Conformité à la Loi 25 : les outils d'IA qui répondent aux normes du Québec

La conformité à la Loi 25 est désormais un prérequis pour tout outil d'IA touchant les renseignements personnels des résidents du Québec — pas une réflexion après coup. En vertu des articles 12 et 14, les organisations doivent obtenir un consentement explicite et mettre en place des mesures de protection techniques avant de déployer des systèmes d'IA qui traitent ces données. La Commission d'accès à l'information du Québec (CAI) fait appliquer cette exigence avec des pénalités pouvant atteindre 25 000 000 $ ou 4 % du chiffre d'affaires mondial en vertu de l'article 91.

Y arriver exige de véritables décisions architecturales — où résident les données, qui contrôle le traitement, quels fournisseurs sont même admissibles — que la plupart des plateformes d'IA n'abordent tout simplement pas.

Comprendre les exigences de la Loi 25 en matière d'IA

La loi québécoise modernisée sur la protection des renseignements personnels dans le secteur privé crée des obligations distinctes pour le déploiement de l'IA. L'article 63.1 exige des évaluations des facteurs relatifs à la vie privée pour les systèmes de décision automatisée. L'article 67 oblige les organisations qui utilisent l'IA à des fins de profilage à obtenir un consentement explicite et à informer les personnes lorsqu'une décision automatisée les concerne.

La loi traite les outils d'IA comme des systèmes de traitement de l'information soumis aux mêmes protections que toute autre technologie.

Ce seul cadrage a une portée considérable : il signifie qu'un agent conversationnel, un système de tri de curriculum vitæ et une base de données existante sont tous soumis à la même norme de consentement, de résidence des données et de sécurité en vertu des articles 8 à 18.

« L'article 17 exige que les renseignements personnels transférés hors du Québec bénéficient d'une protection équivalente à celle prévue par la loi. La plupart des plateformes d'IA basées aux États-Unis ne peuvent pas répondre à cette norme en raison de l'exigence du CLOUD Act permettant l'accès du gouvernement américain aux données, peu importe où elles sont stockées. »

Les directives de la CAI, publiées d'abord en 2023 et toujours l'interprétation en vigueur, précisent que le téléversement de documents contenant des renseignements personnels vers un système de clavardage IA constitue une « communication » au sens de l'article 17. Le système récepteur doit offrir une protection équivalente à la norme québécoise — la plupart n'y arrivent pas.

Résidence des données et transferts transfrontaliers

L'article 17 bloque le transfert de renseignements personnels à l'extérieur du Québec, sauf si le territoire récepteur offre une protection équivalente. Cela crée un problème immédiat pour les plateformes d'IA populaires hébergées aux États-Unis.

Les plateformes américaines soumises au CLOUD Act permettent au gouvernement américain d'accéder aux données peu importe où elles sont physiquement stockées, et la CAI considère cela comme incompatible avec l'exigence de protection de l'article 17.

Les cabinets d'avocats québécois font face à une exposition particulière ici. Les renseignements des clients téléversés vers des systèmes basés aux États-Unis risquent à la fois une violation de la Loi 25 et un manquement aux directives du Barreau du Québec sur la technologie et la confidentialité — deux régulateurs distincts, deux risques distincts. Notre article connexe sur la question de savoir si les entreprises québécoises ont besoin d'une IA hébergée au Canada traite plus en détail de la question de la résidence des données.

Les organisations ont besoin d'outils d'IA offrant une véritable résidence canadienne des données : contrôle corporatif canadien, infrastructure canadienne, et absence d'obligations légales américaines qui pourraient compromettre la protection prévue à l'article 17.

Le consentement

Les articles 12 et 14 établissent le cadre de consentement du Québec, exigeant un consentement explicite pour le traitement des renseignements personnels, et l'article 13 précise que le consentement doit être manifeste, libre et éclairé.

Des conditions d'utilisation génériques ne satisfont pas à cette exigence. Les organisations doivent fournir de l'information claire sur :

• Quels renseignements personnels le système d'IA traitera
• Les fins précises du traitement
• Si le système prend des décisions automatisées touchant des personnes (article 67)
• La durée de conservation des renseignements
• Si les renseignements seront partagés avec des tiers (article 17)

Le consentement peut être retiré à tout moment en vertu de l'article 13. Les outils d'IA doivent permettre ce retrait et offrir un moyen de supprimer les renseignements personnels lorsque le consentement est révoqué, en lien avec le droit à l'effacement prévu à l'article 28.

Les cabinets d'avocats portent une couche supplémentaire de complexité ici. Les règles du secret professionnel de l'avocat établies par le Barreau du Québec exigent des protections de confidentialité qui dépassent le minimum légal de la Loi 25, ce qui signifie qu'un outil simplement conforme à la Loi 25 pourrait tout de même être insuffisant pour la pratique du droit.

EFVP et décisions automatisées

L'article 63.1 exige une évaluation des facteurs relatifs à la vie privée avant la mise en œuvre de systèmes présentant un risque élevé pour la vie privée, et les outils d'IA déclenchent souvent cette exigence en raison de leur capacité de profilage automatisé.

Le cadre d'EFVP de la CAI tient compte de plusieurs facteurs :

• Le volume et la sensibilité des renseignements personnels traités
• Les capacités de décision automatisée (article 67)
• Les ententes de partage de données (article 17)
• Les mesures de sécurité et le risque de violation
• Les mécanismes de protection des droits individuels (articles 27 à 33)

Les organisations qui utilisent l'IA pour l'embauche, les décisions de crédit ou l'évaluation de clients ont généralement besoin d'une EFVP. L'évaluation doit identifier les risques et les mesures d'atténuation avant le déploiement — la faire après coup ne satisfait pas à l'exigence. Si vous partez de zéro pour cette documentation, un outil de collaboration pour la documentation des EFVP peut considérablement raccourcir le processus, et le jumeler à un survol plus large des plateformes de gouvernance de l'IA pour la conformité à la Loi 25 aide à cartographier l'ensemble des obligations plutôt que d'aborder les EFVP isolément.

« L'article 67 exige que les personnes soient informées lorsque des systèmes d'IA prennent des décisions les concernant, avec un droit d'obtenir une intervention humaine. Cela s'applique aussi bien aux systèmes de recrutement, de crédit que de prestation de services. »

Les EFVP à haut risque — renseignements de santé, données biométriques, décisions automatisées importantes — sont généralement soumises directement à la CAI.

L'application de la loi

La structure de pénalités de la CAI n'est pas subtile. L'article 91 fixe les sanctions administratives pécuniaires à un maximum de 25 000 000 $ ou 4 % du chiffre d'affaires mondial, éclipsant le plafond de 100 000 $ de la LPRPDE fédérale.

L'application récente de la loi le confirme. La Commission a imposé environ 2 800 000 $ en pénalités en 2024 pour des violations impliquant des systèmes automatisés, citant à la fois des mécanismes de consentement inadéquats et des problèmes de transfert transfrontalier.

Quatre éléments ont tendance à attirer l'attention de la CAI :

• Des plaintes individuelles menant à des enquêtes
• Des audits de déploiements d'IA
• Des avis de violation qui exposent un traitement non conforme
• Des plaintes déposées auprès d'organismes de réglementation professionnels (notamment dans les secteurs juridique et de la santé)

Si une violation se produit, le compte à rebours pour l'avis commence immédiatement — consultez notre guide sur les exigences d'avis de violation de données d'IA au Canada pour connaître les délais précis et qui doit être informé. Le plus récent rapport annuel de la CAI montre une part croissante des activités d'application liées spécifiquement à l'IA et à la prise de décision automatisée.

Différences sectorielles

Toutes les industries ne portent pas le même fardeau de conformité.

Services juridiques. Le secret professionnel de l'avocat exige que les renseignements des clients demeurent sous le contrôle de l'avocat — une exigence qu'une plateforme exposée au CLOUD Act ne peut structurellement pas garantir.

Santé. L'article 19 crée des règles spéciales pour les renseignements de santé, ajoutant des exigences renforcées de consentement et de sécurité par-dessus la base.

Services financiers. Les institutions répondent simultanément à la Loi 25 et à la LPRPDE; lorsque les deux entrent en conflit, la norme québécoise, plus stricte, prévaut.

Services professionnels. Les PME québécoises en comptabilité, en consultation et en génie font face aux mêmes règles de fond, mais peuvent trouver des voies de conformité simplifiées grâce aux directives de la CAI destinées aux plus petites organisations. Les normes fédérales adjacentes à l'approvisionnement ajoutent une couche supplémentaire pour les entreprises qui travaillent avec des clients gouvernementaux — consultez notre analyse des exigences du CPCSC pour les outils d'IA si cela s'applique à vous.

Bâtir pour la conformité, pas autour d'elle

La conformité à la Loi 25 fonctionne mieux lorsqu'elle est architecturale, et non procédurale.

Cela signifie une résidence canadienne des données, des mécanismes de consentement explicite et des contrôles de traitement intégrés à la plateforme elle-même plutôt qu'ajoutés après coup avec un document de politique. Augure répond à cela grâce à une infrastructure canadienne souveraine — la plateforme fonctionne sous contrôle corporatif canadien, sans société mère américaine ni structure d'investisseurs qui pourrait créer une exposition au CLOUD Act.

Voici les fonctionnalités clés qui font vraiment avancer la conformité :

• Traitement des données à l'intérieur des frontières canadiennes
• Collecte et gestion du consentement explicite
• Respect des droits individuels — accès, correction, suppression
• Pistes de vérification adaptées à l'examen réglementaire
• Intégration avec les systèmes de gestion de la vie privée existants

« La protection de la vie privée dès la conception signifie choisir des outils d'IA conçus pour la conformité plutôt que d'ajouter des protections après le déploiement. Cela fait de la sélection du fournisseur une décision cruciale, et non une note de bas de page. »

Évaluez la capacité de conformité du fournisseur avant le déploiement, pas après. La remédiation post-implémentation est plus lente, plus coûteuse et rarement aussi efficace que de choisir un outil conforme dès le départ.

Pour mettre en contexte le paysage plus large de la protection de la vie privée au Canada, le Commissariat à la protection de la vie privée du Canada publie des directives sur l'IA et les systèmes de décision automatisée qui complètent les décisions propres au Québec émises par la CAI, et les décisions publiées par la CAI elle-même valent la peine d'être consultées directement pour les organisations ayant des programmes de conformité actifs.

Les organisations québécoises ont besoin d'outils d'IA conçus pour la conformité à la Loi 25 dès le départ, et non adaptés après coup. Augure fournit une infrastructure d'IA souveraine qui élimine le risque de transfert transfrontalier tout en soutenant les mécanismes de consentement et les droits individuels exigés par la Loi 25. Pour en savoir plus sur le déploiement conforme de l'IA, visitez augureai.ca.