Vous traitez probablement déjà des renseignements personnels avec de l'IA, et la Loi 25 s'applique
On parle habituellement de la Loi 25 et de l'IA comme d'une décision à venir : devrions-nous construire quelque chose. Ce cadrage est confortable et de moins en moins juste. La plupart des entreprises québécoises traitent déjà des renseignements personnels avec de l'IA, dans des outils achetés pour autre chose, par des fonctions arrivées dans une mise à jour que personne n'a lue. Les obligations qui s'y rattachent sont actives maintenant, pas au moment où vous lancerez un projet.
Un guide, pas un avis juridique
Écrit pour des gestionnaires, par des gens qui construisent ces systèmes. Ce n'est pas un avis juridique et cela ne remplace ni votre conseiller ni votre responsable de la protection des renseignements personnels. C'est une liste des endroits où la chose s'est habituellement déjà produite, pour que vous alliez vérifier.
Le traitement complet de ce que la loi exige se trouve dans le guide Loi 25 et IA. Ce billet couvre la question plus étroite et plus urgente : qu'est-ce qui tourne déjà.
Pourquoi personne ne l'a remarqué
Parce que ce n'est pas arrivé comme une décision. C'est arrivé comme une fonctionnalité.
Un logiciel que vous payez déjà a livré une mise à jour. Un bouton « résumer » est apparu. Des réponses suggérées se sont installées dans la boîte de réception. L'outil de rendez-vous s'est mis à transcrire les appels. Rien de tout cela n'est passé par les achats, rien n'a fait l'objet d'une évaluation des facteurs relatifs à la vie privée, et dans la plupart des cas l'option était activée par défaut.
Où cela s'est habituellement déjà produit
Passez cette liste en revue avec votre propre parc logiciel. La plupart des entreprises en trouvent entre trois et six.
| Catégorie d'outil | Ce que la fonction d'IA fait habituellement | La question à répondre |
|---|---|---|
| CRM et outils de vente | Résume l'historique, rédige des relances, pointe ou classe les prospects | Le pointage de prospects est le point sensible. Si un score influence la façon dont une personne est traitée, vous êtes dans le champ de la décision automatisée et des obligations d'information qui l'accompagnent. |
| Boîte partagée et centre d'assistance | Réponses suggérées, analyse du ton, catégorisation automatique | Les messages des clients sont des renseignements personnels. Où sont-ils traités, et est-ce à l'extérieur du Québec ? |
| Outils de réunion et d'appel | Transcription automatique, résumés, suivis | Chaque personne présente voit sa voix enregistrée et traitée. A-t-elle été informée ? Le consentement à l'enregistrement et le consentement au traitement par IA ne sont pas la même question. |
| Clavardage sur le site | Le widget répond aux visiteurs avec un modèle | Qu'est-ce qui est conservé de ces conversations, pendant combien de temps, et qu'est-ce que le visiteur apprend avant d'écrire ? |
| Plateformes de marketing | Création de segments, optimisation des envois, génération d'objets | Segmenter à partir de caractéristiques inférées n'est pas la même activité que segmenter à partir de ce qu'une personne vous a dit. |
| Prise de rendez-vous | Prédiction des absences, formulation des rappels, suggestions de plages | Une prédiction qui change l'accès de quelqu'un à un rendez-vous est une décision au sujet d'une personne. |
| Comptabilité et documents | Lit les factures, les relevés et les reçus, en extrait les champs | Ces documents contiennent aussi les renseignements personnels d'autres personnes, pas seulement vos données d'entreprise. |
| Recrutement et RH | Tri des CV, classement, résumés d'entrevue | La catégorie la plus sensible de la liste, et celle où l'on prend une décision automatisée le plus facilement sans l'avoir voulu. |
Les quatre questions à poser pour chaque outil
Les mêmes quatre pour chacun, et aucune n'exige un avocat pour être rassemblée. C'est un exercice d'inventaire, et l'inventaire est précisément ce qui manque dans presque toutes les entreprises que nous examinons.
- Y a-t-il des renseignements personnels ? Noms, coordonnées, contenu des messages, voix, tout ce qui concerne une personne identifiable. C'est plus large qu'on ne le suppose, et le contenu libre des messages est ce qu'on oublie le plus souvent.
- Où est-ce traité, et par qui ? Quel sous-traitant, dans quel pays. La documentation de votre fournisseur le dit, et c'est souvent la première fois que quelqu'un va voir.
- Qu'est-ce qui est conservé, et pour combien de temps ? Y compris si votre contenu peut servir à améliorer les modèles du fournisseur, ce qui est un réglage dans plusieurs outils et pas toujours désactivé.
- Est-ce que cela produit une décision au sujet d'une personne ? Un score, un classement, une prédiction, un indicateur d'admissibilité. Si oui, et si on s'en sert, les obligations de transparence s'appliquent.
Celle qui prend les gens de court
La décision automatisée est la disposition qui surprend, parce que les entreprises ne se perçoivent pas comme prenant des décisions automatisées.
Il n'est pas nécessaire d'avoir construit un moteur de décision. Si un outil produit un score, un classement ou une prédiction au sujet d'une personne, et que quelqu'un agit en conséquence, il s'agit d'une décision fondée sur un traitement automatisé. La Loi 25 y rattache des obligations d'information et la possibilité pour la personne de présenter ses observations.
- Le pointage de prospects qui détermine qui est rappelé en premier.
- La prédiction d'absence qui détermine à qui on demande un dépôt.
- Le tri de CV qui détermine quelle candidature un humain lira.
- Tout indicateur de risque ou d'admissibilité, dans n'importe quel secteur.
Le travail d'une fin de semaine
C'est plus petit que ça en a l'air. La première passe prend un après-midi et produit quelque chose que vous n'aviez pas : une liste.
- Listez chaque outil qui touche à des renseignements sur des clients ou des employés. Y compris ceux qu'une seule personne utilise de sa propre initiative. Surtout ceux-là.
- Pour chacun, trouvez les fonctions d'IA et vérifiez si elles sont actives. Regardez les réglages plutôt que la page marketing. Les valeurs par défaut ont changé plus d'une fois.
- Lisez la liste des sous-traitants pour celles qui sont actives. Les fournisseurs la publient et elle est plus instructive que la politique de confidentialité.
- Désactivez ce que personne n'utilise. Le gain de conformité le plus rapide qui soit, et il y a toujours quelque chose.
- Écrivez ce qui reste, avec le lieu de traitement, ce qui est conservé et si cela produit une décision au sujet d'une personne.
- Apportez la liste à la personne responsable de la protection des renseignements personnels. C'est à ce moment que cela devient une question juridique plutôt qu'un inventaire.
Ce que ce billet n'est pas
Ce n'est pas un argument voulant que ces outils soient dangereux ou qu'il faille les éteindre. La plupart sont corrects, la plupart des fournisseurs prennent la question au sérieux, et plusieurs offrent des configurations qui règlent complètement le problème une fois que quelqu'un va les régler.
Le point est plus étroit. Les obligations ne commencent pas quand vous lancez un projet d'IA. Elles ont commencé quand la fonction a été activée, ce qui, pour la plupart des entreprises, remonte à plusieurs mois et n'a été décidé par personne en particulier.
Si vous êtes sur le point de construire
Tout ce qui précède concerne des outils que vous avez déjà. Si vous prévoyez construire, les décisions se prennent délibérément et à l'avance, ce qui est nettement plus simple que de les découvrir après coup.
Le guide Loi 25 et IA couvre ce qu'il faut régler avant de connecter quoi que ce soit. Les obligations liées au logiciel et aux communications en français sont traitées dans le guide sur la Loi 96.