Comment la Loi 25 s'applique à l'intelligence artificielle au Québec
La Loi 25 ne mentionne pas l'IA nommément, mais les règles sur la décision automatisée, le consentement et le transfert transfrontalier s'appliquent directement. Voici ce qui change.
La Loi 25 du Québec ne mentionne « l'intelligence artificielle » nulle part dans son texte. C'est la première chose à comprendre, et la source de la plupart des confusions. Ce qu'elle encadre — la décision automatisée, le profilage, le consentement pour le traitement des renseignements personnels et les transferts transfrontaliers de données — couvre pratiquement tout déploiement d'IA concret qu'une organisation québécoise est susceptible d'exploiter. Si votre cabinet d'avocats, votre clinique ou votre PME alimente un outil d'IA avec des données de clients, la Loi 25 s'applique déjà. La question n'est pas de savoir si la loi rejoint votre cas d'usage. C'est de savoir si l'architecture de votre fournisseur d'IA vous permet de vous conformer — c'est exactement là où la plupart des solutions d'IA construites aux États-Unis font défaut.
L'article 12.1 : la disposition sur la décision automatisée qui encadre réellement l'IA
L'article 12.1, en vigueur depuis septembre 2023, est la clause centrale. Elle exige que toute organisation utilisant des renseignements personnels pour rendre une décision « fondée exclusivement sur un traitement automatisé de ces renseignements » informe la personne concernée de ce fait — et, sur demande, explique les facteurs et paramètres ayant menés à la décision.
Cela s'applique que vous utilisiez l'IA pour trier des réclamations d'assurance, présélectionner des candidatures d'emploi ou signaler des clauses contractuelles à réviser. Un cabinet d'avocats qui utilise l'IA pour rejeter automatiquement des conditions d'entente de confidentialité sans révision humaine se trouve carrément dans le champ d'application de l'article 12.1.
L'article 12.1 de la Loi 25 n'interdit pas la décision automatisée. Il interdit la décision automatisée sans transparence, et il place le fardeau de l'explication sur l'organisation, pas sur la personne concernée.
L'exigence pratique : vous devez être capable d'expliquer, en langage clair, quelles données ont mené à une décision et comment elles ont été pondérées. Les outils d'IA « boîte noire » incapables de fournir cette explication créent une exposition directe en matière de conformité, sous les pouvoirs d'application de la CAI — pas de façon hypothétique, mais dès la première fois qu'un client dépose une demande d'accès en vertu de l'article 12.1.
Le consentement encadre toujours le pipeline d'entraînement et d'inférence
Indépendamment de l'article 12.1, la Loi 25 a resserré les exigences de consentement sur tous les plans. Les articles 8 et 9 exigent que le consentement soit demandé en langage clair et précis, distinct de toute autre information fournie à la personne — des exigences qui précèdent les dispositions sur l'IA, mais qui s'y appliquent directement.
Si des renseignements personnels se retrouvent dans une invite, une base de connaissances ou un jeu de données de réglage fin, il vous faut une base légale pour ce traitement. « Le client a signé une lettre de mandat générale en 2019 » n'en est plus une.
- Le consentement doit être granulaire — pas regroupé dans une politique de confidentialité générale (art. 8-9)
- Les renseignements personnels sensibles (santé, biométriques, financiers) exigent un consentement explicite, non implicite
- Les données des mineurs bénéficient de protections renforcées en vertu de l'article 4.1
- Le retrait du consentement doit être aussi simple que son octroi
C'est là que plusieurs flux de travail du type « on copie-colle ça dans ChatGPT » s'effondrent discrètement. La commodité d'un outil d'IA à usage général n'élimine pas l'obligation de consentement sous-jacente — elle la rend simplement plus facile à ignorer, jusqu'à ce qu'une plainte à la CAI ou une vérification la fasse surgir.
Les transferts transfrontaliers : là où la plupart des organisations québécoises se trompent
L'article 17 exige une évaluation des facteurs relatifs à la vie privée avant de transférer des renseignements personnels à l'extérieur du Québec — y compris vers un fournisseur de services, y compris pour un traitement par un modèle d'IA. Cette évaluation doit déterminer si les renseignements bénéficieront d'une protection équivalente à celle qu'offre la Loi 25.
C'est ici que la juridiction devient l'enjeu central. Un fournisseur d'IA dont le siège social est aux États-Unis est soumis au CLOUD Act américain, ce qui signifie que les autorités américaines peuvent exiger la divulgation de données peu importe l'emplacement physique des serveurs. C'est un fait déterminant que votre évaluation en vertu de l'article 17 doit prendre en compte — et pour plusieurs dossiers réglementés, c'est carrément disqualifiant.
Si votre fournisseur d'IA a une société mère américaine, votre évaluation des transferts en vertu de l'article 17 doit tenir compte de l'exposition au CLOUD Act — une réalité juridique qu'aucun argument marketing du type « nos serveurs sont au Canada » ne peut résoudre.
C'est précisément l'écart qu'une plateforme d'IA véritablement canadienne est conçue pour combler. Augure opère sans société mère américaine et sans investisseurs américains, ce qui élimine complètement la question du CLOUD Act de l'évaluation des transferts en vertu de l'article 17 — non pas parce que les données ne quittent jamais le Québec, mais parce que l'entité qui les traite n'est pas soumise à une loi étrangère de divulgation forcée. L'inférence des modèles d'Augure s'exécute sur une infrastructure dans l'UE selon des conditions de rétention nulle des données, et la société exploitante elle-même relève carrément de la juridiction canadienne.
Ce que cela signifie spécifiquement pour les cabinets d'avocats
Les cabinets d'avocats portent une couche supplémentaire : le secret professionnel de l'avocat. Introduire des dossiers de clients dans un outil d'IA à usage général pour de la recherche ou de l'aide à la rédaction soulève la question de savoir si ce transfert lève le secret professionnel, particulièrement si les conditions d'utilisation du fournisseur permettent l'usage des données d'entrée pour l'entraînement du modèle.
Les lignes directrices du Barreau du Québec et des barreaux à travers les juridictions canadiennes traitent de plus en plus le choix d'un outil d'IA comme une question de diligence raisonnable, et non simplement une décision de commodité. Un cabinet incapable de répondre à « où va ce document et qui peut y accéder » n'a pas fait la diligence qu'exigent à la fois la Loi 25 et les règles de déontologie professionnelle.
Le secret professionnel ne survit pas à une clause vague des conditions d'utilisation. Si vous ne pouvez pas expliquer exactement qui a accès à un document de client une fois qu'il entre dans un outil d'IA, vous ne pouvez pas dire à votre client, en toute confiance, que le secret professionnel est préservé.
C'est le problème précis qu'Augure Legal a été conçu pour résoudre — révision de contrats, triage d'ententes de confidentialité et extraction de clauses avec des vérifications de conformité à la Loi 25 (articles 8, 9, 12.1 et 17) et à la LPRPDE intégrées au flux de travail, exécutées sur une infrastructure qui n'introduit pas de juridiction étrangère dans l'analyse du secret professionnel. Pour les praticiens autonomes, c'est une décision à 149 $ CA/mois qui retire une question de conformité récurrente de chaque mandat.
LPRPDE et PCCSC : les couches au-dessus de la Loi 25
La Loi 25 n'opère pas seule. Les organisations québécoises sous réglementation fédérale, ainsi que toute entreprise dont les flux de données sortent de la province, doivent aussi répondre aux dix principes relatifs aux justes pratiques d'information de la LPRPDE, particulièrement le principe 4.3 (consentement) et le principe 4.9 (accès individuel). Le régime québécois du secteur privé est généralement considéré comme « substantiellement similaire » à la LPRPDE, mais similarité n'égale pas identité — un programme de conformité conçu pour l'une ne satisfait pas automatiquement l'autre.
Le Programme canadien pour la certification de la cybersécurité (PCCSC) ajoute une couche supplémentaire pour les organisations œuvrant dans les chaînes d'approvisionnement de la défense ou traitant des biens contrôlés, avec ses propres exigences en matière de traitement des données et d'évaluation des fournisseurs, qui recoupent de plus en plus les décisions d'approvisionnement en IA.
- Loi 25 — secteur privé québécois, décision automatisée (art. 12.1), consentement (art. 8-9), évaluations des transferts transfrontaliers (art. 17), pénalités pouvant atteindre 25 M $ CA ou 4 % du chiffre d'affaires mondial (art. 91)
- LPRPDE — socle fédéral, principes 4.3 (consentement) et 4.9 (accès), s'applique parallèlement à la Loi 25 pour les flux de données interprovinciaux et internationaux
- PCCSC — contextes de chaîne d'approvisionnement et de biens contrôlés, pertinence croissante pour l'évaluation des fournisseurs d'IA
Une plateforme d'IA conçue en tenant compte de ces trois cadres dès le départ, plutôt qu'adaptée après coup à partir d'un cadre de confidentialité américain, évite à une équipe de conformité d'avoir à assembler trois évaluations distinctes pour un seul outil. C'est le pari architectural derrière Augure — les considérations liées à la Loi 25, à la LPRPDE et au PCCSC sont intégrées à la plateforme plutôt qu'ajoutées après coup.
La liste de vérification pratique en matière de conformité
Avant de déployer tout outil d'IA avec des renseignements personnels au Québec, une équipe soucieuse de conformité devrait être capable de répondre à ceci :
- Pouvons-nous expliquer, en langage clair, toute décision automatisée à laquelle l'IA contribue, conformément à l'article 12.1?
- Avons-nous un consentement précis et granulaire pour les renseignements personnels en cause, en vertu des articles 8 et 9 — et non une politique générale?
- Avons-nous complété une évaluation des transferts en vertu de l'article 17, incluant l'exposition au CLOUD Act si le fournisseur a une société mère américaine?
- Pouvons-nous produire une évaluation des facteurs relatifs à la vie privée sur demande de la Commission d'accès à l'information?
- La politique de rétention des données du fournisseur correspond-elle à ce que nous avons représenté à nos clients?
Si l'une de ces réponses est « nous ne sommes pas certains », il ne s'agit pas d'une lacune en matière d'avis juridique — c'est une lacune d'infrastructure. La solution n'est pas une politique de confidentialité plus longue. C'est de choisir des outils où les réponses sont déjà « oui » par conception.
Augure a été conçu exactement pour cette liste de vérification : une plateforme d'IA canadienne souveraine, sans société mère américaine, avec rétention nulle des données, et des considérations liées à la Loi 25, à la LPRPDE et au PCCSC intégrées dès l'architecture plutôt qu'ajoutées après coup. Si votre organisation navigue actuellement dans ce que la Loi 25 signifie pour l'adoption de l'IA, augureai.ca est un point de départ raisonnable pour amorcer la conversation — ou pour la clore, tout simplement, en retirant cette question de votre prochaine évaluation de fournisseurs.
À propos d'Augure
Augure est une plateforme d'IA souveraine pour les organisations canadiennes réglementées. Clavardage, base de connaissances et outils de conformité — le tout sur une infrastructure canadienne.
