Intelligence artificielle et Loi 25 : ce qu'une PME doit régler avant

Dans la plupart des PME québécoises, l’intelligence artificielle est déjà entrée. Pas par un projet approuvé en comité de direction. Par un employé qui a collé un contrat dans un outil gratuit pour en obtenir un résumé.

Ce texte ne dit pas d’interdire l’IA. Il dit ce qu’il faut décider avant, et il donne la structure de la politique interne qui va avec.

1. La loi ne parle pas d’IA, et ce n’est pas un problème

La Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25, encadre le traitement des renseignements personnels quel que soit l’outil. Un outil d’intelligence artificielle à qui vous soumettez un dossier client, un curriculum ou un dossier d’employé traite des renseignements personnels. Les règles s’appliquent telles quelles.

• L’article 17, sur la communication à l’extérieur du Québec et sur le fait de confier à quelqu’un à l’extérieur du Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver des renseignements pour votre compte.
• L’article 12, qui interdit d’utiliser un renseignement à une autre fin que celle pour laquelle il a été recueilli, sauf consentement ou exception prévue.
• L’article 12.1, sur les décisions fondées exclusivement sur un traitement automatisé.
• L’article 10, qui exige des mesures de sécurité raisonnables compte tenu notamment de la sensibilité des renseignements, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support.

2. Décision 1 : où vont les données, et sous quel contrat

L’article 17 est le point de départ, parce qu’il se déclenche presque toujours. Avant de communiquer un renseignement personnel à l’extérieur du Québec, l’entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée, en tenant compte de la sensibilité, de la finalité, des mesures de protection y compris contractuelles, et du régime juridique applicable dans l’État de destination. La communication doit faire l’objet d’une entente écrite.

Le quatrième alinéa précise que la même règle s’applique lorsque vous confiez le traitement ou la conservation à quelqu’un à l’extérieur du Québec. C’est exactement ce que fait un service d’intelligence artificielle infonuagique.

Deux précisions surprennent souvent. La loi dit « à l’extérieur du Québec » : un service dont les serveurs sont dans une autre province est visé au même titre qu’un service à l’étranger. Et l’évaluation est votre obligation, pas celle du fournisseur.

Ce que vous devez pouvoir écrire dans une fiche d’une page, par service :

• quels renseignements personnels sont soumis à l’outil, et lesquels sont interdits ;
• dans quel pays les données sont traitées et conservées ;
• combien de temps elles sont conservées ;
• si le contenu soumis peut servir à l’entraînement de modèles ;
• quel contrat s’applique, et quelles clauses couvrent la protection des renseignements personnels ;
• qui, chez vous, a autorisé l’usage et à quelle date.

Retenez la règle générale : les versions grand public d’un service et ses offres d’entreprise ne sont pas encadrées par le même contrat. Il faut lire celui qui s’applique à votre abonnement précis.

3. Décision 2 : quelles données ont le droit d’entrer

C’est la décision la plus utile et la plus simple à communiquer. Trois catégories suffisent.

Interdit. Renseignements sensibles au sens de l’article 12 : données médicales, données biométriques, tout ce qui est autrement intime ou qui, en raison du contexte, suscite un haut degré d’attente raisonnable en matière de vie privée. Ajoutez le numéro d’assurance sociale, les données bancaires, les identifiants de connexion, les dossiers disciplinaires, les documents visés par le secret professionnel et tout ce qu’un contrat client vous interdit de partager.

Permis avec un outil approuvé seulement. Renseignements personnels courants : noms, coordonnées, historique de service, correspondance client, documents internes non publics.

Permis partout. Contenu public, contenu générique, texte que vous accepteriez de publier.

Écrivez ces trois listes avec des exemples tirés de votre entreprise. Une règle abstraite ne change pas le comportement ; « n’entre pas le contenu d’un dossier d’employé » le change.

4. Décision 3 : les décisions automatisées

L’article 12.1 vise l’entreprise qui utilise des renseignements personnels pour qu’une décision soit rendue de façon fondée exclusivement sur un traitement automatisé. Elle doit alors informer la personne de ce caractère automatisé au plus tard au moment où elle l’informe de la décision. Sur demande, elle doit lui indiquer les renseignements utilisés, les raisons ainsi que les principaux facteurs et paramètres ayant mené à la décision, et son droit de faire rectifier ces renseignements. Elle doit lui donner l’occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision.

Le mot déterminant est « exclusivement ». Si une personne examine réellement le dossier et tranche, l’article ne s’applique pas. Si le système décide et que l’humain se contente de transmettre, il s’applique.

Les cas de PME concernés : tri automatique de candidatures, approbation ou refus de crédit, tarification personnalisée, décision d’annuler un service. La conséquence pratique est une contrainte de conception. Un outil qui ne fournit aucune explication vous place en défaut par construction. Deux moyens de s’en sortir : garder une décision humaine véritable, ou choisir un mécanisme dont les critères sont explicites et documentables.

5. Décision 4 : l’IA fantôme

C’est le risque le plus courant, et celui qu’aucune politique seule ne règle. Un employé utilise un outil personnel sur un poste de travail, dans une extension de navigateur, ou depuis son téléphone. Les données sortent. Personne ne le sait. Il n’y a ni évaluation, ni entente écrite, ni journal.

Si une fuite survient ensuite, vous ne pouvez ni évaluer le risque de préjudice ni démontrer ce qui est parti. Or l’article 3.7 exige d’évaluer la sensibilité du renseignement concerné, les conséquences appréhendées de son utilisation et la probabilité qu’il soit utilisé à des fins préjudiciables.

Trois mesures qui fonctionnent ensemble :

• Rendre l’outil approuvé plus commode que l’outil interdit. C’est la mesure la plus efficace. Les gens contournent une interdiction quand elle leur coûte du temps.
• Contrôler techniquement. Restriction des extensions de navigateur, filtrage des accès aux services non approuvés, gestion des appareils, prévention de perte de données dans la messagerie et le stockage infonuagique. Ce sont des réglages d’infrastructure, pas des consignes.
• Rendre le signalement facile. Un employé qui a collé la mauvaise chose doit pouvoir le dire sans crainte, sinon l’incident n’entre jamais au registre.

6. Décision 5 : les permissions avant l’assistant

Un assistant d’intelligence artificielle branché sur votre environnement bureautique respecte, en principe, les permissions déjà en place. C’est là que le problème apparaît.

Dans beaucoup de PME, un dossier partagé est ouvert à tout le monde depuis des années. Personne ne s’en apercevait, parce qu’il fallait savoir où chercher. Un assistant qui indexe le contenu et répond aux questions rend cette ouverture visible instantanément. L’assistant ne crée pas la faille, il la révèle.

À faire avant, pas après : inventorier les partages larges, retirer les accès génériques, appliquer les permissions par rôle, réviser les liens de partage externes et les liens publics, vérifier les boîtes et les sites orphelins d’anciens employés. C’est un travail de nettoyage sans gloire, et il détermine si le déploiement se passe bien ou s’il devient un incident. Nos services informatiques gérés couvrent précisément ce nettoyage.

7. Décision 6 : la trace, et un ordre de marche réaliste

L’article 3.8 impose de tenir un registre des incidents de confidentialité, et l’article 3.5 impose de prendre des mesures raisonnables dès qu’on a des motifs de croire qu’un incident s’est produit. Pour un usage de l’intelligence artificielle, la trace utile comprend la liste des outils approuvés et la date d’approbation, l’évaluation faite pour chacun, les ententes écrites, la liste des personnes autorisées, les journaux d’accès aux données que l’outil consulte, et la formation donnée avec les présences.

Un ordre de marche qui tient dans un mois et demi :

1. Faire l’inventaire de ce qui est déjà utilisé, sans chercher de coupable.
2. Décider des trois catégories de données et de la liste des outils approuvés.
3. Faire l’évaluation des facteurs relatifs à la vie privée pour chaque outil approuvé, et vérifier quel contrat s’applique.
4. Nettoyer les permissions de partage avant tout déploiement d’assistant.
5. Publier la politique, la présenter en trente minutes à l’équipe, consigner les présences.
6. Réviser deux fois par année, et à chaque nouvel outil.

La politique elle-même tient sur une page recto verso : objet, personnes visées, outils approuvés en annexe, données interdites, données permises avec un outil approuvé, validation humaine des résultats, décisions touchant des personnes, signalement, propriété et confidentialité, conséquences du non-respect, révision annuelle.

Foire aux questions

La Loi 25 interdit-elle d’utiliser un outil d’IA au travail ?

Non. Aucune disposition n’interdit un outil en particulier. Ce sont les obligations générales qui s’appliquent : évaluation avant un traitement à l’extérieur du Québec, entente écrite, limitation aux fins prévues et mesures de sécurité raisonnables.

Un outil d’IA hébergé au Canada mais hors du Québec pose-t-il problème ?

L’article 17 vise les communications à l’extérieur du Québec, pas à l’extérieur du Canada. Une évaluation est donc requise même pour un hébergement dans une autre province. Cela ne rend pas l’usage interdit, cela le rend documentable.

Que faire si un employé a déjà soumis des données sensibles à un outil grand public ?

Traitez la situation comme un incident de confidentialité présumé : mesures raisonnables pour diminuer le risque, inscription au registre, évaluation du préjudice sérieux avec votre responsable selon les facteurs de l’article 3.7, et notification si le seuil est atteint.

Encadrer l’IA avant de la déployer, au Québec

Les deux gestes qui réduisent le plus le risque ne coûtent pas un projet : faire l’inventaire des outils déjà utilisés et écrire la liste des données interdites. Le reste est un travail d’infrastructure, soit le nettoyage des permissions, la journalisation et le contrôle des postes, que couvrent nos services informatiques gérés pour les PME de Trois-Rivières et de la Mauricie. Pour préparer votre politique et votre déploiement, passez par le formulaire de contact ou appelez au 450-231-3836.

Ce guide vulgarise des obligations légales. Il n’est pas un avis juridique et ne remplace pas la lecture du texte de loi ni les conseils d’un conseiller juridique. Les références légales renvoient à la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1), telle que modifiée par la Loi 25.