Vous envisagez de brancher un agent d'intelligence artificielle sur votre boîte courriel, votre logiciel comptable ou votre CRM. Ouvrez une journée ordinaire de courriels : des noms, des adresses, des numéros de téléphone, une demande de crédit, un CV, peut-être un billet médical d'un employé en pièce jointe. Ce sont des renseignements personnels au sens de la Loi sur la protection des renseignements personnels dans le secteur privé, et l'outil qui les lira devra s'inscrire dans les obligations que la Loi 25 a ajoutées à cette loi. La bonne nouvelle, c'est qu'une PME peut les respecter sans service juridique, à condition de savoir lesquelles s'appliquent.
Une précision avant d'aller plus loin : ce texte résume des obligations prévues par la loi, il ne constitue pas un avis juridique. Pour une situation précise, consultez un juriste.
D'où viennent ces obligations, et depuis quand
La Loi 25, adoptée en 2021, a modifié la Loi sur la protection des renseignements personnels dans le secteur privé (chapitre P-39.1, qu'on appelle souvent la « Loi sur le privé »). Selon l'aide-mémoire publié par la Commission d'accès à l'information (CAI), les nouvelles obligations des entreprises sont entrées en vigueur en trois temps : le 22 septembre 2022 (responsable de la protection des renseignements personnels, incidents de confidentialité), le 22 septembre 2023 (la grande majorité : gouvernance, évaluation des facteurs relatifs à la vie privée, consentement, communication hors Québec, transparence, dont l'information sur les décisions automatisées) et le 22 septembre 2024 (portabilité des données). En octobre 2026, tout est donc en vigueur.
Les numéros d'articles cités plus bas renvoient à la Loi sur le privé, telle que publiée sur LégisQuébec.
Quelqu'un doit être responsable, et son nom doit être public
L'article 3.1 est clair : dans l'entreprise, la personne ayant la plus haute autorité exerce la fonction de responsable de la protection des renseignements personnels. Elle peut déléguer cette fonction par écrit, en tout ou en partie. Le titre et les coordonnées du responsable doivent être publiés sur le site Internet de l'entreprise.
Pour un projet d'IA, ce rôle n'est pas décoratif. L'article 3.3 exige que le responsable soit consulté dès le début de tout projet d'acquisition ou de développement d'un système d'information qui touche des renseignements personnels. Autrement dit, la personne responsable doit être dans la pièce avant la signature du contrat, pas mise au courant après la mise en service.
L'évaluation des facteurs relatifs à la vie privée
Toujours selon l'article 3.3, une entreprise doit faire une évaluation des facteurs relatifs à la vie privée (EFVP) pour tout projet d'acquisition, de développement ou de refonte de système d'information impliquant la collecte, l'utilisation, la communication, la conservation ou la destruction de renseignements personnels. Un agent d'IA qui lit vos courriels clients et rédige des réponses entre, dans la plupart des cas, dans cette description.
Le mot qui rassure une PME : l'évaluation doit être « proportionnée à la sensibilité des renseignements concernés, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support ». Un agent qui trie des demandes de soumission ne demande pas la même analyse qu'un agent qui traite des dossiers d'assurance collective. La CAI publie un guide pour réaliser une EFVP, avec un modèle de rapport. Pour un projet modeste, l'exercice peut tenir en quelques pages qui répondent à des questions comme celles-ci :
- Quels renseignements l'agent verra-t-il, et lesquels sont sensibles (santé, finances, numéros d'assurance sociale) ?
- A-t-il besoin de tout voir, ou peut-on exclure certains dossiers ou certaines boîtes ?
- Où les données sont-elles traitées et conservées, et pour combien de temps ?
- Qui, chez le fournisseur et chez vous, peut y accéder ?
- Que se passe-t-il en cas d'erreur ou de fuite, et qui est avisé ?
Quand les données sortent du Québec
C'est souvent le point que les PME découvrent en dernier. La plupart des grands modèles d'IA sont exploités par des entreprises dont les serveurs se trouvent hors du Québec, et « hors du Québec » inclut l'Ontario autant que la Californie. L'article 17 exige, avant de communiquer un renseignement personnel à l'extérieur du Québec, une EFVP qui tient compte notamment de la sensibilité du renseignement, de la finalité de son utilisation, des mesures de protection (y compris contractuelles) et du régime juridique de l'endroit où il sera communiqué.
La communication peut se faire si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate, et elle doit faire l'objet d'une entente écrite. La même règle vaut quand vous confiez à quelqu'un à l'extérieur du Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver des renseignements pour votre compte, ce qui décrit bien un fournisseur d'IA. Par ailleurs, l'article 8 vous oblige à informer les personnes, au moment de la collecte, de la possibilité que leurs renseignements soient communiqués à l'extérieur du Québec. Relisez votre politique de confidentialité avec cette phrase en tête.
Le fournisseur agit pour vous, par contrat écrit
L'article 18.3 permet de communiquer des renseignements personnels sans consentement à un fournisseur, si c'est nécessaire à l'exécution du mandat ou du contrat de service. Il pose des conditions : le mandat doit être confié par écrit, et le contrat doit indiquer les mesures que le fournisseur prend pour protéger la confidentialité, pour n'utiliser les renseignements que dans le cadre du contrat et pour ne pas les conserver après son expiration. Le fournisseur doit aussi aviser sans délai votre responsable de toute violation ou tentative de violation, et lui permettre de faire des vérifications.
Une conséquence pratique : si un fournisseur se réserve le droit d'utiliser vos données pour entraîner ses propres modèles, cet usage dépasse l'exécution de votre contrat. C'est difficile à concilier avec l'article 18.3, et c'est une clause à repérer avant de signer.
Décisions automatisées : l'obligation d'informer
L'article 12.1 vise précisément ce qu'un agent d'IA peut faire. Une entreprise qui utilise des renseignements personnels pour rendre une décision fondée exclusivement sur un traitement automatisé doit en informer la personne concernée au plus tard au moment où elle l'informe de la décision. À la demande de la personne, elle doit aussi lui indiquer les renseignements utilisés, les raisons et les principaux facteurs et paramètres ayant mené à la décision, et son droit de les faire rectifier. La personne doit pouvoir présenter ses observations à un membre du personnel en mesure de réviser la décision.
Le mot « exclusivement » compte. Un agent qui refuse seul une demande de crédit, écarte seul une candidature ou fixe seul une pénalité rend une décision automatisée. Un agent qui prépare une recommandation qu'une personne approuve, non. Notre conseil, pour une PME : gardez une personne dans la boucle pour toute décision qui touche directement quelqu'un (crédit, embauche, refus de service). C'est plus simple que de bâtir l'explication exigée par l'article 12.1, et ça évite le manquement prévu au paragraphe 5° de l'article 90.1, qui ouvre la porte à une sanction administrative pécuniaire.
Utiliser les données pour la bonne fin
L'article 12 limite l'utilisation d'un renseignement personnel aux fins pour lesquelles il a été recueilli, sauf consentement ou exceptions prévues (une fin compatible, l'intérêt manifeste de la personne, la prestation d'un service qu'elle a demandé, entre autres). Pour un renseignement sensible, le consentement doit être exprès. La loi précise que la prospection commerciale n'est pas une fin compatible. Si votre agent répond aux demandes de service des clients, il reste dans la fin d'origine. S'il fouille les anciens courriels pour bâtir une liste de prospection, vous changez de fin.
Quand un consentement est nécessaire, l'article 14 précise qu'il doit être manifeste, libre, éclairé, donné à des fins spécifiques et demandé pour chacune de ces fins, en termes simples et clairs.
Dernier point : si le fournisseur subit une fuite qui touche vos données, c'est votre incident de confidentialité. L'article 3.5 vous oblige à aviser avec diligence la CAI et les personnes concernées si l'incident présente un risque de préjudice sérieux, et l'article 3.8 exige un registre des incidents. Le maximum des sanctions administratives pécuniaires, prévu à l'article 90.12, atteint 10 000 000 $ ou 2 % du chiffre d'affaires mondial de l'exercice précédent, si ce dernier montant est plus élevé.
Les questions à poser à un fournisseur d'IA
- Où mes données sont-elles traitées et conservées, et par quels sous-traitants ?
- Mes données servent-elles, de quelque façon que ce soit, à entraîner vos modèles ou ceux d'un tiers ?
- Que deviennent mes données à la fin du contrat, et dans quel délai sont-elles détruites ?
- Qui, chez vous, peut les consulter, et cet accès est-il journalisé ?
- Dans quel délai m'aviserez-vous d'un incident, et par quel moyen ?
- Puis-je voir l'historique de chaque action de l'agent, avec les données utilisées ?
- L'agent prendra-t-il seul des décisions qui touchent une personne ? Si oui, comment pourrai-je l'expliquer ?
- Le contrat écrit contient-il les engagements prévus à l'article 18.3 ?
Un fournisseur sérieux répond à ces questions par écrit sans se faire prier. Nos propres réponses se trouvent sur la page sécurité et confidentialité : les données restent privées, ne sont jamais revendues et ne servent jamais à entraîner des modèles publics. Pour la supervision au quotidien (niveaux d'autonomie, validation, historique), l'article sur la façon de garder le contrôle d'un agent d'IA va plus loin.
Si vous préparez un projet et voulez savoir quels renseignements un renfort verrait dans votre cas, écrivez-nous. Ça vous donnera aussi de la matière pour votre évaluation des facteurs relatifs à la vie privée.