Ce qui rend un projet d’IA risqué au regard de la Loi 25, ce n’est presque jamais l’outil. C’est ce qu’on lui donne à lire, où ça va, et ce qu’on fait de sa réponse. Voici les vérifications qu’on fait systématiquement avant de brancher quoi que ce soit, expliquées pour quelqu’un qui n’est pas juriste.
L’outil n’est pas le déclencheur
Une question revient toujours : est-ce que ChatGPT, Copilot ou tel autre outil est « conforme à la Loi 25 » ? La question est mal posée. La loi ne se préoccupe pas du nom de l’outil. Elle s’intéresse aux renseignements personnels que vous traitez, à ce que vous en faites, à qui y a accès et à l’endroit où ils vont.
Le même outil peut donc être parfaitement acceptable pour résumer un document sans renseignements personnels, et très problématique dès qu’on y colle un dossier client complet. Le tri se fait au niveau de l’usage, pas du logo.
Première vérification : quels renseignements personnels entrent dans le système ?
Avant tout, on cartographie. Qu’est-ce qui sera envoyé au modèle ? Des noms, des courriels, des numéros de dossier, des informations de santé, des évaluations d’employés ? Souvent, on découvre qu’une part importante de ce qu’on comptait envoyer est inutile à la tâche. On peut retirer, masquer ou résumer avant l’envoi, et le risque baisse d’un coup sans que le résultat se dégrade.
C’est le principe de minimisation, et c’est le levier le plus rentable de tout le dossier. Moins vous envoyez, moins vous avez à protéger.
Deuxième vérification : où vont les données ?
Un modèle d’IA hébergé à l’extérieur du Québec implique que des renseignements personnels sortent de la province. La loi encadre ce cas : avant de communiquer des renseignements à l’extérieur du Québec, l’entreprise doit évaluer, entre autres, le niveau de protection que le régime de l’endroit visé offre, notamment au regard des principes de protection généralement reconnus.
En pratique, ça se traduit par des questions très concrètes à poser à un fournisseur. Où sont les serveurs ? Les données servent-elles à entraîner les modèles ? Combien de temps sont-elles conservées ? Qui, chez le fournisseur, peut y accéder ? Si le fournisseur ne sait pas répondre clairement, vous avez déjà une réponse.
Troisième vérification : l’évaluation des facteurs relatifs à la vie privée
La loi prévoit une évaluation des facteurs relatifs à la vie privée, souvent appelée ÉFVP, pour tout projet d’acquisition, de développement ou de refonte d’un système d’information qui implique des renseignements personnels. Elle s’applique aussi avant de communiquer des renseignements à l’extérieur du Québec.
Dit simplement : un projet d’IA qui touche des renseignements personnels déclenche très souvent cet exercice. Ce n’est pas un monstre administratif. C’est un document qui décrit ce que le système traite, pourquoi, avec quelles protections, et quels risques restent. Bien fait au début du projet, il prend quelques jours et il guide aussi les choix techniques. Fait à la fin, il révèle des problèmes qu’il est devenu cher de corriger.
Quatrième vérification : y a-t-il une décision automatisée ?
La loi contient une règle précise pour les décisions prises exclusivement par un traitement automatisé de renseignements personnels. L’entreprise doit en informer la personne visée au plus tard au moment où elle l’informe de la décision. Sur demande, elle doit lui indiquer les renseignements utilisés et les principales raisons et facteurs qui ont mené à la décision, et lui permettre de faire réviser cette décision par un membre du personnel.
C’est là qu’un principe qu’on applique dans tous nos mandats prend tout son sens : la validation humaine. Quand l’IA prépare et qu’une personne décide, on n’est pas dans le cas d’une décision prise exclusivement par un traitement automatisé. Ce n’est pas un détour juridique, c’est aussi la meilleure façon de livrer un système fiable. Chez un client en santé publique, par exemple, les agents soutiennent le traitement des dossiers avec plusieurs points de validation humaine, et aucun système existant n’est touché.
Cinquième vérification : qui est responsable chez vous ?
Toute entreprise doit désigner une personne responsable de la protection des renseignements personnels. Dans une PME, c’est souvent la dirigeante ou le dirigeant par défaut, et c’est correct. Le point important, c’est qu’une personne ait explicitement ce rôle, qu’elle soit au courant du projet d’IA avant qu’il démarre, et qu’elle sache quoi faire en cas d’incident de confidentialité.
Ce qui change dans un contrat avec un fournisseur d’IA
- Les usages permis. Le contrat dit-il que vos données ne servent pas à entraîner les modèles du fournisseur ?
- La conservation. Combien de temps les requêtes et les réponses sont-elles gardées, et peut-on les faire supprimer ?
- La localisation. Dans quelle région les données sont-elles traitées et stockées ?
- Les incidents. Comment et dans quel délai le fournisseur vous prévient-il d’un incident ?
- Les sous-traitants. Qui d’autre voit vos données, et sous quelles conditions ?
Ce qu’on ne devrait pas retarder à cause de la loi
Il existe un réflexe inverse, tout aussi coûteux : ne rien faire par peur de mal faire. Beaucoup de cas d’usage à fort rendement n’impliquent aucun renseignement personnel, ou très peu : lire des rapports techniques, des fiches de pièces, des plans, des gabarits de soumission, des procédures internes. Ceux-là peuvent démarrer vite. Un bon diagnostic sépare justement les cas simples des cas qui demandent plus de précautions, et on commence par les premiers.
Les sanctions, pour mettre les choses en perspective
La loi prévoit des sanctions administratives pécuniaires pouvant aller jusqu’à 10 M$ ou 2 % du chiffre d’affaires mondial, et des amendes pénales pouvant aller jusqu’à 25 M$ ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé. Ces montants visent surtout les situations graves ou répétées. Ils illustrent surtout que la loi est prise au sérieux, et qu’un projet bâti sans y penser peut devenir un problème.
La séquence qu’on suit
En résumé, avant de brancher un outil d’IA sur des renseignements personnels : cartographier ce qui entre, réduire au strict nécessaire, vérifier où les données vont, faire l’ÉFVP au début, garder une personne qui valide les décisions, et lire le contrat du fournisseur avec les bonnes questions. Un projet qui pose ces questions en amont se livre en semaines. Un projet qui les découvre à la fin attend des mois.
Pour voir comment ces principes s’appliquent dans un projet réel en santé publique, lisez l’étude de cas Santé Québec Capitale-Nationale →
Ce que cet article avance, on l'a mis en production chez un client. Le cas raconte ce qui a été bâti, comment, et ce que ça a changé.
