Rendre l'IA générative conforme à la Loi 25 au Québec

ChatGPT, Claude, Gemini et Copilot sont déjà entrés dans votre organisation, avec ou sans votre accord. Vos équipes y rédigent des courriels, résument des documents et préparent des offres de service. Le gain de productivité est réel. Le risque juridique aussi : dès qu'un renseignement personnel se retrouve dans un prompt, la Loi 25 s'applique.

Ce guide explique ce que la loi exige concrètement lorsque vos employés utilisent l'IA générative, et comment mettre votre organisation en conformité sans interdire ces outils.

Ce que la Loi 25 change pour l'IA générative

La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) a réformé en profondeur le régime québécois de protection des renseignements personnels. Ses obligations sont entrées en vigueur par étapes entre 2022 et 2024 et s'appliquent à toute entreprise qui recueille, utilise ou communique des renseignements personnels au Québec — quelle que soit sa taille.

Un renseignement personnel, c'est toute information qui permet d'identifier une personne : nom, courriel, numéro d'assurance sociale, dossier client, historique d'achat, évaluation de rendement d'un employé. Lorsqu'un membre de votre équipe colle ce type d'information dans un outil d'IA générative grand public, votre organisation vient de « communiquer » un renseignement personnel à un tiers, souvent hébergé hors du Québec, sans consentement valable et sans évaluation préalable. C'est précisément ce que la loi encadre.

Les obligations qui s'appliquent à vos usages d'IA

Un responsable de la protection des renseignements personnels

Par défaut, la personne ayant la plus haute autorité dans l'entreprise — souvent le président ou la directrice générale — est responsable de la protection des renseignements personnels. Cette fonction peut être déléguée par écrit. Ce responsable doit être identifié publiquement et joignable. C'est lui qui devra répondre des usages d'IA de l'organisation devant la Commission d'accès à l'information (CAI).

Des politiques et pratiques publiées

L'entreprise doit adopter des politiques encadrant la conservation, la destruction et la gouvernance des renseignements personnels, et publier de l'information détaillée sur ces pratiques. Si vos équipes utilisent l'IA générative, ces politiques doivent le prévoir : quels outils sont approuvés, quelles données peuvent y transiter, qui valide les exceptions.

L'évaluation des facteurs relatifs à la vie privée (EFVP)

Avant d'acquérir, de développer ou de refondre un système d'information qui traite des renseignements personnels — ce qui inclut le déploiement d'un outil d'IA en entreprise — la loi exige une évaluation des facteurs relatifs à la vie privée. Une EFVP est aussi requise avant de communiquer des renseignements personnels à l'extérieur du Québec, ce qui est le cas de la plupart des services d'IA générative hébergés aux États-Unis.

La transparence sur les décisions automatisées

Si vous utilisez un système qui prend une décision fondée exclusivement sur un traitement automatisé (tri de candidatures, scoring de crédit, admissibilité à un service), vous devez en informer la personne concernée, lui expliquer sur demande les principaux facteurs de la décision et lui permettre de présenter ses observations.

La gestion des incidents de confidentialité

Un prompt contenant un dossier client envoyé vers un service non approuvé peut constituer un incident de confidentialité. La loi impose de tenir un registre des incidents et, lorsqu'il existe un risque de préjudice sérieux, d'aviser la CAI et les personnes concernées.

Ce que vous risquez concrètement

Le régime de sanctions de la Loi 25 est l'un des plus sévères en Amérique du Nord. La CAI peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 pour cent du chiffre d'affaires mondial, le montant le plus élevé étant retenu. Les infractions pénales peuvent monter jusqu'à 25 millions de dollars ou 4 pour cent du chiffre d'affaires mondial. La loi renforce aussi les recours civils : une personne lésée peut réclamer des dommages-intérêts punitifs d'au moins 1 000 dollars en cas d'atteinte illicite et intentionnelle ou résultant d'une faute lourde.

Au-delà des montants, le risque le plus immédiat pour une PME est réputationnel : un incident impliquant les données d'un client et un outil d'IA non encadré peut coûter le contrat, puis la relation.

Un plan d'action en cinq étapes

1. Cartographier les usages réels

Avant de rédiger la moindre politique, découvrez quels outils d'IA sont réellement utilisés par vos équipes, par qui et pour quoi faire. C'est le chantier « shadow AI » : dans la plupart des organisations, l'écart entre les usages déclarés et les usages réels est considérable.

2. Classer les données et fixer les interdits

Définissez clairement ce qui ne doit jamais se retrouver dans un prompt : renseignements personnels de clients ou d'employés, secrets commerciaux, informations financières non publiques, contenus sous entente de confidentialité. Une règle simple et mémorisable vaut mieux qu'une taxonomie parfaite que personne ne lit.

3. Approuver des outils, pas seulement en interdire

Offrez une voie de sortie : une liste d'outils approuvés, avec les réglages appropriés (désactivation de l'entraînement sur vos données, comptes d'entreprise, hébergement adéquat). Une interdiction sans alternative crée exactement le shadow AI qu'elle prétend éviter.

4. Réaliser vos EFVP et documenter

Pour chaque outil d'IA retenu, menez une EFVP proportionnée à la sensibilité des données : quelles données, quel fournisseur, quel hébergement, quelles garanties contractuelles, quels risques résiduels. Ce dossier est votre preuve de diligence devant la CAI.

5. Former, mesurer, ajuster

Une politique sans adoption ne protège personne. Formez vos équipes sur des cas concrets de leur quotidien, mesurez l'usage réel dans le temps et ajustez la politique quand elle bloque un usage légitime.

L'angle mort : le poste de travail

La plupart des organisations traitent la conformité IA comme un projet documentaire : une politique, une formation, un registre. Mais l'infraction se produit au moment précis où un employé colle un renseignement personnel dans un champ de prompt. C'est là que la protection doit exister — détection des renseignements personnels avant l'envoi, journalisation des usages et mesure continue de la conformité. C'est exactement le rôle d'une plateforme de gouvernance de l'IA comme Kairos Intelligence : rendre la Loi 25 opérationnelle là où vos équipes travaillent déjà, plutôt que dans un classeur.