Loi sur le secteur privé, art. 3.3
Évaluation des facteurs relatifs à la vie privée avant d'acquérir ou de déployer une technologie traitant des renseignements personnels
Une entreprise doit réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services impliquant des renseignements personnels, proportionnée à la sensibilité et au volume des renseignements.
Déployer un assistant d'IA, ou découvrir que des employés en utilisent déjà un avec des données de clients, est exactement le type de projet pour lequel l'article 3.3 a été écrit. L'EFVP doit précéder le déploiement, pas suivre un incident, et doit examiner quels renseignements personnels l'outil recevra et comment ils sont protégés. L'IA fantôme rend cela impossible à satisfaire : LayerX mesurait en 2025 que les organisations n'ont aucune visibilité sur environ 89 % de l'usage de l'IA, et on ne peut pas évaluer un système dont on ignore l'existence.
Loi sur le secteur privé, art. 17
Évaluation avant de communiquer des renseignements personnels à l'extérieur du Québec
Avant de communiquer des renseignements personnels à l'extérieur du Québec, une entreprise doit réaliser une évaluation des facteurs relatifs à la vie privée tenant compte de la sensibilité des renseignements, des fins, des mesures de protection et du régime juridique de l'État destinataire, et ne peut procéder que si l'évaluation démontre une protection adéquate, avec une entente écrite.
La plupart des outils d'IA populaires sont hébergés aux États-Unis : une requête contenant des renseignements personnels tapée par un employé à Montréal est donc une communication hors Québec que l'article 17 exige d'avoir évaluée d'avance. Une organisation qui n'a jamais mené cette évaluation, mais dont le personnel utilise des robots conversationnels américains avec des données de clients, est en défaut à chaque requête de ce genre. Caviarder les renseignements personnels avant l'envoi supprime la communication qui déclenche l'article.
Loi sur le secteur privé, art. 12.1
Transparence des décisions fondées exclusivement sur un traitement automatisé
Lorsqu'une entreprise utilise des renseignements personnels pour rendre une décision fondée exclusivement sur un traitement automatisé, elle doit en informer la personne au plus tard au moment de la décision et, sur demande, lui indiquer les renseignements utilisés, les raisons et principaux facteurs ayant mené à la décision, et son droit de faire rectifier les renseignements. La personne doit pouvoir présenter ses observations à quelqu'un en mesure de réviser la décision.
Si l'IA filtre des curriculum vitae, évalue des demandes de crédit ou d'assurance, ou trie des clients sans intervention humaine significative, les obligations de l'article 12.1 s'appliquent. Les organisations doivent savoir lesquels de leurs processus sont discrètement devenus des décisions automatisées à mesure que les équipes adoptent l'IA, et maintenir une voie de révision humaine. C'est l'une des rares règles de transparence des décisions automatisées réellement en vigueur en Amérique du Nord, applicable depuis septembre 2023.
Loi sur le secteur privé, art. 9.1
Confidentialité par défaut pour les produits et services technologiques
Une entreprise qui recueille des renseignements personnels en offrant au public un produit ou un service technologique doit s'assurer que les paramètres de ce produit ou service assurent par défaut le plus haut niveau de confidentialité, sans intervention de la personne concernée.
Pour les organisations qui offrent des produits dotés d'IA aux utilisateurs québécois, les paramètres protecteurs par défaut sont obligatoires, pas un choix de conception. À l'interne, la même philosophie est la lecture sensée de toute la loi : l'état par défaut de l'usage de l'IA par les employés devrait être qu'aucun renseignement personnel ne sort, avec des exceptions ouvertes délibérément plutôt que des fuites colmatées après coup.
Loi sur le secteur privé, art. 12 et 14
Consentement : toute nouvelle fin exige un consentement nouveau et spécifique
Les renseignements personnels ne peuvent être utilisés au sein de l'entreprise qu'aux fins pour lesquelles ils ont été recueillis, sauf consentement de la personne ou exception étroite (comme certains usages dépersonnalisés à des fins d'étude ou de statistique). Le consentement doit être manifeste, libre, éclairé, donné à des fins spécifiques, et demandé en termes simples et clairs, distinctement de toute autre information.
Verser des dossiers de clients dans un outil d'IA externe ne figure presque jamais parmi les fins consenties lors de la collecte : il faut donc un consentement frais et spécifique, ou entrer dans une exception étroite. La norme de consentement de la Loi 25 est assez exigeante pour que les solutions fondées sur le consentement soient fragiles en matière d'IA. La dépersonnalisation avant que les données n'entrent dans l'outil est la voie la plus robuste, puisque des renseignements correctement dépersonnalisés, utilisés dans les limites permises, contournent le problème du consentement.