Jusqu’où les entreprises doivent-elles contrôler les technologies, les données et l’écosystème de fournisseurs sur lesquels repose leur utilisation de l’intelligence artificielle? Cette question soulève des enjeux de gouvernance, de dépendances, de gestion des risques et de capacités internes. L’intégration de l’IA suscite plusieurs interrogations, dont celle du choix entre la création d’outils d’IA internes et l’adoption de solutions commerciales (« build vs buy »). Le tout dans un cadre réglementaire qui reste à définir dans un environnement technologique en constante évolution. Faut-il développer des outils internes adaptés aux besoins de l’organisation ou recourir à une solution existante? Quelles fonctions doivent demeurer sous contrôle interne? Quelles données peut-on confier à un tiers et qui pourra y accéder? Quelles dépendances technologiques ou contractuelles découlent de ces choix? Développer ses propres capacités d’intelligence artificielle ou recourir à une solution clé en main est donc une décision dont les ramifications dépassent largement le choix technologique. Cette décision doit s’inscrire dans une réflexion beaucoup plus large sur la gouvernance et le niveau de contrôle que l’organisation souhaite conserver sur son environnement d’IA. Développer ou acquérir une solution d’IA : une décision stratégique Les besoins auxquels l’IA peut répondre varient d’une organisation à l’autre : automatisation, gains de productivité, aide à la prise de décision, analyse de données ou traitement de renseignements sensibles. Une réflexion stratégique doit tenir compte de plusieurs facteurs : Les usages; La sensibilité des données; Le niveau de risque acceptable; Les capacités internes; Les exigences réglementaires; Les besoins actuels et futurs. Une solution commerciale peut répondre rapidement à certains besoins et éviter de mobiliser une équipe spécialisée à l’interne. À l’inverse, le besoin d’adaptabilité ou le traitement de données sensibles peuvent amener une entreprise à privilégier le développement à l’interne. Le véritable enjeu consiste à bien évaluer ce que chaque modèle permet de contrôler et les dépendances qui en découlent. Gouvernance de l’IA et gouvernance des données La gouvernance de l’IA est indissociable de celle des données. Lorsqu’une organisation confie ses données à un tiers, il ne suffit pas de savoir où elles sont hébergées. Il faut aussi comprendre l’environnement dans lequel elles circulent et qui peut intervenir dans leur traitement. Les données constituent un actif stratégique que les organisations ne peuvent exposer sans tenir compte des risques, particulièrement dans les secteurs où la confidentialité est fondamentale. Le secteur juridique en est un exemple en raison de la nature de l’information confiée aux cabinets, mais le principe s’applique au-delà des services professionnels. La gouvernance ne relève pas uniquement de la conformité. Elle permet aussi d’encadrer comment les données sont protégées, organisées et utilisées pour soutenir les objectifs de l’organisation. Pour exercer cette gouvernance, il faut disposer d’une compréhension suffisamment précise de la manière dont les données circulent dans l’environnement technologique Il faut donc être en mesure d’obtenir les réponses à des questions comme : Où les données sont-elles hébergées? Qui peut y accéder? Quelles juridictions peuvent s’appliquer? Même lorsqu’un fournisseur de solution commerciale affirme conserver les données dans une juridiction précise, son infrastructure, ses mécanismes de redondance ou ses propres fournisseurs peuvent créer des flux de données beaucoup plus complexes. Choisir un fournisseur d’IA : comprendre les dépendances technologiques et contractuelles Le choix d’un fournisseur ne repose pas uniquement sur les capacités de la solution ou sur son coût. Le recours à une solution d’IA commerciale peut créer des dépendances technologiques et contractuelles que l’organisation doit être en mesure de comprendre et de gouverner. Il faut donc comprendre : Quels sous-traitants peuvent intervenir; Quelle infrastructure soutient la solution; Quelles juridictions peuvent entrer en jeu; Quelles sont les dépendances technologiques et contractuelles. L’évaluation doit permettre de déterminer ce que l’organisation continuera de contrôler directement et ce qu’elle confiera à un tiers. Développer ou acquérir ses outils d’IA ne constitue donc pas uniquement un choix technologique. La décision détermine également ce que l’organisation contrôle directement et les acteurs dont elle devient dépendante. Intégration de l’IA en entreprise : conjuguer adoption et esprit critique L’adoption par les employés représente déjà une préoccupation dans plusieurs organisations. Certains peuvent hésiter à utiliser l’IA, alors que d’autres peuvent l’adopter trop vite sans en comprendre le fonctionnement ou les risques. Les utilisateurs vont-ils recourir à l’IA de manière sécuritaire et limiter les risques de fuite de données ? Quelle courbe d’apprentissage leur sera nécessaire ? L’enjeu consiste à créer un environnement où les employés ont suffisamment confiance dans l’IA pour l’utiliser, tout en conservant leur jugement et leur esprit critique. Cela suppose de déployer de solides cadres de gouvernance, en plus de former ou de mobiliser des personnes capables d’utiliser l’IA en prenant le recul nécessaire lorsque la situation l’exige. À mesure que les capacités de l’IA évolueront, la dimension humaine conservera toute son importance. Gouvernance de l’IA à long terme : préparer l’organisation de demain À quoi ressemblera une organisation qui aura véritablement intégré l’IA dans dix ou vingt ans? Il faudra avoir mis en place : Une gouvernance adaptée; Des responsabilités claires; Les compétences nécessaires; Une culture permettant une utilisation réfléchie de l’IA; Des mécanismes de contrôle; Des informations et des données de qualité. Une organisation doit être capable non seulement d’utiliser l’IA, mais aussi de comprendre comment ses données sont gouvernées, l’écosystème de ses fournisseurs et les risques associés à son utilisation. Une stratégie d’IA ne se limite pas à une adoption technologique. Elle doit aussi reposer sur la gouvernance des données, les compétences, la culture interne et les mécanismes de contrôle nécessaires à une utilisation responsable et créatrice de valeur. Faire de l’IA une décision collective Qu’une organisation choisisse de développer ses propres capacités d’intelligence artificielle ou de recourir à une solution existante, la décision ne devrait pas être prise en silo. Les enjeux technologiques ne représentent qu’une partie de l’équation. Données, cybersécurité, protection des renseignements, exigences juridiques et réglementaires, dépendances envers les fournisseurs, capacités internes, coûts, adoption par les utilisateurs et objectifs d’affaires sont étroitement liés. Une décision prise sous un seul angle risque donc de déplacer le risque plutôt que de le prévenir. C’est pourquoi les organisations qui souhaitent intégrer l’IA ont intérêt à réunir, dès le début de leur réflexion, les fonctions appelées à en évaluer les différentes dimensions. À mesure que l’IA prendra une place plus importante dans les organisations, celles qui auront mis en place cette gouvernance transversale seront mieux outillées pour faire des choix éclairés et transformer leurs investissements en IA en capacités durables et créatrices de valeur. Enquête réalisée auprès de 495 décideurs américains en matière d’IA du 7 au 25 novembre 2025. Les participants comprenaient des cadres, des vice-présidents de l’ingénierie et des produits, de même que des responsables des décisions d'achat et de développement d’IA au sein d’organisations utilisant activement des outils d’IA. Voir le sondage.

La transition énergétique transforme la manière dont les grandes infrastructures sont pensées, financées, autorisées et réalisées. Les décisions prises aujourd’hui auront des effets pendant plusieurs décennies, alors que les technologies, les marchés, les cadres réglementaires et les réalités géopolitiques continuent d’évoluer. Dans ce contexte, la capacité à gérer l’incertitude devient un enjeu central. Pendant des décennies, les infrastructures énergétiques ont évolué dans un environnement relativement prévisible. Les technologies étaient éprouvées, les modèles économiques connus et les risques pouvaient être évalués selon des paramètres relativement stables. Aujourd’hui, les projets qui façonneront les prochaines décennies doivent être conçus alors que plusieurs variables évoluent simultanément : Les technologies émergentes La demande énergétique croissante La décarbonation de l’économie Les événements climatiques La disponibilité du capital L’évolution des cadres réglementaires L’acceptabilité sociale Les nouvelles réalités géopolitiques Les infrastructures évoluent à un autre rythme : elles engagent des capitaux considérables et structurent les économies pour des décennies. Cette tension constitue l’un des grands défis de la transition énergétique. Il faut prendre aujourd’hui des décisions dont les effets se feront sentir pendant 50, voire 100 ans, alors même qu’une partie des données nécessaires à ces décisions demeure incertaine. Attendre que l'incertitude disparaisse n’est pas nécessairement la stratégie la moins risquée. Le coût de l’inaction doit désormais faire partie intégrante de l’analyse du risque. Transition énergétique : gérer l’incertitude dans les projets d’infrastructure La transition énergétique ne sera vraisemblablement pas portée par une technologie unique. Électrification, efficacité énergétique, énergies renouvelables, biénergie, gaz renouvelables, stockage et technologies de captage ou d’élimination du carbone peuvent jouer des rôles différents selon les secteurs, les territoires et les horizons temporels. Cette réalité change la manière d’aborder les investissements en infrastructures. Historiquement, plusieurs projets d’infrastructures étaient évalués individuellement avec comme objectif de réduire autant que possible le risque associé à chacun d’eux. L’accélération technologique invite désormais à réfléchir davantage en termes de portefeuille de solutions. Certaines technologies sont matures, d’autres ne le sont pas encore. Certaines atteindront rapidement une échelle commerciale, alors que d’autres évolueront différemment de ce qui est aujourd’hui anticipé. La résilience du système dépendra donc moins d’identifier dès maintenant une solution définitive que de combiner différentes avenues et de conserver suffisamment de flexibilité pour s’adapter. Un projet peut présenter davantage d’incertitude sur le plan technologique tout en créant de la valeur à l’échelle d’un système énergétique, notamment par : La diversification; La capacité additionnelle; La sécurité d’approvisionnement; La réduction des émissions; Une résilience accrue. L’analyse du risque ne consiste donc plus uniquement à chercher à réduire le risque associé à la réalisation d’un projet. Elle doit aussi tenir compte du risque, pour le système dans son ensemble, de ne pas le réaliser. Transition énergétique, compétitivité et résilience des infrastructures Si la décarbonation demeure un moteur fondamental de la transformation des infrastructures, elle n’est toutefois plus la seule. La sécurité énergétique, la résilience des chaînes d’approvisionnement, l’accès à une énergie fiable et compétitive ainsi que les tensions géopolitiques occupent désormais une place croissante dans les décisions d’investissement. Au Canada, l’abondance de certaines ressources, l’expertise développée dans les secteurs de l’énergie et des infrastructures, l’accès à une électricité largement renouvelable dans plusieurs provinces ainsi que le potentiel géologique associé au stockage du carbone peuvent devenir des avantages industriels importants. La transition énergétique doit donc être envisagée non seulement comme une obligation de réduction des émissions, mais également comme une transformation économique susceptible de redéfinir la compétitivité. Pour les entreprises et les investisseurs, cela change la nature de la réflexion stratégique. Les décisions relatives à l’énergie, aux infrastructures et à la décarbonation touchent désormais directement : La stratégie d’investissement; La localisation des actifs; Les chaînes d’approvisionnement; L’accès aux marchés; La résilience à long terme. Transformer l’innovation en infrastructures finançables Transformer une innovation énergétique en infrastructure réelle ne consiste pas uniquement à inventer une technologie. Il faut également : Trouver un site; Sécuriser l’approvisionnement énergétique; Obtenir les autorisations requises; Structurer le financement; Négocier les ententes commerciales; Établir les mécanismes de partage des risques; Développer des relations durables avec les communautés concernées. Autrement dit, la prochaine étape de la transition énergétique est autant une question de déploiement que d’innovation. L’enjeu de la « bancabilité » devient alors central. Les premiers projets utilisant des technologies émergentes sont souvent coûteux et difficiles à financer. Leur déploiement permet ensuite de développer l’expertise, de standardiser les processus et de réduire progressivement les coûts. Le défi consiste donc à créer suffisamment de prévisibilité pour permettre aux investisseurs de s’engager, sans figer prématurément les modèles technologiques ou réglementaires. Acceptabilité sociale : intégrer les parties prenantes à l'architecture du projet La réalisation des grandes infrastructures exige une collaboration particulièrement étroite entre promoteurs, gouvernements, organismes réglementaires, prêteurs, investisseurs et conseillers. L’acceptabilité ne se construit pas à la fin d’un projet. Même lorsqu’un projet est techniquement solide et économiquement viable, sa réalisation dépend aussi de sa capacité à établir une relation durable avec les communautés concernées. Cette dimension prend une importance accrue dans un contexte où la confiance envers les institutions est fragilisée et où l’information circule rapidement. La consultation ne devrait donc pas être perçue comme une étape administrative située à la fin du développement d’un projet. Pour les grandes infrastructures, la relation avec les parties prenantes fait partie de l’architecture même du projet. Cette logique est particulièrement importante dans les relations avec les communautés autochtones. L’engagement précoce et la recherche de modèles permettant une participation réelle à la conception, aux bénéfices ou à la gouvernance des projets peuvent profondément modifier la dynamique de leur développement. La même logique vaut pour les communautés locales. La confiance ne repose pas sur une promesse d’absence totale de risque. Elle repose davantage sur la transparence quant : Aux risques; Aux bénéfices; Aux inconnues; Aux mécanismes permettant de résoudre les problèmes lorsqu’ils surviennent. Cette dimension compte d’autant plus que la population établit déjà un lien entre infrastructures, économie et climat. Selon le Global Infrastructure Index 2026, **72 % des répondants estiment qu’investir dans les infrastructures crée des emplois et stimule l’économie, tandis que 59 % jugent que ces investissements contribuent fortement à combattre et à atténuer les effets des changements climatiques.**¹ Cette perception favorable ne peut toutefois être tenue pour acquise. Pour les organisations qui portent ces projets, la qualité du dialogue et de l’engagement des parties prenantes constitue en soi un élément de gestion des risques du projet. Des cadres réglementaires capables d’accompagner la transformation Les cadres réglementaires jouent un rôle essentiel dans la protection de l’intérêt public. Ils doivent pouvoir évoluer au rythme des transformations qu’ils encadrent. L’enjeu consiste à développer des processus suffisamment prévisibles, coordonnés et agiles pour permettre aux promoteurs et aux investisseurs de comprendre les règles du jeu et de prendre des décisions à long terme. Une réglementation efficace doit poursuivre plusieurs objectifs simultanément : Protéger l’environnement et les communautés; Assurer la sécurité des infrastructures; Créer de la prévisibilité pour les investisseurs; Permettre l’intégration de nouvelles technologies. Lorsque les cycles d’autorisation deviennent beaucoup plus longs que les cycles d’innovation technologique ou d’investissement, le risque n’est plus seulement administratif : il devient économique. La dimension juridique intervient également en amont du projet : répartition des risques, cadre contractuel, financement, réglementation et gouvernance contribuent à créer les conditions nécessaires à sa réalisation. Grands projets d’infrastructure : passer de l’ambition à l’exécution Les prochaines années ne manqueront probablement ni d’objectifs climatiques, ni de capitaux, ni d’innovations. Le facteur déterminant sera plutôt la capacité à les transformer en infrastructures opérationnelles. Cette exécution exige de réunir plusieurs conditions : Une vision à long terme; Le capital et le financement; L’action gouvernementale; Les technologies; La réglementation; Les partenariats; L’engagement communautaire et la relation avec les parties prenantes; Une répartition efficace des risques. Dans ce nouvel environnement, le droit ne se situe plus uniquement à la périphérie du projet, une fois les décisions d’affaires prises. Il contribue à structurer les conditions permettant au projet d’exister. Les projets qui avanceront seront ceux dont les promoteurs auront su organiser l’incertitude de manière suffisamment claire pour permettre aux différentes parties prenantes d’avancer ensemble. La transition énergétique impose ainsi une nouvelle discipline aux bâtisseurs d’infrastructures, celle de penser à très long terme tout en conservant la capacité de s’adapter; d’accepter le risque sans renoncer à la rigueur, de multiplier les solutions plutôt que rechercher une réponse unique et de bâtir la confiance aussi méthodiquement que les actifs eux-mêmes. Dans un monde où l’incertitude devient permanente, la capacité d’exécuter devient elle-même un avantage stratégique.

Les mécanismes cryptographiques qui sécurisent aujourd’hui les transactions, les communications et les signatures numériques pourraient devenir vulnérables avec l’arrivée d’ordinateurs quantiques suffisamment puissants. Pour les entreprises, la question n’est plus seulement d’ordre technologique : elle touche aussi la gouvernance, les contrats, la protection des renseignements et la planification des migrations. Qu’est-ce que la cryptographie post-quantique? Pouvez-vous imaginer passer une semaine sans utiliser Internet pour transmettre de l’information sensible? Plus de transactions bancaires, plus de portail permettant de consulter des résultats médicaux, plus d’achats en ligne. Ces activités reposent notamment sur des mécanismes cryptographiques qui : protègent la confidentialité et l’intégrité de l’information; authentifient les personnes et les systèmes; et sécurisent les signatures numériques. Or, l’avènement d’ordinateurs quantiques suffisamment puissants pourrait compromettre certains de ces mécanismes et, par conséquent, une partie importante de la sécurité sur laquelle repose aujourd’hui notre environnement numérique. La cryptographie regroupe les techniques qui permettent de protéger la confidentialité et l’intégrité de l’information, d’authentifier les personnes et les systèmes, et de sécuriser les signatures numériques. Elle intervient notamment lorsqu’un navigateur affiche un cadenas, qu’une personne signe électroniquement un document ou qu’une entreprise transmet des données confidentielles. Certains de ces mécanismes reposent sur une paire de clés mathématiquement liées, soit une clé publique et une clé privée. Leur sécurité dépend de problèmes mathématiques que les ordinateurs actuels ne peuvent résoudre dans un délai raisonnable. Un ordinateur quantique suffisamment puissant pourrait toutefois résoudre beaucoup plus rapidement certains de ces problèmes. Des mécanismes largement utilisés, notamment le système RSA et la cryptographie sur courbes elliptiques, n’offriront plus de protection suffisante. Pourquoi la menace quantique existe-t-elle dès aujourd’hui? Pour le moment, il n’existe que des prototypes d’ordinateurs quantiques et il demeure difficile de prévoir exactement quand ils deviendront disponibles commercialement ou seront utilisés par certaines grandes entreprises et divers États. Le Centre canadien pour la cybersécurité estime néanmoins qu’un ordinateur quantique capable de représenter une menace pour les mécanismes actuels pourrait être disponible dès 2030, tout en reconnaissant l’incertitude entourant cet échéancier1. En août 2024, le National Institute of Standards and Technology des États-Unis a d’ailleurs publié trois premières normes conçues pour résister à cette menace2. Pour les organisations, la question n’est donc pas seulement de savoir quand cette menace se matérialisera, mais de déterminer ce qu’elles doivent faire aujourd’hui pour que leurs renseignements et leurs systèmes demeurent sécuritaires dans le futur. La cryptographie post-quantique désigne les méthodes conçues pour résister aux attaques provenant tant des ordinateurs actuels que de futurs ordinateurs quantiques. D’un point de vue mathématique, des algorithmes résistants existent, mais beaucoup de systèmes informatiques n’en font pas encore usage. Le risque de « récolter maintenant, déchiffrer plus tard » On peut résumer la menace la plus pressante par l’expression « récolter maintenant, déchiffrer plus tard ». Un acteur malveillant peut intercepter et conserver aujourd’hui des données chiffrées, puis tenter de les déchiffrer lorsqu’il disposera d’une capacité quantique suffisante. Le risque concerne donc en priorité les renseignements dont la valeur ou la sensibilité persiste pendant plusieurs années, par exemple les secrets commerciaux, les données financières, les renseignements stratégiques et certaines communications privilégiées3. L’urgence dépend de la situation technologique propre à chaque organisation. Il faut tenir compte de la durée pendant laquelle les renseignements doivent demeurer confidentiels et du temps nécessaire pour remplacer les mécanismes vulnérables. Selon les meilleures pratiques canadiennes en la matière, certains systèmes ont une durée de vie de 15 à 30 ans et une migration cryptographique peut elle-même prendre plusieurs années4. Une organisation peut donc prendre du retard avant même que l’ordinateur quantique menaçant ne soit sur le marché. Pourquoi les entreprises dépendent-elles de leurs fournisseurs pour la transition? La plupart des organisations ne développent pas elles-mêmes les solutions cryptographiques de remplacement. Elles dépendent plutôt de leurs fournisseurs de logiciels, de services infonuagiques, d’équipements, de certificats et de cybersécurité. Cette dépendance ne rend pas la préparation inutile, au contraire. Elle déplace plutôt l’intervention vers la gouvernance, l’approvisionnement et les contrats. En ce qui concerne les contrats, il est important dès maintenant d’évaluer l’effet de ces risques, notamment la répartition des responsabilités entre les parties contractantes. Idéalement, le contrat de service technologique devra préciser si les risques liés à l’usage de technologies inadéquates du point de vue de la sécurité quantique relèvent du fournisseur ou de son client. Un dialogue dans le cadre duquel les organisations clientes posent les bonnes questions et les fournisseurs technologiques divulguent les limites de leur technologie avec une certaine transparence s’avère donc nécessaire. Le gouvernement fédéral a amorcé sa transition vers la cryptographie post-quantique Le gouvernement fédéral ne traite plus la cryptographie post-quantique comme un simple sujet de recherche. En juin 2025, le Centre canadien pour la cybersécurité a publié une feuille de route pour la migration des systèmes non classifiés du gouvernement du Canada. Ce document prévoit notamment un plan ministériel initial et un premier rapport d’avancement à compter d’avril 2026, la migration des systèmes hautement prioritaires d’ici la fin de 2031 et celle des autres systèmes visés d’ici la fin de 20355. Un avis de mise en œuvre de la Politique sur la sécurité, entré en vigueur en octobre 2025, vise à renforcer ces exigences et impose aux institutions fédérales concernées de démontrer des progrès mesurables6. Si ces échéances ne s’appliquent pas directement aux entreprises privées, elles peuvent néanmoins avoir un effet indirect sur les fournisseurs du gouvernement fédéral. Depuis le 1er avril 2026, les contrats fédéraux visés comportant une composante numérique doivent notamment intégrer des clauses favorisant la cryptographie post-quantique et l’agilité cryptographique7. Ces mesures confirment qu’une migration ordonnée exige une gouvernance, un inventaire, une priorisation, une planification financière, des politiques d’approvisionnement et une coordination avec les fournisseurs. De plus, cette orientation dépasse désormais le seul gouvernement fédéral. En septembre 2026, le Canada s’est joint à un appel à l’action du Groupe de travail sur la cybersécurité du G7 invitant les organisations publiques et privées à amorcer une transition progressive fondée sur les risques. Des lignes directrices canadiennes recommandent également aux organisations de commencer leur préparation avant le déploiement de solutions à grande échelle8. Quels sont les enjeux juridiques pour les entreprises québécoises? Aucune loi québécoise n’impose expressément à l’ensemble des entreprises privées d’utiliser un algorithme post-quantique en particulier ou d’effectuer une migration selon l’échéancier fédéral. Le droit québécois formule plutôt des obligations fonctionnelles et technologiquement neutres, lesquelles exigent que l’efficacité des moyens employés soit appréciée dans leur contexte. Protection des renseignements personnels et mesures de sécurité raisonnables La Loi sur la protection des renseignements personnels dans le secteur privé oblige l’entreprise à prendre des mesures de sécurité raisonnables compte tenu, notamment, de la sensibilité, de la finalité, de la quantité, de la répartition et du support des renseignements. Elle exige également une évaluation des facteurs relatifs à la vie privée lors de certains projets d’acquisition, de développement ou de refonte des systèmes d’information ou de prestation électronique de service qui traitent des renseignements personnels9. Pour une organisation qui conserve des renseignements sensibles qui restent pertinents pendant plusieurs années (par exemple des coordonnées bancaires, des numéros d’assurance sociale), le risque quantique pourrait ainsi devenir un facteur pertinent dans l’évaluation du caractère raisonnable des mesures de sécurité actuelles. Intégrité des documents et confidentialité des transmissions La Loi concernant le cadre juridique des technologies de l’information va dans le même sens en exigeant notamment que l’intégrité d’un document soit maintenue pendant tout son cycle de vie. Par exemple, lorsque les renseignements contenus dans un document sont considérés comme confidentiels en vertu de la loi, l’article 34 exige qu’ils soient protégés par un moyen approprié au mode de transmission10. La documentation expliquant le mode de transmission et les mesures prises pour assurer la confidentialité doit également pouvoir être produite en preuve. Ces dispositions mettent l’accent sur les résultats à préserver, notamment l’intégrité des documents et la confidentialité des renseignements. Responsabilité civile et état des connaissances La doctrine québécoise souligne que l’efficacité technique des mesures employées peut devenir juridiquement pertinente11. Dans ce contexte, les publications officielles et les normes techniques, sans créer à elles seules une obligation civile, peuvent contribuer à documenter l’état des connaissances, la prévisibilité du risque et les pratiques reconnues12. La responsabilité d’une organisation quant aux obligations de protection des données doit être appréciée suivant les règles ordinaires de la responsabilité civile13. La question serait notamment de savoir si l’organisation a agi avec prudence et diligence, au moment pertinent, compte tenu : des connaissances alors disponibles; de la sensibilité des renseignements protégés; de la durée de vie de ses systèmes; et de l’accessibilité des solutions de remplacement. Il est possible que l’utilisation d’un mécanisme cryptographique susceptible de devenir vulnérable sous peu constituerait une faute à la lumière des connaissances actuelles. Produits connectés et attentes raisonnables en matière de sécurité Des considérations semblables pourraient s’appliquer aux fabricants, distributeurs et fournisseurs de produits connectés. Le Code civil du Québec tient notamment compte de la sécurité à laquelle une personne peut normalement s’attendre et de l’état des connaissances au moment où le bien a été fabriqué, distribué ou fourni. Dans ce contexte, la capacité raisonnablement attendue d’un produit à recevoir des mises à jour de sécurité pourrait faire partie des circonstances considérées dans l’appréciation d’un éventuel défaut de sécurité14. Comment les entreprises peuvent-elles se préparer dès maintenant? La préparation ne commande pas de remplacer immédiatement tous les mécanismes actuels. Elle vise plutôt à développer une agilité cryptographique, soit la capacité de repérer et de remplacer les mécanismes cryptographiques sans devoir reconstruire entièrement les systèmes qui les utilisent. Le Centre canadien pour la cybersécurité recommande notamment les mesures suivantes15 : Recenser les usages cryptographiques. L’inventaire devrait couvrir les systèmes internes et ceux destinés à la clientèle, les certificats, les mécanismes d’authentification, les signatures numériques, les équipements réseau et les services infonuagiques. Une attention particulière devrait être accordée aux systèmes plus anciens, personnalisés ou difficiles à mettre à jour. Établir les priorités. L’organisation devrait identifier les renseignements qui doivent demeurer confidentiels à long terme et les systèmes dont la modification ou le remplacement nécessitera plusieurs années. Interroger les fournisseurs. L’organisation devrait obtenir leur feuille de route post-quantique et déterminer si la transition pourra être effectuée au moyen d’une mise à jour ou si elle exigera l’acquisition de nouveaux produits. Les normes utilisées, les périodes de soutien et les conséquences sur l’interopérabilité devraient également être vérifiées. Adapter les contrats et l’approvisionnement. Les nouveaux contrats pourraient prévoir, selon le contexte, des exigences relatives aux mises à jour, aux avis de fin de soutien, à l’utilisation de mécanismes normalisés, à la coopération lors de la migration et à la répartition des coûts. Toutes les organisations ne présentent pas le même degré d’exposition. Une attention immédiate est toutefois requise lorsque l’entreprise conserve des renseignements sensibles pendant plusieurs années, exploite des systèmes difficiles à remplacer ou dépend de fournisseurs dont la stratégie de migration demeure inconnue. Les fournisseurs livreront vraisemblablement les solutions techniques, mais il appartient à chaque organisation de connaître ses besoins, de poser les bonnes questions et de préserver sa capacité de les adopter en temps utile. Points à retenir : La menace quantique est déjà présente, même si les ordinateurs quantiques capables de casser certains mécanismes cryptographiques ne sont pas encore largement disponibles. Le principal risque est celui de « récolter maintenant, déchiffrer plus tard » : des données chiffrées aujourd’hui peuvent être conservées et déchiffrées ultérieurement. Les organisations les plus exposées sont celles qui conservent des renseignements sensibles pendant plusieurs années, exploitent des systèmes difficiles à remplacer ou dépendent de fournisseurs dont la stratégie de migration est incertaine. Au Québec, il n’existe pas d’obligation générale imposant un algorithme post-quantique précis, mais les entreprises demeurent tenues d’adopter des mesures de sécurité raisonnables, appréciées selon le contexte et l’état des connaissances. La préparation passe d’abord par l’agilité cryptographique : inventorier les usages, prioriser les systèmes critiques, questionner les fournisseurs et adapter les contrats. CENTRE CANADIEN POUR LA CYBERSÉCURITÉ, Préparez votre organisation à la menace que pose l’informatique quantique pour la cryptographie (ITSAP.00.017), février 2025, en ligne : https://www.cyber.gc.ca/fr/orientation/preparez-votre-organisation-menace-pose-informatique-quantique-itsap-00017 NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, « NIST Releases First 3 Finalized Post-Quantum Encryption Standards », 13 août 2024, en ligne : https://www.nist.gov/news-events/news/2024/08/nist-releases-first-3-finalized-post-quantum-encryption-standards CENTRE CANADIEN POUR LA CYBERSÉCURITÉ, préc., note 1.  FORUM CANADIEN POUR LA RÉSILIENCE DES INFRASTRUCTURES NUMÉRIQUES et CANADIAN NATIONAL QUANTUM READINESS WORKING GROUP, Canadian National Quantum-Readiness Best Practices and Guidelines, version 04, 10 juillet 2024, p. 3-7, en ligne : https://ised-isde.canada.ca/site/spectrum-management-telecommunications/sites/default/files/documents/Quantum-Readiness%20Best%20Practices%20-%20v04%20-%2010%20July%202024.pdf. CENTRE CANADIEN POUR LA CYBERSÉCURITÉ, Feuille de route pour la migration vers la cryptographie post-quantique au sein du gouvernement du Canada (ITSM.40.001), 23 juin 2025, p. 13, en ligne : https://www.cyber.gc.ca/fr/orientation/feuille-route-migration-vers-cryptographie-post-quantique-sein-gouvernement-canada-itsm40001. SECRÉTARIAT DU CONSEIL DU TRÉSOR DU CANADA, La migration du gouvernement du Canada vers la cryptographie post-quantique : Avis de mise en œuvre de la Politique sur la sécurité, en vigueur depuis le 9 octobre 2025, en ligne : https://www.canada.ca/fr/gouvernement/systeme/gouvernement-numerique/politiques-normes/amops/migration-cryptographie-post-quantique-gouvernement-canada.html SECRÉTARIAT DU CONSEIL DU TRÉSOR DU CANADA, préc., note 6, art. 6.3.1. CENTRE CANADIEN POUR LA CYBERSÉCURITÉ, « Appel à l’action du Groupe de travail sur la cybersécurité du G7 concernant la préparation à l’ère post-quantique », 3 septembre 2026, en ligne : https://www.cyber.gc.ca/fr/nouvelles-evenements/appel-laction-groupe-travail-cybersecurite-g7-concernant-preparation-lere-post-quantique; FORUM CANADIEN POUR LA RÉSILIENCE DES INFRASTRUCTURES NUMÉRIQUES et CANADIAN NATIONAL QUANTUM READINESS WORKING GROUP, préc., note 4, sect. 3-5. Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1, art. 3.3 et 10. Loi concernant le cadre juridique des technologies de l’information, RLRQ, c. C-1.1, art. 6 et 34.  Éric LABBÉ, « L’efficacité technique comme critère juridique ou la manière dont les lois se technicisent », (2004) 9-2 Lex Electronica. Éric LABBÉ, « La multiplicité des normes encadrant le contrat électronique : l’influence de la technologie sur la production des normes », (2004) 9-2 Lex Electronica; Charles-Étienne DANIEL, « Coder son propre droit : quand la machine pousse l’humain à énoncer de nouvelles normes de gouvernance », dans Quand la société fait son droit : la gouvernance de proximité en action, 2026, EYB2026QSD19, p. 397-432. Code civil du Québec, RLRQ, c. CCQ-1991, art. 1457; Loi sur la protection des renseignements personnels dans le secteur privé, préc., note 9, art. 10. Code civil du Québec, préc., note 13, art. 1468, 1469 et 1473. CENTRE CANADIEN POUR LA CYBERSÉCURITÉ, préc., note 1; CENTRE CANADIEN POUR LA CYBERSÉCURITÉ, Conseils sur la mise en œuvre de l’agilité cryptographique (ITSAP.40.018), mai 2022, en ligne : https://www.cyber.gc.ca/fr/orientation/conseils-sur-la-mise-en-oeuvre-de-lagilite-cryptographique-itsap40018