Conformité à la Loi 25 et IA : le guide complet 2026
Le guide complet de la conformité à la Loi 25 pour l'IA : transparence, consentement, sanctions jusqu'à 4 % du chiffre d'affaires, choix d'outils et priorités pour les petites équipes.
La Loi 25 a changé en profondeur la façon dont les entreprises québécoises doivent aborder les systèmes d'IA et le traitement des renseignements personnels. En vertu des articles 12.1 et 14, toute organisation qui utilise l'IA pour la prise de décision automatisée doit faire preuve d'une transparence explicite sur la logique du système et obtenir un consentement manifeste, libre et éclairé. Les sanctions administratives pécuniaires peuvent atteindre 4 % du chiffre d'affaires mondial ou 25 millions de dollars canadiens : la conformité est devenue un enjeu de conseil d'administration.
Ce guide rassemble tout ce que les organisations québécoises doivent savoir en 2026 : les exigences de la loi, l'approche d'application de la Commission d'accès à l'information (CAI), les critères pour choisir vos outils de conformité et — si vous n'avez pas d'équipe dédiée à la protection des renseignements personnels — les priorités par lesquelles commencer.
Ce que la Loi 25 exige : les quatre piliers
La Loi 25 a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé autour de quatre grands blocs d'obligations. Chacun engendre du travail de conformité concret, avec ou sans IA.
Consentement et transparence. Les organisations doivent obtenir un consentement clair et éclairé pour la collecte, publier des politiques de confidentialité en langage simple et respecter des normes rehaussées pour les catégories sensibles, comme les données biométriques et les renseignements de santé. L'article 14 exige que le consentement au traitement par IA soit « manifeste, libre et éclairé ».
Minimisation et limitation des finalités. La collecte se limite aux renseignements nécessaires aux fins déterminées, et l'utilisation aux fins initialement déclarées. C'est un enjeu direct pour les systèmes d'IA, qui réclament souvent de larges ensembles de données. Réutiliser des renseignements personnels pour un nouveau cas d'usage d'IA exige en règle générale un nouveau consentement.
Droits des personnes. Les Québécois peuvent demander l'accès, la rectification et la suppression de leurs renseignements, et la Loi 25 introduit la portabilité : l'organisation doit pouvoir fournir les renseignements dans un format structuré et couramment utilisé. En vertu de l'article 27, une personne peut aussi exiger des explications sur une décision automatisée et la contester.
Notification des incidents. Les incidents de confidentialité présentant un risque de préjudice sérieux doivent être déclarés à la CAI et communiqués aux personnes concernées avec diligence — la plupart des équipes de conformité se donnent un délai interne de 72 heures. Un registre des incidents doit être tenu à des fins de vérification.
La conformité à la Loi 25 ne se résume pas à éviter des sanctions : il s'agit de bâtir des opérations qui placent la protection des renseignements personnels au premier plan, tout en respectant les obligations concurrentes de la LPRPDE.
Les dispositions de la Loi 25 propres à l'IA
Au-delà du cadre général, trois dispositions encadrent directement le déploiement et l'exploitation de systèmes d'IA.
Article 12.1 — transparence des décisions automatisées. L'organisation doit informer la personne lorsqu'une décision est fondée exclusivement sur un traitement automatisé, y compris un système d'IA. Il ne s'agit pas d'un avis générique : il faut expliquer la logique du système et les conséquences possibles pour la personne. L'exigence vise toute décision automatisée qui « produit des effets juridiques la concernant ou l'affecte autrement de façon significative » : algorithmes d'embauche, modèles de cotation de crédit, systèmes de souscription d'assurance, ou agents conversationnels qui prennent des décisions sur un compte.
Article 14 — consentement manifeste, libre et éclairé. La personne doit comprendre non seulement que vous utilisez l'IA, mais comment ses renseignements personnels seront traités dans ces systèmes. Un avis de confidentialité générique ne suffit pas.
Article 3.3 — évaluation des facteurs relatifs à la vie privée (ÉFVP). L'ÉFVP est obligatoire pour tout traitement présentant un « risque élevé pour la protection des renseignements personnels ». Les systèmes de décision automatisée y sont généralement assujettis, surtout lorsqu'ils traitent des données sensibles ou prennent des décisions importantes.
En vertu de l'article 12.1 de la Loi 25, l'organisation doit fournir une information significative sur la logique décisionnelle de l'IA et ses conséquences — les avis de confidentialité génériques ne satisfont pas aux exigences québécoises de transparence pour les traitements automatisés.
Des scénarios de conformité concrets
Prenez un assureur montréalais qui utilise l'IA pour évaluer les réclamations. En vertu des articles 12.1 et 14, il doit informer les réclamants que l'IA participe à l'évaluation, expliquer comment le système analyse les données de réclamation et obtenir un consentement explicite pour ce traitement.
Un détaillant québécois qui exploite un moteur de recommandations alimenté par l'IA a des obligations semblables : si l'IA traite l'historique d'achats pour produire des suggestions pouvant être considérées comme des « décisions », les exigences de transparence de l'article 12.1 s'appliquent.
Les institutions financières composent avec une couche de plus. Une caisse de Québec qui utilise l'IA pour approuver des prêts doit satisfaire aux exigences de transparence de la Loi 25 tout en respectant la réglementation bancaire fédérale et le principe 4.8 de la LPRPDE sur les droits d'accès.
La distinction fondamentale : la Loi 25 n'exige pas seulement des avis de confidentialité, elle exige une transparence fonctionnelle sur les processus décisionnels de l'IA.
Sanctions et application par la CAI
La CAI dispose de pouvoirs d'application considérables sous le régime de sanctions des articles 89 à 93.
Les sanctions administratives pécuniaires pour les entreprises varient de 15 000 $ à 25 000 000 $ CA, ou jusqu'à 4 % du chiffre d'affaires mondial — le montant le plus élevé prévaut. Pour les individus au sein des organisations, les sanctions varient de 1 000 $ à 10 000 $ CA par manquement. La responsabilité personnelle peut atteindre les dirigeants et les employés qui participent à des pratiques non conformes ou les autorisent.
La CAI peut aussi émettre des ordonnances de conformité imposant des mesures correctives précises et des ordonnances de publication exigeant la divulgation publique des manquements — des sanctions dont l'impact réputationnel dépasse souvent celui des amendes. Pour fixer les montants, la CAI considère le chiffre d'affaires, le nombre de personnes touchées, la sensibilité des renseignements compromis, la durée du manquement, les mesures d'atténuation et les antécédents de conformité.
L'approche d'application de la CAI cible les défaillances systémiques plutôt que les incidents isolés — les organisations dont la gouvernance de l'IA est déficiente s'exposent à une escalade, des ordonnances de conformité jusqu'aux sanctions pécuniaires maximales.
Les orientations récentes de la CAI indiquent une attention particulière aux organisations qui déploient des systèmes d'IA sans ÉFVP conforme à l'article 3.3 ou sans consentement adéquat pour la décision automatisée au sens de l'article 14. L'IA en santé, les algorithmes des services financiers et les technologies RH sont sous la loupe.
L'articulation entre la Loi 25 et la LPRPDE
Les entreprises québécoises doivent composer à la fois avec la Loi 25 et la loi fédérale, et plusieurs relèvent des deux cadres en même temps. La LPRPDE s'applique aux organisations de compétence fédérale et au commerce interprovincial, tandis que la Loi 25 couvre le secteur privé québécois.
Le Commissariat à la protection de la vie privée du Canada a publié des orientations sur l'IA et la décision automatisée sous les principes de responsabilité (4.1.3) et d'accès individuel (4.8) de la LPRPDE. Les exigences de l'article 12.1 de la Loi 25 demeurent toutefois plus prescriptives et plus strictes.
Concrètement, cela signifie :
- mener des ÉFVP qui satisfont à la fois au principe de responsabilité de la LPRPDE et à l'article 3.3 de la Loi 25;
- mettre en place des mécanismes de consentement conformes à la norme « manifeste, libre et éclairé » de l'article 14;
- tenir une documentation qui démontre la conformité aux deux cadres.
Lorsque les exigences diffèrent, l'organisation doit appliquer la norme la plus élevée — et pour le traitement par IA, c'est presque toujours celle de la Loi 25.
Transferts hors Québec, CLOUD Act et résidence des données
L'article 17 de la Loi 25 encadre la communication de renseignements personnels à l'extérieur du Québec : elle doit faire l'objet d'une évaluation démontrant une protection adéquate. La loi n'impose pas l'hébergement en sol québécois, mais ses dispositions sur les transferts créent un avantage pratique évident à garder les renseignements au Canada.
Bon nombre de services d'IA populaires traitent les données via des infrastructures ou des entités américaines, ce qui entraîne des obligations de divulgation et de consentement supplémentaires. Le CLOUD Act américain pose un problème plus coriace encore : un fournisseur américain peut être contraint de remettre des données aux autorités américaines peu importe où elles sont hébergées — difficile à concilier avec la norme de protection équivalente de l'article 17. Les clauses contractuelles, à elles seules, ne protègent pas contre les pouvoirs de surveillance d'un gouvernement étranger.
Pour une petite équipe, c'est aussi un problème opérationnel. Les flux de données changent constamment — mises à jour logicielles, acquisitions, changements d'infrastructure — et évaluer manuellement chaque fournisseur selon les normes d'adéquation ne tient pas la route.
Les choix d'infrastructure déterminent directement les obligations de conformité sous l'article 17 de la Loi 25 — les systèmes d'IA dont le traitement passe par les États-Unis exigent des mécanismes de consentement et des divulgations de transfert que l'infrastructure souveraine canadienne élimine entièrement.
De plus en plus d'entreprises constatent que l'infrastructure d'IA souveraine simplifie la conformité en retirant de l'équation l'analyse des transferts transfrontaliers et l'exposition juridique étrangère. C'est l'approche d'Augure : une résidence des données 100 % canadienne, sans structure corporative américaine susceptible de déclencher le CLOUD Act.
Comment évaluer les outils de conformité à la Loi 25
La plupart des outils de conformité conçus pour les marchés américain ou européen ratent complètement les exigences québécoises : pas de documentation bilingue conforme, aucune prise en compte des orientations de la CAI, et des données hébergées dans des juridictions qui compliquent l'article 17. Voici ce qu'il faut chercher.
Cartographie et inventaire des données
Une conformité efficace commence par savoir quels renseignements personnels vous collectez, traitez et conservez. L'outil doit découvrir et classifier les renseignements dans l'ensemble de vos systèmes, cartographier les flux, identifier les sous-traitants et tenir des inventaires à jour qui résistent à une vérification de la CAI. Il doit distinguer les renseignements personnels ordinaires des renseignements sensibles — données de santé, identifiants biométriques, localisation — qui bénéficient de protections rehaussées.
Gestion des consentements
Les exigences de consentement de la Loi 25 sont plus granulaires que celles de la LPRPDE. Recherchez des outils qui génèrent des formulaires conformes en français et en anglais, consignent les consentements pour les vérifications de la CAI, gèrent le consentement par finalité et traitent les retraits dans les délais requis.
Sous la Loi 25, le consentement n'est pas une case à cocher une fois pour toutes : c'est une relation continue qui exige une documentation rigoureuse, des mécanismes de retrait simples et le respect de normes de validité propres au Québec, plus exigeantes que la LPRPDE.
Flux de travail de notification d'incidents
Votre plateforme doit offrir une évaluation automatisée des incidents alignée sur les orientations de la CAI, des gabarits de notification pour la CAI et pour les personnes concernées, des échéanciers intégrés arrimés aux délais légaux et un registre des incidents.
Gabarits d'ÉFVP
Choisissez des outils dotés de gabarits d'ÉFVP propres au Québec, qui suivent les orientations de la CAI — pas des formulaires génériques d'AIPD calqués sur le RGPD. Les meilleurs déclenchent l'ÉFVP automatiquement lorsque votre équipe évalue un nouveau logiciel ou lance un nouveau service.
Les critères qui départagent les candidats
Résidence et souveraineté des données. Les plateformes de conformité de propriété américaine ajoutent une complexité inutile à l'article 17 : leurs conditions d'utilisation permettent l'accès du gouvernement américain via le CLOUD Act et leurs procédures d'incident priorisent les exigences réglementaires américaines plutôt que la déclaration à la CAI. Les suites d'entreprise comme OneTrust et TrustArc offrent des modules Loi 25, mais traitent le droit québécois comme un ajout à un noyau RGPD, et leurs licences démarrent souvent autour de 30 000 $ par année — hors de portée des petites organisations québécoises qui portent pourtant les mêmes obligations. Les plateformes sous contrôle canadien règlent le problème juridictionnel à l'architecture même.
Capacité bilingue et contexte québécois. Les politiques de confidentialité doivent être offertes en français, les formulaires de consentement rédigés dans une langue adaptée au Québec et les notifications conformes aux attentes de la CAI. La plupart des plateformes internationales traitent cela comme un simple exercice de traduction; privilégiez une capacité française native avec le contexte juridique québécois intégré.
Intégration et portabilité. L'outil doit se connecter à votre parc logiciel par API, découvrir automatiquement les données dans vos systèmes de stockage et permettre l'exportation propre de la documentation — un outil qui verrouille vos dossiers dans un format propriétaire crée un risque à long terme à mesure que les orientations de la CAI évoluent.
Se conformer sans grande équipe de protection des renseignements personnels
Les petites organisations québécoises portent les mêmes obligations que les grandes entreprises, sans leur personnel de conformité. La solution n'est pas d'embaucher : c'est de choisir des outils qui automatisent les décisions de conformité au lieu de simplement les documenter.
La plupart des outils se présentent comme des « plateformes de conformité », mais fonctionnent comme des chiffriers coûteux : ils consignent ce qui s'est passé après coup. Les sanctions s'appliquent par manquement — un outil de suivi qui documente vos défaillances de gestion des consentements n'empêche aucune des violations qui les déclenchent. Pour une équipe de deux à cinq personnes, il faut des outils qui préviennent les écarts avant qu'ils surviennent.
Un scénario courant : votre équipe marketing veut relancer par courriel des prospects qui ont téléchargé un livre blanc il y a six mois. Un outil de suivi vous montre que vous détenez leurs adresses, sans vérifier l'état du consentement au sens de l'article 14. Un outil d'automatisation bloque l'envoi tant qu'un consentement valide n'est pas confirmé.
Une feuille de route par étapes pour les petites équipes :
- Automatisation du noyau de conformité. Commencez par la gestion automatisée des consentements et la réponse aux incidents : ce sont les risques de sanction les plus lourds et les tâches manuelles les plus gourmandes. Vérification du consentement en temps réel avant traitement, expiration automatique, évaluation des incidents avec suivi des délais légaux.
- Intégration opérationnelle. Ajoutez des flux d'ÉFVP automatisés et une gestion des fournisseurs branchée sur vos processus existants — questionnaires normalisés pour les sous-traitants, bibliothèques de clauses pour les ententes de traitement, rappels de renouvellement.
- Surveillance avancée. Déployez la surveillance continue des flux de données et les contrôles de transfert hors Québec de l'article 17 une fois la base stabilisée.
Les résultats se mesurent. Une agence de marketing montréalaise a fait passer sa charge de conformité de 15 heures à 2 heures par semaine grâce à la vérification automatisée des consentements — sa plateforme courriel bloque désormais toute campagne visant des contacts sans consentement actuel et spécifique. Une entreprise logicielle de Québec a réduit la durée de ses ÉFVP de 3 jours à 4 heures avec des flux automatisés et des critères d'évaluation constants. Ni l'une ni l'autre n'a embauché de personnel supplémentaire.
La Loi 25 exige la désignation d'un responsable de la protection des renseignements personnels, mais une petite organisation peut confier ce rôle à du personnel en place — à condition d'automatiser les tâches courantes pour que ces personnes se consacrent aux décisions stratégiques que la loi exige réellement d'un humain.
Considérations sectorielles
Chaque secteur superpose ses propres défis au cadre général de la Loi 25.
Les services juridiques doivent concilier la Loi 25 et les obligations de confidentialité professionnelle du Code des professions. Le Barreau du Québec publie des orientations spécifiques pour les cabinets, notamment sur les renseignements des clients et les transferts hors Québec.
Les organisations de la santé naviguent des régimes qui se chevauchent, dont la Loi 25 et la législation québécoise sur les services de santé. Les systèmes d'IA qui traitent des données de santé exigent des mesures rehaussées pour les renseignements sensibles et des mécanismes de consentement explicites.
Les services financiers ajoutent la réglementation bancaire fédérale. Les obligations de lutte contre le blanchiment créent une tension avec la minimisation des données, et les décisions de crédit pilotées par l'IA tombent en plein dans les exigences de transparence de l'article 12.1.
Les fournisseurs de l'État doivent satisfaire à la fois la Loi 25 et les normes du secteur public, qui comportent souvent des exigences de résidence des données et des contrôles de sécurité plus stricts que les minimums du privé.
Une feuille de route de mise en œuvre
Intégrer la conformité à la Loi 25 aux opérations d'IA exige un travail systématique sur les plans juridique, technique et opérationnel.
- Commencez par une ÉFVP au sens de l'article 3.3 qui traite spécifiquement des processus décisionnels de l'IA.
- Mettez en place des mécanismes de consentement conformes à l'article 14, avec des divulgations précises sur la logique et les conséquences, comme l'exige l'article 12.1.
- Établissez des procédures pour les droits des personnes : en vertu de l'article 27, une personne peut exiger l'explication d'une décision automatisée et la contester.
- Documentez votre gouvernance de l'IA. L'approche de la CAI mise sur la responsabilité : les organisations capables de démontrer des efforts proactifs s'en tirent mieux.
- Formez l'équipe sur la Loi 25 précisément — gestion des consentements, réponse aux incidents, droits des personnes — pas sur des généralités en protection de la vie privée.
- Vérifiez trimestriellement. Examinez les retraits de consentement, les délais de réponse aux incidents et les traitements qui pourraient exiger une ÉFVP à jour. La CAI a annoncé davantage de vérifications, en particulier pour les organisations ayant connu des incidents ou des plaintes.
La conformité proactive aux articles 12.1, 14 et 3.3 de la Loi 25 démontre la bonne foi auprès de la CAI — les organisations qui attendent une mesure d'application s'exposent à des sanctions pouvant atteindre 4 % du chiffre d'affaires mondial et à des exigences correctives plus contraignantes.
L'environnement réglementaire continue d'évoluer au rythme des orientations de la CAI, mais les fondamentaux sont stables : transparence sur les décisions automatisées, consentement explicite, ÉFVP obligatoires et encadrement rigoureux des transferts hors Québec. Les organisations qui intègrent la conformité à même leur infrastructure d'IA — plutôt que de la rajouter après coup — transforment la Loi 25 d'un risque en avantage concurrentiel durable.
Pour les entreprises sérieuses en matière de conformité québécoise, la voie à suivre passe par une infrastructure d'IA qui soutient les obligations réglementaires au lieu de les compliquer. Augure offre des capacités d'IA conçues pour les organisations canadiennes réglementées, avec une résidence des données 100 % canadienne qui élimine entièrement l'analyse des transferts hors Québec et l'exposition au CLOUD Act. Apprenez-en plus à augureai.ca.
À propos d'Augure
Augure est une plateforme d'IA souveraine pour les organisations canadiennes réglementées. Clavardage, base de connaissances et outils de conformité — le tout sur une infrastructure canadienne.
