Le 11 juin 2026, la Commission d’accès à l’information a déposé son septième rapport quinquennal, Transparence et vie privée : protéger la démocratie à l’ère numérique. Soixante-quatorze recommandations, dont une série qui vise directement les systèmes d’IA et les décisions qu’ils produisent.

Précision avant d’aller plus loin : un rapport quinquennal ne change pas le droit. C’est l’avis que la Commission adresse au législateur sur ce qui devrait changer. Ces rapports ont pourtant nourri les réformes qui ont suivi, la Loi 25 comprise. Les lire, c’est voir venir plutôt que subir.

Les trois recommandations qui touchent l’IA en entreprise

1. Une analyse d’impact algorithmique greffée à l’ÉFVP. La recommandation 45 propose de « prévoir que l’ÉFVP s’accompagne d’une analyse d’impact algorithmique lorsqu’elle concerne un système d’IA visant la prise de décision automatisée concernant les personnes ». Autrement dit : l’évaluation des facteurs relatifs à la vie privée que vous connaissez ne suffirait plus dès qu’un modèle décide quelque chose au sujet d’une personne. Il faudrait analyser le système lui-même, pas seulement les données qu’il consomme.

2. Une ÉFVP redéfinie, et plus large. La recommandation 44 propose d’inscrire dans les lois que l’ÉFVP porte en premier lieu sur le droit à la vie privée, mais aussi sur les autres droits et libertés touchés, et qu’elle comporte toujours trois volets : conformité légale du projet, évaluation des risques, mesures d’atténuation. Beaucoup d’ÉFVP faites aujourd’hui s’arrêtent au premier volet.

3. Les inférences deviennent des renseignements personnels. Les recommandations 33 et 34 proposent d’intégrer explicitement les inférences faites par profilage à la définition de renseignement personnel, et d’élargir cette notion au-delà du seul critère d’identification. Conséquence directe : un pointage de risque, une probabilité de départ ou une catégorie générée par un modèle au sujet d’un client ou d’un employé deviendrait un renseignement personnel à part entière, avec les obligations qui viennent avec.

Le volet travail était déjà sur la table

La Commission avait détaillé sa position sur l’IA en milieu de travail dans un mémoire déposé au ministère du Travail le 27 janvier 2025, L’IA au travail : pour un meilleur encadrement. Six recommandations, résumées ici :

#Ce que la Commission propose
1Divulguer dans la politique de confidentialité tout usage d’IA ou de surveillance : noms des systèmes, fournisseurs, finalités, données en entrée et en sortie, incidence sur les droits, audits réalisés
2Divulguer aux employés l’intention de recourir à des décisions partiellement ou entièrement automatisées, dès qu’elle est confirmée
3Prévoir un mécanisme d’accès collectif aux données utilisées ou générées par les systèmes d’IA
4Imposer une analyse d’impact algorithmique pour tout système d’IA prenant des décisions partiellement ou entièrement automatisées
5Rendre obligatoire l’implication des employés dans cette analyse
6Interdire certains usages : reconnaissance des émotions, plupart des formes de catégorisation biométrique, décision entièrement automatisée à effets importants sur les employés

Regardez la première ligne : elle décrit un inventaire. Pas un principe, un inventaire. Nom du système, fournisseur, données en entrée, données en sortie. C’est le document que presque aucune PME ne possède aujourd’hui, et c’est celui par lequel tout le reste commence.

Quatre gestes qui ne coûtent rien à poser maintenant

Inventoriez. Un tableau, six colonnes : outil, fournisseur, qui l’utilise, pour quoi faire, quelles données entrent, quelles données sortent. Rien d’autre. Ce tableau vous servira quelle que soit la forme finale de la loi.

Distinguez assistance et décision. Un modèle qui rédige un brouillon n’est pas un modèle qui trie des candidatures. La première catégorie pose des questions de confidentialité; la seconde pose en plus des questions de décision automatisée, et c’est elle que toutes les recommandations ci-dessus visent. Classez vos usages dans l’une ou l’autre.

Écrivez ce que vous faites. Votre politique de confidentialité mentionne-t-elle les outils d’IA que vos équipes utilisent réellement ? Si la réponse est non, l’écart entre votre pratique et votre documentation existe déjà, indépendamment de toute réforme.

Documentez vos évaluations. Si vous avez fait une ÉFVP pour un projet touchant l’IA, conservez-en la trace et notez ce que vous n’avez pas évalué. Le jour où l’analyse d’impact algorithmique devient obligatoire, vous partirez d’un document, pas d’une page blanche.

Ce qui est déjà obligatoire, lui

Rien de ce qui précède n’est en vigueur. Ce qui l’est : les obligations de la Loi 25 sur les renseignements personnels, l’ÉFVP dans les cas prévus, le registre des incidents, et l’obligation d’informer une personne lorsqu’une décision la concernant est fondée exclusivement sur un traitement automatisé. Notre billet La Loi 25 quand vos employés utilisent l’IA couvre ce socle.

Notez le mot « exclusivement ». C’est lui que la Commission propose de faire sauter, en visant les décisions « partiellement ou entièrement automatisées ». Pour une PME, c’est le basculement le plus concret de tout le rapport : un tri de candidatures assisté par IA, hors périmètre aujourd’hui parce qu’un humain tranche, y entrerait.

Le rapport quinquennal ne crée pas de nouvelle urgence. Il indique la direction, et cette direction est constante depuis trois ans : plus de transparence sur les systèmes, plus de responsabilité sur les décisions qu’ils produisent. Les organisations qui tiennent déjà un inventaire n’auront rien à rattraper.

Pour situer votre organisation en quelques minutes : notre évaluation Loi 25 et IA pose les questions dans l’ordre, sans rien collecter. Et si l’inventaire est le geste qui bloque, on le fait avec vous.