Loi 25 et intelligence artificielle : ce qu'une PME québécoise doit savoir avant d'automatiser

Sommaire

1. Ce que la Loi 25 exige, en clair
2. Le calendrier, et où vous en êtes aujourd'hui
3. Agents conversationnels, agents vocaux et décisions automatisées
4. Résidence des données, infonuagique et le CLOUD Act
5. L'ÉFVP, et quand elle devient obligatoire dans un projet d'automatisation
6. Loi 25 ou LPRPDE : laquelle s'applique à vous
7. Conservation, destruction et droits des personnes
8. Sanctions, rôle de la CAI et recours des clients
9. Une liste de vérification avant de lancer un système IA

Ce que la Loi 25 exige, en clair

La Loi 25, officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, est la refonte québécoise de la protection de la vie privée dans le secteur privé. Elle s'applique à toute entreprise qui recueille, utilise, communique ou conserve des renseignements personnels au Québec, peu importe sa taille. Il n'y a pas de seuil d'employés, pas de seuil de chiffre d'affaires, pas d'exemption pour les petites entreprises.

Un renseignement personnel, c'est toute information qui permet, directement ou indirectement, d'identifier une personne physique. Dans une PME, ça veut dire à peu près tout ce qui entre par un formulaire : un nom, un courriel, un numéro de téléphone, une adresse, une plaque, un historique de rendez-vous, un dossier de service, une conversation avec votre service à la clientèle. Le fait que l'information soit anodine prise isolément ne change rien : c'est la capacité d'identifier quelqu'un qui compte.

Les obligations qui touchent le plus souvent une PME se résument à six choses. Vous devez désigner un responsable de la protection des renseignements personnels, dont le nom et les coordonnées sont publiés. À défaut de désignation formelle, c'est la personne ayant la plus haute autorité dans l'entreprise qui l'est, ce qui surprend beaucoup de propriétaires. Vous devez publier une politique de confidentialité en termes simples et la rendre facile à trouver. Vous devez obtenir un consentement valable avant de recueillir des renseignements, et ce consentement doit être manifeste, libre, éclairé et donné à des fins précises. Vous devez limiter la collecte à ce qui est nécessaire aux fins déclarées. Vous devez tenir un registre des incidents de confidentialité et déclarer à la Commission d'accès à l'information ceux qui présentent un risque de préjudice sérieux. Et vous devez être capable de répondre aux droits des personnes : accès, rectification, retrait du consentement, désindexation, portabilité.

Rien de tout ça n'est particulièrement lourd pour une entreprise ordinaire. Ce qui devient lourd, c'est de le rétro-installer dans un système déjà en production, avec des clients déjà dedans. C'est exactement pourquoi on traite ces questions au moment du cadrage d'un projet plutôt qu'au moment du lancement.

Le calendrier, et où vous en êtes aujourd'hui

La loi a été sanctionnée en septembre 2021 et est entrée en vigueur par étapes. Le premier bloc, en septembre 2022, a rendu obligatoires la désignation du responsable, la gestion et la déclaration des incidents de confidentialité, et la divulgation à la CAI des banques de données biométriques.

Le gros du régime est entré en vigueur en septembre 2023 : le consentement dans sa forme moderne, la politique de confidentialité, l'évaluation des facteurs relatifs à la vie privée pour les projets de systèmes d'information, l'encadrement de la communication de renseignements à l'extérieur du Québec, la transparence sur les décisions automatisées, la confidentialité par défaut pour les produits et services technologiques offerts au public, et le droit à la cessation de la diffusion et à la désindexation.

Le dernier bloc, en septembre 2024, a ajouté le droit à la portabilité : sur demande, une personne peut obtenir les renseignements informatisés qu'elle vous a fournis, dans un format technologique structuré et couramment utilisé.

Autrement dit, tout est en vigueur depuis un moment. Si vous n'avez jamais rien fait, vous n'êtes pas en retard sur un échéancier à venir : vous êtes déjà en défaut, et le premier endroit où ça se voit est votre site web.

Agents conversationnels, agents vocaux et décisions automatisées

C'est ici que l'IA rencontre la loi de la façon la plus directe, et c'est la section que la plupart des fournisseurs de solutions passent sous silence.

La transparence sur la nature du système. Quand une personne interagit avec un agent conversationnel ou un agent vocal, elle devrait savoir à quoi elle parle. Ce n'est pas seulement une bonne pratique : un consentement ne peut pas être éclairé si la personne se trompe sur ce qu'elle fait et sur qui recueille l'information. Un agent qui se fait passer pour un employé humain fragilise le consentement obtenu pendant la conversation.

La collecte pendant la conversation. Un agent qui demande un nom, un numéro et une description de problème est en train de recueillir des renseignements personnels. Les fins doivent être annoncées, la collecte doit se limiter au nécessaire, et la personne doit savoir où ça s'en va. Un agent qui pose douze questions parce qu'elles pourraient être utiles un jour est en défaut du principe de nécessité.

L'enregistrement et la transcription. Un appel enregistré ou transcrit, c'est une collecte, et souvent une collecte plus large que ce que la finalité justifie. Il faut décider, avant le lancement, si vous enregistrez, ce que vous en faites, combien de temps vous le gardez et qui y a accès. La réponse par défaut de la plupart des plateformes, tout garder indéfiniment, n'est pas défendable.

Les décisions fondées exclusivement sur un traitement automatisé. C'est l'obligation la plus mal connue. Quand une décision qui concerne une personne est prise uniquement par un traitement automatisé, vous devez l'en informer au moment de la décision ou avant. Et sur demande, vous devez lui communiquer les renseignements personnels utilisés, les principales raisons et les principaux facteurs ayant mené à la décision, et lui permettre de faire corriger ces renseignements et de présenter ses observations à une personne en mesure de réviser la décision.

Pour une PME, la question pratique est : est-ce que mon système décide quelque chose ou est-ce qu'il prépare une décision ? Un système de qualification qui trie les demandes et les présente à un humain qui tranche n'est pas une décision exclusivement automatisée. Un système qui refuse automatiquement une demande, qui exclut un prospect d'une offre ou qui fixe une condition sans intervention humaine, oui. La différence tient à un choix d'architecture, et c'est un choix qu'il vaut mieux faire exprès. Dans les systèmes qu'on construit, par exemple pour la réponse et la qualification des leads, le jugement final reste humain, ce qui simplifie la conformité en plus d'être une meilleure façon de vendre.

Le profilage et la localisation. Si vous utilisez une technologie qui permet d'identifier, de localiser ou de profiler une personne, vous devez l'en informer et lui offrir le moyen de désactiver ces fonctions. En clair : les pixels de suivi, les audiences de reciblage et la personnalisation comportementale entrent dans cette case, et une bannière de témoins qui ne fait que dire « on utilise des cookies » ne suffit pas.

Résidence des données, infonuagique et le CLOUD Act

La Loi 25 n'interdit pas d'héberger des données à l'extérieur du Québec. Elle exige quelque chose de plus exigeant qu'une interdiction : que vous ayez évalué la question et que vous puissiez le démontrer.

Avant de communiquer un renseignement personnel à l'extérieur du Québec, vous devez procéder à une évaluation des facteurs relatifs à la vie privée. Cette évaluation doit tenir compte de la sensibilité du renseignement, de la finalité de son utilisation, des mesures de protection dont il bénéficierait, et du régime juridique applicable dans l'État de destination, notamment les principes de protection des renseignements personnels qui y ont cours. La communication ne peut avoir lieu que si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate, et elle doit faire l'objet d'une entente écrite.

C'est là que le CLOUD Act américain entre dans la conversation. Cette loi permet aux autorités américaines d'exiger d'un fournisseur assujetti au droit américain qu'il produise des données qu'il contrôle, y compris lorsque ces données sont physiquement stockées à l'étranger. Autrement dit, choisir la région canadienne d'un fournisseur américain règle une question de latence et de souveraineté physique, mais ne règle pas à lui seul la question du régime juridique applicable au fournisseur. Ça ne rend pas le fournisseur inutilisable, et la grande majorité des PME québécoises utilisent des outils américains tous les jours. Ça veut dire que le raisonnement doit être fait, écrit, et proportionné à la sensibilité de ce que vous confiez.

En pratique, pour un projet d'automatisation, les questions à trancher sont : quelles données quittent réellement le Québec, et lesquelles pourraient rester ? Est-ce que les fournisseurs d'IA impliqués utilisent vos données pour entraîner leurs modèles, et est-ce que la configuration commerciale l'exclut ? Quelle est la durée de conservation chez chaque fournisseur ? Existe-t-il une entente écrite qui couvre le traitement ? Un projet bien cadré répond à ces quatre questions avant la première ligne de code, pas après le premier incident.

L'ÉFVP, et quand elle devient obligatoire dans un projet d'automatisation

L'évaluation des facteurs relatifs à la vie privée, l'ÉFVP, est l'outil central de la Loi 25 et le plus souvent ignoré par les PME parce qu'il sonne comme une formalité de grande entreprise. Ce n'en est pas une.

Elle est obligatoire dans deux situations qui touchent directement les projets d'automatisation. D'abord, pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services qui implique des renseignements personnels. Un nouveau CRM, un nouveau formulaire de prise en charge, un agent conversationnel, un tableau de bord qui rassemble des données clients : tout ça entre dans la définition. Ensuite, avant toute communication de renseignements personnels à l'extérieur du Québec, comme décrit plus haut.

Une ÉFVP proportionnée pour une PME n'est pas un document de cent pages. C'est un exercice structuré qui répond à : quelles données, pourquoi, d'où elles viennent, où elles vont, qui y a accès, combien de temps on les garde, quels sont les risques réalistes, et quelles mesures on met en place. Le livrable tient souvent en quelques pages. Ce qui a de la valeur, ce n'est pas le document, c'est le fait d'avoir été forcé de répondre à ces questions avant de construire, parce que c'est à ce moment-là que les réponses sont encore gratuites à changer.

Il faut aussi savoir que la loi impose la protection de la vie privée par défaut : les produits ou services technologiques offerts au public qui comportent des paramètres de confidentialité doivent, par défaut, offrir le plus haut niveau de confidentialité, sans intervention de la personne. Si votre projet inclut un portail client, une application ou un espace membre, ce paramétrage par défaut est une décision de conception, pas une case à cocher à la fin.

Loi 25 ou LPRPDE : laquelle s'applique à vous

La question revient constamment, et la réponse courte pour la plupart des PME québécoises est : la Loi 25.

Le Québec possède une loi provinciale sur la protection des renseignements personnels dans le secteur privé qui a été reconnue comme essentiellement similaire à la loi fédérale. Résultat : pour les activités commerciales qui se déroulent à l'intérieur du Québec, c'est le régime québécois qui gouverne, et les entreprises québécoises sont soustraites à l'application de la LPRPDE pour ces activités.

La loi fédérale continue toutefois de s'appliquer dans deux cas. D'abord aux entreprises fédérales, c'est-à-dire aux secteurs de compétence fédérale comme les banques, les télécommunications, le transport aérien et ferroviaire interprovincial. Ensuite aux renseignements personnels communiqués à l'extérieur de la province dans le cadre d'activités commerciales, ce qui vise le commerce interprovincial et international.

Pour un commerce de détail en ligne montréalais qui vend en Ontario et aux États-Unis, la conclusion pratique est qu'il vit sous les deux régimes selon la transaction. Ce n'est pas aussi compliqué que ça en a l'air, parce que la Loi 25 est généralement plus exigeante : une organisation qui la respecte sérieusement respecte l'essentiel des attentes fédérales du même coup. La bonne stratégie est de construire au standard québécois et de traiter le reste comme un sous-ensemble.

Conservation, destruction et droits des personnes

La partie la plus ignorée de la loi n'est pas la collecte, c'est la fin de vie de la donnée. Un renseignement personnel ne se garde pas indéfiniment : quand les fins pour lesquelles il a été recueilli sont accomplies, il doit être détruit ou anonymisé selon les règles prévues. Autrement dit, une politique de conservation n'est pas une bonne pratique optionnelle, c'est la contrepartie obligatoire du droit de recueillir.

C'est là que les projets d'automatisation créent le plus de dette silencieuse. Les systèmes automatisés accumulent par défaut : transcriptions d'appels, historiques de clavardage, journaux d'événements, copies de formulaires dans trois outils différents, exports vers un entrepôt de données, sauvegardes chez chaque fournisseur. Chacune de ces copies est une collecte qui doit avoir une fin. Personne ne s'en occupe, parce que le stockage ne coûte presque rien et que la suppression demande une décision.

La règle pratique qu'on applique : chaque type de donnée reçoit une durée au moment du cadrage, la suppression est automatisée plutôt que confiée à quelqu'un, et l'endroit où vivent les copies est écrit noir sur blanc. Sans ça, une demande d'accès ou de suppression devient une chasse au trésor dans six systèmes.

Les droits des personnes suivent la même logique. Une personne peut demander l'accès à ce que vous détenez sur elle, la rectification de ce qui est inexact, le retrait de son consentement, la cessation de la diffusion ou la désindexation d'un renseignement dans certains cas, et depuis 2024 la portabilité des renseignements informatisés qu'elle vous a fournis, dans un format technologique structuré et couramment utilisé. La loi fixe des délais de réponse, et c'est le silence, bien plus que le refus motivé, qui transforme une demande en plainte.

Concrètement, une PME devrait pouvoir répondre à trois questions en moins d'une heure : où sont les données de cette personne, qui peut les extraire, et comment on les supprime partout. Si la réponse demande une réunion, le système n'est pas prêt, quelle que soit la qualité du reste.

Sanctions, rôle de la CAI et recours des clients

La Commission d'accès à l'information du Québec est l'autorité de surveillance. Elle reçoit les déclarations d'incidents, traite les plaintes, mène des enquêtes, peut ordonner des mesures correctrices et peut imposer des sanctions administratives pécuniaires.

Le régime de sanctions introduit par la Loi 25 est parmi les plus sévères au Canada, et il est calculé de manière à toucher les grandes organisations autant que les petites : les sanctions administratives peuvent atteindre un pourcentage du chiffre d'affaires mondial de l'entreprise, et les sanctions pénales, imposées par un tribunal, un pourcentage supérieur encore. Les montants maximaux exacts sont fixés dans la loi. Pour une PME, la lecture utile n'est pas le plafond théorique, c'est que la loi a maintenant des dents et que la CAI a le pouvoir d'ordonner des correctifs qui coûtent du temps et de la crédibilité bien avant qu'il soit question d'une sanction.

Il existe aussi un recours privé. Une atteinte illicite à un droit conféré par la loi ouvre la porte à des dommages-intérêts punitifs, avec un plancher fixé par la loi lorsque l'atteinte est intentionnelle ou résulte d'une faute lourde. Concrètement, ça rend les recours collectifs viables pour des incidents qui, autrefois, ne justifiaient pas un dossier.

Le scénario réaliste pour une PME n'est presque jamais une descente de la CAI. C'est un client mécontent qui exerce son droit d'accès et n'obtient pas de réponse, ou un incident de confidentialité mal géré qui devient une plainte. Les deux se préviennent avec des processus ordinaires : savoir où sont les données, savoir qui est responsable, et être capable de répondre dans les délais.

Une liste de vérification avant de lancer un système IA

Voici ce qu'on regarde avant de mettre en production un système qui touche des données de clients. Ce n'est pas une ÉFVP, c'est le minimum praticable pour un projet de PME.

1. Cartographier les données. Quelles données entrent, par quel canal, où elles sont stockées, quels fournisseurs les voient, combien de temps elles restent. Presque personne ne peut répondre à ça de mémoire, et l'exercice révèle en général deux ou trois surprises.

2. Vérifier la nécessité de chaque champ. Chaque champ d'un formulaire doit servir à la finalité déclarée. Ceux qui existent « au cas où » sont un risque sans contrepartie.

3. Écrire les finalités en français simple. Si la finalité ne tient pas en une phrase compréhensible, le consentement obtenu dessus est fragile.

4. Rendre le consentement granulaire. Le consentement pour vous répondre n'est pas le consentement pour vous envoyer des promotions. Les deux se demandent séparément.

5. Décider de l'enregistrement et de la conservation. Pour chaque système : est-ce qu'on enregistre, est-ce qu'on transcrit, pour combien de temps, et qu'est-ce qui supprime automatiquement.

6. Fixer la frontière humain-machine. Est-ce que le système décide ou prépare une décision ? Si un cas décide, la transparence et le droit de révision s'appliquent, et il faut les implémenter.

7. Vérifier la configuration des fournisseurs d'IA. Confirmer par écrit que vos données ne servent pas à entraîner des modèles, et documenter la durée de conservation côté fournisseur.

8. Prévoir l'incident. Un registre, une personne responsable, un critère de déclaration et un modèle de communication. Se poser ces questions pendant un incident est la pire façon d'y répondre.

C'est la liste qu'on applique aux systèmes qu'on construit, qu'il s'agisse d'un agent vocal bilingue, d'un agent de soutien à la clientèle ou d'un tableau de bord qui rassemble des données clients. Si vous voulez en discuter pour votre opération, on est basés à Montréal et c'est le genre de question qu'on traite dès le premier appel.

Avertissement : ce guide est une vulgarisation destinée aux gestionnaires de PME. Il ne constitue pas un avis juridique. Pour une situation précise, consultez un conseiller juridique et référez-vous aux textes officiels ainsi qu'aux orientations publiées par la Commission d'accès à l'information.