IA et Loi 25 au Québec : le guide conformité pour PME

Qu'est-ce que la Loi 25 ?

La Loi 25 (anciennement le projet de loi 64) est la loi qui modernise la protection des renseignements personnels au Québec. Elle s'applique à toute organisation, privée comme publique, qui recueille, utilise ou communique des renseignements personnels sur le territoire, peu importe sa taille.

Son déploiement s'est fait en trois phases : septembre 2022 (nomination d'un responsable de la protection des renseignements personnels, gestion et déclaration des incidents de confidentialité), septembre 2023 (consentement clair, transparence, confidentialité par défaut, encadrement des décisions automatisées) et septembre 2024 (droit à la portabilité des données).

L'autorité qui veille à son application est la Commission d'accès à l'information (CAI). Un renseignement personnel, au sens de la loi, c'est toute information qui permet d'identifier une personne physique, directement ou indirectement : nom, courriel, numéro de téléphone, adresse IP, historique d'achats, comportement en ligne.

Pourquoi l'IA est directement concernée

L'intelligence artificielle a besoin de données pour fonctionner, et ces données sont souvent personnelles. Un chatbot recueille le nom et le courriel d'un visiteur. Un agent IA lit l'historique d'un client pour répondre. Un modèle de scoring analyse le comportement de vos prospects. Chacun de ces traitements tombe sous la Loi 25.

La loi contient deux notions qui visent l'IA presque directement. La première est la décision automatisée : quand une organisation prend une décision fondée exclusivement sur un traitement automatisé de renseignements personnels, elle doit en informer la personne concernée et lui permettre de faire réviser la décision. La seconde est le profilage : la personne doit être informée quand on utilise des technologies pour l'identifier, la localiser ou la profiler, et pouvoir désactiver ces fonctions.

Autrement dit, l'IA n'est pas interdite. Mais dès qu'elle touche des renseignements personnels, elle doit respecter les mêmes principes que le reste : consentement, transparence, finalité claire et confidentialité par défaut.

Les 5 risques principaux pour une PME

Dans la pratique, voici où les PME québécoises s'exposent le plus avec leurs outils IA :

• Décisions automatisées non déclarées. Un tri de candidatures par IA ou un refus automatique sans informer la personne ni offrir de révision humaine va à l'encontre de la loi.
• Données envoyées hors Québec sans encadrement. Beaucoup d'outils IA hébergent et traitent les données à l'étranger. La communication de renseignements personnels hors Québec doit être évaluée et encadrée.
• Chatbots sans transparence ni consentement. Un agent conversationnel qui collecte des renseignements sans dire pourquoi, ni combien de temps ils sont conservés, crée un risque.
• Aucune gouvernance interne. Pas de responsable de la protection des renseignements personnels, pas de registre des incidents, pas de procédure de déclaration à la CAI.
• Employés qui collent des données clients dans un outil IA grand public. C'est le risque le plus fréquent et le plus invisible dans les PME.

Aucun de ces risques n'exige d'arrêter l'IA. Ils exigent de savoir ce qui se passe et de mettre des garde-fous.

Quatre cas concrets en PME

Le chatbot de service client. Il recueille nom, courriel et parfois l'historique d'achat. Conformité : avis de transparence clair, consentement pour la finalité, durée de conservation définie, hébergement encadré.

L'agent IA qui trie les candidatures. S'il rejette ou classe des candidats de façon automatisée, c'est une décision automatisée. Conformité : informer le candidat, conserver une révision humaine possible, pouvoir expliquer les principaux facteurs utilisés.

Le scoring de prospects par IA. Classer des prospects selon leur comportement, c'est du profilage. Conformité : informer les personnes et leur permettre de s'opposer.

ChatGPT et les outils grand public au bureau. Quand un employé colle un contrat, une liste de clients ou un dossier dans un outil IA grand public, des renseignements personnels peuvent sortir de votre contrôle. Conformité : politique d'usage claire, comptes entreprise qui n'entraînent pas le modèle sur vos données, et formation des équipes.

Comment Novi accompagne la conformité IA

Notre rôle est opérationnel et technique, en appui à votre responsable de la protection des renseignements personnels et à votre conseiller juridique. Concrètement, on intervient sur ce qui touche directement vos outils IA et vos données.

• Cartographie de vos outils IA et des flux de renseignements personnels (quel outil, quelles données, où elles vont).
• Configuration des outils : rétention, anonymisation quand c'est possible, comptes entreprise sans entraînement sur vos données, hébergement au Québec ou au Canada lorsque l'option existe.
• Transparence : avis et bandeaux de consentement sur vos chatbots et formulaires, en langage clair.
• Révision humaine : mise en place d'un mécanisme pour les décisions automatisées.
• Formation des équipes sur le bon usage des outils IA grand public.

Pour tout ce qui est avis juridique formel, rédaction de politiques contraignantes ou interprétation de la loi, on travaille avec votre conseiller juridique. On ne le remplace pas.

Checklist Loi 25 pour PME (auto-évaluation)

Répondez honnêtement à ces questions. Chaque « non » est un point à adresser :

• Avez-vous nommé un responsable de la protection des renseignements personnels ?
• Votre politique de confidentialité est-elle à jour, accessible et compréhensible ?
• Vos outils IA (chatbot, CRM, scoring, agents) sont-ils inventoriés avec les données qu'ils traitent ?
• Informez-vous les personnes lorsqu'une décision est prise de façon automatisée, avec une révision possible ?
• Vos renseignements personnels sont-ils hébergés au Québec ou au Canada, ou la communication hors Québec est-elle encadrée ?
• Tenez-vous un registre des incidents de confidentialité avec une procédure de déclaration à la CAI ?
• Recueillez-vous un consentement clair, libre et éclairé, distinct pour chaque finalité ?
• Évaluez-vous les risques avant de lancer un nouveau projet IA qui traite des renseignements personnels ?

Sources et références officielles

Ce guide s'appuie sur les sources officielles qui encadrent la protection des renseignements personnels au Québec. Pour valider votre situation, référez-vous à ces sources et à votre conseiller juridique :

• Commission d'accès à l'information du Québec (CAI) — l'autorité responsable de l'application de la Loi 25, qui publie des guides et des outils pour les organisations (cai.gouv.qc.ca).
• Loi 25, officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels — texte de loi consultable sur Légis Québec (legisquebec.gouv.qc.ca).
• Gouvernement du Québec — renseignements sur la protection des renseignements personnels et les obligations des entreprises (quebec.ca).

Les obligations et les échéances décrites dans ce guide proviennent de ces sources officielles. Le détail applicable à votre organisation doit être validé avec un conseiller juridique.