offrez des services aux résidents de ce pays ou suivez leur comportement. Oui affiche dix pays : choisissez chacun de ceux qui s’appliquent. Choisir Non retire les pays choisis.
- De quels États américains traitez-vous les renseignements des résidents? Apparaît une fois que vous choisissez États-Unis. Tapez une partie du nom d’un État, puis choisissez-le dans la liste. La Californie ajoute la CCPA. Les autres États, sauf New York, ajoutent la section Lois des États américains. Le règlement sur la cybersécurité de New York suit plutôt un secteur : voir plus bas.
Chaque pays ajoute ses propres lois :
| Pays | Ajoute |
|---|---|
| États-Unis | FTC Act, art. 5, et les lois des États ci-dessus |
| Union européenne | RGPD et RIA, le règlement européen sur l’intelligence artificielle |
| Royaume-Uni | UK GDPR |
| Suisse | LPD (Suisse) |
| Brésil | LGPD |
| Australie | Privacy Act (Australie) |
| Singapour | PDPA (Singapour) |
| Japon | APPI (Japon) |
| Inde | Loi DPDP (Inde) |
| Afrique du Sud | POPIA |
Choisir un lieu affiche aussi les domaines et les descriptions qui s’y appliquent.
Ce que fait votre organisation
L’étape Ce que vous faites demande Dans quels domaines votre organisation œuvre-t-elle?
- Choisissez chaque domaine qui s’applique : Santé, Secteur public, Éducation et enfance, Finance et valeurs mobilières, Droit, Autres professions, Défense et contrôle des exportations ou Services essentiels. Si aucun ne s’applique, choisissez Aucun de ceux-ci, comme beaucoup d’organisations.
- Pour chaque domaine choisi, une liste demande quelles descriptions vous correspondent, comme Santé : lesquelles de ces descriptions vous correspondent? Cochez chaque description qui s’applique. Sous une description, une ligne indique ce qu’elle ajoute, comme Fait ressortir : LPRPS. Pour en savoir plus sur une description, cliquez sur le bouton d’information à côté.
Une organisation peut correspondre à plusieurs descriptions, comme un réseau de santé qui a des cliniques en Ontario et au Québec. Décocher un domaine retire les descriptions cochées dans ce domaine. Choisir Aucun de ceux-ci retire tous les domaines et toutes les descriptions.
Une description apparaît seulement là où elle peut s’appliquer; choisissez donc d’abord où vous exercez vos activités. Par exemple, Un dépositaire de renseignements sur la santé en Ontario apparaît une fois que vous choisissez l’Ontario. Un domaine n’apparaît que si l’une de ses descriptions peut s’appliquer : Santé, Éducation et enfance et Services essentiels exigent l’un des lieux du tableau ci-dessous. Tant que des choix sont masqués, l’étape affiche D’autres choix apparaissent à mesure que vous indiquez où vous exercez vos activités. Une description cochée reste affichée même si vous retirez plus tard le lieu correspondant.
| Domaine | Description | Apparaît quand vous choisissez | Ajoute |
|---|---|---|---|
| Santé | Un dépositaire de renseignements sur la santé en Ontario | Ontario | LPRPS |
| Un médecin ou un cabinet médical en Ontario | Ontario | Politiques de l’Ordre des médecins (Ont.) | |
| Un organisme de santé et de services sociaux du Québec | Québec | R-22.1 | |
| Un dépositaire de renseignements sur la santé en Alberta | Alberta | HIA | |
| Un dépositaire de renseignements médicaux personnels au Manitoba | Manitoba | LRMP (Manitoba) | |
| Un dépositaire de renseignements sur la santé en Saskatchewan | Saskatchewan | HIPA (Saskatchewan) | |
| Un dépositaire de renseignements personnels sur la santé en Nouvelle-Écosse | Nouvelle-Écosse | PHIA (N.-É.) | |
| Un dépositaire de renseignements personnels sur la santé au Nouveau-Brunswick | Nouveau-Brunswick | LAPRPS (N.-B.) | |
| Un dépositaire de renseignements personnels sur la santé à Terre-Neuve-et-Labrador | Terre-Neuve-et-Labrador | PHIA (T.-N.-L.) | |
| Une entité visée ou un associé d’affaires au sens de la HIPAA | États-Unis | HIPAA et HITECH | |
| Un programme américain de traitement des troubles liés à l’usage de substances (42 CFR, partie 2) | États-Unis | 42 CFR, partie 2 | |
| Secteur public | Une institution fédérale | Toujours affiché | LPRP, Directive sur les décisions automatisées et Guide du SCT sur l’IA générative |
| Un ministère ou un organisme provincial de l’Ontario | Ontario | LAIPVP et la Directive de l’Ontario sur l’IA | |
| Une autre institution visée par la LAIPVP de l’Ontario | Ontario | LAIPVP et la Loi sur la sécurité numérique (Ont.) | |
| Une institution municipale de l’Ontario | Ontario | LAIMPVP et la Loi sur la sécurité numérique (Ont.) | |
| Un organisme public du Québec | Québec | A-2.1 | |
| Un organisme public de l’Alberta | Alberta | POPA (Alberta) | |
| Un organisme public de la Colombie-Britannique | Colombie-Britannique | FIPPA (C.-B.) | |
| Un autre organisme public | Toujours affiché | Rien pour l’instant. Sa propre loi sur l’accès à l’information et la protection des renseignements personnels n’est pas couverte, et le rapport le précise. | |
| Éducation et enfance | Une école, un district scolaire, un collège ou une université aux États-Unis | États-Unis | FERPA |
| Un service en ligne destiné aux enfants de moins de 13 ans | États-Unis | COPPA | |
| Finance et valeurs mobilières | Une institution financière fédérale | Toujours affiché | B-10, B-13 et E-23 du BSIF |
| Une institution financière américaine | États-Unis | GLBA | |
| Titulaire d’un permis ou d’une charte du DFS de New York | États-Unis | NYDFS, partie 500 | |
| Inscrit auprès de la SEC | États-Unis | Regulation S-P | |
| Une société qui fait rapport à la SEC | États-Unis | Information cyber (SEC) | |
| Une entité financière de l’UE | Union européenne | DORA | |
| Droit | Un cabinet d’avocats ou un service juridique | Toujours affiché | Le code de déontologie de l’endroit où vos avocats exercent : voir plus bas |
| Autres professions | Un cabinet comptable ou de CPA | Toujours affiché | Codes des CPA au Canada, et Safeguards Rule (FTC) aux États-Unis |
| Des membres d’un ordre professionnel du Québec | Québec | Code des professions | |
| Défense et contrôle des exportations | Un entrepreneur ou un fournisseur de la défense | Toujours affiché | PCCC au Canada, et CMMC aux États-Unis |
| Traite des articles ou des données techniques visés par l’ITAR | Toujours affiché | ITAR | |
| Traite des articles ou des technologies visés par l’EAR | Toujours affiché | EAR | |
| Services essentiels | Une entité essentielle ou importante dans l’UE | Union européenne | SRI 2 |
Les avocats et les CPA qui exercent au Québec ajoutent aussi le Code des professions.
Pour Un cabinet d’avocats ou un service juridique, le code suit les lieux que vous choisissez :
- Ontario : le code de déontologie du Barreau de l’Ontario.
- Québec : le Code de déontologie des avocats.
- Colombie-Britannique, Alberta, Saskatchewan, Manitoba et Nouvelle-Écosse : le code de déontologie du barreau de cette province.
- Toute autre province ou tout autre territoire, ou aucun lieu : le Code type de la Fédération des ordres professionnels de juristes du Canada (FOPJC), sur lequel reposent les codes des autres provinces.
- États-Unis : les Règles types de l’ABA, l’Avis 512 de l’ABA, sur les outils d’IA générative, et les orientations des barreaux d’États sur l’IA.
Responsable de la protection des renseignements personnels
À l’étape Responsable, vous indiquez la personne responsable de la protection des renseignements personnels. Tous les champs sont facultatifs.
- Responsable de la protection des renseignements personnels : la personne qui répond de la protection des renseignements personnels. Son nom et son titre figurent dans le rapport.
- Son titre : par exemple, Responsable de la protection de la vie privée.
- Son courriel professionnel : sert uniquement à lui envoyer les rapports programmés. Il n’apparaît pas dans le rapport.
Si personne n’est désigné, la ligne de profil affiche Aucun responsable désigné, et À corriger en premier, dans l’Assistant d’audit, signale la lacune. Son bouton Le désigner ouvre votre profil à cette étape.
Normes et référentiels que vous suivez
L’étape Vérification commence par Suivez-vous autre chose? Elle ajoute ce que vos réponses ne font pas ressortir : les normes que vous suivez ou selon lesquelles vous êtes certifiés, un projet de loi à prévisualiser, ou une autre loi.
-
Jusqu’à trois suggestions selon vos réponses s’affichent sous forme de pastilles, comme CyberSécuritaire Canada pour une organisation canadienne. Rien n’est ajouté tant que vous ne cliquez pas dessus.
-
Cliquez sur Parcourir toutes les normes et les lois pour voir tout ce que vous pouvez ajouter. La fenêtre Normes et lois comprend :
- Rechercher des lois et des référentiels : tapez une partie d’un nom, en français ou en anglais.
- Suggestions pour vous : toutes les suggestions selon vos réponses.
- Normes de sécurité : ISO 27001, SOC 2, NIST CSF 2.0, NIST 800-53, NIST 800-171, CIS Controls, PCI DSS, HITRUST CSF et CyberSécuritaire Canada.
- Normes de protection de la vie privée et d’IA : ISO/IEC 27701, ISO/IEC 42001, NIST AI RMF, NIST Privacy Framework, OWASP LLM Top 10 et Code volontaire sur l’IA.
- Projets de loi : le projet de loi C-36, le projet de loi fédéral destiné à remplacer les règles de la LPRPDE applicables au secteur privé.
- Ajouter une loi que vos réponses n’ont pas fait ressortir : affiche Autres lois, pour que vous puissiez ajouter vous-même une loi.
La fenêtre compte vos ajouts, comme 2 ajouts de votre part. Cliquez sur Terminé pour la fermer.
Une loi que vos réponses font ressortir est déjà cochée, et vous ne pouvez pas la décocher ici. Pour la retirer, modifiez la réponse qui la fait ressortir.
Ajouter une norme ne signifie pas que vous êtes certifiés selon cette norme. Dans le rapport, la section d’une norme précise que seul un auditeur ou un organisme de certification accrédité, ou l’évaluateur désigné par le programme, peut attester la conformité à cette norme ou certifier une organisation, et que la section met en regard les preuves du rapport et les contrôles de la norme. Ce n’est pas un audit.
Plus bas, Vos réponses récapitule chaque étape : où vous exercez vos activités, ce que vous faites et le responsable. Pour modifier une réponse, cliquez sur Modifier à côté. Vous revenez alors à cette étape.
Votre rapport couvrira
À côté des questions, Votre rapport couvrira indique combien de lois et de référentiels votre profil fait ressortir, et les présente par famille : Canada : fédéral, Canada : provincial, Profession juridique, Autres professions, États-Unis, UE et Royaume-Uni, Autres pays et Normes et référentiels. Sous chacun, la liste indique pourquoi il s’y trouve : le lieu ou la description que vous avez choisi, Toujours incluse pour la LPRPDE, ou Ajoutée par vous. Dans une fenêtre étroite, la liste s’affiche sous les questions.
L’étiquette Projet de loi signale une loi proposée, et l’étiquette Entrée en vigueur progressive, une loi dont certaines obligations commencent à des dates ultérieures.
La liste signale aussi ce qui change :
- Pendant la configuration, Nouveau signale ce que l’étape en cours a ajouté.
- Dans le panneau Profil de conformité, Ajout signale ce que l’enregistrement ajouterait, et Retraits : énumère ce qu’il retirerait.
Modifier votre profil
Une fois un profil enregistré, la ligne de profil, en haut de l’onglet, le résume :
- Le nombre de lois et de référentiels que votre profil fait ressortir.
- Les lieux où vous exercez vos activités, comme Ontario, Québec · États-Unis (Californie), Tout le Canada ou Canada, loi fédérale seulement.
- Ce que fait votre organisation, par nom court, comme Dépositaire (santé), Ontario.
- Les normes et les lois que vous avez ajoutées vous-même.
- Le responsable, sous la forme Responsable : suivi de son nom, ou Aucun responsable désigné, en ambre.
Pour modifier votre profil :
- Dans la ligne de profil, cliquez sur Modifier le profil. Le panneau Profil de conformité s’ouvre à l’étape Où vous exercez vos activités.
- Cliquez sur une étape pour y aller, puis modifiez vos réponses. Les questions sont les mêmes que pendant la configuration : consultez Remplir votre profil de conformité.
- Vérifiez Votre rapport couvrira. Ajout signale ce que l’enregistrement ajouterait, et Retraits : énumère ce qu’il retirerait.
- Cliquez sur Enregistrer le profil. Pour fermer le panneau sans enregistrer, cliquez sur Annuler.
Tant que vous avez des changements non enregistrés, le panneau affiche Enregistrez le profil pour les utiliser dans l’Assistant d’audit et votre rapport. L’Assistant d’audit et le rapport utilisent le profil enregistré.
Lire l’Assistant d’audit
L’Assistant d’audit suit la ligne de profil. Pour chaque loi et chaque référentiel de votre profil, il montre où en est chaque obligation, et quels correctifs sont les plus utiles. Pour changer de période, utilisez la liste Période en haut de la carte : 30 derniers jours, 90 derniers jours ou 12 derniers mois. Il s’ouvre sur 90 derniers jours.
Ce que veulent dire les statuts
Chaque obligation a l’un de trois statuts, et parfois une mention Lacune. Le PDF utilise les mêmes mots.
| Statut | Ce qu’il veut dire |
|---|---|
| Pris en charge | Sanitized AI applique une mesure de protection de ce type, et vos données montrent qu’elle a fonctionné pendant la période. Par exemple, des règles de protection qui gardent les données sensibles hors des outils d’IA. L’obligation demeure celle de votre organisation, et d’autres mesures peuvent être nécessaires pour la respecter. |
| Preuves fournies | L’obligation vous revient. Le rapport fournit les faits dont vous avez besoin, comme vos paramètres, vos chiffres pour la période et les outils d’IA utilisés. La formation du personnel et le registre des atteintes en sont des exemples. |
| Votre responsabilité | Hors de la portée d’un logiciel, comme désigner une personne responsable ou conclure des contrats avec vos fournisseurs de services. Le rapport le dit plutôt que de le prétendre. |
| Lacune | Une mention à côté du statut. Un élément relevé pour la période affaiblit cette obligation, comme une règle de protection réglée sous Bloquer. À corriger en premier indique le problème, et où le corriger. |
Le statut Pris en charge dépend de l’application des règles. Si votre organisation surveille seulement, si aucun outil d’IA n’applique les règles, ou si la protection a été abaissée pendant la période, une obligation qui aurait le statut Pris en charge affiche plutôt Preuves fournies avec une mention Lacune. C’est aussi le cas quand une obligation exige qu’un type de règle de protection soit réglé à Bloquer, comme les règles en santé, et que ce n’est pas le cas.
Où en sont vos obligations
En haut de la carte, une barre représente toutes les obligations de vos lois et référentiels, comme 212 obligations dans vos 9 lois et référentiels. La barre est divisée par statut, avec un chiffre pour chacun : Pris en charge, Preuves fournies et Votre responsabilité. À côté, une pastille compte les obligations qui portent la mention Lacune, comme 7 obligations signalées. La pastille est rouge dès qu’il y en a au moins une, et affiche Aucune obligation signalée s’il n’y en a aucune.
À corriger en premier
À corriger en premier présente les lacunes que vous pouvez corriger, relevées dans vos paramètres et votre activité pendant la période. Elles sont classées selon le nombre d’obligations que chacune affaiblit dans vos lois et référentiels. Les trois premières sont affichées. Pour voir les autres, cliquez sur le lien en dessous, comme Afficher les 7 lacunes. Pour les masquer de nouveau, cliquez sur Afficher moins.
Chaque lacune indique son nom, une ligne qui dit ce qui a été relevé, et quelles obligations elle affaiblit, comme Affaiblit 9 obligations dans 5 référentiels, avec le nom des référentiels. Si la ligne est coupée, pointez-la pour la lire en entier; le texte complet figure aussi dans Lacunes et recommandations dans le rapport. Une lacune qui n’affaiblit aucune obligation de votre profil indique Ne vise aucune obligation précise. S’il n’y a rien à corriger, la liste affiche Rien à corriger pour cette période.
Chaque lacune a un bouton qui indique où la corriger. Cliquez dessus pour y aller :
| Lacune | Bouton |
|---|---|
| Protection non appliquée | Corriger dans Protection, Corriger dans Plateformes surveillées ou Corriger dans Règles de protection, selon la cause. Protection est un onglet de Mon organisation. |
| Certains outils d’IA seulement surveillés | Corriger dans Plateformes surveillées |
| Règles de protection en santé sous Bloquer | Corriger dans Règles de protection |
| Règles de protection des données financières sous Bloquer | Corriger dans Règles de protection |
| Secrets non vérifiés | Corriger dans Règles de protection |
| Outils d’IA non couverts | Corriger dans Plateformes surveillées |
| Personnes sans protection | Corriger dans Utilisateurs |
| Exceptions sans date de fin | Corriger dans Exceptions |
| Modifications de la protection non entièrement vérifiées | Consulter le journal des modifications, qui ouvre Journal des modifications |
| Protection abaissée | Consulter le journal des modifications, qui ouvre Journal des modifications |
| Aucun lien vers une politique sur l’IA | Corriger dans Protection, un onglet de Mon organisation |
| Aucun responsable désigné | Le désigner, qui ouvre le panneau Profil de conformité à l’étape Responsable |
Certaines lacunes n’apparaissent que là où elles comptent. Règles de protection en santé sous Bloquer apparaît pour une organisation de santé. Règles de protection des données financières sous Bloquer et Secrets non vérifiés n’apparaissent que si une loi ou un référentiel de votre profil exige ces mesures de protection.
Les lacunes sur lesquelles seul Sanitized AI peut agir ne figurent pas dans la liste. Elles apparaissent dans une ligne en dessous, après Également relevé :, chacune avec qui peut agir :
- Conservation de nos registres, avec Prévu par Sanitized AI. Les registres d’événements de Sanitized AI n’ont pas encore de délai de suppression automatique.
- Utilisation non comptée, avec Communiquer avec le soutien de Sanitized AI.
- Protection non appliquée, avec Communiquer avec le soutien de Sanitized AI, si le blocage n’est pas offert à votre organisation.
Par référentiel
Sous À corriger en premier, passez de Par référentiel à Par mesure de protection. La légende, à côté, montre la couleur de chaque statut et l’anneau rouge qui signale une lacune.
Par référentiel est un tableau qui présente une rangée pour chaque loi et chaque référentiel, regroupés par famille. Chaque rangée affiche :
- Loi ou référentiel : son nom court et son type : Loi, Ligne directrice, Code de déontologie ou Norme. Une étiquette Projet de loi ou Entrée en vigueur progressive s’ajoute au besoin. Pour voir le nom complet, pointez le nom court.
- Obligations : une barre et des chiffres pour ses obligations, comme 12 prises en charge · 30 preuves · 5 à vous.
- Lacunes : combien de ses obligations comportent une lacune, en rouge dès qu’il y en a au moins une.
- Voir les obligations : ouvre une fenêtre qui présente l’objet de la loi ou du référentiel, et chaque obligation avec son article, son statut et toute mention Lacune, ce que l’obligation exige, et ce que Sanitized AI a fait, avec vos chiffres pour la période. Une note explique aussi la situation d’un projet de loi ou d’une loi qui entre en vigueur progressivement.
- PDF : télécharge un rapport pour cette loi ou ce référentiel seulement, pour la même période, dans la langue du tableau de bord. Pour une autre période ou une autre langue, utilisez le Rapport sur les mesures de protection de l’IA.
Par mesure de protection
Par mesure de protection présente un tableau des mesures de protection en regard de vos lois et référentiels. Un même paramètre répond souvent à des obligations de plusieurs lois à la fois; une rangée montre donc où un seul correctif aide dans tout votre profil.
Les rangées sont les mesures de protection sur lesquelles reposent les obligations : Responsable désigné, Politiques et gouvernance, Sensibilisation et formation du personnel, Garder les données sensibles hors des outils d’IA, Mesures de sécurité et couverture, Outils d’IA et fournisseurs de services, Incidents et atteintes, Registres et piste d’audit, Conservation et destruction, Évaluations des risques et des facteurs relatifs à la vie privée, Ententes avec les fournisseurs, Avis et transparence et Risques de l’IA et supervision humaine. Seules les rangées qu’utilisent vos lois et référentiels sont affichées.
Chaque point est une obligation, coloré selon son statut. Un anneau rouge signale une lacune. Choisissez une case pour voir les obligations qu’elle contient, puis cliquez sur Fermer pour les masquer.
Sur quoi reposent les résultats
L’Assistant d’audit lit vos paramètres tels qu’ils sont aujourd’hui, et votre activité pendant la période choisie :
- Paramètres : comme vos règles de protection et leurs actions, vos plateformes surveillées, vos exceptions, votre lien vers une politique sur l’IA et votre profil de conformité.
- Activité : comme les requêtes vérifiées, les renseignements sensibles détectés et les avertissements affichés pendant la période.
Un paramètre que vous modifiez aujourd’hui compte pour toute la période; l’Assistant d’audit montre donc où vous en êtes maintenant, et non où vous en étiez à une date passée. Si la protection a été abaissée pendant la période, les obligations qui en dépendent ne peuvent pas avoir le statut Pris en charge, et Protection abaissée apparaît dans À corriger en premier. L’Assistant d’audit se met à jour quand vous enregistrez votre profil ou changez de période. Après avoir modifié un paramètre dans une autre page, revenez à l’onglet pour voir le résultat. Si l’Assistant d’audit ne peut pas se charger, il affiche Impossible de charger l’Assistant d’audit. Cliquez sur Réessayer.
La ligne au bas de l’onglet résume ces points : Établi à partir de vos paramètres actuels et de votre activité pendant la période. Ne constitue ni un certificat de conformité ni un avis juridique.
Sanitized AI ne voit que les requêtes et les fichiers envoyés aux outils d’IA qu’il couvre, à partir des navigateurs, et des applications de bureau si votre organisation les utilise, où son logiciel est installé et connecté. Il ne voit pas les appareils personnels, les téléphones, les navigateurs sans Sanitized AI, l’IA intégrée à d’autres applications, ni les outils d’IA qu’il ne couvre pas. Le rapport le précise dans son annexe sur la méthode et les limites.
Télécharger le Rapport sur les mesures de protection de l’IA
Le Rapport sur les mesures de protection de l’IA est un PDF pour votre responsable de la protection des renseignements personnels, vos vérificateurs ou votre conseil. Pour chaque loi et chaque référentiel, il présente ce que Sanitized AI a fait et les chiffres de votre organisation pour la période. Vous le téléchargez à partir de la carte Rapports, sous l’Assistant d’audit.
La rangée Rapport sur les mesures de protection de l’IA indique ce que contiendra le PDF : son contenu, comme Tout votre profil (9), la période et ses dates, puis la langue du rapport. Au départ, elle propose tout votre profil, le trimestre dernier et la langue du tableau de bord. Pour télécharger ce rapport, cliquez sur Télécharger le rapport.
Pour changer ce que contient le PDF :
- Dans la rangée Rapport sur les mesures de protection de l’IA, cliquez sur Modifier.
- Sous Contenu du rapport, sélectionnez Tout votre profil. Ou sélectionnez Choisir, puis choisissez les lois ou les référentiels voulus, par exemple pour un auditeur ou un client.
- Sous Période, choisissez Trimestre dernier, Mois dernier, Trimestre en cours ou Choisir les dates. Pour Choisir les dates, entrez une Date de début et une Date de fin. Un rapport couvre au plus 400 jours.
- Sous Langue du rapport, choisissez Anglais ou Français. La langue du rapport n’a pas à correspondre à celle du tableau de bord.
- Vérifiez la phrase de la rangée, qui suit vos choix, puis cliquez sur Télécharger le rapport.
Pour fermer les choix, cliquez sur Masquer les options.
Le rapport utilise le profil enregistré. Choisir ne fait que restreindre ce que présente le PDF. Dans la page Analyse des données, le bouton Rapport sur les mesures de protection de l’IA ouvre cet onglet.
Contenu du rapport
- La page couverture : votre organisation, la période, les lois et les référentiels couverts, le responsable, qui a produit le rapport et quand, son numéro de rapport, et la version de son contenu juridique, avec la date de la dernière révision juridique, ou en attente.
- Les chiffres clés : les personnes protégées, les requêtes vérifiées, les renseignements sensibles détectés, et combien ont atteint un outil d’IA.
- Ce qui est arrivé aux renseignements sensibles pendant la période.
- Une section pour chaque loi ou référentiel : chaque obligation, ce qu’elle exige, ce que Sanitized AI a fait, et son statut. Consultez Ce que veulent dire les statuts. La section d’une norme précise qu’elle ne constitue pas un audit, et celle d’un code de déontologie, qu’elle ne constitue pas un avis déontologique.
- Lacunes et recommandations, établies à partir de vos données pour la période.
- Les annexes : vos paramètres de protection le jour où le rapport a été produit, les modifications de la protection, les outils d’IA utilisés, l’activité par service, ainsi que la méthode et les limites.
Chaque téléchargement est consigné avec son numéro de rapport, qui figure dans le rapport. C’est aussi le cas des PDF d’un seul référentiel téléchargés à partir de l’Assistant d’audit. Le rapport nomme des personnes, comme celle qui l’a produit et celles qui ont modifié des paramètres; partagez-le donc avec prudence.
Envoyer le rapport par courriel
Envoyer le rapport par courriel, la deuxième rangée de la carte Rapports, envoie le Rapport sur les mesures de protection de l’IA en PDF chaque mois ou chaque trimestre, pour la période qui vient de se terminer. La rangée décrit ce qui est enregistré :
- Quand les envois sont désactivés, elle affiche Désactivé. Le rapport peut être envoyé chaque mois ou chaque trimestre, pour la période qui vient de se terminer.
- Quand ils sont activés, elle indique ce qui est envoyé, à qui et dans quelle langue, comme Chaque trimestre, à 3 personnes choisies, en anglais. Une deuxième ligne indique quand le prochain courriel sera envoyé, et pour quelle période, comme Peu après le 1er janvier 2027, pour la période du 1er octobre 2026 au 31 décembre 2026.
Pour configurer ou modifier les envois :
- Dans la rangée Envoyer le rapport par courriel, cliquez sur Configurer, ou sur Modifier si les envois sont activés.
- Sous Fréquence, choisissez Chaque mois, envoyé tôt le 1er du mois pour le mois qui vient de se terminer, ou Chaque trimestre, envoyé tôt après chaque trimestre pour le trimestre qui vient de se terminer. Choisissez Désactivé pour arrêter les envois. Quand vous changez la fréquence, Premier envoi : indique quand le premier courriel sera envoyé, et pour quelle période.
- Sous Langue du rapport, choisissez Anglais ou Français.
- Sous Destinataires, choisissez l’une des options :
- Tous les administrateurs et le responsable : chaque administrateur actif, et le responsable si son courriel figure dans le profil de conformité.
- Seulement les personnes que je choisis : recherchez des personnes de votre organisation par nom, courriel ou rôle, et cochez-en jusqu’à 100. Pour inclure le responsable, cochez Le responsable de la protection des renseignements personnels. Son courriel doit figurer dans le profil de conformité. Sous la liste, un compte indique combien de personnes le recevront.
- Cliquez sur Enregistrer. Pour fermer les choix sans enregistrer, cliquez sur Annuler.
Langue du rapport, Destinataires et la note sur les renseignements personnels n’apparaissent que si Fréquence n’est pas à Désactivé.
Activer les envois n’envoie pas de rapport tout de suite : le premier part après la fin du mois ou du trimestre en cours. Si le courriel d’une période terminée n’est pas encore parti, la rangée indique qu’il est dû et qu’il sera envoyé dans l’heure.
Le rapport ne va qu’aux personnes de votre organisation et au responsable : vous ne pouvez pas entrer une adresse externe. Seuls les comptes actifs le reçoivent. Si une personne choisie est ensuite désactivée ou supprimée, elle cesse de le recevoir.
Les envois programmés couvrent toujours tout votre profil. Pour remettre un seul référentiel à un auditeur, téléchargez plutôt le rapport.
Le PDF contient des renseignements personnels, comme les adresses courriel des personnes qui ont modifié les paramètres, et il demeure dans la boîte de réception de chaque destinataire.