Loi 25 et IA : ce que les petits cabinets doivent évaluer

La réforme québécoise de la vie privée vise les entreprises de toute taille comprises dans le champ de la loi sur le secteur privé. L'ajout d'un outil d'IA peut modifier la collecte, l'utilisation, la communication et la conservation des renseignements personnels. Il faut déterminer quelles obligations l'usage envisagé déclenche et comment le cabinet peut démontrer qu'il les respecte.

L'état de la Loi 25 en mai 2026

Les principales modifications de la Loi 25 pour le secteur privé sont entrées en vigueur par étapes de septembre 2022 à septembre 2024. Selon la loi modifiée, la personne ayant la plus haute autorité assume la responsabilité de la protection des renseignements personnels, sauf délégation écrite. Tous les incidents de confidentialité doivent être consignés, mais l'avis à la CAI et aux personnes concernées dépend d'un risque de préjudice sérieux. Cette distinction compte lors d'une enquête sur une communication accidentelle.

Les régimes de sanctions sont distincts. Pour une personne autre qu'une personne physique, le plafond administratif est le plus élevé de 10 millions de dollars ou de 2 % du chiffre d'affaires mondial de l'exercice précédent. Le maximum pénal est le plus élevé de 25 millions ou de 4 %. Les personnes physiques ont d'autres limites : 50 000 dollars pour une sanction administrative et 100 000 dollars pour une première infraction pénale. Ce sont des limites légales, et non des montants automatiques pour un incident lié à l'IA.

Dans son mémoire de janvier 2025 sur l'IA au travail, la CAI préconise un meilleur encadrement de la vie privée des travailleurs. Ces recommandations éclairent ses préoccupations; elles ne modifient pas la loi et ne rendent pas, à elles seules, chaque mesure recommandée obligatoire.

Où les outils d'IA rencontrent la Loi 25

Trois dispositions de la loi sur le secteur privé sont particulièrement pertinentes pour un service d'IA qui traite des renseignements personnels. Elles s'ajoutent aux autres obligations, dont l'évaluation de projet prévue à l'article 3.3 lorsque ses conditions sont réunies. Il faut d'abord vérifier le champ de la loi : l'article 1 exclut des sections II et III les renseignements qui ont un caractère public en vertu de la loi ainsi que certains renseignements relatifs à l'exercice d'une fonction dans une entreprise. La présence d'une copie d'un document en ligne ne suffit pas à établir ce statut juridique.

Article 17. Avant de communiquer des renseignements personnels hors Québec, l'entreprise doit évaluer les facteurs relatifs à la vie privée, notamment la sensibilité, la finalité, les protections et le régime juridique applicable à destination. L'évaluation doit démontrer une protection adéquate, et une entente écrite doit tenir compte de ses résultats et des mesures d'atténuation. La disposition vise aussi le fait de confier à une personne hors Québec la collecte, l'utilisation, la communication ou la conservation pour son compte. Un hébergement ontarien peut donc être pertinent, comme un hébergement américain. Une requête soulève cette question si elle transmet effectivement des renseignements personnels hors Québec; leur nombre ne démontre ni une contravention ni l'obligation de réaliser une évaluation distincte pour chacune. Article 17.

Article 12.1. Lorsque des renseignements personnels servent à rendre une décision fondée exclusivement sur leur traitement automatisé, la personne doit en être informée au plus tard lors de la communication de la décision. Sur demande, l'entreprise doit lui indiquer les renseignements utilisés, les raisons et les principaux facteurs et paramètres, ainsi que son droit de faire rectifier ces renseignements. La personne doit aussi pouvoir présenter ses observations à un membre du personnel en mesure de réviser la décision. Un projet consultatif réellement évalué par un professionnel n'est pas automatiquement une telle décision; un refus automatisé de mandat peut exiger cette analyse. Article 12.1.

Article 18.3. Cette disposition permet, sans consentement, une communication nécessaire à l'exercice d'un mandat ou à l'exécution d'un contrat de service confié à un tiers. Pour un fournisseur technologique ordinaire, l'entente écrite doit préciser les protections de confidentialité, les limites d'utilisation et la non-conservation après le contrat. Le fournisseur doit signaler sans délai les violations ou tentatives de violation de confidentialité et permettre les vérifications. La loi prévoit une réserve pour les organismes publics et les membres d'un ordre professionnel. La gratuité ou le prix de l'abonnement ne tranche pas la conformité : il faut examiner l'entente, les usages permis, la conservation et l'accès. Le secret professionnel demeure une question distincte. Article 18.3.

La réalité des petits cabinets

Prenons un cabinet hypothétique dont les employés commencent à utiliser des services d'IA externes sans processus approuvé. Une personne transmet un contrat contenant des renseignements personnels; une autre colle un interrogatoire incomplètement caviardé. Le cabinet doit établir ce qui a été transmis, où les données ont été traitées, qui pouvait y accéder et ce que l'entente permettait. Ces faits déterminent les questions de communication, de sécurité et d'incident. Le nom du produit ou la présence d'une fonction d'IA ne suffit pas.

Un processus utilisable attribue les responsabilités, évalue le service avant son utilisation et précise aux employés les renseignements permis. Il consigne aussi les changements de sous-traitants, d'accès ou d'usage susceptibles de remettre en cause une évaluation antérieure.

Supacorp et la conformité par conception

Supacorp est le produit de gestion d'entités que je développe pour les praticiens autonomes et les petits cabinets canadiens. L'objectif de conception est de faciliter l'examen des flux d'information, des contrôles d'accès et des registres. Ces contrôles appuient l'analyse juridique du cabinet; ils ne la remplacent pas.

La séparation entre cabinets et les contrôles de la base de données doivent être testés, notamment pour les accès privilégiés et de service. Ils ne démontrent pas à eux seuls le respect d'un contrat de sous-traitance ou du secret professionnel. L'hébergement canadien est un autre choix utile, mais un cabinet québécois doit encore examiner le traitement ailleurs au Canada, l'accès du soutien externe et les sous-traitants.

La minimisation commence par la finalité et les exigences réelles de chaque dépôt. L'adresse d'un administrateur ne devrait pas être recueillie simplement parce qu'un autre régime ou formulaire la demande. Une piste de vérification peut appuyer l'accès, la rectification et la responsabilisation, mais un rapport généré n'est pas automatiquement une EFVP complète.

Ce qu'il faut surveiller

Il faut suivre les décisions publiées de la CAI pour comprendre l'application des critères légaux aux usages concrets de l'IA et distinguer une recommandation d'une obligation exécutoire. L'approvisionnement doit examiner les flux réels et les garanties contractuelles de chaque service. Une marque canadienne, un réglage excluant l'entraînement ou un tableau de vérification renseigne sur certains contrôles; aucun n'accorde d'exemption générale aux lois sur la vie privée.