La conformité à la Loi 25 en matière d’IA repose sur un principe simple : si votre système d’IA touche des renseignements personnels, les lois existantes sur la protection de la vie privée s’y appliquent déjà. Il n’existe aucune loi fédérale sur l’IA en vigueur. Ce qui existe, c’est la Loi 25 pour les entreprises qui exercent leurs activités au Québec, la LPRPDE partout au pays, et dans chaque cas un organisme de surveillance qui s’attend à ce que vous puissiez démontrer vos choix.
Concrètement, tout projet d’IA doit couvrir cinq éléments : évaluer les risques pour la vie privée avant de bâtir, avoir une fin légitime et un consentement valide, être transparent lorsqu’une machine prend une décision au sujet d’une personne, contrôler où vont les données et être prêt à déclarer les incidents. Ce guide explique ce que chaque loi exige et comment intégrer ces étapes à un déploiement d’IA sans le paralyser.
Quelles lois encadrent l’IA au Québec et au Canada?
Pour la plupart des moyennes et grandes entreprises, trois couches comptent.
La Loi 25 a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé du Québec. Elle est entrée en vigueur en trois étapes, le 22 septembre 2022, 2023 et 2024, et sa surveillance relève de la Commission d’accès à l’information (CAI).
La LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques) encadre la collecte, l’utilisation et la communication de renseignements personnels dans le cadre d’activités commerciales au Canada. Elle repose sur dix principes : responsabilité, détermination des fins, consentement, limitation de la collecte, limitation de l’utilisation, de la communication et de la conservation, exactitude, mesures de sécurité, transparence, accès aux renseignements personnels et possibilité de porter plainte. Le Commissariat à la protection de la vie privée du Canada (CPVP) en assure la surveillance.
Les règles sectorielles s’ajoutent. Les banques et assureurs sous réglementation fédérale relèvent du BSIF, dont la ligne directrice E-23 sur la gestion du risque de modélisation vise explicitement l’IA et entre en vigueur le 1er mai 2027. L’Autorité des marchés financiers a publié en avril 2026 une ligne directrice sur l’utilisation de l’intelligence artificielle qui entre en vigueur à la même date. Les renseignements de santé relèvent en plus de lois provinciales particulières.
Les autorités canadiennes de protection de la vie privée ont aussi publié en décembre 2023 des principes communs pour des technologies d’IA générative responsables, dignes de confiance et respectueuses de la vie privée. Ils ne sont pas contraignants, mais montrent comment la loi sera interprétée.
Où en est la réforme fédérale?
Le projet de loi C-27, qui devait remplacer la LPRPDE et créer une loi sur l’intelligence artificielle et les données, est mort au feuilleton lors de la prorogation du Parlement en janvier 2025. Le 15 juin 2026, le gouvernement a déposé le projet de loi C-36, Loi sur la protection de la vie privée et des données des consommateurs. Il reprendrait la partie de la LPRPDE visant le secteur privé avec des pouvoirs d’application renforcés, sans loi distincte sur l’IA. Tant qu’il n’est pas adopté, la LPRPDE s’applique, et le texte peut encore changer.
Ce que la Loi 25 exige d’un projet d’IA
La Loi 25 est le plus exigeant des deux régimes. C’est donc la bonne cible de conception, même pour une entreprise dont seule une partie des activités se déroule au Québec.
Un responsable et des politiques de gouvernance
Depuis septembre 2022, chaque entreprise a un responsable de la protection des renseignements personnels. Par défaut, c’est la personne ayant la plus haute autorité, généralement la présidence, à moins d’une délégation écrite. Son titre et ses coordonnées doivent être publiés. Depuis septembre 2023, l’entreprise doit aussi publier, en termes simples et clairs, ses politiques et pratiques de gouvernance en matière de renseignements personnels.
Intégrez ce responsable au circuit d’approbation de tout projet d’IA dès la première semaine.
Une EFVP avant de bâtir
L’article 3.3 de la loi sur le secteur privé exige une évaluation des facteurs relatifs à la vie privée pour tout projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique de services impliquant des renseignements personnels. L’évaluation doit être proportionnée à la sensibilité des renseignements, à la finalité, à leur quantité, à leur répartition et à leur support. Un assistant IA qui lit les courriels des clients ou un agent qui met à jour des dossiers d’employés y est clairement assujetti.
La CAI publie un guide d’accompagnement pour réaliser une EFVP. Pour un projet d’IA, une évaluation utile répond notamment à ces questions :
- Quels renseignements personnels le système lit-il, produit-il ou conserve-t-il, y compris les requêtes, les résultats et les journaux?
- Quel fournisseur de modèles les traite, dans quel pays, et servent-ils à entraîner des modèles?
- Qui voit les résultats, et comment les accès sont-ils contrôlés et journalisés?
- Combien de temps chaque type de donnée est-il conservé, et comment est-il détruit ou anonymisé?
- Le système rend-il ou appuie-t-il des décisions au sujet de personnes?
Consentement et finalités
Le consentement prévu par la Loi 25 doit être manifeste, libre, éclairé et donné à des fins spécifiques, demandé pour chacune de ces fins en termes simples et clairs. Les renseignements sensibles, comme les données de santé, financières ou biométriques, exigent un consentement exprès.
Le piège, pour les équipes d’IA, c’est l’utilisation secondaire. Des renseignements recueillis pour gérer une police ou traiter la paie ne l’ont pas nécessairement été pour entraîner ou ajuster un modèle. Les utiliser ainsi peut constituer une nouvelle fin qui exige un nouveau consentement, sauf exception prévue par la loi. La pratique la plus sûre consiste à utiliser des points de terminaison privés qui n’entraînent pas de modèles avec vos données, et à garder toute amélioration du modèle à l’intérieur des fins déjà annoncées.
Profilage et confidentialité par défaut
L’article 8.1 oblige l’entreprise qui recourt à une technologie permettant d’identifier, de localiser ou d’effectuer un profilage à en informer la personne et à lui offrir le moyen d’activer ces fonctions. L’article 9.1 exige que les produits et services technologiques offerts au public assurent, par défaut, le plus haut niveau de confidentialité. Les assistants offerts aux clients et les fonctions de personnalisation doivent donc être lancés avec les paramètres protecteurs activés.
Décisions automatisées
L’article 12.1 est la règle qui vise le plus directement l’IA. Lorsqu’une entreprise rend une décision fondée exclusivement sur un traitement automatisé de renseignements personnels, elle doit en informer la personne au plus tard au moment où elle l’informe de la décision. Sur demande, elle doit lui indiquer :
- Les renseignements personnels utilisés pour rendre la décision.
- Les raisons et les principaux facteurs et paramètres ayant mené à la décision.
- Son droit de faire rectifier les renseignements personnels utilisés.
La personne doit aussi pouvoir présenter ses observations à un membre du personnel en mesure de réviser la décision.
C’est l’une des raisons pour lesquelles nous concevons la plupart des systèmes en production avec une personne qui approuve les décisions touchant les clients ou les employés. Une décision soumise à une véritable révision humaine n’est pas fondée exclusivement sur un traitement automatisé. Lorsque l’automatisation complète est le bon choix, journalisez les intrants, les facteurs et la version du modèle de chaque décision pour pouvoir répondre rapidement à une demande.
Communications à l’extérieur du Québec
L’article 17 exige une EFVP avant de communiquer des renseignements personnels à l’extérieur du Québec, y compris vers une autre province. L’entreprise doit tenir compte de la sensibilité des renseignements, des finalités, des mesures de protection (y compris contractuelles) et du régime juridique applicable dans l’État de destination. La communication n’est permise que si l’évaluation démontre que les renseignements bénéficieront d’une protection adéquate, et elle doit faire l’objet d’une entente écrite.
Envoyer des requêtes à un point de terminaison de modèle situé dans un autre pays constitue une communication hors Québec. Notre article sur la résidence des données au Canada pour l’IA présente les choix d’architecture en détail.
Incidents de confidentialité
Depuis septembre 2022, l’entreprise doit aviser avec diligence la CAI et les personnes concernées lorsqu’un incident de confidentialité présente un risque de préjudice sérieux, et tenir un registre de tous les incidents. Pour l’IA, pensez à un modèle qui renvoie les données d’un client à un autre.
Conservation et portabilité
Lorsque les fins sont accomplies, les renseignements personnels doivent être détruits ou anonymisés. Depuis septembre 2024, une personne peut aussi demander que ses renseignements informatisés lui soient communiqués dans un format technologique structuré et couramment utilisé. Ces deux règles s’appliquent aux journaux d’IA, aux plongements vectoriels et aux bases vectorielles, souvent oubliés dans les calendriers de conservation.
Comment la LPRPDE traite-t-elle l’IA et le traitement hors du pays?
La LPRPDE ne contient aucune disposition propre à l’IA, mais ses principes s’appliquent directement.
- Responsabilité. Vous demeurez responsable des renseignements transférés à un tiers pour traitement, y compris un fournisseur infonuagique ou de modèles. Les lignes directrices du CPVP sur le traitement transfrontalier considèrent ce transfert comme une utilisation, et non une communication, d’où l’importance d’une protection comparable fixée par contrat.
- Transparence. Vous devez informer les personnes que leurs renseignements peuvent être traités dans un autre pays et être accessibles aux autorités de ce pays.
- Limitation de l’utilisation. Les renseignements ne peuvent servir qu’aux fins pour lesquelles ils ont été recueillis, ce qui ramène la question de l’entraînement des modèles.
- Mesures de sécurité. La protection doit correspondre à la sensibilité des données : chiffrement, contrôle des accès, journalisation.
- Atteintes. Depuis le 1er novembre 2018, les organisations doivent déclarer au CPVP les atteintes aux mesures de sécurité qui présentent un risque réel de préjudice grave, aviser les personnes touchées et consigner chaque atteinte pendant 24 mois.
Loi 25 ou LPRPDE : ce qui change pour un système d’IA
| Obligation | LPRPDE | Loi 25 |
|---|---|---|
| Évaluation des facteurs relatifs à la vie privée | Bonne pratique recommandée | Obligatoire pour tout système d’information nouveau ou refondu et avant toute communication hors Québec |
| Consentement | Valable ; exprès pour les données sensibles | Manifeste, libre, éclairé, propre à chaque fin ; exprès pour les données sensibles |
| Décisions automatisées | Aucune règle particulière actuellement | Informer, expliquer les facteurs sur demande, permettre la révision par une personne |
| Communications hors territoire | Responsabilité et avis ; protection contractuelle | Évaluation préalable, protection adéquate, entente écrite |
| Déclaration des incidents | Risque réel de préjudice grave, au CPVP et aux personnes | Risque de préjudice sérieux, à la CAI et aux personnes ; registre de tous les incidents |
| Sanctions | Amendes limitées pour certaines infractions | Jusqu’à 10 000 000 $ ou 2 % du chiffre d’affaires mondial (administratives); jusqu’à 25 000 000 $ ou 4 % (pénales) |
Liste de vérification pour votre prochain projet d’IA
- Inventoriez les données. Dressez la liste des champs que le système lit, des résultats qu’il produit et des journaux qu’il conserve. Indiquez ce qui constitue un renseignement personnel ou sensible.
- Nommez les responsables. Confirmez le responsable de la protection des renseignements personnels et le responsable d’affaires du système, et ajoutez-les tous deux au circuit d’approbation.
- Lancez l’EFVP tôt. Commencez-la pendant la découverte, pas après le développement. Mettez-la à jour quand le modèle, le fournisseur ou les données changent.
- Choisissez l’hébergement en connaissance de cause. Privilégiez les régions infonuagiques canadiennes et des points de terminaison privés sans entraînement sur vos données. Documentez toute communication hors Québec ou hors Canada par une évaluation et un contrat.
- Concevez le circuit de décision. Déterminez quels résultats sont des recommandations approuvées par une personne et lesquels sont des décisions automatisées. Pour ces dernières, bâtissez l’avis, l’explication et le processus de révision avant le lancement.
- Journalisez pour rendre des comptes. Consignez les intrants, les résultats, la version du modèle et l’approbateur pour chaque action importante, avec un accès au moindre privilège aux journaux eux-mêmes.
- Fixez la conservation. Appliquez votre calendrier de conservation aux requêtes, aux résultats, aux plongements et aux sauvegardes, avec destruction ou anonymisation à la fin.
- Exercez-vous aux incidents. Ajoutez des scénarios propres à l’IA à votre plan de réponse et confirmez qui avise la CAI et le CPVP.
Nos pratiques de sécurité et de traitement des données suivent ce modèle par défaut : systèmes bâtis dans votre propre compte infonuagique, régions canadiennes, points de terminaison privés, journaux d’audit complets et EFVP comme livrable standard. Vous pouvez voir où s’inscrit chaque étape dans notre démarche par phases.
Là où les entreprises bloquent le plus souvent
Le texte de loi pose rarement problème. L’échec typique, c’est l’ordre des étapes. Une équipe bâtit un assistant IA branché sur les connaissances de l’entreprise prometteur, puis découvre à l’examen de conformité que les requêtes partent vers un point de terminaison étranger, que les journaux conservent indéfiniment des dossiers clients complets et que personne ne peut expliquer comment une recommandation a été produite.
Les équipes qui avancent vite traitent la vie privée comme une donnée de conception : l’EFVP commence pendant la découverte, l’hébergement est choisi avant le prototype et l’étape de révision humaine fait partie du processus dès le premier jour. La conformité devient alors un document qu’on met à jour, pas une barrière qu’on échoue.
Pour voir à quoi cela ressemble dans votre cas, notre plan IA gratuit propose une esquisse de solution, les systèmes en jeu et les questions de données à régler d’abord. Vous pouvez aussi prendre rendez-vous avec un ingénieur chevronné pour passer votre projet en revue.
