La Loi 25 s'applique-t-elle vraiment à l'IA ?

Court et net : oui. La Loi 25 ne parle pas d'« intelligence artificielle » — elle parle de renseignements personnels. Un nom, un courriel, un numéro d'assurance sociale, un dossier d'employé, l'historique d'achat d'un client. Peu importe l'outil qui les touche, la loi s'applique. L'IA n'y échappe pas plus qu'un chiffrier Excel ou un classeur.

Ce qui change avec l'IA, c'est où la donnée voyage. Quand vous ouvrez un outil grand public gratuit, votre texte part sur les serveurs du fournisseur pour être traité — le plus souvent aux États-Unis. L'article 17 de la Loi 25 encadre justement ce genre de transfert hors Québec : avant d'envoyer un renseignement personnel à l'extérieur, vous devez évaluer si la protection y est équivalente. Personne ne fait cette évaluation avant de coller un courriel dans un chatbot. C'est là que le bât blesse.

À retenir : la Loi 25, ce n'est pas le RGPD européen recopié. C'est une loi québécoise, avec ses propres exigences sur les transferts hors province et les décisions automatisées. Un outil « conforme RGPD » n'est pas automatiquement conforme à la Loi 25.

3 façons dont une PME enfreint la Loi 25 avec l'IA sans le savoir

Ce ne sont pas des cas tordus. Ce sont les trois scénarios qu'on voit le plus souvent chez les PME québécoises — des gestes de tous les jours, faits de bonne foi.

1. Le copier-coller dans un outil grand public

C'est le grand classique. Un adjoint colle la liste des clients dans un chatbot pour rédiger une infolettre. Un gestionnaire y verse un dossier RH pour reformuler une lettre de congédiement. La donnée personnelle part à l'étranger, et rien ne garantit qu'elle ne servira pas à entraîner le modèle. Vous venez de faire un transfert hors Québec, sans évaluation et sans consentement.

2. La décision automatisée que le client ignore

Vous branchez une IA qui trie les candidatures, note les demandes de crédit ou priorise les dossiers. Utile. Sauf que la Loi 25 exige que la personne soit informée lorsqu'une décision qui la concerne est prise uniquement de façon automatisée — et qu'elle puisse demander à quelqu'un de la réviser. Une IA qui filtre des CV en silence, sans que personne ne le sache, vous met à découvert.

3. Le sous-traitant américain caché dans l'outil

Beaucoup de logiciels que vous utilisez déjà ont ajouté une « fonction IA » par-dessus. Votre CRM, votre outil de soutien à la clientèle, votre logiciel de comptabilité. Dans les faits, cette fonction appelle souvent un fournisseur américain en arrière-plan. Vos données transitent chez un tiers que vous n'avez jamais évalué, et que vous ne citez nulle part dans votre politique de confidentialité. Aux yeux de la loi, c'est votre responsabilité, pas celle du fournisseur.

Pas sûr de savoir où vos données s'en vont ? On fait le tour de vos outils avec vous et on repère les fuites en une rencontre. Réservez un appel gratuit →

Ce que la Loi 25 exige quand vous utilisez l'IA

La bonne nouvelle, c'est que les obligations tiennent en quelques principes clairs. Vous n'avez pas besoin d'un cabinet d'avocats pour les comprendre — juste de les appliquer.

  1. 1 Le consentement, quand la donnée change d'usageSi vous traitez des renseignements personnels d'une nouvelle façon — surtout en les envoyant à un tiers — la personne doit être au courant et d'accord.
  2. 2 La transparence sur les décisions automatiséesDès qu'une décision est prise sans intervention humaine, la personne concernée a le droit de le savoir et de demander une révision par un humain.
  3. 3 L'évaluation avant un transfert hors QuébecAvant d'envoyer une donnée à l'extérieur de la province, vous devez vérifier qu'elle y sera protégée de façon équivalente.
  4. 4 Un responsable de la protection des renseignements personnelsToute entreprise doit en désigner un. Par défaut, c'est la personne qui a la plus haute autorité — souvent le dirigeant lui-même.

Le fil conducteur derrière tout ça : plus vos données voyagent, plus vos obligations augmentent. Une donnée qui ne sort jamais de votre réseau, c'est une donnée pour laquelle vous n'avez ni transfert à évaluer, ni serveur étranger à surveiller. Gardez cette idée en tête, elle vaut son pesant d'or pour la suite.

Les sanctions sont réelles — et la surveillance se resserre

Longtemps, la Loi 25 est restée une menace abstraite. Ce n'est plus le cas. Depuis que toutes les dispositions sont pleinement en vigueur, la Commission d'accès à l'information a les dents pour mordre, et les montants n'ont rien de symbolique.

  • Sanctions administratives : jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial.
  • Sanctions pénales : jusqu'à 25 M$ ou 4 % du chiffre d'affaires mondial — le montant le plus élevé s'appliquant.

Soyons honnêtes : une PME de quinze employés à Trois-Rivières ne se réveillera pas demain avec une amende de 25 millions. Le vrai risque, à votre échelle, est plus terre à terre. C'est la plainte d'un client qui découvre que son dossier s'est promené sur un serveur étranger. C'est l'enquête qui paralyse une semaine de votre équipe. C'est le contrat que vous perdez parce que le donneur d'ordres exige une preuve de conformité que vous n'avez pas. Dans une économie où la confiance se gagne dossier par dossier, c'est ça qui coûte cher.

Mise en garde : « on est trop petits pour intéresser la Commission » n'est pas une stratégie de conformité. La plupart des dossiers partent d'une plainte d'un client ou d'un ex-employé, pas d'un contrôle aléatoire. Votre taille ne vous protège pas.

Comment utiliser l'IA en restant conforme

Voici le point que la plupart des articles ratent : la réponse à la Loi 25 n'est pas de bannir l'IA. Ce serait renoncer à des heures d'économies pendant que vos concurrents avancent. La vraie réponse, c'est de choisir où l'IA travaille.

Reprenez le fil conducteur : une donnée qui ne quitte pas votre réseau ne déclenche aucune obligation de transfert. C'est exactement le principe qu'on applique chez Velia. Nos agents utilisent un routage intelligent : les tâches sans données sensibles peuvent passer par le nuage, mais tout ce qui touche un renseignement personnel — RH, finances, dossiers clients — s'exécute sur des modèles locaux, hébergés au Canada. La donnée ne sort pas. Il n'y a pas de transfert hors Québec à évaluer, parce qu'il n'y a pas de transfert tout court.

On ajoute deux garde-fous que la Loi 25 aime bien. D'abord, un humain valide toute décision qui engage l'entreprise ou touche une personne — jamais de décision entièrement automatisée dans le dos de quelqu'un. Ensuite, chaque réponse d'agent est ancrée sur vos vraies données et affiche ses sources, ce qui vous donne la traçabilité qu'un vérificateur voudra voir. Vous gardez la vitesse de l'IA sans exporter votre risque. Le détail de cette architecture est sur notre page fonctionnalités.

Si vous voulez un point de comparaison concret entre un vrai agent qui agit et un simple robot conversationnel, notre article agent IA contre chatbot le décortique. Et pour situer tout ça dans le cadre gouvernemental québécois, jetez un œil à notre guide de l'IA au travail au Québec.