Conformité à l'IA et à la Loi 25 du Québec : le guide complet 2026

La conformité à la Loi 25 du Québec a transformé en profondeur la façon dont les entreprises doivent aborder les systèmes d'IA et le traitement des données. En vertu des articles 12.1 et 14, les organisations qui utilisent l'IA pour la prise de décision automatisée doivent offrir une transparence explicite sur la logique utilisée et obtenir un consentement manifestement libre et éclairé pour le traitement des renseignements personnels. Les pénalités administratives pécuniaires peuvent atteindre 4 % du chiffre d'affaires mondial ou 25 000 000 $, ce qui en fait une préoccupation de premier plan pour toute équipe responsable de la gouvernance de l'IA au Canada.

Ce guide rassemble tout ce que les organisations québécoises doivent savoir en 2026 : ce qu'exige la loi, comment la Commission d'accès à l'information (CAI) l'applique, comment évaluer les outils de conformité, et par où commencer si vous n'avez pas d'équipe dédiée à la protection de la vie privée.

Ce qu'exige la Loi 25 : les quatre piliers

La Loi 25 a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé au Québec à travers quatre grands ensembles d'obligations. Chacun crée un travail de conformité précis pour les organisations qui traitent des renseignements personnels, que l'IA soit ou non en cause.

Consentement et transparence. Les organisations doivent obtenir un consentement clair et éclairé pour la collecte de données, publier des politiques de confidentialité en langage clair, et respecter des normes de consentement renforcées pour les catégories sensibles comme les données biométriques et de santé. L'article 14 exige que le consentement pour le traitement par l'IA soit « manifestement libre et éclairé ».

Minimisation des données et limitation des finalités. La collecte se limite aux renseignements personnels nécessaires à des fins déterminées, et leur utilisation se limite à ces fins initialement énoncées. Cela touche directement les systèmes d'IA, qui souhaitent souvent des jeux de données larges pour l'entraînement et l'inférence. Réutiliser des renseignements personnels pour un nouveau cas d'usage d'IA exige généralement un nouveau consentement.

Droits des personnes. Les résidents du Québec peuvent demander l'accès, la rectification et la suppression de leurs renseignements personnels, et la Loi 25 introduit la portabilité des données : les organisations doivent pouvoir fournir les renseignements personnels dans un format structuré et couramment utilisé. En vertu de l'article 27, les personnes peuvent aussi demander des explications sur des décisions automatisées et contester des résultats issus de l'IA.

Notification des atteintes. Les organisations doivent signaler à la CAI les incidents de confidentialité présentant un risque de préjudice sérieux et informer promptement les personnes concernées. La plupart des équipes de conformité planifient en fonction d'un repère interne de 72 heures, et des registres d'incidents doivent être tenus à des fins d'audit. Notre article complémentaire sur les exigences de notification des atteintes à la protection des données d'IA au Canada présente ces délais plus en détail.

Bâtir des opérations axées d'abord sur la vie privée, conformes aux normes rehaussées du Québec, tend aussi à satisfaire simultanément aux obligations fédérales de la LPRPDE, ce qui explique pourquoi il est préférable de planifier les deux cadres ensemble plutôt que séparément.

Les dispositions de la Loi 25 propres à l'IA et leur incidence sur la gouvernance de l'IA

Au-delà du cadre général, trois dispositions encadrent directement la façon dont les entreprises peuvent déployer et exploiter des systèmes d'IA.

Article 12.1, transparence des décisions automatisées. Les organisations doivent informer les personnes lorsqu'une décision est prise exclusivement à partir d'un traitement automatisé, y compris par des systèmes d'IA. Vous devez expliquer la logique utilisée et les conséquences possibles pour la personne. L'exigence s'applique à toute décision automatisée qui produit des effets juridiques ou des effets similaires importants : algorithmes d'embauche, modèles de pointage de crédit, systèmes de souscription d'assurance, ou agents conversationnels de service à la clientèle prenant des décisions relatives à des comptes.

Article 14, consentement manifestement libre et éclairé. Les personnes doivent comprendre non seulement que vous utilisez l'IA, mais aussi comment leurs renseignements personnels seront traités dans ce contexte. Des avis de confidentialité génériques ne peuvent satisfaire à cette norme.

Article 3.3, évaluations des facteurs relatifs à la vie privée. Les EFVP sont obligatoires pour tout traitement présentant un risque élevé pour la protection des renseignements personnels. Les systèmes d'IA effectuant des prises de décision automatisées y sont généralement assujettis, en particulier ceux qui traitent des données sensibles ou qui prennent des décisions ayant des conséquences importantes pour les individus. Notre guide sur la documentation d'EFVP comme exercice de collaboration explique comment les équipes maintiennent ces documents à jour à mesure que les systèmes d'IA évoluent.

Scénarios de conformité concrets

Prenons le cas d'une compagnie d'assurance montréalaise qui utilise l'IA pour évaluer les réclamations. En vertu des articles 12.1 et 14, elle doit informer les réclamants que l'IA intervient dans l'évaluation, expliquer comment le système évalue les données de réclamation, et obtenir un consentement explicite pour le traitement des renseignements personnels par le système d'IA.

Un détaillant québécois utilisant des moteurs de recommandation propulsés par l'IA fait face à des obligations similaires. Si l'IA traite l'historique d'achats pour formuler des suggestions de produits pouvant être considérées comme des décisions, les exigences de transparence de l'article 12.1 s'appliquent.

Les institutions financières font face à une complexité supplémentaire. Une caisse de la ville de Québec utilisant l'IA pour l'approbation de prêts doit satisfaire aux exigences de transparence de la Loi 25 tout en respectant les réglementations bancaires fédérales et les exigences de la LPRPDE relatives à l'IA concernant les droits d'accès individuels.

La distinction clé est que la Loi 25 n'exige pas simplement des avis de confidentialité. Elle exige une transparence fonctionnelle sur les processus de prise de décision par l'IA.

Pénalités et application de la loi par la CAI

La CAI dispose de pouvoirs d'application importants en vertu du cadre de pénalités de la Loi 25, aux articles 89 à 93.

Les pénalités administratives pécuniaires pour les entreprises varient de 15 000 $ à 25 000 000 $, ou jusqu'à 4 % du chiffre d'affaires mondial, selon le montant le plus élevé. Pour les personnes physiques au sein des organisations, les pénalités varient de 1 000 $ à 10 000 $ par infraction. La responsabilité personnelle s'étend aux dirigeants et employés qui participent à des pratiques non conformes ou qui les autorisent.

La CAI peut aussi émettre des ordonnances de mise en conformité exigeant des mesures correctives précises, ainsi que des ordonnances de publication exigeant la divulgation publique des infractions. Ces sanctions non pécuniaires ont souvent un impact réputationnel plus important que les amendes elles-mêmes. Pour déterminer les montants, la CAI tient compte du chiffre d'affaires de l'organisation, du nombre de personnes touchées, du caractère sensible des renseignements compromis, de la durée de l'infraction, des mesures d'atténuation et des antécédents de conformité. Les lignes directrices de la Commission d'accès à l'information demeurent la source de référence sur la façon dont ces facteurs sont appliqués en pratique.

Les récentes orientations de la CAI laissent entrevoir une attention particulière portée aux organisations qui mettent en œuvre des systèmes d'IA sans réaliser d'évaluation adéquate des facteurs relatifs à la vie privée en vertu de l'article 3.3, ou sans obtenir le consentement approprié pour la prise de décision automatisée en vertu de l'article 14. L'IA en santé, les algorithmes des services financiers et les technologies RH font l'objet du plus grand examen. Notre analyse des plateformes de gouvernance de l'IA pour la conformité à la Loi 25 se penche sur la façon dont les organisations structurent leur surveillance pour répondre à cette attention accrue.

Comment la Loi 25 interagit avec la LPRPDE

Les entreprises québécoises doivent composer à la fois avec la Loi 25 et la loi fédérale sur la vie privée, et de nombreuses organisations relèvent simultanément des deux cadres. La LPRPDE s'applique aux organisations sous réglementation fédérale et au commerce interprovincial, tandis que la Loi 25 vise les organisations du secteur privé établies au Québec.

Le Commissariat à la protection de la vie privée du Canada a émis des orientations sur l'IA et la prise de décision automatisée en vertu du principe de responsabilité et du principe d'accès individuel de la LPRPDE. Toutefois, les exigences de l'article 12.1 de la Loi 25 sont plus précises et plus rigoureuses.

En pratique, cela signifie :

• Réaliser des évaluations des facteurs relatifs à la vie privée qui satisfont à la fois au principe de responsabilité de la LPRPDE et à l'article 3.3 de la Loi 25
• Mettre en place des mécanismes de consentement qui respectent la norme de consentement manifestement libre et éclairé de l'article 14 de la Loi 25
• Tenir une documentation qui démontre la conformité aux deux cadres

Les organisations assujetties aux deux lois devraient appliquer la norme la plus élevée lorsque les exigences diffèrent, et pour le traitement par l'IA, cette norme est presque toujours celle de la Loi 25. C'est l'une des raisons pour lesquelles les outils de conformité à la LPRPDE conçus uniquement pour les exigences fédérales ont tendance à être insuffisants pour les activités au Québec.

Transferts transfrontaliers, CLOUD Act et résidence des données

L'article 17 de la Loi 25 restreint les transferts de renseignements personnels à l'extérieur du Québec, à moins qu'un niveau de protection adéquat n'existe, évalué au moyen d'une analyse d'impact relative au transfert. La loi n'impose pas le stockage en province, mais les dispositions relatives aux transferts transfrontaliers créent des avantages concrets à conserver les renseignements personnels au Canada.

Plusieurs services d'IA populaires traitent les données par l'entremise d'une infrastructure ou d'entités corporatives basées aux États-Unis, ce qui crée des obligations supplémentaires de divulgation et de consentement. Le CLOUD Act américain ajoute un problème plus difficile à résoudre : les fournisseurs basés aux États-Unis peuvent être contraints de divulguer des données aux autorités américaines, peu importe l'endroit où elles sont stockées, ce qui se concilie difficilement avec la norme de protection équivalente de l'article 17. Les garanties contractuelles seules pourraient ne pas suffire à protéger contre les pouvoirs de surveillance de gouvernements étrangers.

Pour les petites équipes, il s'agit aussi d'un problème opérationnel. Les flux de données changent constamment au gré des mises à jour logicielles, des acquisitions et des changements d'infrastructure qui modifient l'endroit où les informations sont traitées. Évaluer manuellement les pratiques de données de chaque fournisseur par rapport aux normes d'adéquation n'est pas viable à grande échelle.

Les choix d'infrastructure ont une incidence directe sur les obligations en vertu de l'article 17. Les systèmes d'IA dont le traitement des données se fait aux États-Unis exigent des mécanismes de consentement étendus et des divulgations de transfert transfrontalier que la souveraineté canadienne des données élimine complètement du portrait.

Les entreprises reconnaissent de plus en plus qu'une infrastructure d'IA souveraine simplifie la conformité en éliminant l'analyse des transferts transfrontaliers et l'exposition à des lois étrangères. L'approche d'Augure reflète directement cette réalité : une résidence des données 100 % canadienne, sans structures corporatives américaines susceptibles de déclencher une exposition au CLOUD Act. Pour les équipes qui comparent leurs options, notre analyse des outils d'IA conformes à la Loi 25 du Québec présente ce qu'il faut vérifier avant de signer un contrat.

Comment évaluer les outils de conformité à la Loi 25

La plupart des outils de conformité conçus pour les marchés américain ou européen passent complètement à côté des exigences propres au Québec. Ils n'offrent pas de capacités de documentation bilingue, ne reflètent pas les orientations d'interprétation de la CAI, et stockent souvent les données dans des juridictions qui compliquent les transferts prévus à l'article 17. Voici plutôt ce qu'il faut rechercher.

Cartographie et inventaire des données

Une conformité efficace commence par la connaissance précise des renseignements personnels que vous recueillez, traitez et stockez. Votre outil devrait pouvoir découvrir et classer les renseignements personnels dans l'ensemble de vos systèmes, cartographier les flux de données, repérer les sous-traitants tiers, et tenir des inventaires à jour qui satisfont aux exigences d'audit de la CAI. Il devrait aussi distinguer les renseignements personnels de base des renseignements personnels sensibles : les données de santé, les identifiants biométriques et les données de localisation bénéficient de protections rehaussées.

Gestion du consentement

Les exigences de consentement de la Loi 25 sont plus granulaires que celles de la LPRPDE. Recherchez des outils qui génèrent des formulaires de consentement conformes en français et en anglais, qui suivent les registres de consentement pour les audits de la CAI, qui gèrent le consentement spécifique à chaque finalité, et qui traitent les demandes de retrait dans les délais requis.

Le consentement en vertu de la Loi 25 est une relation continue, pas une simple case à cocher une seule fois. Il exige une documentation adéquate, des mécanismes de retrait faciles d'accès, et le respect des exigences précises de validité du consentement propres au Québec, qui dépassent les normes de la LPRPDE.

Flux de notification des atteintes

Votre plateforme devrait offrir une évaluation automatisée des atteintes alignée sur les orientations de la CAI, des modèles de notification pour la CAI et pour les personnes concernées, des échéanciers intégrés en fonction des délais prévus par la loi, et un registre des atteintes aux fins d'audit.

Modèles d'évaluation des facteurs relatifs à la vie privée

Choisissez des outils offrant des modèles d'EFVP propres au Québec qui suivent les orientations de la CAI, et non des formulaires génériques d'analyse d'impact relative à la protection des données inspirés du RGPD. Les modèles devraient couvrir l'évaluation des risques, les stratégies d'atténuation, et la documentation attendue par la CAI lors des examens. Les meilleures mises en œuvre déclenchent automatiquement le processus d'EFVP lorsque votre équipe évalue un nouveau logiciel ou lance un nouveau service.

Critères de sélection qui distinguent les meilleurs outils

Résidence et souveraineté des données. Les plateformes de conformité de propriété américaine créent une complexité inutile en vertu de l'article 17 : leurs conditions permettent généralement un accès du gouvernement américain en vertu du CLOUD Act, et leurs procédures en cas d'atteinte accordent la priorité aux exigences réglementaires américaines plutôt qu'à la déclaration à la CAI. Des suites d'entre