IA et Loi 25 : comment utiliser l'IA en conformité au Québec ?
La Loi 25 modernise la protection des renseignements personnels au Québec, y compris dans les entreprises privées qui utilisent l'IA. Une entreprise doit désigner un responsable de la protection des renseignements personnels, réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) dans les cas prévus, notamment avant de communiquer des renseignements à l'extérieur du Québec, et informer les personnes lorsqu'une décision repose exclusivement sur un traitement automatisé.
En bref
- La Loi 25 modifie la loi québécoise sur la protection des renseignements personnels dans le secteur privé, appliquée par la Commission d'accès à l'information (CAI).
- Une évaluation des facteurs relatifs à la vie privée (EFVP) est requise, notamment avant de communiquer des renseignements personnels à l'extérieur du Québec.
- Une décision fondée exclusivement sur un traitement automatisé doit être signalée à la personne concernée.
- Les amendes pénales peuvent atteindre 25 M$ CA ou 4 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu.
- Cette page est une information générale, pas un avis juridique.
Que change la Loi 25 pour l'utilisation de l'IA ?
La Loi 25 modifie la Loi sur la protection des renseignements personnels dans le secteur privé, la loi québécoise qui encadre la collecte, l'utilisation et la communication de renseignements personnels par les entreprises. Elle est appliquée par la Commission d'accès à l'information (CAI).
Qui doit être responsable de la protection des renseignements personnels ?
La Loi 25 exige qu'une entreprise désigne une personne responsable de la protection des renseignements personnels et qu'elle publie son titre et ses coordonnées. Cette personne veille au respect de la loi, traite les demandes des personnes concernées et répond aux questions sur les pratiques de l'entreprise.
Quand une évaluation des facteurs relatifs à la vie privée est-elle requise ?
L'EFVP est une analyse écrite des risques pour la vie privée d'un projet impliquant des renseignements personnels. La Loi 25 l'exige notamment pour un projet d'acquisition, de développement ou de refonte d'un système d'information ou d'une prestation électronique qui touche ces renseignements, et avant de communiquer de tels renseignements à l'extérieur du Québec.
Que prévoient les règles sur les décisions automatisées et les transferts hors Québec ?
Lorsqu'une décision concernant une personne est fondée exclusivement sur un traitement automatisé, l'entreprise doit l'en informer. Sur demande, elle doit aussi lui communiquer les renseignements utilisés, les raisons et les principaux facteurs qui ont mené à la décision. Une décision réellement prise par une personne, après examen, n'entre pas dans cette catégorie ; la distinction doit être vérifiée au cas par cas.
Les transferts hors Québec sont l'autre point sensible. Un modèle d'IA infonuagique peut traiter les messages dans un autre pays. L'entreprise doit donc savoir où ses données sont traitées, réaliser l'EFVP avant le transfert et choisir des fournisseurs capables de respecter ses obligations.
Quelle liste de contrôle suivre pour utiliser l'IA en conformité ?
Cette liste ne remplace pas un avis juridique. Elle résume les étapes que les équipes juridiques, sécurité et conformité examinent le plus souvent avant d'approuver un outil d'IA.
- Inventorier les outils d'IA utilisés, y compris ceux adoptés sans validation par l'entreprise.
- Identifier les renseignements personnels et les données sensibles qui entrent dans chaque outil.
- Désigner le responsable de la protection des renseignements personnels et publier ses coordonnées.
- Vérifier où les données sont hébergées et où chaque modèle les traite.
- Réaliser une EFVP avant le déploiement, et avant tout transfert hors Québec.
- Limiter les modèles autorisés et définir qui peut utiliser quel outil.
- Fixer la durée de conservation des conversations et des fichiers, et prévoir leur suppression.
- Vérifier que les conversations ne servent pas à entraîner des modèles, selon les conditions du fournisseur.
- Tenir un registre des incidents de confidentialité et une procédure de notification.
- Former les employés sur ce qui peut être soumis à l’IA.
Comment iYan aide-t-il, et que ne fait-il pas à votre place ?
iYan est une plateforme d'IA publiée par PontSys Inc., à Montréal. Pour plusieurs points de la liste ci-dessus, iYan offre des options concrètes : hébergement des espaces de travail au Canada, choix du modèle par l'organisation, liste des modèles autorisés, anonymisation des renseignements personnels avant leur passage dans le modèle, authentification unique et vérification en deux étapes, droits d'accès par espace et par fichier, et journal d'audit exportable.
iYan ne rend pas une entreprise conforme à elle seule. La conformité dépend de vos pratiques, de vos contrats et de vos décisions. iYan n'a pas encore de certification SOC 2 ou ISO 27001 ; ses contrôles sont alignés sur ces référentiels.
Questions fréquentes
La Loi 25 interdit-elle l'utilisation de l'IA ?
Non. La Loi 25 n'interdit pas l'IA. Elle encadre l'utilisation des renseignements personnels : l'entreprise doit savoir quelles données elle traite, pourquoi, où elles sont traitées, qui y accède et combien de temps elles sont conservées. Un outil d'IA peut donc être utilisé en conformité, à condition d'être gouverné comme les autres systèmes qui traitent des renseignements personnels.
Une IA hébergée au Canada suffit-elle pour respecter la Loi 25 ?
Non. L'hébergement au Canada est un critère important, mais il ne couvre pas tout. Un modèle infonuagique peut traiter les données ailleurs. Il faut aussi vérifier les droits d'accès, la journalisation, la durée de conservation et les contrats avec les fournisseurs.
Faut-il une EFVP pour chaque outil d'IA ?
Pas nécessairement pour chaque outil, mais pour chaque projet qui implique des renseignements personnels au sens de la loi, et avant toute communication à l'extérieur du Québec. Une évaluation reste utile même pour un usage courant de l'IA, car elle documente les choix faits. Consultez le responsable de la protection des renseignements personnels de votre entreprise.
Que faire en cas d'incident de confidentialité impliquant l'IA ?
L'entreprise doit tenir un registre des incidents de confidentialité. Si un incident présente un risque de préjudice sérieux, elle doit aviser la CAI et les personnes concernées. Le journal d'audit d'iYan aide à reconstituer ce qui s'est passé, qui a accédé à quoi et quand.