Déployer ChatGPT, Copilot ou un chatbot connecté au CRM sans grille de conformité expose toute organisation opérant au Québec à des sanctions administratives lourdes. Cet article s'adresse aux équipes IT, sécurité et conformité qui pilotent l'intégration d'outils d'IA générative dans un système d'information soumis à la Loi 25. Il ne constitue pas un avis juridique : pour toute décision engageante, consultez un avocat spécialisé en protection des renseignements personnels ou la Commission d'accès à l'information du Québec (CAI).
Portée de cet article
Le périmètre d'application de la Loi 25 pour les projets IA
La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, dite Loi 25, a été adoptée en 2021 au Québec. Son déploiement s'est fait par vagues successives — 2022, 2023, 2024. Les obligations de transparence sur les décisions automatisées sont applicables depuis septembre 2023, et l'ensemble du dispositif, y compris le droit d'action civile, est pleinement en vigueur depuis septembre 2024.
La loi s'applique dès qu'une organisation traite des renseignements personnels de résidents québécois, quel que soit son siège social. Un éditeur SaaS basé en France, aux États-Unis ou ailleurs au Canada qui propose un chatbot support ou un outil de scoring à des clients québécois entre dans le champ d'application, au même titre qu'une PME établie à Montréal.
La CAI a publié un document de réflexion consacré spécifiquement à l'IA, qui pose le cadre attendu des organisations : document de réflexion CAI sur l'IA et la vie privée. Le Guide d'intégration responsable de l'IA en milieu de travail du gouvernement du Québec formalise le même principe : la protection des données doit être intégrée dès la conception du projet, pas ajoutée en fin de course.
Cinq obligations opérationnelles avant tout déploiement IA
Toute équipe qui branche un outil d'IA sur des données de résidents québécois hérite de cinq obligations concrètes :
- Désigner un responsable de la protection des renseignements personnels. Par défaut, il s'agit de la personne ayant la plus haute autorité dans l'organisation. Ses coordonnées doivent figurer publiquement sur le site web.
- Recueillir un consentement explicite et granulaire. Pas de case précochée, pas de consentement implicite. Chaque finalité — analyse, marketing, IA générative, entraînement de modèle — nécessite un consentement distinct.
- Garantir la transparence sur les décisions automatisées. Si un algorithme prend une décision qui affecte une personne (refus de crédit, tarification dynamique, tri de candidatures), celle-ci doit en être informée et pouvoir demander une intervention humaine.
- Réaliser une ÉFVP avant tout projet. L'Évaluation des facteurs relatifs à la vie privée est obligatoire pour tout projet d'acquisition, de développement ou de refonte d'un système traitant des données personnelles — un outil IA en fait partie.
- Détruire ou anonymiser les données une fois la finalité atteinte. Cette obligation couvre explicitement les prompts envoyés à un LLM (grand modèle de langage) et les journaux de conversation.
Due diligence fournisseur avant d'activer un outil IA générative
Intégrer un chatbot, un module de scoring dans un CRM ou un plugin IA dans un outil marketing revient à confier des renseignements personnels à un tiers, potentiellement hébergé hors Québec. Cinq points doivent figurer noir sur blanc dans le contrat avec l'éditeur.
Localisation des données : toutes les juridictions ne se valent pas
La Loi 25 impose une évaluation formelle avant tout transfert de données hors Québec. Si les données quittent la province, l'organisation doit documenter que la juridiction de destination offre une protection jugée équivalente.
| Zone d'hébergement | Statut au regard de la Loi 25 | Exigence pour l'organisation |
|---|---|---|
| Canada | Statut idéal | Aucune formalité de transfert supplémentaire si le fournisseur reste sur le sol canadien |
| Union européenne (RGPD) | Acceptable sous condition | Évaluation d'équivalence documentée requise avant tout transfert |
| États-Unis | Zone à risque élevé | Garanties contractuelles renforcées : clauses type, chiffrement, engagement de non-transfert vers un tiers |
L'entraînement des modèles : la question qui bloque la majorité des projets
Confier des renseignements personnels à une IA générative en version grand public — sans compte entreprise ni API avec engagement de non-entraînement — constitue une violation directe de la Loi 25. Le principe s'applique à ChatGPT, Claude, Gemini, Copilot et à la plupart des outils SaaS intégrant une couche IA générative.
Zone rouge
Avant d'activer un outil, exigez par écrit :
- Un engagement explicite de non-utilisation des prompts et données pour l'entraînement des modèles.
- Un DPA signé et versionné.
- Un rapport d'audit SOC 2 ou une certification ISO 27001.
- Le chiffrement des données en transit et au repos.
- Le délai de conservation par défaut des prompts et de l'historique de conversation.
- La possibilité d'obtenir une purge sur demande, avec preuve de destruction.
L'enquête NETendances 2025 de l'Académie de la transformation numérique de l'Université Laval montre que l'usage de l'IA générative chez les internautes québécois a doublé en un an (enquête NETendances 2025). Cette progression augmente mécaniquement la surface d'exposition des données personnelles aux LLM publics, en particulier via des usages non encadrés côté équipes commerciales ou support.
Loi 25 face au RGPD : ce qui change pour les organisations multi-juridictions
Être conforme au RGPD ne suffit pas pour opérer légalement au Québec. La Loi 25 impose des exigences propres, en particulier sur l'ÉFVP et sur le plafond de sanction exprimé en pourcentage.
| Critère | Loi 25 (Québec) | RGPD (Union européenne) |
|---|---|---|
| Autorité de contrôle | CAI – Commission d'accès à l'information | CNIL et homologues européens |
| Consentement | Explicite, granulaire, retirable | Explicite, granulaire, retirable |
| Évaluation préalable | ÉFVP obligatoire pour tout projet technologique impliquant des données personnelles | DPIA obligatoire pour les traitements à risque élevé |
| Décisions automatisées | Transparence et droit à l'intervention humaine | Article 22 : droit de ne pas être soumis à une décision entièrement automatisée |
| Transferts hors juridiction | Évaluation d'équivalence documentée | Décision d'adéquation ou clauses contractuelles types |
| Sanction maximale | 25 M$ CAD ou 4 % du chiffre d'affaires mondial | 20 M€ ou 4 % du chiffre d'affaires mondial |
| Responsable désigné | Obligatoire, souvent le PDG par défaut | DPO obligatoire selon critères définis |
Une organisation certifiée RGPD ne peut pas se contenter de recycler sa politique de confidentialité en changeant le nom du pays visé. La documentation d'équivalence, l'engagement écrit spécifique à la Loi 25 et la mention d'un responsable nommé restent requis.
Réaliser l'ÉFVP avant un déploiement IA
L'ÉFVP (Évaluation des facteurs relatifs à la vie privée) est l'équivalent québécois du DPIA européen. La CAI met à disposition un guide officiel de réalisation d'une ÉFVP.
Cartographier les données concernées
Identifier les catégories de renseignements personnels traitées, leurs sources, formats, volumes et niveau de sensibilité (données de santé, financières, biométriques).
Décrire les traitements
Documenter ce que fait l'outil IA, avec quelle finalité et sur quelle base légale : consentement, contrat ou obligation légale.
Identifier les risques
Évaluer les scénarios de fuite, de réidentification, d'usage détourné, de décision automatisée injuste ou d'entraînement non autorisé du modèle du fournisseur.
Définir les mesures d'atténuation
Chiffrement, pseudonymisation, minimisation des données, contrat renforcé avec l'éditeur, journal d'audit, purge automatique.
Documenter et faire valider
Faire signer le responsable désigné, archiver le document, prévoir une revue annuelle. Tout changement matériel — nouvelle finalité, nouveau fournisseur, nouvelle juridiction d'hébergement — impose de refaire l'ÉFVP.
Consentement et bannières de cookies : ce qui a changé
Au Québec, il n'existe plus de consentement implicite pour les témoins (cookies) non essentiels. Le visiteur doit pouvoir refuser aussi facilement qu'accepter.
| Pratique | Avant (non conforme) | Après (conforme Loi 25) |
|---|---|---|
| Formulation de la bannière | « En continuant, vous acceptez » | Choix explicite entre accepter, refuser ou personnaliser |
| Poids visuel des boutons | « Accepter tout » en évidence, « Paramétrer » caché | Trois boutons de poids visuel identique |
| Cookies non essentiels | Activés dès l'arrivée sur le site | Bloqués tant qu'aucun choix n'est fait |
| Preuve de consentement | Aucun journal de consentement | Horodatée, exportable et opposable en cas de contrôle |
| Langue de la politique | Anglais uniquement | Français canadien, avec responsable nommé |
Des pratiques opérationnelles détaillées sur la gestion du consentement sont documentées dans ce guide sur le consentement aux cookies et la Loi 25, notamment sur les dark patterns que la CAI scrute désormais.
Mise en œuvre : repérer les applications IA connectées à Microsoft Entra ID
Avant de rédiger un registre des fournisseurs IA, encore faut-il savoir lesquels sont déjà connectés au tenant. Le script suivant interroge Microsoft Entra ID via Microsoft Graph PowerShell pour repérer les applications d'entreprise dont le nom correspond à un outil IA générative connu, et exporte les permissions déléguées accordées.
- Module requis :
Microsoft.Graph.Applications(Install-Module Microsoft.Graph -Scope CurrentUser) - Permission minimale :
Application.Read.AlletDirectory.Read.All, en lecture seule - Sortie : un fichier CSV listant les applications IA détectées et leurs permissions, exploitable pour alimenter le registre de traitement Loi 25
1# Connexion avec le scope minimal nécessaire en lecture seule2Connect-MgGraph -Scopes "Application.Read.All","Directory.Read.All"3 4# Liste de mots-clés associés à des outils d'IA générative couramment utilisés en entreprise5$motsClesIA = @("openai","chatgpt","gpt","anthropic","claude","gemini","bard","jasper","copy.ai","perplexity","midjourney")6 7# Récupération de toutes les applications d'entreprise (service principals) du tenant8$applications = Get-MgServicePrincipal -All9 10# Filtrage des applications dont le nom correspond à un outil IA connu11$appsIA = $applications | Where-Object {12 $nom = $_.DisplayName.ToLower()13 ($motsClesIA | ForEach-Object { $nom -like "*$_*" }) -contains $true14}15 16# Pour chaque application détectée, récupération des permissions déléguées accordées17$resultats = foreach ($app in $appsIA) {18 $permissions = Get-MgServicePrincipalOauth2PermissionGrant -ServicePrincipalId $app.Id -ErrorAction SilentlyContinue19 [PSCustomObject]@{20 Application = $app.DisplayName21 AppId = $app.AppId22 NombrePermissions = ($permissions | Measure-Object).Count23 Scopes = ($permissions.Scope -join ", ")24 }25}26 27# Export en CSV pour alimenter le registre de traitement Loi 2528$resultats | Export-Csv -Path ".\audit-apps-ia-tenant.csv" -NoTypeInformation -Encoding UTF829 30Write-Output "Audit terminé : $($resultats.Count) application(s) IA détectée(s) dans le tenant."Limite de ce script
Ce qu'il faut faire concrètement
La conformité Loi 25 n'est pas un chantier ponctuel : c'est un processus qui doit s'intégrer au cycle de vie de tout projet IA, dès la sélection du fournisseur.
- Vérifiez qu'un responsable de la protection des renseignements personnels est désigné et publié sur le site web de l'organisation.
- Exécutez un audit des applications IA déjà connectées au tenant Microsoft Entra ID avant d'en ajouter de nouvelles.
- Exigez systématiquement un DPA signé et un engagement écrit de non-entraînement de la part de tout fournisseur IA.
- Documentez une ÉFVP avant chaque nouveau déploiement IA touchant des données personnelles — pas après.
- Mettez à jour la bannière de consentement pour offrir un choix réellement symétrique entre accepter et refuser.
Si votre organisation traite déjà des données de résidents québécois via une offre IA grand public, le point de départ n'est pas l'ÉFVP mais l'audit : savoir précisément quels outils sont utilisés, par qui, et avec quelles données, avant de documenter quoi que ce soit.
Pour toute mise en œuvre concrète, la Commission d'accès à l'information du Québec reste la référence officielle, avec ses guides et documents de réflexion accessibles publiquement.
