En bref : Le bilan critères IA TGV, quatre mois après la parution du 24 avril 2026, montre qu’aucun des 13 référentiels reconnus ne couvre la grille en entier : ISO 42001 recoupe 115 des 382 critères, l’AI Act européen seulement 43. La conformité de la famille intelligence artificielle se construit sur mesure, jamais par simple transposition.
Dans cet article
Bilan critères IA TGV : quel constat quatre mois après la parution ?
Le 24 avril 2026, le ministère de la Santé et des Services sociaux (MSSS) a ajouté une septième famille à la grille TGV (Trousse globale de vérification), le processus de certification décrit dans l’orientation officielle du MSSS sur la certification TGV (publication 24-715-38W) : 69 critères consacrés à l’intelligence artificielle. Nous avons décrit cette famille en détail dans Les 69 critères d’IA de la TGV : la famille sans équivalent dans 13 référentiels, que nous tenons à jour au fil de nos observations.
Quatre mois plus tard, la liste des critères n’a pas changé. Ce qui a changé, c’est ce que nous savons sur ce que ces 69 critères recoupent, et sur ce qu’ils ne recoupent pas. Ce bilan critères IA TGV s’appuie sur deux sources : les dossiers que nous avons accompagnés depuis avril, présentés ici sans identifier aucun client ni aucun secteur, et le jeu de données de correspondances que nous avons rendu public le mois dernier.
Un mot sur la méthode avant les chiffres. Aucun constat qui suit ne provient d’un cas particulier reconnaissable. Ce sont des écarts qui reviennent assez souvent, dans des dossiers assez différents les uns des autres, pour valoir la peine d’être nommés en général plutôt qu’en exemple.
Combien de correspondances la famille IA de la TGV a-t-elle avec les référentiels reconnus ?
La matrice de correspondance de la TGV relie 1302 fois les 382 critères de la grille à 13 référentiels internationaux reconnus, dont 115 correspondances avec ISO/IEC 42001 et 43 avec l’AI Act européen. Nous en disposons depuis sa remise à Santé Québec le 28 juillet 2026 : ISO 27001, SOC 2, HITRUST, ISO 42001 et neuf autres référentiels, selon celui applicable au type de produit. Nous l’avons publiée en données ouvertes, sous licence CC BY 4.0, le 28 août 2026.
Deux référentiels intéressent particulièrement les éditeurs qui intègrent de l’IA : la norme de gestion de l’intelligence artificielle ISO/IEC 42001:2023 et le règlement européen sur l’intelligence artificielle, l’AI Act. Voici ce que la matrice montre pour ces deux-là.
| Référentiel | Correspondances établies avec la TGV |
|---|---|
| ISO/IEC 42001 (système de management de l’IA) | 115 |
| AI Act européen (règlement 2024/1689) | 43 |
| Ensemble des 13 référentiels, tous critères confondus | 1302 |
Ces chiffres se lisent en deux temps. D’abord, ISO 42001 est le référentiel qui recoupe le mieux la grille TGV en matière d’IA : 115 correspondances, ce qui en fait un point de départ solide si votre système de management de l’IA est déjà certifié ou en voie de l’être. Ensuite, même ce meilleur cas ne couvre qu’une fraction des 382 critères de la grille. L’AI Act, un texte réglementaire plutôt qu’une norme de gestion, en couvre encore moins.
Pourquoi aucun des 13 référentiels ne suffit-il à couvrir la grille ?
Parce que la TGV n’a pas été conçue comme une traduction d’un référentiel existant. Elle regroupe des exigences propres au réseau de la santé québécois, à la Loi 25 sur la protection des renseignements personnels, et à des choix de gouvernance qui n’ont pas d’équivalent ailleurs, comme l’obligation d’une interface en français.
ISO 42001 encadre la gestion de l’IA comme processus organisationnel : politiques, rôles, gestion du risque, amélioration continue. L’AI Act encadre l’IA comme produit réglementé, avec des obligations qui varient selon le niveau de risque de l’application. Aucun des deux ne pose de questions sur le contexte précis d’un dossier patient au Québec, et c’est normal : ce n’est pas leur rôle.
Le résultat pour un éditeur : détenir ISO 42001 ou démontrer sa conformité à l’AI Act aide, cela fournit des preuves réutilisables pour une partie du dossier TGV, mais cela ne remplace pas la démarche. Nous voyons régulièrement des dirigeants supposer qu’une certification internationale suffit à couvrir les exigences québécoises. C’est l’inverse de ce que montre notre matrice.
Quels écarts reviennent le plus souvent dans les dossiers ?
Trois types d’écarts, documentés dans ce bilan critères IA TGV, se répètent indépendamment du secteur ou de la taille de l’éditeur.
- Gouvernance documentaire incomplète. Une politique d’usage de l’IA existe, mais elle n’a pas été mise à jour depuis l’ajout d’une nouvelle fonctionnalité, ou elle ne couvre pas les modèles tiers intégrés au produit. La grille demande une gouvernance vivante, révisée à mesure que le produit évolue, pas un document signé une fois puis oublié dans un classeur partagé.
- Transparence insuffisante envers l’utilisateur final. Le produit ne précise pas toujours, au moment où une réponse ou une recommandation est générée par un système d’IA, que c’est le cas. La famille IA de la TGV traite cette transparence comme une exigence vérifiable, pas comme une bonne pratique optionnelle laissée à la discrétion de l’éditeur.
- Traçabilité des décisions automatisées absente ou partielle. Quand un système d’IA influence une décision, la grille demande de pouvoir en retracer la logique après coup. Beaucoup de produits journalisent déjà leurs opérations techniques, peu journalisent leurs décisions d’IA d’une façon qui répond à un vérificateur externe qui n’a jamais vu le produit avant l’audit.
Ces trois écarts ont un point commun : aucun n’exige de reconstruire le produit. Ils exigent de la documentation, des processus, et une preuve qu’on peut montrer à un vérificateur qui pose des questions précises. C’est un travail de gouvernance avant d’être un travail technique, et c’est souvent la même équipe, celle qui a écrit le code, qu’on charge d’y répondre seule. Le dossier en souffre, parce que ces réponses touchent aussi des décisions d’affaires que l’équipe technique n’a pas prises.
Qu’en est-il des scribes médicaux et des outils d’IA générative ?
Les produits qui intègrent un scribe médical ou un assistant de rédaction basé sur l’IA générative posent des questions particulières, parce qu’ils traitent en continu des échanges entre un professionnel de la santé et un patient. Nous avons consacré un article distinct à ce cas de figure : Scribes médicaux et IA générative : se préparer aux critères IA de la TGV.
Sans nommer aucun produit ni aucun fournisseur, ce que nous observons est cohérent avec les trois écarts déjà décrits, amplifiés par la nature du produit. Un scribe génère du texte qui entre directement au dossier patient : la question de la transparence (le patient sait-il qu’une IA a rédigé une partie de sa note clinique) et celle de la traçabilité (peut-on retracer pourquoi le système a formulé une phrase donnée) deviennent centrales plutôt qu’accessoires. Si votre produit entre dans cette catégorie, ces deux critères méritent d’être traités en priorité, avant même le dépôt du dossier.
Un dossier déjà certifié doit-il revenir sur la famille IA de la TGV ?
Pas automatiquement. La certification vise une version précise d’un produit, et une certification déjà accordée avant le 24 avril 2026 reste valide selon les termes sur lesquels elle a été accordée. La question se pose différemment pour deux cas : un renouvellement, ou une évolution majeure du produit qui ajoute des fonctionnalités d’IA absentes de la version certifiée.
Dans les deux cas, la bonne pratique reste la même que pour tout changement de grille : confirmer directement avec Santé Québec quelle version de la grille s’applique à votre dossier, plutôt que de présumer. C’est une question à poser tôt, pas une surprise à découvrir en cours de vérification.
Comment consulter les données de correspondance vous-même ?
Le jeu complet des 1302 correspondances entre la grille TGV et les 13 référentiels est public depuis le 28 août 2026, sous licence CC BY 4.0, dans le dépôt de données ouvertes Correspondances TGV. Vous pouvez y consulter, pour chacun des 382 critères, les référentiels qui offrent une preuve équivalente ou partiellement équivalente, y compris ISO 42001 et l’AI Act si votre produit y est déjà conforme.
Ce dépôt ne remplace pas une lecture attentive de la grille elle-même ni un accompagnement adapté à votre produit. Le bilan critères IA TGV que nous dressons ici donne un point de départ objectif pour savoir où vos certifications existantes vous avancent, et où elles ne vous avancent pas.
Pour un éditeur qui prépare un dossier avec une composante IA, la bonne séquence reste celle-ci :
- Identifier les 69 critères de la famille IA qui s’appliquent à votre produit.
- Vérifier lesquels sont déjà couverts par vos certifications existantes grâce au dépôt de correspondances.
- Documenter le reste comme n’importe quel autre écart de la grille.
Si vous voulez faire ce travail avec un regard externe, nous pouvons faire le point sur votre couverture IA lors d’un appel exploratoire : l’objectif est de situer votre écart réel, pas de vous vendre une certification que personne ne peut garantir.
Pour aller plus loin avec Factero :
Foire aux questions
Quelle est la différence entre ISO 42001 et l’AI Act européen ?
ISO/IEC 42001 encadre la gestion de l’intelligence artificielle comme un processus organisationnel : politiques, rôles, gestion du risque. L’AI Act européen encadre l’IA comme un produit réglementé, avec des obligations qui varient selon le niveau de risque. Dans la grille TGV, ISO 42001 recoupe 115 des 382 critères, l’AI Act seulement 43. Les deux sont complémentaires, ni l’un ni l’autre ne remplace la démarche TGV.
ISO 42001 est-il obligatoire pour obtenir la certification TGV ?
Non, la grille TGV n’exige aucune certification ISO. ISO/IEC 42001 reste une norme volontaire qui, une fois obtenue, fournit des preuves réutilisables pour une partie du dossier : 115 des 382 critères selon notre matrice de correspondance. Le reste doit être documenté indépendamment, que l’éditeur détienne ISO 42001 ou non.
Qu’est-ce que la certification TGV de Santé Québec ?
La TGV (Trousse globale de vérification) est le processus de certification des produits et services technologiques utilisés dans le réseau de la santé et des services sociaux du Québec, encadré par Santé Québec et le ministère de la Santé et des Services sociaux (MSSS). Elle évalue un produit selon une grille de critères qui couvre la sécurité, la protection des renseignements personnels et, depuis avril 2026, l’intelligence artificielle.
Obtenir ISO 42001 coûte-t-il cher pour un éditeur qui vise la certification TGV ?
Le coût varie selon la taille de l’organisation et l’organisme certificateur retenu, sans fourchette fiable qui s’applique à tous les cas. Ce qui importe pour un dossier TGV : ISO 42001 ne couvre que 115 des 382 critères de la grille. Avant d’investir dans cette norme dans le seul but de la certification santé, vérifiez d’abord quels critères elle couvre pour votre produit.
Sources citées
- Correspondances TGV : dépôt de données ouvertes (CC BY 4.0)
- Règlement (UE) 2024/1689 établissant des règles harmonisées en matière d’intelligence artificielle (AI Act)
- Page certification des solutions numériques (Santé Québec / MSSS)
- Orientation — Certification TGV (MSSS, publication 24-715-38W)
- ISO/IEC 42001:2023 — Technologies de l’information, intelligence artificielle, système de management
