L'EFVP appliquée à vos projets d'IA, sans en faire une thèse

L'évaluation des facteurs relatifs à la vie privée — EFVP — est probablement l'obligation de la Loi 25 la plus ignorée par les PME. Beaucoup pensent qu'elle ne concerne que les grands projets informatiques des ministères. En réalité, déployer un outil d'IA générative dans votre organisation déclenche très souvent cette obligation.

La bonne nouvelle : une EFVP proportionnée à un projet d'IA en PME tient en quelques pages, pas en un rapport de cent. Voici comment la mener.

Quand une EFVP est-elle obligatoire

La Loi 25 impose une EFVP dans deux situations qui concernent directement vos projets d'IA.

Premier cas : tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels. Adopter un assistant IA d'entreprise, brancher un outil de transcription de réunions, intégrer une fonction IA à votre CRM : chacun de ces projets est visé dès que des renseignements personnels y transitent.

Second cas : toute communication de renseignements personnels à l'extérieur du Québec. Or la grande majorité des services d'IA générative sont hébergés aux États-Unis ou ailleurs hors Québec. Avant que des données personnelles quittent la province, vous devez évaluer si elles y recevront une protection adéquate, en tenant compte notamment du régime juridique de l'État de destination.

L'évaluation doit être menée en amont du projet — c'est une condition de départ, pas une formalité de clôture. Et elle doit être proportionnée à la sensibilité des renseignements concernés : la loi elle-même vous autorise à rester pragmatique.

Le contenu d'une EFVP pour un outil d'IA

Une EFVP utile pour un projet d'IA répond à six questions, documentées par écrit.

1. Quelles données, pour quelles fins

Décrivez précisément ce qui transitera par l'outil : catégories de renseignements (clients, employés, prospects), volume, sensibilité. Précisez la finalité — rédaction assistée, résumé de documents, analyse — et vérifiez qu'elle est légitime et proportionnée. Si l'outil peut fonctionner avec des données anonymisées, c'est la première mesure d'atténuation à considérer.

2. Qui est le fournisseur, où sont les données

Identifiez l'entreprise, le lieu d'hébergement, les sous-traitants. Pour un transfert hors Québec, documentez le régime juridique applicable et les garanties contractuelles : engagement de confidentialité, limitation des usages, sort des données en fin de contrat.

3. Le fournisseur entraîne-t-il ses modèles sur vos données

C'est la question spécifique à l'IA. Vérifiez dans le contrat — pas seulement dans la FAQ marketing — si vos prompts et documents peuvent être utilisés pour entraîner ou améliorer les modèles, s'ils peuvent être relus par des humains, et combien de temps ils sont conservés. Les offres d'entreprise excluent généralement l'entraînement ; les comptes gratuits, rarement.

4. Quels sont les risques pour les personnes

Évaluez les scénarios concrets de préjudice : réidentification, divulgation à des tiers, décision erronée fondée sur une sortie du modèle, conservation au-delà du nécessaire. Cotez chaque risque en probabilité et en gravité — une simple échelle à trois niveaux suffit.

5. Quelles mesures d'atténuation

Pour chaque risque significatif, décrivez la mesure : configuration du compte entreprise, désactivation de l'historique, anonymisation avant prompt, restriction aux équipes formées, journalisation des usages, clauses contractuelles. Notez les risques résiduels et qui les accepte.

6. Qui a participé, qui décide

L'EFVP doit être menée avec le responsable de la protection des renseignements personnels. Consignez les participants, la date, la décision (déploiement, déploiement sous conditions, refus) et la date de révision prévue.

Les erreurs qui coûtent cher

• Faire l'EFVP après le déploiement. L'évaluation doit précéder le projet ; un document rédigé a posteriori pour la forme perd sa valeur de preuve de diligence.
• Évaluer l'outil, oublier les usages. Un outil sûr utilisé pour un cas non prévu redevient un risque. L'EFVP doit couvrir les usages réels, ce qui suppose de les connaître.
• Classer le document et ne plus y toucher. Un changement de fournisseur, une nouvelle fonctionnalité, un nouvel usage par une équipe : chacun doit déclencher une mise à jour.

En faire un avantage, pas un fardeau

Le registre de vos EFVP raconte à la CAI — et à vos clients — que votre organisation gouverne réellement son usage de l'IA. C'est un actif commercial : de plus en plus d'appels d'offres exigent la démonstration d'une gestion responsable des données. Une plateforme de gouvernance comme Kairos Intelligence alimente directement cet exercice : l'inventaire des outils réellement utilisés, les catégories de données qui y transitent et les mesures de protection actives sont documentés en continu, au lieu d'être reconstitués de mémoire le jour où on vous les demande.