Liste de vérification pratique pour une architecture d’IA Protégé B

Le profil de contrôle que tout le monde cite encore pour le Protégé B est antérieur au transformeur. Le profil du Centre canadien pour la cybersécurité visant le Protégé B à intégrité moyenne et à disponibilité moyenne porte une date de document de janvier 2015. Sa page porte une date de modification du 1er novembre 2012. Ces deux dates sont incohérentes à leur face même. Nous les reproduisons telles que l’éditeur les indique. Le profil décrit ses contrôles comme « un point de départ ». Ils « doivent être adaptés » au contexte de chaque ministère. Le profil infonuagique qui en est dérivé a depuis vu sa liste de contrôles remplacée par le profil de contrôle Nuage Modéré du Centre pour la cybersécurité. C’est un document soigné, encore utile. Il n’a rien à dire sur l’infiltration de requête ni sur la provenance des modèles. Il n’a rien à dire non plus sur l’ancrage dans les sources lors de la récupération, ni sur un agent qui appelle un outil. Aucune de ces réalités n’existait comme préoccupation opérationnelle au moment de sa rédaction.

Pendant ce temps, les orientations propres à l’intelligence artificielle ont quelques mois, et rien n’exige encore qu’un dossier d’autorisation en tienne compte. Un architecte peut satisfaire entièrement au profil plus ancien et livrer un système dont la surface d’infiltration de requête n’est aucunement atténuée. C’est cet écart qui constitue le vrai travail.

Services publics et Approvisionnement Canada (SPAC) en publie la définition, sur une page modifiée pour la dernière fois le 27 août 2026. Le Protégé B « s’applique aux renseignements ou aux biens qui pourraient porter un préjudice grave à une personne, à une organisation ou à un gouvernement s’ils étaient compromis ». Le Protégé A correspond au préjudice ; le Protégé C, au préjudice du degré le plus grave.

La page du Programme d’évaluation de la sécurité infonuagique du Centre pour la cybersécurité a été modifiée pour la dernière fois le 19 juin 2026. Elle scinde ensuite le Protégé B en deux, et c’est la distinction la plus facile à manquer :

Le profil Nuage Modéré vise les services infonuagiques traitant des renseignements jusqu’au niveau Protégé B inclus. Il s’applique « lorsque les répercussions en cas d’atteinte à la disponibilité et à l’intégrité du système sont modérées ».

Le profil Nuage Élevé vise les services infonuagiques traitant des renseignements jusqu’au niveau Protégé B inclus. Il s’applique « lorsque les répercussions en cas d’atteinte à la disponibilité et à l’intégrité du système sont élevées ».

Les deux plafonnent au Protégé B sur le plan de la confidentialité. Ils diffèrent quant à l’intégrité et à la disponibilité. Un flux de travaux d’intelligence artificielle classé Protégé B, mais qui porte aussi un service dont le public dépend, peut exiger le profil Nuage Élevé. Une équipe peut ne le découvrir qu’après avoir conçu son architecture pour le Nuage Modéré.

Le Centre pour la cybersécurité compare les attestations qu’un fournisseur détient déjà aux exigences de contrôle canadiennes. Il évite ainsi d’évaluer chaque fournisseur à partir de zéro. Il a publié son document sur le processus d’évaluation des fournisseurs de services infonuagiques en octobre 2018, en vigueur depuis le 1er octobre de la même année. Le document indique que, pour l’instant, le Centre n’a comparé que quatre normes d’attestation. Il les a comparées aux exigences de contrôle et de bonification de son catalogue de gestion des risques liés au cycle de vie :

• Les plans de sécurité du système produits pour le Federal Risk and Authorization Management Program (FedRAMP)
• Les rapports System and Organization Controls (SOC) 2 Type II de l’American Institute of Certified Public Accountants (AICPA)
• Les rapports 27001 de l’Organisation internationale de normalisation et de la Commission électrotechnique internationale (ISO/IEC)
• Les rapports ISO/IEC 27017

Le même document précise que d’autres normes seront comparées à mesure que le programme arrivera à maturité. Traitez donc cette liste comme celle du moment, et non comme une liste close. Nommez tout de même les quatre dans votre besoin, parce que « les certifications appropriées » n’est pas une exigence.

Selon la page du programme, « la liste des organismes d’évaluation tiers se limite actuellement aux entreprises possédant l’accréditation Federal Risk and Authorization Management Program (FedRAMP) ».

Les mesures de protection du nuage du gouvernement du Canada constituent un ensemble minimal de contrôles de sécurité. Elles sont obligatoires depuis mai 2022 en vertu d’une norme rattachée à la Directive sur les services et le numérique. Les ministères « doivent mettre en œuvre et valider les mesures de protection du nuage ». Ils doivent aussi « rendre compte de leur conformité à ces mesures dans les 30 premiers jours ouvrables suivant l’obtention de leur compte d’accès au nuage ». Il y en a treize.

Quatre d’entre eux sont les points où les flux de travaux d’intelligence artificielle risquent le plus de céder.

L’emplacement des données. Là où va la requête, et pas seulement là où se trouve le corpus. Une chaîne de récupération qui conserve les documents au Canada mais envoie les passages récupérés de l’autre côté d’une frontière a déplacé les données.

La protection des données au repos. Les magasins de vecteurs et les index de plongements sont des copies dérivées du matériel source. Ils peuvent être créés en dehors des contrôles appliqués à la source.

La protection des données en transit. Chaque appel d’outil est un événement de transit, et les architectures d’agents les multiplient.

La journalisation et la surveillance. Si les journaux ne consignent pas quels documents le système a récupérés et quels outils il a appelés, personne ne peut reconstituer un incident mettant en cause le système.

Un cinquième, la configuration des places de marché infonuagiques, mérite d’être mentionné. C’est là que les abonnements aux modèles et aux services d’intelligence artificielle s’acquièrent discrètement, en dehors du processus que tout le monde croit suivre.

Le Centre pour la cybersécurité a publié son introduction aux 10 mesures de sécurité en matière d’intelligence artificielle en mai 2026, modifiée pour la dernière fois le 29 mai 2026. Elle est assez récente pour porter la structure de tout examen de conception en Protégé B, et c’est ce qu’elle devrait faire. Les dix mesures commencent par atténuer l’infiltration de requête et les contournements de garde-fous, puis par se défendre contre l’hypertrucage et l’usurpation d’identité. Il faut aussi se durcir contre les attaques et les fraudes assistées par intelligence artificielle. L’introduction demande ensuite d’éprouver et de mener des essais en équipe rouge, puis de se prémunir contre l’empoisonnement des données. Elle vise aussi les contrôles d’utilisation des données et la prévention du vol de modèles. Elle ajoute la sécurisation de l’ingénierie et de la chaîne d’approvisionnement, ainsi que le respect des contrôles en matière de vie privée, de fournisseurs et de contrats. Elle se termine par la supervision humaine et les contrôles d’exécution. Elle demande enfin une résilience opérationnelle face à la dérive et à l’hallucination d’IA, ainsi qu’aux biais et à la confiance excessive.

Six d’entre elles, à notre lecture, correspondent à des contrôles qu’un programme de sécurité mature applique déjà. Quatre représentent du travail nouveau :

Une nomenclature du système lui-même. L’introduction demande une nomenclature d’intelligence artificielle couvrant les modèles, les jeux de données et les dépendances, les modèles, le code et les artefacts étant signés cryptographiquement ou validés par empreinte. C’est l’élément le plus récent de cette liste et celui qui a le moins de chances d’être déjà en place.

Des paramètres par défaut interdisant l’entraînement, et appliqués. Pas affirmés sur la page promotionnelle d’un fournisseur. Appliqués dans la configuration et inscrits au contrat, avec les droits de vérification et les restrictions d’utilisation.

La minimisation des données au niveau de la requête. L’introduction le formule ainsi : « Classifier et minimiser les renseignements personnels dans les requêtes ». La requête est un nouveau chemin de données pour lequel les schémas de classification existants n’ont pas été écrits, et c’est celui avec lequel les personnes utilisatrices interagissent directement.

La détection de l’IA fantôme. Recenser les modèles autorisés et non autorisés présents sur le réseau, avec des listes d’autorisation et de refus. Attendez-vous à ce que l’exercice de détection révèle plus de modèles en usage que n’en compte votre inventaire.

Pour l’hébergement des modèles et la chaîne d’approvisionnement en particulier, le Centre pour la cybersécurité a publié des orientations sur le déploiement sécurisé de l’intelligence artificielle en périphérie de réseau. Elles datent du 14 juillet 2026. Elles portent sur la protection de l’intégrité des modèles, la liaison cryptographique, l’élimination sécurisée, ainsi que sur les nomenclatures logicielles et les nomenclatures de modèles. Ce document a deux mois et c’est ce qui existe de plus à jour.

Une lacune qu’il faut admettre : ni ce document ni les orientations du Centre pour la cybersécurité sur l’intelligence artificielle générative ne traitent de la génération augmentée par récupération (GAR). Or la récupération est le schéma habituel d’un flux de travaux du savoir, et c’est celui que les orientations actuelles couvrent le moins. Les architectes devraient documenter leurs décisions de conception en matière de récupération en présumant que les orientations arriveront plus tard et seront appliquées rétroactivement.

Les autorités fédérales ainsi que provinciales et territoriales de protection de la vie privée du Canada ont publié des principes le 7 décembre 2023. Ils visent des technologies d’intelligence artificielle générative responsables et dignes de confiance, qui respectent la vie privée. Le Commissariat à la protection de la vie privée du Canada fait partie de ces autorités. Ces principes ont été modifiés pour la dernière fois le 6 mai 2025. Neuf principes : pouvoir légal et consentement ; fins acceptables ; nécessité et proportionnalité ; transparence ; responsabilité ; accès des personnes ; limitation de la collecte, de l’utilisation et de la communication ; exactitude ; mesures de protection.

L’accès des personnes est l’exigence la plus facile à oublier au moment de la conception. Une personne peut demander quels renseignements personnels la concernant l’institution détient. Si ses renseignements ont été intégrés à un index vectoriel, cet index entre dès lors dans le champ de la réponse. Les en extraire suppose une capacité que personne n’a construite.

La Loi sur la protection des renseignements personnels régit la façon dont les institutions fédérales traitent les renseignements personnels. La Loi sur la protection des renseignements personnels et les documents électroniques régit les activités commerciales du secteur privé. Les deux s’appliquent selon leurs propres termes, indépendamment de tout ce que contient la présente liste de vérification.

La catégorie et le niveau de préjudice, avec l’intégrité et la disponibilité évaluées séparément de la confidentialité. Les attestations du fournisseur, les quatre nommées. Les treize mesures de protection. L’emplacement des données, les données au repos, les données en transit et la journalisation, examinés au regard des chemins de récupération et d’appel d’outils. Les dix mesures de sécurité, avec des ressources pour les quatre nouvelles plutôt qu’une simple reconnaissance. Les neuf principes de protection de la vie privée, avec l’accès des personnes conçu d’avance plutôt que découvert en cours de route.

Rien de tout cela n’est exotique. Tout cela coûte moins cher avant la construction qu’après, et le profil au regard duquel vous êtes évalué ne vous en dira rien.

Précédemment : cinq flux de travaux du savoir que les institutions publiques canadiennes peuvent mettre à l’essai en toute sécurité. Prochain article de la série : l’évaluation bilingue des flux de travaux d’IA de l’administration publique canadienne.