IA et Loi 25 : ce qu'une PME du Québec devrait vérifier avant d'automatiser avec ChatGPT ou Make

Loi 25 et intelligence artificielle : ce qui s'applique

« Loi 25 » est le nom courant de la loi qui a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé (chapitre P-39.1), qui encadre ton entreprise. Le texte officiel est sur LégisQuébec. La Commission d'accès à l'information (CAI) publie aussi une version administrative de la loi avec les dates d'entrée en vigueur (sans valeur officielle, précise-t-elle).

La loi ne nomme ni ChatGPT ni Make. Elle vise les renseignements personnels, ceux qui permettent d'identifier une personne. Dès qu'un nom ou un téléphone passe dans un outil d'IA ou un scénario, les règles s'appliquent.

En mai 2026, la CAI et d'autres commissaires au Canada ont publié les résultats d'une enquête conjointe sur ChatGPT. Selon le communiqué de la CAI, la manière dont OpenAI a initialement entraîné et déployé ChatGPT n'était pas conforme aux lois fédérales et provinciales, et l'entreprise n'a pas pleinement respecté ses obligations en vertu de la loi québécoise. Un outil connu ne te dispense donc pas de tes obligations.

Les principes à connaître, article par article

Les articles renvoient à la loi P-39.1. Chaque point est à faire valider par une personne compétente en droit.

1. Un responsable de la protection des renseignements personnels (art. 3.1)

Par défaut, la personne qui a la plus haute autorité dans l'entreprise occupe cette fonction. Elle peut la déléguer par écrit. Le titre et les coordonnées du responsable doivent être publiés sur le site Web de l'entreprise ou, à défaut, rendus accessibles par un autre moyen approprié.

2. Des fins précises et un consentement valable (art. 4, 8, 12, 14)

Tu détermines les fins avant la collecte et tu en informes la personne au moment de la recueillir (art. 4 et 8). Tu l'utilises seulement pour ces fins, sauf consentement ou exception prévue par la loi (art. 12). Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques (art. 14). Pour un renseignement sensible, la loi exige un consentement exprès dans plusieurs situations.

Des courriels recueillis pour envoyer des soumissions ne servent donc pas automatiquement à du profilage marketing. Si ton outil peut identifier, localiser ou profiler une personne, l'article 8.1 ajoute une obligation d'information.

3. La minimisation (art. 5)

Tu ne recueilles que les renseignements nécessaires aux fins déterminées. Appliqué à l'IA : envoie le texte dont l'outil a besoin, pas la fiche complète du client.

4. L'évaluation des facteurs relatifs à la vie privée, ou EFVP (art. 3.3, 17, 21)

Selon le guide de la CAI sur l'EFVP, une entreprise doit en faire une dans trois cas :

• un projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services impliquant des renseignements personnels (art. 3.3) ;
• avant de communiquer des renseignements personnels hors Québec, ou d'y confier la tâche de les recueillir, utiliser, communiquer ou conserver pour ton compte (art. 17) ;
• avant de les communiquer sans consentement à des fins d'étude, de recherche ou de statistique (art. 21).

L'EFVP doit être proportionnée à la sensibilité des renseignements, à la finalité, à la quantité, à la répartition et au support. Pour une petite automatisation, elle peut donc être courte.

5. La communication à l'extérieur du Québec (art. 17 et 18.3)

Beaucoup d'outils traitent les données hors Québec. L'EFVP de l'article 17 tient compte notamment de la sensibilité du renseignement, de la finalité, des mesures de protection (y compris contractuelles) et du régime juridique de l'endroit de destination. La communication peut se faire si l'évaluation démontre une protection adéquate, et elle doit faire l'objet d'une entente écrite. Pour un mandat confié à un fournisseur, l'article 18.3 exige un contrat écrit qui prévoit les mesures de protection et interdit de conserver les renseignements après la fin du contrat.

6. La décision fondée exclusivement sur un traitement automatisé (art. 12.1)

Si tu prends une décision fondée exclusivement sur un traitement automatisé de renseignements personnels, tu dois en informer la personne au plus tard au moment où tu l'informes de la décision. Sur demande, tu lui indiques les renseignements utilisés, les raisons et les principaux facteurs et paramètres, et son droit de les faire rectifier. Elle doit pouvoir présenter ses observations à un membre du personnel en mesure de réviser la décision. Le plus prudent : un humain valide toute décision qui touche une personne.

7. Les incidents de confidentialité (art. 3.5 à 3.8)

Un incident, c'est un accès, une utilisation ou une communication non autorisés, ou la perte d'un renseignement personnel. Tu prends des mesures raisonnables pour diminuer le risque de préjudice. S'il y a un risque de préjudice sérieux, tu avises avec diligence la CAI et les personnes concernées. Tu tiens un registre de tous les incidents. Le Règlement sur les incidents de confidentialité précise son contenu et exige de conserver ces informations au moins cinq ans après la prise de connaissance de l'incident.

8. La conservation et la destruction (art. 23)

Quand les fins sont accomplies, tu détruis le renseignement ou tu l'anonymises, sous réserve d'un délai de conservation prévu par une loi. Repère les copies que laissent tes automatisations : historique de conversations, journaux d'exécution, pièces jointes dans un tableur.

La liste de vérification avant d'automatiser

Remplis cette fiche avant d'activer chaque automatisation. Les libellés des réglages de ChatGPT, de Make ou des autres outils peuvent varier selon la version : vérifie dans les paramètres et la documentation officielle de chaque outil.

FICHE DE VÉRIFICATION — AUTOMATISATION AVEC IA
Scénario : ______   Responsable des RP consulté le : ______

1. Quelles données passent dans l'outil ?
   - Champs envoyés : ______
   - Renseignements personnels ? sensibles ? ______
   - Nom, courriel, téléphone retirés avant l'envoi ? oui / non

2. Pour quelle fin ?
   - Fin annoncée à la collecte : ______
   - Automatisation conforme à cette fin ? oui / non (sinon : consentement)

3. Où sont-elles hébergées ?
   - Outils et région d'hébergement de chacun : ______
   - Hors Québec ? → EFVP et entente écrite (art. 17)
   - Données utilisées pour entraîner un modèle ? Réglage vérifié le : ______

4. Qui y a accès ?
   - Comptes qui voient les données (outil, journaux, tableur) : ______
   - Accès limité au nécessaire, double authentification : oui / non

5. Un humain valide-t-il ?
   - Qui valide avant l'envoi ou la décision : ______
   - Décision exclusivement automatisée ? → informer (art. 12.1)

6. Combien de temps ?
   - Règle de suppression (historique, journaux, fichiers) : ______

7. En cas d'erreur
   - Qui reçoit l'alerte ? Qui inscrit l'incident au registre ? ______

À faire valider par une personne compétente en droit : ______

Le guide de la CAI Prévenir les incidents de confidentialité recommande aussi de limiter l'accès au personnel qui en a besoin et de vérifier la sécurité des fournisseurs infonuagiques.

Exemple fictif : un formulaire de soumission traité par l'IA

Entreprise fictive : Rénovations Belle-Rive, à Lévis. Le propriétaire veut que ChatGPT résume chaque demande de soumission et prépare un brouillon de réponse.

• Avant : le scénario Make envoyait tout le formulaire à l'IA, coordonnées comprises.
• Après la fiche : seule la description part vers l'IA. Les coordonnées restent dans le tableur. Le propriétaire relit chaque brouillon avant l'envoi.
• Hébergement : les outils traitent les données hors Québec. Le propriétaire documente une EFVP courte, conserve les conditions des fournisseurs et fait valider le tout par une personne compétente en droit.
• Conservation : les journaux d'exécution sont réglés pour une durée courte, et les demandes sans suite sont supprimées selon une règle écrite.

Pour bâtir ce genre de scénario proprement, la formation Systèmes d'IA pour les entreprises couvre Make et les workflows avec IA.

Un registre des demandes d'accès et de suppression

Une personne peut demander l'accès à ses renseignements ou retirer son consentement. Elle peut exiger la rectification d'un renseignement inexact, incomplet ou équivoque, ou dont la collecte, la communication ou la conservation n'est pas autorisée par la loi (art. 28), et, dans certains cas, la cessation de sa diffusion (art. 28.1). Une demande de « suppression » s'analyse à travers ces droits. Le responsable doit y donner suite par écrit, avec diligence et au plus tard dans les 30 jours de la réception de la demande (art. 32).

REGISTRE DES DEMANDES — RENSEIGNEMENTS PERSONNELS
Responsable : [nom, titre]   Accès : le responsable et son remplaçant

Colonnes : Numéro | Date de réception | Type (accès, rectification,
suppression, retrait du consentement, autre) | Résumé |
Identité vérifiée | Date limite (réception + 30 jours) |
Statut (reçue, en cours, répondu) | Date de réponse | Notes

Automatisation possible :
1. Le formulaire de demande ajoute une ligne : DRP-2026-001…
2. La date limite est calculée par une formule, sans IA.
3. L'IA, si tu l'utilises, classe seulement le type, sans nom ni coordonnées.
4. Accusé de réception tiré d'un modèle fixe.
5. Chaque matin : rappel à 15 jours et à 5 jours, puis alerte
   quotidienne au responsable et à une 2e personne à l'échéance.

Le système ne vérifie jamais l'identité, ne supprime rien, ne refuse
rien et ne répond pas sur le fond. Un humain décide.

Onglet séparé : registre des incidents de confidentialité,
rempli par un humain.

Le délai, son calcul et l'accusé de réception sont à faire valider par une personne compétente en droit.

Erreurs fréquentes

• Copier-coller des dossiers clients dans ChatGPT « pour aller vite ». Tu communiques des renseignements à un fournisseur, souvent hors Québec, sans avoir vérifié ses conditions ni fait d'EFVP.
• Laisser l'IA décider seule. Refuser un client sans intervention humaine peut déclencher l'article 12.1.
• Croire que la loi vise seulement les grandes entreprises. Elle vise les renseignements traités dans l'exploitation d'une entreprise (art. 1), sans seuil de taille.
• Ne pas savoir qui est responsable. Sans délégation écrite, c'est la personne ayant la plus haute autorité.

Questions fréquentes

Est-ce que la Loi 25 interdit ChatGPT en entreprise ?

Non. Elle encadre les renseignements personnels. Tu peux utiliser ChatGPT en respectant les principes décrits plus haut.

Une PME doit-elle faire une EFVP pour un outil d'IA ?

C'est requis notamment pour l'acquisition ou le développement d'un système d'information impliquant des renseignements personnels, et avant une communication hors Québec. L'EFVP est proportionnée au projet. Fais valider ton cas.

Quelles sont les obligations de base d'une PME avec la Loi 25 ?

Désigner le responsable, adopter des politiques de gouvernance (art. 3.2), obtenir un consentement valable, limiter la collecte, consigner les incidents, répondre aux demandes dans les 30 jours et détruire ce qui n'est plus utile.

Puis-je mettre des renseignements personnels dans un scénario Make ?

Oui, avec les mêmes règles : données nécessaires seulement, accès limité, hébergement vérifié, entente écrite au besoin et durée de conservation définie.

Quoi faire si l'IA envoie une donnée au mauvais client ?

Limite les dégâts, inscris l'incident au registre et évalue le risque de préjudice sérieux. S'il est sérieux, avise avec diligence la CAI et les personnes concernées.

Tu veux tout le parcours, des bases jusqu'aux systèmes clients, avec 30 systèmes d'IA prêts à adapter ? Regarde le Programme complet.

Mis à jour le 12 octobre 2026.