Cinq mythes sur la conformité en matière de protection des renseignements personnels en IA qui coûtent cher aux petites entreprises canadiennes

La Commission d'accès à l'information du Québec a reçu plus de déclarations d'incident de confidentialité en 2024 que pendant toute autre année depuis l'entrée en vigueur de la Loi 25, et les propres avis publics d'application de la CAI montrent que les sanctions pécuniaires sont demeurées rares malgré ce volume. C'est dans cet écart entre la peur et l'application réelle de la loi que se loge la majorité des mauvais conseils. Les propriétaires d'entreprise qui cherchent des réponses claires sur les règles de la Loi 25 pour les petites entreprises ou sur les coûts de conformité à la LPRPDE tombent souvent sur des articles écrits pour des entreprises dotées de services juridiques, pas pour un cabinet comptable de quatre personnes à Trois-Rivières. Une vague d'outils d'IA canadiens conçus pour combler cet écart a commencé à changer ce que coûte réellement la conformité, mais les mythes qui poussent aux dépenses excessives n'ont pas suivi.

Premier mythe : chaque petite entreprise a besoin d'un responsable de la protection des renseignements personnels sur sa liste de paie

La Loi 25 exige effectivement la désignation d'une « personne responsable de la protection des renseignements personnels », mais la loi n'exige pas que cette personne soit une nouvelle embauche. En pratique, il s'agit presque toujours du propriétaire ou du gestionnaire de bureau, qui porte ce titre en plus de ses fonctions habituelles. Les propres directives de la CAI décrivent cela comme une désignation par défaut à la personne ayant la plus haute autorité dans l'organisation, et non comme un mandat de créer un nouveau poste. Vous pouvez consulter directement les directives de la CAI sur son site à cai.gouv.qc.ca.

Les propriétaires qui croient avoir besoin d'embaucher quelqu'un à 60 000 $ par année pour la conformité évitent souvent complètement cette démarche, car le prix imaginé paraît absurde par rapport au chiffre d'affaires d'une boulangerie ou d'une clinique dentaire. La vraie exigence, c'est un contact désigné, un court processus écrit et un plan en cas de pépin — quelques heures du temps d'une personne, pas une ligne salariale. Pour une vue d'ensemble sur les priorités à établir en premier, consultez notre guide sur où les petites entreprises canadiennes devraient investir en premier.

Deuxième mythe : la LPRPDE et la Loi 25, c'est le même livre de règles, donc le coût de conformité en IA canadienne, c'est un seul chiffre

Elles se chevauchent, mais elles ne sont pas interchangeables. La Loi 25 a introduit des évaluations des facteurs relatifs à la vie privée obligatoires pour certains projets, un droit d'action privé pour les particuliers en vertu de l'article 93.1, et des pénalités pouvant atteindre 4 % du chiffre d'affaires mondial ou 25 000 000 $ pour les violations les plus graves, selon le propre résumé de la loi publié par le ministère de la Cybersécurité et du Numérique. La LPRPDE, administrée au niveau fédéral par le Commissariat à la protection de la vie privée du Canada, ne comporte aucun droit d'action privé équivalent, et ses sanctions administratives pécuniaires — ajoutées par les modifications de 2022-2023 — s'appliquent principalement à des manquements précis en matière de déclaration d'atteintes, plutôt qu'aux amendes élargies basées sur le chiffre d'affaires que le Québec peut imposer.

Une précision importante sur l'actualité : le projet de loi C-27, qui aurait remplacé la LPRPDE par une nouvelle Loi sur la protection de la vie privée des consommateurs et introduit des pénalités fédérales plus sévères, est mort au feuilleton lorsque le Parlement a été prorogé au début de 2025. Il n'a pas été réintroduit. La LPRPDE demeure la loi fédérale en vigueur en 2026, et les entreprises qui planifient en fonction des règles proposées par le C-27 planifient en fonction d'une loi qui n'existe pas encore.

Pour une entreprise qui opère uniquement en Alberta ou au Manitoba, la LPRPDE est le cadre pertinent, et le mythe joue dans l'autre sens : les propriétaires présument que la loi plus stricte du Québec s'applique à l'échelle nationale et dépensent de l'argent pour se conformer à des règles qui ne les concernent pas. Si votre équipe superpose des outils d'IA à l'un ou l'autre de ces cadres, notre article sur ce qui change quand votre équipe adopte l'IA explique les différences concrètes.

Troisième mythe : toute atteinte à la protection des données entraîne automatiquement des amendes

Les données sur l'application de la loi ne confirment pas cette crainte. Parmi les déclarations d'incident déposées auprès de la CAI, la grande majorité se termine sans aucune ordonnance pécuniaire. Les régulateurs, tant au Québec qu'au fédéral sous la LPRPDE, évaluent si l'atteinte a été déclarée rapidement, si l'entreprise avait mis en place des mesures de sécurité raisonnables, et si elle a collaboré durant l'examen.

Le matériel d'orientation de la CAI sur la mise en œuvre de la Loi 25 présente l'application de la loi comme proportionnée : les organisations qui agissent de bonne foi, qui déclarent à temps et qui démontrent des mesures de sécurité de base sont traitées différemment de celles qui dissimulent un incident ou qui n'ont aucune politique du tout.

Cette approche explique bien mieux le profil d'application de la loi que n'importe quel barème d'amendes. Une petite entreprise qui déclare une atteinte dans les délais requis et qui peut démontrer des mesures de sécurité de base — stockage chiffré, contrôles d'accès, politique écrite — fait face à un résultat différent de celle qui cache un incident. L'amende n'est pas le principal risque. L'absence de documentation, si. Notre analyse de ce que signifie réellement un maximum de 25 M$ pour une entreprise de neuf personnes explore plus en profondeur comment ces chiffres se traduisent concrètement à petite échelle.

Quatrième mythe : les outils d'IA basés aux États-Unis, c'est correct tant que les mots de passe sont forts

C'est le mythe qui coûte le plus cher en ce moment, lié au fait que l'adoption de l'IA progresse plus vite que la plupart des propriétaires ne peuvent la vérifier. Une entreprise qui alimente un clavardeur hébergé aux États-Unis avec des courriels de clients, des contrats ou des formulaires d'admission médicale a créé un flux de données transfrontalier. La Loi 25 exige que ce flux soit évalué avant qu'il ne se produise, pas après, en vertu de la disposition régissant les transferts de renseignements personnels hors Québec. Cette évaluation vérifie si la destination offre une protection équivalente à celle du Québec — et le CLOUD Act américain donne aux autorités américaines un moyen légal d'exiger des entreprises de juridiction américaine qu'elles remettent les données qu'elles contrôlent, peu importe où se trouvent les serveurs. (Certains avocats canadiens spécialisés en protection des renseignements personnels débattent encore de la portée réelle de cette loi en pratique, mais le mécanisme juridique lui-même n'est pas contesté.)

Ce n'est pas une raison d'éviter l'IA. C'est une raison de savoir quel fournisseur relève de quelle juridiction, et de demander la liste des sous-traitants plutôt que de se fier à une page marketing. Un petit nombre croissant de plateformes d'IA canadiennes existent justement en raison de cet écart, conçues pour garder les données des clients sous juridiction canadienne au lieu d'obliger une analyse juridique au cas par cas des conditions d'un fournisseur américain chaque fois qu'une fonctionnalité est lancée. Augure en fait partie : une entreprise canadienne sans société mère américaine ni investisseurs américains, qui traite les conversations avec les clients et les documents sur une infrastructure canadienne. Pour certains niveaux de modèles et pour la bascule en cas de panne, Augure affirme recourir à des partenaires européens vérifiés sous des ententes de conservation nulle des données, plutôt que d'acheminer ce contenu client vers des fournisseurs de juridiction américaine — une affirmation du fournisseur qui mérite d'être vérifiée à partir de sa propre politique publiée plutôt qu'acceptée sur parole. Certains traitements, comme la gestion des cartes de paiement et la livraison des courriels, touchent tout de même à l'infrastructure américaine, et Augure le divulgue directement plutôt que de prétendre que rien ne quitte jamais le Canada.

Cette habitude de divulgation est le véritable point de comparaison. Une entreprise qui évalue n'importe quel outil d'IA, qu'il se présente comme « souverain » ou non, devrait pouvoir trouver une liste de sous-traitants et la lire avant d'adopter l'outil, pas après une atteinte. Notre guide sur la question du consentement que les petites entreprises continuent de mal comprendre couvre la question connexe de ce que les clients doivent savoir avant que leurs données ne se déplacent où que ce soit.

Cinquième mythe : un logiciel de conformité élimine le risque juridique

Aucun fournisseur, Augure y compris, ne peut offrir à un client la conformité réglementaire simplement en lui vendant un logiciel. Ce qu'une plateforme bien conçue peut faire, c'est appuyer les exigences sous-jacentes — résidence des données, journalisation des accès, limites de conservation — qu'une entreprise devrait autrement configurer elle-même ou payer quelqu'un pour le faire. Le produit Knowledge Base d'Augure, par exemple, garde les documents téléversés privés avec des contrôles de partage par équipe, ce qui appuie les attentes en matière de contrôle d'accès sous la LPRPDE et la Loi 25, sans toutefois certifier que l'utilisation qu'en fait une entreprise donnée est conforme.

Les cabinets d'avocats qui traitent la révision de contrats font face à une version plus restreinte du même mythe. Augure Legal, le produit de révision de contrats de l'entreprise, effectue le tri des accords de confidentialité et l'extraction de clauses avec des vérifications de la Loi 25 et de la LPRPDE intégrées au flux de travail, à partir de 149 $/mois pour un praticien seul — bien en deçà du coût d'une révision facturée à l'heure par un avocat externe pour le même volume. Mais le produit signale les clauses et les incohérences; il ne remplace pas le jugement qu'un avocat porte sur la validité d'une clause donnée. Les entreprises qui gèrent des dossiers d'employés devraient aussi consulter notre article sur ce que les propriétaires de PME comprennent mal au sujet des données des employés, puisque les dossiers des RH comportent leurs propres règles de consentement qu'un outil contractuel ne saisira pas.

À quoi ressemble la vraie comparaison des coûts

Une fois les mythes écartés, le budget réel d'une petite entreprise se résume à une courte liste, pas à un cauchemar. Un contact désigné pour la protection des renseignements personnels coûte du temps de personnel déjà en poste. Une évaluation des facteurs relatifs à la vie privée pour un nouvel outil prend quelques heures avec les gabarits gratuits de la CAI. Un plan d'intervention en cas d'atteinte est un document d'une page, pas un mandat à honoraires. Un outil d'IA qui garde les données des clients sous juridiction canadienne au lieu de déclencher une évaluation de transfert coûte souvent le même 20 $ par mois que l'outil américain qu'il remplace.

En contrepartie, il y a le coût de mal faire les choses : une déclaration d'atteinte déposée en retard, une plainte transmise à la CAI ou au Commissariat à la protection de la vie privée du Canada, des mois de correctifs qui auraient pu se régler en un après-midi de mise en place. Les entreprises qui dépensent le plus en conformité en matière de protection des renseignements personnels en ce moment sont souvent celles qui ont sauté les étapes peu coûteuses et qui paient maintenant pour les étapes dispendieuses.

Plus de détails sur la façon dont Augure gère la résidence des données et la divulgation de ses sous-traitants sont disponibles au augureai.ca.