Règles de la Loi 25 sur l'intelligence artificielle : comment le Québec encadre l'IA

Le cadre de la Loi 25 sur l'intelligence artificielle au Québec ne mentionne nulle part dans son texte le terme « intelligence artificielle ». C'est la première chose à comprendre, et la source de la plupart des confusions. Ce que la loi encadre bel et bien — la prise de décision automatisée, le profilage, le consentement pour le traitement de renseignements personnels et les transferts transfrontaliers de données — couvre pratiquement tous les déploiements d'IA concrets qu'une organisation québécoise est susceptible d'exploiter. Si votre cabinet d'avocats, votre clinique ou votre PME alimente un outil d'IA avec des données clients, la Loi 25 s'applique déjà. La question n'est pas de savoir si la loi touche votre cas d'usage. C'est de savoir si l'architecture de votre fournisseur d'IA vous permet de vous conformer, et c'est précisément là que plusieurs outils d'IA à usage général font défaut. Pour un survol plus large des plateformes qui passent ce test, consultez notre analyse des outils d'IA conformes à la Loi 25 du Québec.

L'article 12.1 et la décision automatisée sous la Loi 25 : la disposition qui encadre réellement l'IA

L'article 12.1, la disposition centrale de la Loi 25 en matière de décision automatisée, est en vigueur depuis septembre 2023. Elle exige que toute organisation utilisant des renseignements personnels pour rendre une décision « fondée exclusivement sur un traitement automatisé de ces renseignements » en informe la personne concernée et, sur demande, lui explique les facteurs et les paramètres ayant mené à la décision. Les personnes ont aussi le droit de présenter des observations et de faire réviser la décision par un membre du personnel de l'organisation. La transparence seule ne suffit pas à respecter cet article; l'organisation doit fournir un moyen de contester le résultat.

Cela s'applique que vous utilisiez l'IA pour trier des réclamations d'assurance, présélectionner des candidatures ou signaler des clauses contractuelles à réviser. Un cabinet d'avocats qui utilise l'IA pour rejeter automatiquement des conditions d'entente de confidentialité sans révision humaine se trouve carrément dans le champ d'application de l'article 12.1.

L'article 12.1 de la Loi 25 n'interdit pas la décision automatisée. Il interdit la décision automatisée sans transparence, et il fait reposer le fardeau de l'explication sur l'organisation, pas sur la personne concernée.

L'exigence pratique est simple : vous devez être en mesure d'expliquer, en langage clair, quelles données sont entrées en jeu dans une décision, comment elles ont été pondérées, et comment quelqu'un peut la contester. Les outils d'IA « boîte noire » qui ne peuvent pas produire cette explication créent une exposition en matière de conformité dès qu'un client dépose une demande d'accès en vertu de l'article 12.1. Notre article sur les plateformes de gouvernance de l'IA et la conformité à la Loi 25 au Québec présente à quoi ressemble, dans la pratique, un processus d'explication défendable.

Le consentement continue de régir le pipeline d'entraînement et d'inférence

Indépendamment de l'article 12.1, la Loi 25 a resserré les exigences de consentement dans l'ensemble. Les articles 8 et 9 exigent que le consentement soit demandé en langage clair et précis, distinctement de toute autre information transmise à la personne. Ces exigences précèdent les dispositions propres à l'IA, mais s'appliquent directement à celles-ci.

Si des renseignements personnels alimentent une invite, une base de connaissances ou un ensemble de données de réglage fin, vous devez disposer d'une assise juridique pour ce traitement. Une lettre de mandat générale signée il y a des années n'est plus cette assise.

• Le consentement doit être granulaire, et non regroupé dans une politique de confidentialité générale (articles 8-9)
• Les renseignements personnels sensibles (santé, biométrie, finances) exigent un consentement explicite, et non implicite
• Les mineurs de moins de 14 ans nécessitent le consentement parental en vertu de l'article 4.1, avec des protections renforcées pour les renseignements recueillis auprès d'eux
• Le retrait du consentement doit être aussi simple que son octroi

C'est là que plusieurs habitudes de « on colle simplement ça dans un clavardage » s'effondrent discrètement. La commodité d'un outil d'IA à usage général n'élimine pas l'obligation de consentement sous-jacente. Elle rend simplement plus facile de l'ignorer, jusqu'à ce qu'une plainte à la CAI ou un audit la mette au jour.

Transferts transfrontaliers : là où les organisations québécoises se trompent le plus souvent sur la conformité de l'IA à la Loi 25

L'article 17 exige une évaluation des facteurs relatifs à la vie privée avant tout transfert de renseignements personnels hors Québec, y compris vers un fournisseur de services, y compris pour un traitement par un modèle d'IA. L'évaluation doit déterminer si les renseignements bénéficieront d'une protection équivalente à celle offerte par la Loi 25.

Le territoire devient ici l'enjeu central. Un fournisseur d'IA basé aux États-Unis est assujetti au CLOUD Act américain, ce qui signifie que les autorités américaines peuvent, en principe, exiger la divulgation de données, peu importe où se trouvent physiquement les serveurs. La CAI n'a pas publié de règle claire déclarant les fournisseurs américains automatiquement non conformes, mais cette exposition juridique est un fait important que toute évaluation en vertu de l'article 17 doit documenter et soupeser, particulièrement pour les dossiers privilégiés ou sensibles.

Si votre fournisseur d'IA a une société mère américaine, votre évaluation de transfert en vertu de l'article 17 doit tenir compte de l'exposition au CLOUD Act — une réalité juridique qu'aucun argument marketing du type « nos serveurs sont au Canada » ne peut résoudre à lui seul.

C'est précisément cette lacune qu'une plateforme d'IA canadienne est conçue pour combler. Augure fonctionne sans société mère américaine, ce qui retire la question du CLOUD Act de l'évaluation de transfert en vertu de l'article 17 — non pas parce que les données ne quittent jamais le Québec, mais parce que l'entité qui les traite n'est pas assujettie à une loi étrangère de divulgation forcée. L'inférence des modèles d'Augure s'exécute sur une infrastructure canadienne et des partenaires vérifiés, sous des limites contractuelles de conservation des données, et la société exploitante relève de la compétence canadienne. Les organisations devraient tout de même documenter cette analyse elles-mêmes plutôt que de prendre pour acquises les affirmations d'un fournisseur; le Commissariat à la protection de la vie privée du Canada publie des lignes directrices sur les évaluations de transfert transfrontalier de données, qu'il vaut la peine de consulter en parallèle des documents de la CAI.

Ce que cela signifie concrètement pour les cabinets d'avocats

Les cabinets d'avocats portent un fardeau additionnel : le secret professionnel avocat-client. Le fait d'alimenter un outil d'IA à usage général avec des dossiers clients à des fins de recherche ou d'aide à la rédaction soulève la question de savoir si ce transfert affaiblit le privilège, particulièrement si les conditions d'utilisation du fournisseur permettent l'utilisation des données d'entrée pour l'entraînement de modèles.

Le Barreau du Québec et les lignes directrices des barreaux des autres provinces canadiennes traitent de plus en plus le choix d'un outil d'IA comme une question de diligence raisonnable, et non simplement comme une décision de commodité. Un cabinet incapable de répondre à qui a accès à un document et où il aboutit n'a pas fait la diligence que la Loi 25 et les règles de déontologie professionnelle exigent toutes deux.

Le privilège ne survit pas à une clause vague dans des conditions d'utilisation. Si vous ne pouvez pas préciser exactement qui a accès à un document client une fois qu'il entre dans un outil d'IA, vous ne pouvez pas affirmer en toute confiance à votre client que le privilège est préservé.

Augure Legal a été conçu pour ce problème précis : révision de contrats, triage d'ententes de confidentialité et extraction de clauses avec des vérifications de conformité à la Loi 25 (articles 8, 9, 12.1 et 17) et à la LPRPDE intégrées au flux de travail, le tout fonctionnant sur une infrastructure qui n'introduit pas de compétence étrangère dans l'analyse du privilège. Pour les praticiens autonomes, c'est une décision à 149 $ CA/mois qui retire une question de conformité récurrente de chaque mandat. Si vous bâtissez en parallèle un plan interne d'intervention en cas d'atteinte à la vie privée, notre guide sur les exigences de notification en cas d'atteinte à la vie privée liée à l'IA au Canada couvre les délais de signalement qu'imposent à la fois la Loi 25 et la LPRPDE.

LPRPDE et PCCC : les couches qui s'ajoutent à la Loi 25

La Loi 25 n'agit pas seule. Les organisations québécoises de compétence fédérale, et toute entreprise ayant des flux de données hors province, répondent aussi à la LPRPDE, la Loi fédérale sur la protection des renseignements personnels et les documents électroniques. La LPRPDE repose sur dix principes équitables d'information, et deux d'entre eux comptent particulièrement pour les déploiements d'IA : le principe 4.3, qui régit le consentement, et le principe 4.9, qui régit le droit d'une personne d'accéder à ses propres renseignements personnels détenus par une organisation. Le Commissariat à la protection de la vie privée du Canada applique la LPRPDE et peut enquêter sur les plaintes, auditer la conformité et renvoyer des dossiers à la Cour fédérale.

Le régime québécois du secteur privé est généralement considéré comme substantiellement similaire à la LPRPDE, ce qui exempte la plupart des activités commerciales intraquébécoises de l'application directe de la LPRPDE. Mais un chevauchement n'équivaut pas à une identité complète. Un programme de conformité conçu pour la Loi 25 ne satisfait pas automatiquement à la LPRPDE dès que des données traversent une frontière provinciale ou nationale, ce qui devient de plus en plus la norme pour les outils d'IA hébergés en infonuagique.

Le Programme canadien de certification pour la cybersécurité (PCCC) ajoute une couche supplémentaire pour les organisations œuvrant dans les chaînes d'approvisionnement de défense ou traitant des biens contrôlés. Le PCCC établit des exigences de maturité en cybersécurité que les entrepreneurs et sous-traitants doivent respecter pour soumissionner à certains contrats fédéraux de défense, et il croise de plus en plus les décisions d'approvisionnement en IA, où l'infrastructure du fournisseur et ses pratiques de traitement des données font l'objet d'un examen minutieux. Notre analyse détaillée des exigences du PCCC pour les outils d'IA explique ce que cela signifie concrètement pour la vérification des fournisseurs.

• Loi 25 : secteur privé québécois, décision automatisée (art. 12.1), consentement (art. 8-9), évaluations de transfert transfrontalier (art. 17), dispositions pénales pouvant atteindre 25 millions $ CA ou 4 % du chiffre d'affaires mondial en vertu de l'article 102
• LPRPDE : base fédérale, dix principes équitables d'information incluant le consentement (4.3) et l'accès (4.9), s'applique en parallèle de la Loi 25 pour les flux de données interprovinciaux et internationaux
• PCCC : contextes de chaîne d'approvisionnement et de biens contrôlés, pertinence croissante pour la vérification des fournisseurs d'IA dans les industries liées à la défense

Une plateforme d'IA conçue en tenant compte des trois cadres réglementaires, plutôt qu'adaptée après coup à partir d'une norme américaine de confidentialité, épargne à une équipe de conformité l'effort de reconstituer trois évaluations distinctes pour un seul outil. C'est la prémisse architecturale d'Augure : les considérations relatives à la Loi 25, à la LPRPDE et au PCCC sont intégrées à la plateforme, et non ajoutées après coup. Si vous documentez tout cela pour une piste d'audit interne, notre article sur la documentation des EFVP comme outil de collaboration est un bon complément pour transformer ces évaluations en quelque chose qu'une équipe peut réellement maintenir.

La liste de vérification pratique de conformité à l'IA au Québec

Avant de déployer un outil d'IA traitant des renseignements personnels au Québec, une équipe soucieuse de la conformité devrait pouvoir répondre à ceci :

• Pouvons-nous expliquer, en langage clair, toute décision automatisée à laquelle l'IA contribue, et la personne concernée peut-elle présenter des observations, conformément à l'article 12.1?
• Disposons-nous d'un consentement précis et granulaire pour les renseignements personnels en cause, en vertu des articles 8-9, plutôt que d'une politique générale?
• Avons-nous complété une évaluation de transfert en vertu de l'article 17, incluant l'exposition au CLOUD Act si le fournisseur a une société mère américaine?
• Pouvons-nous produire une évaluation des facteurs relatifs à la vie privée sur demande de la Commission d'accès à l'information?
• La politique de conservation des données du fournisseur correspond-elle à ce que nous avons représenté à nos clients?
• Si l'organisation a des flux de données fédéraux ou interprovinciaux, avons-nous confirmé séparément que les principes de consentement et d'accès de la LPRPDE sont respectés?

Un « nous ne sommes pas certains » honnête sur l'un ou l'autre de ces points n'est pas une lacune en matière de conseils juridiques. C'est une lacune d'infrastructure, et la solution n'est pas une politique de confidentialité plus longue. C'est de choisir des outils où les réponses sont déjà « oui » de par leur conception.

Augure a été bâtie exactement pour cette liste de vérification : une plateforme d'IA canadienne sans société mère américaine, des conditions documentées de conservation des données, et des considérations relatives à la Loi 25, à la LPRPDE et au PCCC intégrées à l'architecture plutôt qu'ajoutées après coup. Si votre organisation se penche sur ce que les règles de la Loi 25 sur l'intelligence artificielle signifient pour l'adoption de l'IA, augureai.ca est un point de départ raisonnable pour cette conversation — ou pour y mettre fin en retirant cette question de votre prochaine évaluation de fournisseur.