En bref : La conformité santé numérique 2027 s’appuie déjà sur trois bases publiques au Québec : une grille TGV à 382 critères en vigueur depuis avril 2026, sa famille intelligence artificielle de 69 critères, et une cartographie de 1302 correspondances avec 13 référentiels internationaux. Rien ici n’est hypothétique : ces faits sont publics à la date de cet article.
Cet article ne prédit rien que Santé Québec n’a pas déjà publié. Il fait le point sur ce qui est acquis à la fin de l’été 2026 et sur ce que cela signifie pour un éditeur qui planifie son année 2027. Il n’y a rien ici sur une nouvelle grille encore incertaine : personne, chez Factero, ne sait si elle existera, et nous ne prétendrons pas le contraire.
Dans cet article
Qu’est-ce qui est déjà acquis pour la conformité santé numérique 2027 ?
Quatre faits sont déjà acquis pour 2027, et aucun n’est de l’ordre de la prévision : la grille TGV, sa famille intelligence artificielle, la cartographie déjà remise à Santé Québec, et l’obligation de test d’intrusion qui encadre la certification depuis son origine.
La grille TGV, ou Trousse globale de vérification, en vigueur depuis le 24 avril 2026 compte 382 critères répartis en 7 familles :
- Sécurité
- Protection des renseignements personnels
- Intelligence artificielle, la plus jeune, avec 69 critères
- Interopérabilité
- Technique
- Performance
- Gouvernance
Un éditeur qui dépose son dossier en 2027 déposera contre cette même grille, sauf annonce contraire de Santé Québec, dont rien à ce jour ne suggère l’imminence. Le cadre reste celui décrit dans l’orientation officielle du MSSS sur la certification TGV (publication 24-715-38W), diffusée sur la page de certification des solutions numériques de Santé Québec.
Notre bilan de mi-année de la TGV revient sur les mois passés sous cette grille et sur ce qu’elle a changé pour les dossiers en cours. Si vous découvrez la TGV pour la première fois, notre guide de référence sur la certification TGV explique le processus au complet, du dépôt à la décision.
Deuxième fait : la cartographie que nous avons remise à Santé Québec le 28 juillet 2026 couvre 1302 correspondances entre la grille TGV et 13 référentiels reconnus à l’international. Sur ces 1302 correspondances, 72 seulement sont des équivalences strictes, c’est-à-dire des cas où répondre à l’exigence étrangère répond intégralement au critère TGV correspondant. Aucun des 13 référentiels ne couvre les 7 familles de la grille : chacun en couvre une partie, jamais l’ensemble.
Troisième fait, moins visible mais tout aussi contraignant pour 2027 : le test d’intrusion est un prérequis à l’obtention de la certification TGV pour tout produit ou service technologique utilisant des données personnelles, de santé et de services sociaux, selon l’orientation du Bureau de certification et d’homologation (BCH) sur le sujet. Il doit être réalisé par un prestataire indépendant spécialisé en cybersécurité et en protection des renseignements personnels.
Le BCH n’accepte que les prestataires dont les représentants sont légalement autorisés à exercer au Canada, dont le personnel affecté au test détient une certification en tests d’intrusion et a fait l’objet d’une vérification d’antécédents criminels, qui demeurent imputables des résultats même lorsqu’un sous-traitant est impliqué, qui remettent le rapport en français sans frais additionnels pour le BC, et qui testent en environnement de production ou équivalent. La méthode boîte blanche est acceptée dans tous les cas ; la boîte grise, seulement pour certains produits ou services technologiques non sensibles et sans déploiement provincial ; la boîte noire n’est pas acceptée par le BCH.
Cette exigence ne s’arrête pas à l’obtention du certificat. L’attestation de certification TGV (formulaire BC-D0001-01) engage le fournisseur, chaque année, à faire réaliser au moins un test d’intrusion par une firme indépendante et à transmettre les résultats au plus tard avec son autodéclaration annuelle, due au moins 15 jours avant la date d’anniversaire de la certification. Les vulnérabilités relevées doivent être corrigées suivant une échéance convenue avec le BC ; une vulnérabilité critique impose d’aviser le BC dès qu’elle est connue et de présenter un plan de mitigation dans les trois jours ouvrables.
Le fournisseur doit aussi tenir un exercice de relève informatique tous les deux ans, dans un centre distinct de son centre principal. La certification elle-même est valide cinq ans, avec reconduction tacite chaque année tant que le BC accepte l’autodéclaration et que ces engagements sont respectés ; un manquement peut mener à la publication d’une non-conformité, à une vérification ciblée, à une réévaluation ou au retrait de la certification. Ces obligations ne changeront pas en 2027 : elles font partie du socle, pas de la spéculation.
Pourquoi 72 équivalences strictes sur 1302 correspondances, et pas plus ?
Une équivalence stricte exige que la preuve produite pour un autre référentiel réponde intégralement, sans ajustement, au critère TGV correspondant : c’est une barre haute, et peu de correspondances l’atteignent. Une correspondance, elle, signale seulement qu’un critère TGV et une exigence étrangère portent sur le même sujet. Entre les deux, il existe tout un spectre de recoupements partiels : même sujet, exigence plus large ou plus étroite, formulation différente, portée qui ne s’aligne qu’à moitié.
Ce spectre est la réalité de la conformité multi-référentiels. Un éditeur déjà certifié SOC 2 ou ISO 27001 arrive à la TGV avec un terrain défriché, pas avec un dossier terminé. La différence entre 1302 correspondances et 72 équivalences strictes, c’est exactement l’écart entre « j’ai un point de départ » et « j’ai terminé ».
Prenons un exemple concret, sans chiffre précis puisqu’aucun n’est publié pour ce cas particulier. Une politique de gestion des incidents rédigée pour ISO 27001 couvre presque toujours le sujet d’un critère TGV de la famille Sécurité. Mais la TGV peut exiger un délai de notification différent, un destinataire différent, ou une preuve d’exercice pratique que votre politique ISO n’a jamais eu à démontrer. La correspondance existe, l’équivalence stricte, plus rarement.
Aucune famille de la grille n’échappe à cette logique, mais la famille intelligence artificielle l’illustre le plus nettement.
| Ce qui est établi (faits publics à la date de cet article) | Ce qui reste ouvert pour 2027 |
|---|---|
| Grille TGV à 382 critères, 7 familles, en vigueur depuis le 24 avril 2026 | Une révision de la grille en 2027 : rien d’officiel ne l’annonce à ce jour |
| Famille intelligence artificielle de 69 critères, sans équivalent dans les 13 référentiels cartographiés | L’évolution des référentiels étrangers eux-mêmes en matière d’IA, hors du contrôle du réseau québécois |
| 1302 correspondances cartographiées contre 13 référentiels internationaux | Le rythme auquel Santé Québec intégrera ces correspondances à ses propres processus de vérification |
| 72 équivalences strictes sur 1302, remises à Santé Québec le 28 juillet 2026 | La publication de la cartographie en données ouvertes, qui suivra dans les prochains jours |
La famille intelligence artificielle va-t-elle encore évoluer d’ici 2027 ?
C’est la question qu’on nous pose le plus souvent depuis avril, et la réponse honnête tient en deux temps.
D’abord, ce qui est vérifié : la famille intelligence artificielle compte aujourd’hui 69 critères. Aucun des 13 référentiels que nous avons cartographiés ne la couvre entièrement, pas même ceux qui traitent spécifiquement d’IA. Nous détaillons ces 69 critères dans un guide dédié aux 69 critères d’IA de la TGV.
Ensuite, ce qu’on ne sait pas : si cette famille sera révisée en 2027, à quel rythme, et selon quels critères. L’intelligence artificielle est un domaine où les référentiels étrangers eux-mêmes bougent vite, et une grille conçue pour rester alignée avec les meilleures pratiques a de bonnes raisons de suivre ces mouvements. Mais « a de bonnes raisons de » n’est pas une annonce officielle, et nous ne transformerons pas une probabilité raisonnable en fait établi.
Ce que cela signifie concrètement : un éditeur qui bâtit sa gouvernance IA pour la TGV ne bâtit pas pour un instantané figé. Il bâtit une capacité de documentation et de traçabilité qui devrait rester pertinente même si les critères précis évoluent, parce que la gouvernance de l’IA, contrairement à une liste de contrôles, ne se refait pas au complet à chaque révision.
Qu’est-ce que la cartographie change pour la réglementation santé numérique au Québec ?
La cartographie change trois choses concrètes pour la conformité santé numérique 2027, ni plus ni moins.
Premièrement, un éditeur déjà certifié ou audité contre un des 13 référentiels cartographiés sait désormais où se trouvent ses points de départ dans la grille TGV, sans devoir refaire cette analyse lui-même critère par critère. La cartographie ne remplace pas le travail de préparation, elle en réduit la partie la plus aride : identifier où chercher.
Deuxièmement, la distinction entre correspondance et équivalence stricte évite une erreur coûteuse : croire qu’une certification étrangère suffit. Sur 1302 correspondances, seulement 72 se qualifient d’équivalence stricte. Pour toutes les autres, la preuve existante est un point de départ à adapter, pas un dossier prêt à déposer tel quel.
Troisièmement, et c’est le point le plus structurant pour 2027 : une preuve montée une fois, correctement documentée, peut servir à plusieurs référentiels à la fois. Un éditeur qui vise à la fois la TGV et, disons, une certification SOC 2 pour ses clients hors Québec gagne à documenter ses contrôles une seule fois, avec assez de rigueur pour que la même preuve tienne devant plusieurs grilles. C’est un changement de posture, pas seulement un raccourci administratif.
Notre cartographie complète, avec ses 1302 correspondances documentées critère par critère, sera publiée en données ouvertes dans les prochains jours. Elle deviendra alors un outil consultable directement par les éditeurs, pas seulement un livrable remis à Santé Québec.
Un point mérite d’être dit sans détour, comme pour la certification elle-même. Consulter une correspondance ne dispense personne du test d’intrusion annuel ni des autres engagements de l’attestation de certification TGV. La cartographie raccourcit le chemin de préparation, elle ne remplace aucune étape du processus décrit dans notre guide sur les 5 étapes de la certification TGV. Si un fournisseur vous dit le contraire, posez-lui la question directement : sur quelle base ?
Que faire dès maintenant pour préparer sa conformité santé numérique 2027 ?
Quatre gestes concrets, dans l’ordre où ils rapportent le plus.
- Faites l’inventaire de vos certifications et audits existants, même hors Québec. SOC 2, ISO 27001, une évaluation RGPD, une certification ISO 42001 en cours : chacun de ces éléments a des correspondances documentées avec la grille TGV, et vous n’avez pas à repartir de zéro pour le savoir.
- Documentez votre gouvernance de l’IA maintenant, même si votre produit n’en intègre qu’une part limitée aujourd’hui. La famille intelligence artificielle est la plus jeune de la grille et celle où la documentation existante est généralement la plus mince.
- Ne traitez pas votre dossier de conformité comme un projet ponctuel. La grille s’entretient, les référentiels étrangers évoluent, et une preuve bâtie pour durer coûte moins cher sur trois ans qu’une preuve refaite à chaque échéance.
- Si un appel d’offres du réseau de la santé est déjà en vue pour 2027, comptez à rebours depuis sa date de clôture. Le calendrier, pas l’optimisme, doit dicter le rythme de préparation.
Nous accompagnons des éditeurs dans leur conformité santé numérique 2027, à partir de leur écart réel plutôt que d’une liste générique. Si votre feuille de route 2027 inclut la TGV, vous pouvez planifier un appel exploratoire : un premier échange suffit pour situer votre point de départ.
Pour aller plus loin avec Factero :
Foire aux questions
Qui doit obtenir la certification TGV au Québec ?
Un produit ou service technologique doit être certifié TGV dans trois cas : il traite des renseignements de santé ou de services sociaux, il s’arrime à un actif informationnel qui les traite déjà, ou il sera déployé avec accès Web dans plus d’un établissement de santé du Québec, selon la page officielle de certification de Santé Québec. Notre guide de référence sur la certification TGV détaille ces trois cas et les étapes qui suivent. Cette exigence fait partie de la conformité santé numérique 2027 pour tout éditeur qui vise le réseau québécois.
Combien coûte une certification TGV pour un éditeur ?
Aucun tarif fixe n’est publié : les frais sont assumés entièrement par le fournisseur et varient selon la complexité du produit et les objectifs d’interopérabilité visés, selon Santé Québec. Ils ne sont pas remboursables et s’ajoutent aux coûts internes de mise à niveau du produit pour répondre à la grille. Un chiffre précis dépend du dossier, pas d’un barème public.
Combien de temps une certification TGV reste-t-elle valide ?
Cinq ans, avec reconduction tacite chaque année tant que le Bureau de certification accepte l’autodéclaration du fournisseur et que ses engagements sont respectés, selon le formulaire d’attestation TGV. Cette autodéclaration, incluant les résultats du test d’intrusion annuel, doit être soumise au moins 15 jours avant la date d’anniversaire de la certification. Elle ne s’obtient donc pas une fois pour toutes : elle s’entretient chaque année.
Que risque un fournisseur qui ne respecte pas ses engagements après la certification ?
Le Bureau de certification peut refuser le renouvellement, publier la non-conformité sur son site, déclencher une vérification ciblée, réévaluer le dossier ou retirer la certification, selon l’attestation TGV. Ces engagements incluent le test d’intrusion annuel, l’avis au Bureau dans les trois jours ouvrables pour une vulnérabilité critique, et un exercice de relève informatique tous les deux ans. La publication d’une non-conformité touche directement la réputation du fournisseur auprès du réseau de la santé.
La méthode boîte noire est-elle acceptée pour le test d’intrusion TGV ?
Non. Le Bureau de certification et d’homologation n’accepte pas la boîte noire pour le test d’intrusion exigé par la certification TGV. La boîte blanche est acceptée dans tous les cas, la boîte grise seulement pour certains produits non sensibles et sans déploiement provincial. Le prestataire retenu doit aussi avoir des représentants légalement autorisés à exercer au Canada et du personnel dont les antécédents criminels ont été vérifiés.
Sources citées
- Page de certification des solutions numériques (Santé Québec / MSSS)
- Orientation — Certification TGV (MSSS, publication 24-715-38W)
- Tests d’intrusion ou tests de pénétration — orientation du Bureau de certification et d’homologation (BCH, MSSS)
- Attestation de certification TGV, formulaire BC-D0001-01 (Bureau de certification, Santé Québec / MSSS)
