Conformité
Loi 25 IA entreprise: ce qu'une PME québécoise doit respecter
Loi 25, IA, entreprise: les trois mots se retrouvent rarement dans la même phrase, et c'est précisément le problème. La loi ne parle jamais d'intelligence artificielle, mais dès que votre agent répond au téléphone et note un nom, un numéro et une raison d'appel, vous êtes dedans. Voici ce qu'il faut régler avant de brancher quoi que ce soit.
Loi 25 IA entreprise: ce qui déclenche vos obligations
La Loi 25 (anciennement projet de loi 64) s'applique à toute entreprise qui exerce au Québec et qui détient des renseignements personnels. Il n'y a pas de seuil d'employés, pas de seuil de chiffre d'affaires. Un salon de coiffure de trois chaises est visé au même titre qu'une banque.
Un renseignement personnel, c'est tout ce qui permet d'identifier une personne, directement ou indirectement: nom, numéro de cellulaire, adresse courriel, adresse civique, numéro de dossier, enregistrement de voix. Autrement dit, tout ce que votre système d'IA touche dans une journée normale.
Ce qui change avec l'IA, ce n'est pas la nature des obligations. C'est le volume et la vitesse. Une adjointe qui prend 15 messages par jour laisse une trace lisible. Un agent vocal qui prend 200 appels, transcrit chacun d'eux et pousse le tout dans un CRM crée une masse de données que personne n'a décidé consciemment de conserver.
Ce que votre agent collecte, que vous le vouliez ou non
Avant de parler de conformité, faites l'inventaire. Un agent vocal ou un robot conversationnel typique génère, pour chaque interaction:
- le numéro de téléphone de l'appelant et le moment de l'appel
- l'enregistrement audio, s'il est activé
- la transcription texte complète de la conversation
- un résumé généré par le modèle, souvent avec le nom et la raison d'appel
- les champs poussés vers votre CRM ou votre logiciel de rendez-vous
- les journaux techniques du fournisseur du modèle de langage
Six copies de la même conversation, réparties dans trois ou quatre systèmes. C'est là que la plupart des PME se mettent en défaut sans le savoir: elles conservent indéfiniment des données qu'elles n'ont jamais eu l'intention de garder.
Vous n'êtes pas responsable seulement de ce que vous collectez. Vous êtes responsable de ce que vous conservez.
Les six obligations qui touchent directement un projet d'IA
- Nommer un responsable de la protection des renseignements personnels. Par défaut, c'est la personne au plus haut niveau de l'entreprise. Son titre et ses coordonnées doivent être publiés sur votre site.
- Publier une politique de confidentialité en termes simples, accessible sur votre site, qui dit quelles données vous collectez, pourquoi, combien de temps vous les gardez et à qui vous les communiquez.
- Obtenir un consentement libre et éclairé, demandé pour chaque finalité. Si vous enregistrez un appel, vous le dites au début de l'appel, dans la première phrase de l'agent.
- Tenir un registre des incidents de confidentialité. Si un incident présente un risque de préjudice sérieux, vous avisez la Commission d'accès à l'information et les personnes touchées.
- Détruire ou anonymiser les renseignements une fois la finalité atteinte. Donc avoir une règle de rétention écrite, et un mécanisme qui l'applique réellement.
- Répondre aux demandes d'accès, de rectification et de portabilité dans un délai de 30 jours. Si vos données sont éparpillées dans quatre outils, ce délai devient très court.
Les sanctions prévues par la loi vont jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial en pénalités administratives, et le double au pénal. Pour une PME, le vrai risque n'est pas l'amende maximale: c'est l'enquête, le temps perdu et la plainte d'un client mécontent qui connaît ses droits.
Votre entreprise est-elle recommandée par ChatGPT et Google ? Obtenez votre audit de visibilité IA gratuit, ou réservez une séance de stratégie, 30 minutes, sans frais.
La décision automatisée: l'article qu'on oublie toujours
La Loi 25 impose une règle précise quand une décision est fondée exclusivement sur un traitement automatisé. Vous devez en informer la personne au plus tard au moment de la décision. Sur demande, vous devez lui dire quels renseignements ont été utilisés, les principaux facteurs qui ont mené à la décision, et lui permettre de présenter ses observations à un employé capable de réviser le tout.
La plupart des agents IA de PME ne prennent pas de décision au sens de la loi. Mais certaines automatisations, oui. La ligne se trace ici:
| Ce qui n'est pas une décision automatisée | Ce qui en est une |
|---|---|
| Un agent qui prend un message et le transmet | Un système qui refuse un dossier de location selon un pointage |
| Un robot qui propose les plages horaires libres | Un filtre qui élimine des candidatures sans regard humain |
| Une relance de soumission envoyée automatiquement | Un ajustement de prix individuel calculé sur le profil du client |
| Un résumé d'appel rédigé par le modèle | Une priorisation de patients effectuée sans validation |
La parade est simple: gardez un humain dans la boucle pour toute décision qui a une conséquence réelle sur une personne. L'IA prépare, trie, résume, rédige. Un humain approuve. Ça règle la question juridique et ça améliore la qualité au passage.
Où vivent vos données, et pourquoi ça compte
Avant de communiquer des renseignements personnels à l'extérieur du Québec, vous devez procéder à une évaluation des facteurs relatifs à la vie privée. En clair: vérifier que le destinataire offre une protection adéquate et l'encadrer par une entente écrite.
Or presque tous les modèles de langage s'exécutent sur des serveurs à l'extérieur du Québec. Ça ne rend pas l'IA illégale. Ça veut dire trois choses concrètes: vous devez savoir chez quels fournisseurs vos données transitent, obtenir des ententes qui interdisent l'entraînement sur vos données, et documenter l'évaluation. Un fournisseur sérieux vous fournit ces documents sans qu'on ait à insister.
C'est aussi là que le modèle d'affaires de votre fournisseur devient une question de conformité. Quand vous louez un agent sur une plateforme, vos conversations clients vivent chez un tiers, sous ses conditions, et vous perdez l'accès le jour où vous arrêtez de payer. Quand vous possédez votre système, les comptes sont à votre nom, les données sont dans votre base, et une demande d'accès se traite en quinze minutes au lieu d'un courriel au soutien technique.
Les cas sensibles: clinique, assurance, ressources humaines
Certains renseignements exigent un consentement exprès, donné séparément et clairement: santé, données biométriques, information financière détaillée. Une clinique dont la réception déborde et qui met un agent au téléphone doit y penser dès la conception. Si l'agent demande « quel est le motif de votre consultation », il collecte un renseignement de santé.
La solution n'est pas d'abandonner le projet. C'est de concevoir l'agent pour qu'il en collecte le moins possible: prendre le nom, le numéro, le type de rendez-vous, et laisser le motif détaillé à la rencontre avec le professionnel. Les mêmes rappels et confirmations qui réduisent les absences fonctionnent très bien sans toucher au dossier médical.
Avant d'ajouter un champ à votre agent, posez-vous une seule question: est-ce que j'ai besoin de cette information pour rendre le service aujourd'hui?
Si la réponse est non, ne la collectez pas. Chaque donnée que vous ne détenez pas est une donnée que vous n'avez pas à protéger, à documenter, à retrouver ni à détruire.
Un plan réaliste en quatre étapes
- Cartographiez. Listez chaque outil qui touche des renseignements personnels, ce qu'il stocke et où il se trouve physiquement. Une feuille de calcul suffit pour commencer.
- Fixez les rétentions. Transcriptions: 90 jours, par exemple. Enregistrements audio: 30 jours, ou pas du tout. Fiches client dans le CRM: tant que la relation commerciale dure. Écrivez-le, puis automatisez la suppression.
- Mettez à jour vos textes. Politique de confidentialité, avis au début des appels, mention sur les formulaires web, coordonnées du responsable. C'est la partie la moins coûteuse et la plus visible en cas de plainte.
- Documentez vos fournisseurs. Ententes de traitement, localisation des serveurs, engagement de non-entraînement. Classez le tout dans un dossier unique, avec la date de révision.
Comptez une journée de travail pour une PME de services avec trois ou quatre outils. C'est une fraction du budget d'un projet d'IA, et c'est la partie qui vous protège quand quelqu'un pose des questions. Si vous évaluez ce que coûte un tel projet au complet, l'exercice est détaillé dans notre article sur le coût d'implantation de l'IA dans une PME.
Dernière chose utile: datez votre inventaire. Les systèmes dérivent. Dans six mois, quelqu'un aura branché un nouvel outil, activé un enregistrement ou ajouté un champ au formulaire. Une révision de deux heures par trimestre vaut mieux qu'une reconstitution d'urgence.
Questions fréquentes
Est-ce que la Loi 25 interdit d'utiliser ChatGPT ou un agent vocal IA?
Non. La loi n'interdit aucune technologie, elle encadre le traitement des renseignements personnels. Vous pouvez utiliser un agent IA à condition d'informer les personnes, d'obtenir leur consentement, d'encadrer le transfert hors Québec et de ne conserver les données que le temps nécessaire.
Dois-je avertir l'appelant qu'il parle à une intelligence artificielle?
La Loi 25 n'exige pas explicitement de divulguer la nature artificielle de l'interlocuteur, mais elle exige la transparence sur la collecte et un avis si l'appel est enregistré. En pratique, le dire dès la première phrase évite les plaintes et améliore la coopération de l'appelant.
Une PME de cinq employés doit-elle vraiment nommer un responsable de la protection des renseignements personnels?
Oui. Il n'y a pas d'exemption de taille. Par défaut, c'est la personne qui occupe le plus haut poste dans l'entreprise, donc souvent le propriétaire. Il suffit de publier son titre et ses coordonnées sur votre site web.
Prochaine étape
Ce que ça donnerait chez vous, on peut le chiffrer en 30 minutes.
On regarde vos opérations réelles, on calcule ce que les fuites vous coûtent avec vos propres nombres, et vous repartez avec un plan. Aucune vente, aucune pression.
Réserver ma séance de stratégie gratuite →Ou commencez par l'audit de visibilité IA gratuit, et découvrez notre service SEO et AEO.