Loi 25 et automatisation : ce qu'il faut vérifier avant de brancher un outil d'IA
Avant d'automatiser un processus contenant des renseignements personnels, une PME québécoise doit savoir quatre choses : où les données seront hébergées, si elles sortent du Québec, qui y aura accès, et si le système prend une décision touchant une personne sans intervention humaine. Ces quatre réponses se décident à la conception, pas après.
La plupart des PME québécoises découvrent la Loi 25 au moment où elles branchent un outil d'automatisation — et souvent trop tard, quand le système est déjà en place. Ce n'est pas une raison de renoncer à automatiser. C'est une raison de régler quatre questions au départ, quand elles ne coûtent presque rien.
Précision nécessaire : ce qui suit est une vulgarisation destinée à vous aider à poser les bonnes questions. Ce n'est pas un avis juridique. Pour un traitement de données sensibles — santé, finances personnelles, dossiers d'employés — faites valider votre démarche par un conseiller juridique.
Question 1 — Où vivront les données ?
Dès qu'un processus automatisé touche des renseignements personnels — un nom de client, une adresse courriel, un dossier d'employé — il faut savoir physiquement où ces données se trouvent. Pas « dans le nuage » : dans quel pays, chez quel fournisseur.
La loi n'interdit pas l'hébergement à l'étranger. Elle exige que vous ayez fait l'analyse avant, et que vous puissiez la produire si on vous la demande. Choisir d'emblée un hébergement canadien vous évite cette démarche pour la majorité des cas.
Question 2 — Qui y a accès, et est-ce tracé ?
Un système automatisé multiplie les points d'accès : le fournisseur de l'outil, votre intégrateur, vos employés, parfois un service tiers dans la chaîne. Chacun doit être identifié, et les accès doivent être nominatifs — pas un compte partagé dont le mot de passe circule dans l'équipe.
Le registre des accès n'est pas une lubie d'auditeur. C'est ce qui vous permet, le jour où un incident survient, de répondre à la question « qui a vu quoi, et quand ». Sans lui, vous ne pouvez rien démontrer.
Question 3 — Le système prend-il des décisions tout seul ?
C'est le point le plus souvent manqué. Si votre automatisation décide seule d'un refus, d'un classement ou d'un traitement qui affecte une personne, sans qu'aucun humain n'intervienne, vous entrez dans le régime de la décision automatisée : la personne doit en être informée et pouvoir faire valoir son point de vue.
La parade est simple et de toute façon souhaitable : gardez un humain dans la boucle sur les décisions qui touchent quelqu'un. Le système prépare, propose, classe — une personne valide. Vous conservez la vitesse sans basculer dans une catégorie plus exigeante.
Question 4 — Vos sous-traitants sont-ils encadrés par écrit ?
Chaque fournisseur qui traite des renseignements personnels pour vous est un sous-traitant au sens de la loi. Cela suppose une entente écrite précisant ce qu'il peut faire, ce qu'il ne peut pas faire, combien de temps il conserve les données, et ce qu'il en fait à la fin du contrat.
Dans les faits, beaucoup de PME accumulent une dizaine d'outils sans jamais avoir signé ce type d'entente. Un inventaire annuel de vos fournisseurs de traitement est le moyen le plus simple de garder le contrôle.
Le cas particulier de l'intelligence artificielle
Les outils d'IA génératifs soulèvent une difficulté supplémentaire : ce que vous leur envoyez sort de votre environnement, et l'usage qui en est fait ensuite dépend des conditions du fournisseur. Trois approches, par ordre de prudence croissante :
| Approche | Quand l'utiliser | Ce qu'elle implique |
|---|---|---|
| Service infonuagique public | Données non personnelles : textes marketing, documentation interne | Vérifier que les données ne servent pas à l'entraînement |
| Service avec entente d'entreprise | Données personnelles courantes : noms, coordonnées | Entente de sous-traitance, évaluation si hors Québec |
| Modèle sur vos propres serveurs | Documents sensibles : dossiers RH, santé, finances | Rien ne sort du bureau, aucune communication hors Québec |
La troisième option était réservée aux grandes entreprises il y a deux ans. Elle est aujourd'hui accessible à une PME : un serveur local suffit pour faire tourner un modèle capable de lire des documents et d'en extraire l'information.
La conformité coûte peu quand elle est pensée au moment de la conception. Elle coûte cher quand il faut démonter un système déjà en production.
La liste de vérification avant de lancer un projet
- Le processus touche-t-il des renseignements personnels ? Si oui, lesquels précisément.
- Dans quel pays seront hébergées les données, et l'avez-vous écrit quelque part ?
- Qui aura accès, sous quel compte nominatif, et comment est-ce tracé ?
- Une décision affectant une personne est-elle prise sans intervention humaine ?
- Chaque fournisseur impliqué a-t-il une entente écrite encadrant son rôle ?
- Combien de temps les données sont-elles conservées, et qui les supprime ?
- Si vous cessez la relation avec votre intégrateur, récupérez-vous tout ?
Sept questions. Une PME qui peut y répondre par écrit avant de démarrer un projet d'automatisation a fait plus que la majorité de ses concurrents — et elle a surtout évité de devoir tout reprendre plus tard.
Questions fréquentes
La Loi 25 interdit-elle d'héberger des données à l'extérieur du Québec ?
Non, elle ne l'interdit pas. Elle exige une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels hors Québec, afin de vérifier que la protection y est équivalente. C'est une obligation d'analyse documentée, pas une interdiction.
Peut-on utiliser un outil d'IA américain pour traiter des documents clients ?
C'est possible dans certains cas, mais cela déclenche des obligations : évaluation préalable, entente encadrant le sous-traitant, et transparence envers les personnes concernées. Pour les documents les plus sensibles, faire tourner le traitement sur vos propres serveurs évite entièrement la question.
Qu'est-ce qu'une décision automatisée au sens de la loi ?
Une décision fondée exclusivement sur un traitement automatisé, sans intervention humaine, qui produit un effet sur une personne. La personne doit en être informée et pouvoir présenter ses observations. Un système qui prépare un brouillon validé par un humain n'entre pas dans cette catégorie.
Une PME de dix personnes est-elle vraiment visée ?
Oui. La Loi 25 s'applique à toute entreprise qui exerce au Québec et détient des renseignements personnels, sans seuil d'employés. Les obligations varient selon la nature des données traitées, pas selon la taille de l'entreprise.
Trente minutes pour savoir ce que vous pourriez arrêter de faire
Décrivez une tâche que quelqu'un refait chaque semaine. On vous dit si elle est automatisable, combien d'heures ça libère et ce que ça coûterait. Même si la réponse est non.
Demander l'audit gratuit →