Un guide en langage clair Par Nick Jang, fondateur · mis à jour le 26 octobre 2026
Le risque lié aux fournisseurs d’IA, expliqué.
Ce que la ligne directrice B‑10 du BSIF demande pour chaque tiers, pourquoi un fournisseur d’IA est plus difficile à surveiller, et ce qu’il faut garder au dossier.
01 B‑10 en bref
- La ligne directrice
- B‑10 – Gestion du risque lié aux tiers, du Bureau du surintendant des institutions financières (BSIF, en anglais OSFI).
- Publiée
- Le 24 avril 2023.
- En vigueur
- Depuis le 1er mai 2024, pour toutes les ententes avec des tiers des institutions financières fédérales.
- Et l’IA?
- Le texte de B‑10 ne vise pas l’IA en particulier; un fournisseur d’IA est couvert comme tout autre tiers, et ses modèles relèvent aussi de la ligne directrice E‑23.
- À lire aussi
- La gouvernance de l’IA agentique · La liste de contrôle (en anglais) · English
02 Les onze principes, dans la numérotation du BSIF
- Principe 1 · 1.1
- L’institution répond du risque lié aux tiers, quoi qu’elle confie à un fournisseur.
- Principe 2 · 1.2
- Un cadre de gestion du risque lié aux tiers établit comment les ententes sont repérées, évaluées, gérées et déclarées.
- Principe 3 · 2.2.1
- Chaque entente est évaluée selon son risque et sa criticité, avant et pendant la relation.
- Principe 4 · 2.2.2
- La diligence raisonnable est proportionnée au risque et à la criticité : avant le contrat, au renouvellement et après un changement important.
- Principe 5 · 2.2.4
- Le risque de sous-traitance est géré, y compris les propres fournisseurs du fournisseur.
- Principe 6 · 2.3.1
- Les ententes reposent sur des contrats écrits, revus par un conseiller juridique.
- Principe 7 · 2.3.2
- Les données et les dossiers sont protégés.
- Principe 8 · 2.3.3
- L’institution et le BSIF ont des droits d’information et d’audit.
- Principe 9 · 2.3.4
- La continuité des activités est planifiée.
- Principe 10 · 2.4.1
- Les ententes sont surveillées, une à une et dans l’ensemble, selon des indicateurs et des seuils.
- Principe 11 · 2.4.2
- Les incidents sont gérés et déclarés.
03 Pourquoi un fournisseur d’IA est différent
- Le modèle change
- Un fournisseur peut réentraîner ou remplacer le modèle d’un produit sans nouveau contrat : ce qui a été évalué n’est plus ce qui tourne.
- L’IA arrive sans prévenir
- Une mise à jour peut ajouter de l’IA à un produit qui n’en avait pas.
- Les données vont plus loin
- Consignes, documents et données de clients peuvent être utilisés, conservés ou transmis au fournisseur de modèle du fournisseur.
- Les quatrièmes parties
- Bien des produits d’IA reposent sur une poignée de fournisseurs de modèles et de nuages : une question de sous-traitance et de concentration que B‑10 pose déjà.
- C’est aussi un modèle
- La ligne directrice E‑23 demande que les modèles des fournisseurs soient inventoriés, cotés et examinés, en conformité avec B‑10.
04 Un logiciel pour le risque lié aux fournisseurs d’IA
Quel que soit l’outil choisi, il devrait faire ce qui suit. À côté, la façon dont MINERVA Studio le fait.
| Ce que le logiciel doit faire | Comment MINERVA le fait |
|---|---|
| Tenir l’inventaire des tiers selon le risque et la criticité | Chaque fournisseur est au même dossier que vos modèles et agents, avec son palier, son responsable, ses dates d’évaluation et les champs B‑10 encore dus. |
| Montrer ce qui dépend de chaque fournisseur | Chaque modèle, agent et processus qui utilise un fournisseur ou en dépend, de proche en proche. |
| Garder les modèles des fournisseurs dans le risque de modélisation | Le modèle d’un fournisseur est inventorié, coté et examiné comme les vôtres. |
| Limiter ce que l’IA d’un fournisseur peut faire | Un passeport du fournisseur restreint chaque agent qui en dépend. |
| Gérer un incident chez un fournisseur | Un incident déclaré ouvre un constat sur chaque dépendant et propose d’isoler les modèles en production, pour décision humaine. |
| Le prouver à un examinateur | Chaque évaluation, décision et incident est consigné sur un dossier horodaté et chaîné, exporté dans une trousse de preuves vérifiable hors ligne. |
05 Questions fréquentes
Qu’est-ce que la ligne directrice B-10 du BSIF?
La ligne directrice du BSIF sur la gestion du risque lié aux tiers pour les institutions financières fédérales. Elle a remplacé la ligne directrice sur l’impartition par une approche fondée sur le risque pour toute entente avec un tiers, appuyée sur onze principes.
Quand la ligne directrice B-10 est-elle entrée en vigueur?
Le 1er mai 2024. Le BSIF a publié la version définitive le 24 avril 2023.
B-10 vise-t-elle les fournisseurs d’IA?
B-10 vise toutes les ententes avec des tiers; un fournisseur d’IA est donc couvert comme tout autre, et le texte ne vise pas l’IA en particulier. Les fournisseurs d’IA sont aussi visés par la ligne directrice E-23, qui demande d’inventorier, de coter et d’examiner les modèles des fournisseurs.
Que doit comprendre l’évaluation d’un fournisseur d’IA?
Ce que fait l’IA et quelles données elle utilise; les modèles derrière elle et qui les fournit; comment les changements de modèle sont annoncés; les preuves de performance, de biais et de sécurité; les droits d’audit et d’information; les sous-traitants; la résidence et la conservation des données; l’avis d’incident; et un plan de sortie, selon le risque et la criticité.
Que fait MINERVA pour le risque lié aux fournisseurs d’IA?
MINERVA garde chaque fournisseur au même dossier que les modèles et agents qui en dépendent, le fait passer par les étapes de B-10 jusqu’au plan de sortie, montre l’exposition de proche en proche, garde les modèles des fournisseurs sous E-23 et conserve tout sur un dossier horodaté qu’un examinateur vérifie hors ligne, en français et en anglais.
Ce guide est un résumé en langage clair, et non un avis juridique. Pour toute décision, lisez la ligne directrice B‑10 du BSIF.