Liste de vérification de conformité à la Loi 25 pour les outils d'IA en 2026

La conformité à la Loi 25 pour les outils d'IA exige une attention particulière à la résidence des données, aux mécanismes de consentement, aux évaluations des facteurs relatifs à la vie privée et à la diligence raisonnable des fournisseurs. Les organisations qui utilisent des outils d'IA Québec pour traiter les renseignements personnels des résidents doivent respecter des exigences de confidentialité rehaussées en vertu de la loi québécoise sur la protection de la vie privée dans le secteur privé, avec des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial des entreprises.

Cette liste de vérification reflète les orientations actuelles de la Commission d'accès à l'information (CAI) du Québec, le véritable organisme de réglementation de la vie privée dans la province, et présente ce que les équipes de conformité devraient vérifier avant de déployer des outils d'IA en 2026.

Résidence des données : où votre IA traite-t-elle réellement les données?

La Loi 25 établit des exigences pour les renseignements personnels transférés à l'extérieur du Québec. Les outils d'IA hébergés sur une infrastructure étrangère doivent faire l'objet d'une évaluation de la protection adéquate avant que ces données ne quittent la province, et les organisations doivent documenter cette évaluation.

La CAI a indiqué que l'entraînement des modèles d'IA, le traitement par inférence et les fonctions de mémoire persistante constituent tous du « traitement » de renseignements personnels. Les organisations ne peuvent pas se fier uniquement au libellé contractuel lorsqu'elles utilisent des outils d'IA hébergés dans des juridictions ayant de vastes pouvoirs de surveillance gouvernementale, notamment en vertu du CLOUD Act américain, qui permet aux autorités américaines d'exiger la divulgation de données détenues par des entreprises américaines, peu importe où elles sont stockées.

« Les exigences de la Loi 25 en matière de transfert transfrontalier s'appliquent aux activités de traitement par IA, y compris l'inférence des modèles, les données d'entraînement et les historiques de conversation. Les organisations doivent vérifier où leur fournisseur d'IA traite les données des résidents québécois et évaluer si les protections en vigueur dans cette juridiction sont équivalentes. »

Les principales exigences de conformité comprennent :

• Documenter l'emplacement géographique de toutes les activités de traitement par IA
• Évaluer le caractère adéquat des protections de la vie privée dans la juridiction de destination avant le transfert
• Mettre en place des mesures de protection contractuelles pour les transferts vers des juridictions sans protection équivalente
• Appliquer des mesures de protection supplémentaires lorsque des renseignements personnels sensibles sont en cause

Des plateformes comme Augure, qui maintiennent une résidence des données 100 % canadienne sans exposition corporative américaine, aident les organisations québécoises à éviter complètement les évaluations complexes de l'incidence des transferts. Pour un survol plus large des plateformes conçues autour de cette contrainte, consultez notre analyse des outils d'IA conformes à la Loi 25 du Québec.

Consentement et transparence : la précision plutôt que les formules standards

La Loi 25 exige un consentement clair et précis pour tout traitement qui dépasse la fin de collecte initiale. Les politiques de confidentialité génériques ne satisfont pas à cette norme lorsque des outils d'IA analysent des renseignements personnels à de nouvelles fins.

Les organisations devraient fournir des renseignements précis sur les activités de traitement par IA, notamment :

• La nature et la finalité de l'analyse par IA
• Les catégories de renseignements personnels traités
• L'identité des fournisseurs de services d'IA
• Les périodes de conservation des données pour l'entraînement et l'inférence

« L'IA pour la productivité » ne constitue pas une description de finalité suffisante. Les organisations doivent expliquer des fonctionnalités précises, comme l'analyse de documents, la reconnaissance de tendances ou la prise de décisions automatisées, dans un langage qu'une personne raisonnable peut comprendre.

« Le consentement pour le traitement par IA doit être précis quant à la fonctionnalité d'IA en cause. Un consentement général pour « l'amélioration des services » ne couvre pas l'analyse de documents, la prise de décisions automatisées ou l'analyse prédictive qui dépassent la fin de collecte initiale. »

Pour les outils d'IA dotés de capacités d'apprentissage, indiquez si les renseignements personnels contribuent à l'entraînement des modèles ou à des bases de connaissances partagées. Cela comprend les clavardages avec mémoire persistante, les outils d'analyse de documents et les plateformes d'IA collaboratives. Notre guide sur les plateformes de gouvernance de l'IA pour la conformité à la Loi 25 présente les structures de gouvernance qui appuient ce type de divulgation à grande échelle.

Évaluations des facteurs relatifs à la vie privée

La Loi 25 exige des évaluations des facteurs relatifs à la vie privée pour les projets d'acquisition, de développement ou de refonte importante de systèmes d'information qui traitent des renseignements personnels, ainsi que pour les transferts transfrontaliers. La plupart des déploiements substantiels d'IA atteignent ce seuil, en particulier ceux qui comportent :

• Une prise de décision automatisée touchant des individus
• L'analyse de renseignements personnels sensibles
• Le profilage ou l'analyse comportementale
• Le traitement de données transfrontalier

Votre évaluation devrait aborder les risques propres à l'IA :

• L'entraînement des modèles sur des renseignements personnels
• L'exactitude de l'inférence et le potentiel de biais
• La conformité en matière de minimisation des données
• La sécurité des renseignements générés par l'IA

Documentez le flux de données de votre outil d'IA, de l'entrée au traitement jusqu'à la sortie, y compris les sources des données d'entraînement, la fréquence des mises à jour des modèles et les périodes de conservation des invites et des réponses. Si vous devez construire cette documentation à partir de zéro, l'approche de notre équipe pour la « documentation d'EFVP » comme outil de collaboration constitue un modèle de départ utile. Démontrer la nécessité et la proportionnalité est essentiel ici — des avantages génériques en matière de productivité ne justifient pas un traitement étendu de renseignements personnels par des outils d'IA.

Diligence raisonnable des fournisseurs : deux mots, une seule obligation — vérifier

Les organisations québécoises demeurent responsables de la conformité de leurs fournisseurs de services d'IA. La diligence raisonnable dépasse les clauses contractuelles pour s'étendre aux pratiques de traitement réelles et aux contrôles d'infrastructure.

Les éléments essentiels de la diligence raisonnable comprennent :

• La vérification des emplacements de traitement des données
• L'évaluation de la maturité de la gouvernance de la vie privée du fournisseur
• L'examen des contrôles de sécurité et des procédures de réponse aux incidents
• L'évaluation de la mise en œuvre concrète des droits des personnes concernées (accès, correction, suppression)

Posez des questions directes à votre fournisseur d'IA. Où se trouvent les serveurs? Qui a un accès administratif? Comment les données sont-elles chiffrées en transit et au repos? Pour un survol plus approfondi de ce que les régulateurs attendent des fournisseurs d'IA en particulier, consultez les exigences du CPCSC pour les outils d'IA — notez que, malgré la similitude des noms, il s'agit d'exigences de certification en cybersécurité distinctes du mandat de protection de la vie privée de la CAI, et les deux peuvent s'appliquer au même fournisseur.

« Les organisations demeurent responsables de la conformité de leurs fournisseurs de services d'IA en vertu de la Loi 25. La diligence raisonnable exige de vérifier les pratiques de traitement réelles, et non seulement d'examiner les politiques de confidentialité des fournisseurs, en particulier pour les transferts transfrontaliers. »

Portez une attention particulière aux fournisseurs d'IA dont la société mère ou les investisseurs sont américains. Le CLOUD Act crée des obligations de divulgation qui peuvent entrer en tension avec les normes de transfert de la Loi 25, exigeant souvent des mesures de protection supplémentaires ou une évaluation documentée du caractère adéquat.

Minimisation des données et limitation de la finalité

La Loi 25 exige que le traitement des renseignements personnels se limite à ce qui est nécessaire à la fin déclarée. Les outils d'IA encouragent souvent une saisie étendue de données qui dépasse ce qui est réellement nécessaire.

Appliquez les principes de minimisation des données dans la pratique :

• Limiter le traitement par IA aux renseignements personnels nécessaires
• Configurer les outils pour exclure les détails personnels superflus
• Réviser régulièrement la conservation des données dans les systèmes d'IA
• Segmenter le traitement par IA selon le niveau de sensibilité

Beaucoup d'outils d'IA de productivité acceptent des téléversements illimités de documents ou conservent l'historique complet des conversations par défaut. Évaluez si cette collecte étendue sert une finalité commerciale précise et documentée. Les gains d'efficacité liés à l'IA à eux seuls ne justifient pas la collecte de renseignements personnels supplémentaires — les organisations doivent démontrer que le traitement élargi par IA sert la finalité de collecte initiale ou qu'un nouveau consentement a été obtenu.

Formation des employés et gouvernance

La Loi 25 s'attend à ce que les organisations veillent à ce que le personnel comprenne ses obligations en matière de protection de la vie privée lors de l'utilisation d'outils d'IA. Cela concerne à la fois les professionnels de la confidentialité et les utilisateurs finaux qui interagissent quotidiennement avec des systèmes d'IA traitant des renseignements personnels.

La formation devrait couvrir :

• La détection des renseignements personnels dans les intrants d'IA
• La compréhension des cas où le consentement est requis pour le traitement par IA
• La reconnaissance des cas où une évaluation des facteurs relatifs à la vie privée est nécessaire
• Le signalement rapide des incidents de confidentialité liés à l'IA

Établissez une gouvernance autour de l'approvisionnement et du déploiement des outils d'IA. Exigez un examen de la protection de la vie privée avant la mise en œuvre de nouvelles capacités d'IA, en particulier celles qui traitent les renseignements personnels de résidents québécois. Conservez un registre de votre processus décisionnel pour la sélection des outils d'IA, y compris les considérations de confidentialité prises en compte — les régulateurs s'attendent à voir une protection systématique, et non des efforts de conformité improvisés après coup.

Réponse aux incidents et notification des atteintes

Les outils d'IA créent des défis distincts en matière de réponse aux incidents. Les atteintes peuvent impliquer l'exposition de données d'entraînement, des attaques par inversion de modèle ou un accès non autorisé à des renseignements générés par l'IA contenant des renseignements personnels.

Votre plan de réponse aux incidents devrait couvrir :

• La détection des incidents de confidentialité liés à l'IA
• L'évaluation de l'exposition des renseignements personnels par les systèmes d'IA
• Les obligations de notification lorsqu'un fournisseur de services d'IA subit une atteinte
• Les mesures de remédiation pour les systèmes d'IA compromis

Documentez les scénarios d'incidents propres à l'IA dans vos procédures de réponse, y compris les coordonnées des équipes de sécurité de vos fournisseurs d'IA et les voies d'escalade pour les incidents transfrontaliers. La Loi 25 exige de notifier la CAI et les personnes concernées en cas d'atteinte présentant un risque de préjudice sérieux, et les organisations devraient traiter cette exigence avec un échéancier serré plutôt qu'ouvert. Pour un survol pratique des obligations de notification dans les différents régimes canadiens, consultez les exigences de notification des atteintes à la vie privée liées à l'IA au Canada.

Pour conclure

La conformité à la Loi 25 pour les outils d'IA exige une attention systématique à la résidence des données, aux mécanismes de consentement et à la surveillance des fournisseurs. Les organisations qui traitent les renseignements personnels de résidents québécois par l'intermédiaire de l'IA doivent démontrer une protection adéquate tout au long du cycle de vie du traitement — de la collecte à la conservation jusqu'à la suppression éventuelle.

Commencez par un inventaire complet de vos outils d'IA actuels et de leurs pratiques de traitement des données. Priorisez vos efforts de conformité en fonction de la sensibilité des renseignements personnels en cause et de l'ampleur de l'activité de traitement par IA. Pour des orientations officielles, la CAI publie des bulletins d'interprétation et des orientations organisationnelles à jour directement sur cai.gouv.qc.ca, qui devrait être votre première référence avant tout résumé provenant d'un tiers, y compris celui-ci.

La plateforme d'IA d'Augure, hébergée au Canada, aide les organisations à respecter les exigences de la Loi 25 en éliminant les préoccupations liées aux transferts transfrontaliers et en offrant une gouvernance transparente des données pour la conformité au Québec. Découvrez notre page produit pour en savoir plus sur la façon dont l'architecture d'Augure répond à ces exigences, ou parcourez d'autres ressources sur la conformité sur notre blogue.