Lois canadiennes sur la vie privée et l’IA

Loi 25 (Québec)

Loi 25 : Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (anciennement projet de loi 64)

La loi québécoise modernisée sur la protection des renseignements personnels, la plus stricte en Amérique du Nord, avec des amendes jusqu'à 25 M$ CA ou 4 % du chiffre d'affaires mondial. Expliquée ici sous l'angle des outils d'IA : évaluations des facteurs relatifs à la vie privée obligatoires, transparence des décisions automatisées et données quittant le Québec.

Québec, Canada (secteurs privé et public)Pleinement en vigueur; dernière phase (portabilité des données) effective en septembre 2024Vérifié le 2026-08-31

Ce que cela signifie pour l'IA et la protection des données

La Loi 25 est ce qui ressemble le plus au RGPD en Amérique du Nord, et elle atteint directement l'usage de l'IA. Avant d'acquérir ou de déployer toute technologie qui traite des renseignements personnels, ce qui inclut un outil d'IA dans lequel des employés colleront des données de clients, les organisations doivent réaliser une évaluation des facteurs relatifs à la vie privée (EFVP), et une autre avant de communiquer des renseignements personnels à l'extérieur du Québec, ce que la plupart des fournisseurs d'IA hébergés aux États-Unis déclenchent. L'article 12.1 exige d'informer les personnes lorsqu'une décision à leur sujet est fondée exclusivement sur un traitement automatisé. La confidentialité par défaut, des règles de consentement strictes pour les usages secondaires et des amendes jusqu'à 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial font du Québec le territoire où l'usage non encadré de l'IA par les employés coûte le plus cher. La CAI est un régulateur actif, doté de pouvoirs d'enquête et d'ordonnance, pas un tigre de papier.

À qui cela s'applique

  • Toute entreprise qui exploite une entreprise au Québec et qui recueille, détient, utilise ou communique des renseignements personnels, peu importe où se trouve son siège
  • Les organismes publics québécois, sous la loi parallèle du secteur public
  • Les organisations hors Québec qui reçoivent des renseignements personnels concernant des personnes au Québec
  • Tout outil d'IA, acheté ou fantôme, qui traite des renseignements personnels de résidents du Québec

Application et sanctions

La Loi 25 a donné de vraies dents à la CAI. Les sanctions administratives pécuniaires atteignent 10 millions de dollars canadiens ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé, imposées directement par la CAI sans passer par les tribunaux. Les infractions pénales, comme la collecte ou la communication illicite de renseignements personnels ou l'entrave au travail de la CAI, entraînent des amendes jusqu'à 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé. La loi a aussi créé un droit privé d'action avec des dommages-intérêts punitifs d'au moins 1 000 $ CA pour les atteintes intentionnelles ou résultant d'une faute lourde. La CAI peut ordonner à une organisation de cesser de communiquer des renseignements personnels, y compris à un fournisseur technologique, et mène activement des enquêtes depuis l'entrée en vigueur des dispositions centrales en septembre 2023.

Dispositions clés pour l'IA et la protection des données

Loi sur le secteur privé, art. 3.3

Évaluation des facteurs relatifs à la vie privée avant d'acquérir ou de déployer une technologie traitant des renseignements personnels

Une entreprise doit réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services impliquant des renseignements personnels, proportionnée à la sensibilité et au volume des renseignements.

Déployer un assistant d'IA, ou découvrir que des employés en utilisent déjà un avec des données de clients, est exactement le type de projet pour lequel l'article 3.3 a été écrit. L'EFVP doit précéder le déploiement, pas suivre un incident, et doit examiner quels renseignements personnels l'outil recevra et comment ils sont protégés. L'IA fantôme rend cela impossible à satisfaire : LayerX mesurait en 2025 que les organisations n'ont aucune visibilité sur environ 89 % de l'usage de l'IA, et on ne peut pas évaluer un système dont on ignore l'existence.

Loi sur le secteur privé, art. 17

Évaluation avant de communiquer des renseignements personnels à l'extérieur du Québec

Avant de communiquer des renseignements personnels à l'extérieur du Québec, une entreprise doit réaliser une évaluation des facteurs relatifs à la vie privée tenant compte de la sensibilité des renseignements, des fins, des mesures de protection et du régime juridique de l'État destinataire, et ne peut procéder que si l'évaluation démontre une protection adéquate, avec une entente écrite.

La plupart des outils d'IA populaires sont hébergés aux États-Unis : une requête contenant des renseignements personnels tapée par un employé à Montréal est donc une communication hors Québec que l'article 17 exige d'avoir évaluée d'avance. Une organisation qui n'a jamais mené cette évaluation, mais dont le personnel utilise des robots conversationnels américains avec des données de clients, est en défaut à chaque requête de ce genre. Caviarder les renseignements personnels avant l'envoi supprime la communication qui déclenche l'article.

Loi sur le secteur privé, art. 12.1

Transparence des décisions fondées exclusivement sur un traitement automatisé

Lorsqu'une entreprise utilise des renseignements personnels pour rendre une décision fondée exclusivement sur un traitement automatisé, elle doit en informer la personne au plus tard au moment de la décision et, sur demande, lui indiquer les renseignements utilisés, les raisons et principaux facteurs ayant mené à la décision, et son droit de faire rectifier les renseignements. La personne doit pouvoir présenter ses observations à quelqu'un en mesure de réviser la décision.

Si l'IA filtre des curriculum vitae, évalue des demandes de crédit ou d'assurance, ou trie des clients sans intervention humaine significative, les obligations de l'article 12.1 s'appliquent. Les organisations doivent savoir lesquels de leurs processus sont discrètement devenus des décisions automatisées à mesure que les équipes adoptent l'IA, et maintenir une voie de révision humaine. C'est l'une des rares règles de transparence des décisions automatisées réellement en vigueur en Amérique du Nord, applicable depuis septembre 2023.

Loi sur le secteur privé, art. 9.1

Confidentialité par défaut pour les produits et services technologiques

Une entreprise qui recueille des renseignements personnels en offrant au public un produit ou un service technologique doit s'assurer que les paramètres de ce produit ou service assurent par défaut le plus haut niveau de confidentialité, sans intervention de la personne concernée.

Pour les organisations qui offrent des produits dotés d'IA aux utilisateurs québécois, les paramètres protecteurs par défaut sont obligatoires, pas un choix de conception. À l'interne, la même philosophie est la lecture sensée de toute la loi : l'état par défaut de l'usage de l'IA par les employés devrait être qu'aucun renseignement personnel ne sort, avec des exceptions ouvertes délibérément plutôt que des fuites colmatées après coup.

Loi sur le secteur privé, art. 12 et 14

Consentement : toute nouvelle fin exige un consentement nouveau et spécifique

Les renseignements personnels ne peuvent être utilisés au sein de l'entreprise qu'aux fins pour lesquelles ils ont été recueillis, sauf consentement de la personne ou exception étroite (comme certains usages dépersonnalisés à des fins d'étude ou de statistique). Le consentement doit être manifeste, libre, éclairé, donné à des fins spécifiques, et demandé en termes simples et clairs, distinctement de toute autre information.

Verser des dossiers de clients dans un outil d'IA externe ne figure presque jamais parmi les fins consenties lors de la collecte : il faut donc un consentement frais et spécifique, ou entrer dans une exception étroite. La norme de consentement de la Loi 25 est assez exigeante pour que les solutions fondées sur le consentement soient fragiles en matière d'IA. La dépersonnalisation avant que les données n'entrent dans l'outil est la voie la plus robuste, puisque des renseignements correctement dépersonnalisés, utilisés dans les limites permises, contournent le problème du consentement.

Étapes pratiques de conformité

  1. 1Inventorier chaque outil d'IA utilisé dans l'organisation, y compris les outils non approuvés dans le navigateur, avant que la CAI ou un incident ne le fasse à votre place
  2. 2Réaliser une évaluation des facteurs relatifs à la vie privée en vertu de l'article 3.3 pour les outils d'IA qui traiteront des renseignements personnels, et documenter la proportionnalité
  3. 3Mener l'évaluation de l'article 17 pour tout fournisseur d'IA hébergé hors du Québec, et conclure l'entente écrite requise
  4. 4Repérer les processus où des décisions d'IA se prennent sans intervention humaine significative et bâtir l'avis et la voie de révision de l'article 12.1
  5. 5Établir la règle interne que les renseignements personnels n'entrent pas dans les requêtes d'IA, et l'appliquer avec un contrôle technique qui caviarde les identifiants avant l'envoi
  6. 6Former le personnel québécois sur ce qui constitue un renseignement personnel dans une requête : noms, adresses, NAS, détails de santé, identifiants financiers
  7. 7Consigner les preuves d'interception et d'usage pour répondre aux EFVP et aux demandes de la CAI avec des données plutôt que des estimations

Comment Sanitized AI y répond

Art. 17 (communication hors Québec)

Les identifiants personnels sont interceptés et caviardés dans les requêtes avant l'envoi : ce qui atteint un fournisseur d'IA hébergé aux États-Unis contient beaucoup moins de renseignements personnels, ce qui réduit la portée de la communication transfrontalière que l'évaluation doit justifier.

Art. 3.3 (évaluation des facteurs relatifs à la vie privée)

Les tableaux de bord d'administration montrent quels outils d'IA les employés utilisent réellement et quelles catégories de données personnelles ont été interceptées, donnant à l'EFVP un inventaire factuel à évaluer plutôt que des conjectures.

Confidentialité par défaut (philosophie de l'art. 9.1)

Le caviardage au point d'entrée fait de « les renseignements personnels restent à l'interne » l'état par défaut de l'usage de l'IA par les employés, les exceptions devenant un choix administratif délibéré plutôt qu'un accident.

Reddition de comptes à la CAI

Les journaux d'interception et les rapports d'usage donnent au responsable de la protection des renseignements personnels une preuve documentée de contrôles en fonctionnement, le type de dossier qui distingue une position défendable d'un cas de sanction après un incident.

Questions fréquentes

La Loi 25 du Québec s'applique-t-elle aux entreprises hors Québec?

Oui, si elles traitent des renseignements personnels concernant des personnes au Québec dans le cadre de l'exploitation d'une entreprise au Québec. Une entreprise de Toronto ou des États-Unis qui sert des clients québécois est assujettie à la loi sur le secteur privé pour ces renseignements, y compris ses règles de communication transfrontalière et son régime de sanctions.

Faut-il une évaluation des facteurs relatifs à la vie privée avant d'utiliser des outils d'IA au Québec?

Si l'outil traite des renseignements personnels, oui. L'article 3.3 exige une EFVP pour tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels, et un outil d'IA qui reçoit des données de clients ou d'employés dans des requêtes est visé. Une seconde évaluation, sous l'article 17, est requise avant toute communication de renseignements personnels hors du Québec, ce que déclenchent les fournisseurs d'IA hébergés aux États-Unis.

Les employés québécois peuvent-ils utiliser ChatGPT avec des données de clients?

Pas avec des données de clients identifiables, à moins d'un consentement spécifique, d'une évaluation de l'article 17 complétée pour la communication transfrontalière et d'une fin couverte lors de la collecte, conditions qui ne se réunissent presque jamais pour un usage courant de robot conversationnel. L'approche praticable consiste à laisser les employés utiliser les outils d'IA tout en retirant les renseignements personnels des requêtes, de sorte que l'activité ne comporte plus de communication de renseignements personnels.

Quelles sont les sanctions prévues par la Loi 25?

La CAI peut imposer des sanctions administratives pécuniaires jusqu'à 10 millions de dollars canadiens ou 2 % du chiffre d'affaires mondial, et les infractions pénales entraînent des amendes jusqu'à 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé. Il existe aussi un droit privé d'action avec des dommages-intérêts punitifs d'au moins 1 000 $ CA. Ce sont les sanctions les plus lourdes en matière de vie privée en Amérique du Nord.

Que dit la Loi 25 sur les décisions automatisées?

L'article 12.1 exige d'informer les personnes lorsqu'une décision à leur sujet est fondée exclusivement sur un traitement automatisé et, sur demande, d'expliquer les renseignements utilisés et les principaux facteurs ayant mené à la décision, avec la possibilité de présenter des observations à quelqu'un en mesure de la réviser. Il est en vigueur depuis septembre 2023 et couvre le filtrage, la notation et le tri pilotés par l'IA sans intervention humaine significative.

La Loi 25 est-elle la même chose que le projet de loi 64?

Oui. Le projet de loi 64 était le numéro du projet; une fois adopté en septembre 2021, il est devenu la Loi 25. Elle a modifié les lois québécoises existantes des secteurs privé et public en trois phases : septembre 2022, septembre 2023 (l'essentiel, dont les EFVP, les sanctions et la transparence des décisions automatisées) et septembre 2024 (portabilité des données).

Sources primaires

Ce guide résume les sources primaires citées à la date de vérification. Il s'agit d'information générale, pas d'un avis juridique.

La faille de chaque cadre, c'est la zone de saisie.

Sanitized AI intercepte les données sensibles dans les requêtes avant leur envoi et montre aux administrateurs quels outils d'IA sont réellement utilisés.

Demander une démo

Normes connexes