Vos employés utilisent déjà l’IA générative. Pas parce que vous l’avez déployée : parce qu’elle est gratuite, accessible et utile. Et chaque fois qu’un renseignement personnel entre dans un prompt, votre organisation porte une responsabilité que la Loi 25 encadre précisément.

Ce guide couvre le volet le plus négligé de la conformité : l’usage de l’IA au quotidien. Pas les serveurs, pas les pare-feu; ce que vos équipes tapent dans les outils.

Ce que la Loi 25 a changé, en bref

Adoptée en 2021, la Loi 25 est entrée en vigueur par étapes : depuis le 22 septembre 2023, l’essentiel de ses obligations s’applique, et le volet portabilité des données est en vigueur depuis le 22 septembre 2024. Elle impose aux entreprises québécoises des obligations concrètes sur les renseignements personnels : désigner un responsable de la protection des renseignements personnels, tenir un registre des incidents de confidentialité, évaluer les facteurs relatifs à la vie privée (ÉFVP) avant certains projets, et informer les personnes lorsqu’une décision les concernant est fondée exclusivement sur un traitement automatisé. Le non-respect expose à des sanctions pouvant atteindre 25 M$ ou 4 % du chiffre d’affaires mondial, sous la surveillance de la Commission d’accès à l’information du Québec.

Rien de tout cela ne mentionne l’IA nommément. Tout cela s’applique pourtant dès qu’un outil d’IA touche des renseignements personnels.

Les quatre situations à risque

1. Des renseignements personnels dans les prompts. Un employé colle le courriel d’un client dans ChatGPT pour rédiger une réponse. Le nom, l’adresse et le contexte du client viennent de quitter votre périmètre, vers un fournisseur dont vous n’avez probablement pas vérifié les conditions.

2. Des outils que personne n’a inventoriés. Faites le test : demandez à vos équipes quels outils d’IA elles utilisent vraiment. La liste dépasse presque toujours ce que la direction imagine, et rarement un seul de ces outils est passé par un processus d’approbation. On ne peut pas encadrer ce qu’on ne voit pas.

3. Des décisions automatisées non déclarées. Un rejet automatique de candidatures sous un seuil, une priorisation de dossiers clients appliquée sans relecture : si une décision qui touche une personne est fondée exclusivement sur un traitement automatisé, la loi exige qu’elle en soit informée. Dès qu’un humain tranche réellement, l’obligation ne s’applique pas. Le mot qui compte est « réellement » : documentez qui décide, et sur quoi.

4. Des fournisseurs non vérifiés. Où sont hébergées les données ? Servent-elles à entraîner les modèles ? Le contrat le précise-t-il ? Si vous ne savez pas répondre pour chaque outil, l’exposition existe.

Les cinq gestes qui vous mettent en règle

  1. Inventoriez. Listez les outils d’IA réellement utilisés, y compris les comptes personnels utilisés au travail. C’est la fondation de tout le reste.
  2. Écrivez une politique de prompts. Une page suffit : ce qui peut entrer dans un outil d’IA, ce qui ne le peut jamais, et quoi faire en cas de doute. Communiquez-la, ne la laissez pas dormir dans un intranet.
  3. Faites une ÉFVP avant de déployer. Pour tout outil d’IA qui traitera des renseignements personnels, l’évaluation des facteurs relatifs à la vie privée n’est pas optionnelle. Elle documente les risques et les mesures prises.
  4. Désignez un responsable et outillez-le. La loi exige une personne formellement responsable. Dans une PME, c’est souvent un rôle ajouté à un poste existant : donnez-lui du temps et un mandat clair.
  5. Formez. La meilleure politique ne vaut rien si l’équipe ne la connaît pas. Une formation courte et concrète, avec les vrais outils utilisés par vos équipes, change les comportements plus qu’une directive.

Par où commencer

Si vous ne savez pas où vous vous situez, dix minutes suffisent pour un premier portrait : notre évaluation Loi 25 + IA couvre les dix points ci-dessus, gratuitement et sans collecter la moindre donnée. Vos réponses ne quittent pas votre navigateur.

Et si le portrait révèle des écarts, parlons-en : la première rencontre d’une heure est sans frais.

Cet article sensibilise; il ne constitue pas un avis juridique. Pour une analyse formelle de votre situation, consultez un juriste spécialisé en protection des renseignements personnels.