Loi 25 et outils IA : guide de conformité pour le marché québécois
Au Québec, brancher ChatGPT, un chatbot ou un outil d’analyse IA sur des données clients sans grille de conformité Loi 25 vous expose à des sanctions administratives lourdes. Cet article est un cadrage marketing et technique, pas un avis juridique.
- La Loi 25 encadre tout traitement de renseignements personnels par un outil IA au Québec depuis septembre 2023.
- Consentement explicite, transparence sur les décisions automatisées, ÉFVP obligatoire avant tout projet IA collectant des données.
- Vos fournisseurs IA (OpenAI, Anthropic, Google) doivent contractuellement s’engager à ne pas entraîner leurs modèles sur vos données.
- Sanctions : jusqu’à 25 M$ CAD ou 4 % du chiffre d’affaires mondial — plus sévère que le RGPD sur le plafond en pourcentage.
Au Québec, l’usage d’un outil IA sur des renseignements personnels est encadré par la Loi 25. Trois obligations dominent : recueillir un consentement explicite et granulaire, réaliser une ÉFVP avant tout déploiement, et obtenir de l’éditeur de l’outil un engagement écrit de non-réutilisation des données pour entraîner ses modèles publics.
⚠️ Cet article n’est pas un avis juridique. Il vulgarise l’impact business, marketing et technique de la Loi 25 sur les outils IA. Pour toute décision engageante, consultez un avocat spécialisé en protection des renseignements personnels ou la Commission d’accès à l’information du Québec (CAI).
La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels — communément appelée Loi 25 — a été adoptée en 2021 et est entrée pleinement en vigueur en septembre 2024. Elle transforme la manière dont toute entreprise inscrite au REQ — ou toute entreprise étrangère qui traite des données de résidents québécois — doit gouverner l’IA. Le calendrier de déploiement en trois vagues (2022, 2023, 2024) est détaillé dans les grilles officielles, mais le message est clair : plus d’excuse. Cet article s’inscrit dans notre stratégie GEO à Montréal et cible les dirigeants et responsables marketing de PME-ETI québécoises, ainsi que les entreprises françaises visant `google.ca`.
Quelles sont les obligations de la Loi 25 pour l’usage d’une IA en entreprise ?
La Loi 25 impose cinq obligations cœur pour tout usage d’IA : nommer un responsable de la protection des renseignements personnels, recueillir un consentement explicite et granulaire, garantir la transparence sur les décisions automatisées, réaliser une ÉFVP avant tout projet, et détruire les données quand la finalité est atteinte.
Concrètement, quand vous branchez un outil d’IA — un chatbot support, un scoring marketing, une segmentation prédictive — sur des données de clients québécois, vous devenez responsable de tout le cycle de vie de ces données. La Commission d’accès à l’information (CAI) a d’ailleurs publié un document de réflexion dédié à l’IA et à la vie privée qui pose le cadre attendu (CAI, document de réflexion IA).
-
Nommer un responsable de la protection des renseignements personnels
Par défaut, c’est la personne ayant la plus haute autorité dans l’entreprise (PDG, dirigeant). Ses coordonnées doivent être publiées sur votre site web.
-
Consentement explicite et granulaire
Pas de case précochée, pas de consentement implicite. L’utilisateur doit dire OUI activement, et séparément pour chaque finalité (analyse, marketing, IA générative, entraînement).
-
Transparence sur les décisions automatisées
Si un algorithme prend une décision qui affecte l’utilisateur (refus de crédit, tarification dynamique, tri de CV), il doit en être informé et pouvoir demander une intervention humaine.
-
ÉFVP avant tout projet
L’Évaluation des facteurs relatifs à la vie privée est obligatoire pour tout projet d’acquisition, développement ou refonte d’un système de traitement de renseignements personnels — un outil IA en est un.
-
Destruction ou anonymisation
Quand la finalité est atteinte, les données doivent être détruites ou anonymisées. Cela inclut les prompts envoyés à un LLM et les logs de conversation.
Définition — ÉFVP : l’Évaluation des facteurs relatifs à la vie privée est l’équivalent québécois du DPIA européen. C’est une analyse documentée des risques qu’un projet fait peser sur la vie privée, réalisée AVANT le déploiement. La CAI met à disposition un guide officiel de réalisation d’une ÉFVP.
Le gouvernement du Québec a publié un Guide d’intégration responsable de l’IA en milieu de travail qui pose le cadre pratique. Le principe : la protection des renseignements personnels doit être intégrée dès la conception (privacy by design), pas rajoutée en fin de projet.
« Sur le terrain, la majorité des PME québécoises que je croise ont commencé à utiliser ChatGPT ou un chatbot sans avoir touché une seule ligne de leur politique de confidentialité. C’est le trou noir opérationnel de 2026 : l’IA est déjà là, la conformité, pas encore. »
Quelles questions poser à vos fournisseurs d’outils IA pour garantir votre conformité ?
Cinq questions à exiger par écrit de tout éditeur d’outil IA : où sont hébergées les données, qui y accède, sont-elles utilisées pour entraîner le modèle, combien de temps sont-elles conservées, et l’éditeur accepte-t-il d’être un « tiers » au sens de la Loi 25 avec un contrat encadrant le transfert.
Vous intégrez un chatbot sur votre site ? Un outil de scoring dans votre CRM ? Un plugin IA dans votre outil marketing ? Vous êtes en train de confier des renseignements personnels à un tiers, potentiellement hébergé hors Québec. Voici les questions non négociables à poser à l’éditeur — et à faire figurer dans le contrat.
Où sont hébergées et traitées les données personnelles ?
La Loi 25 exige une évaluation formelle avant tout transfert hors Québec. Si les données quittent la province — vers les États-Unis, la France ou ailleurs — vous devez documenter que la juridiction de destination offre une protection « équivalente » à celle du Québec. Les États-Unis, par exemple, ne sont pas considérés comme un pays offrant une protection équivalente par défaut. Un guide pratique décrit précisément ce cadre dans l’analyse des transferts hors Québec.
Hébergement Canada
Idéal. Aucune formalité de transfert supplémentaire si le fournisseur reste sur sol canadien.
Hébergement UE (RGPD)
Acceptable avec évaluation documentée. Le RGPD est reconnu comme un cadre proche.
Hébergement États-Unis
Zone rouge. Nécessite garanties contractuelles fortes (clauses type, chiffrement, engagement de non-transfert vers tiers).
L’outil IA utilise-t-il les données clients pour entraîner ses propres modèles ?
C’est LA question qui tue. Confier des renseignements personnels à ChatGPT en version grand public (sans compte Enterprise ou API avec engagement de non-entraînement) est une violation directe de la Loi 25. Les mêmes règles s’appliquent à Claude, Gemini, Copilot et à la majorité des outils SaaS qui intègrent une couche IA générative. Un article dédié détaille pourquoi vos conversations avec Claude ou ChatGPT ne sont pas confidentielles par défaut.
- Le fournisseur s’engage-t-il par écrit à ne PAS utiliser vos prompts et données pour entraîner ses modèles ?
- L’accord de traitement des données (DPA) est-il signé et versionné ?
- L’éditeur accepte-t-il d’être audité ou de fournir un rapport SOC 2 / ISO 27001 ?
- Les données sont-elles chiffrées en transit ET au repos ?
- Quel est le délai de conservation par défaut des prompts et de l’historique de conversation ?
- Pouvez-vous obtenir une purge sur demande, avec preuve de destruction ?
Selon l’Académie de la transformation numérique de l’Université Laval, l’usage de l’IA générative a explosé chez les internautes québécois — l’enquête NETendances 2025 montre une adoption qui a doublé en un an. Corollaire : la surface d’exposition des données personnelles aux LLM publics a elle aussi doublé. Les entreprises qui laissent leurs employés utiliser ChatGPT gratuit sur des documents clients construisent une bombe à retardement.
Un client du secteur du conseil B2B, accompagné récemment, découvrait en audit que ses commerciaux collaient depuis 18 mois des CV, propositions et contrats dans ChatGPT gratuit. Aucune ÉFVP, aucun consentement, aucune traçabilité. Le chantier de mise en conformité a démarré par une politique d’usage interne et un basculement vers une offre entreprise avec engagement de non-entraînement.
Loi 25 et RGPD : quelles différences pour les entreprises françaises ciblant le Québec ?
Être conforme RGPD ne suffit pas pour opérer au Québec. La Loi 25 impose des obligations spécifiques : ÉFVP obligatoire (plus stricte que le DPIA), transparence renforcée sur les décisions automatisées, plafond de sanction en pourcentage plus élevé (4 % du CA mondial vs 4 % pour le RGPD, mais avec un plafond absolu de 25 M$ CAD).
Pour maîtriser ces spécificités réglementaires et optimiser votre présence face aux moteurs génératifs, s’appuyer sur une agence GEO à Montréal dotée d’un véritable ancrage local devient un avantage déloyal sur vos concurrents européens qui traitent le Québec comme « une province francophone du Canada ». Ce n’est pas le cas. C’est une juridiction autonome, avec ses lois, sa terminologie (OQLF), son marché.
| Critère | Loi 25 (Québec) | RGPD (UE) |
|---|---|---|
| Autorité de contrôle | CAI (Commission d’accès à l’information) | CNIL (France) et homologues européens |
| Consentement | Explicite, granulaire, retirable | Explicite, granulaire, retirable |
| Évaluation préalable | ÉFVP obligatoire pour tout projet technologique impliquant des données personnelles | DPIA obligatoire pour traitements à risque élevé |
| Décisions automatisées | Transparence + droit à l’intervention humaine | Article 22 RGPD : droit de ne pas être soumis à une décision automatisée |
| Transferts hors juridiction | Évaluation d’équivalence documentée | Décision d’adéquation ou clauses contractuelles types |
| Sanctions max | 25 M$ CAD ou 4 % du CA mondial | 20 M€ ou 4 % du CA mondial |
| Responsable désigné | Obligatoire (souvent le PDG par défaut) | DPO obligatoire selon critères |
💡 Conseil aux entreprises françaises : ne recyclez pas votre politique de confidentialité RGPD en changeant le logo. La CAI est de plus en plus attentive aux acteurs européens qui opèrent au Québec avec des mentions génériques. Une politique dédiée, en français canadien, mentionnant explicitement la Loi 25 et nommant le responsable, est un signal de sérieux — et un avantage GEO (les LLM lisent ces pages).
La BDC (Banque de développement du Canada) publie régulièrement des analyses sur la transformation numérique et l’adoption de l’IA par les PME canadiennes. Un constat récurrent : les entreprises françaises qui débarquent au Québec sous-estiment systématiquement l’écart réglementaire, tandis que les PME québécoises sous-estiment l’ampleur du chantier de mise en conformité.
Comment auditer votre site web québécois face aux moteurs IA et à la Loi 25 ?
L’audit se déroule en quatre passes : cartographier tous les points de collecte (formulaires, cookies, chat, IA), vérifier que chaque collecte a un consentement explicite associé, documenter chaque flux vers un outil IA tiers, et produire ou mettre à jour l’ÉFVP correspondante. Sans ces quatre passes, votre site collecte « au feeling » — position intenable en cas de contrôle CAI.
La gestion du consentement et les bannières de témoins (cookies)
Au Québec, pas de consentement implicite pour les témoins non essentiels. La bannière « en poursuivant la navigation vous acceptez » est morte. Le visiteur doit pouvoir refuser tous les cookies non nécessaires aussi facilement qu’il peut les accepter — bouton « Refuser tout » au même niveau visuel que « Accepter tout ». Les bonnes pratiques opérationnelles sont désormais bien documentées, notamment sur le grief classique du « dark pattern » que la CAI scrute.
Avant (non conforme)
- Bannière « En continuant, vous acceptez »
- Bouton « Accepter tout » en vert, « Paramétrer » caché en gris
- Cookies analytics activés dès l’arrivée
- Aucun log des consentements
- Politique de confidentialité en anglais uniquement
Après (Loi 25 compliant)
- Choix explicite : Accepter / Refuser / Personnaliser
- Trois boutons de même poids visuel
- Cookies bloqués tant qu’aucun choix n’est fait
- Preuve de consentement horodatée et exportable
- Politique en français canadien avec responsable nommé
L’Évaluation des facteurs relatifs à la vie privée (ÉFVP)
L’ÉFVP est une démarche obligatoire au Québec avant de lancer tout projet IA ou technologique impliquant la collecte ou le traitement de données sensibles. Elle documente : quelles données, dans quelle finalité, avec quels risques, quelles mesures d’atténuation. C’est aussi votre première ligne de défense en cas de contrôle CAI : un projet documenté vaut mille projets improvisés.
-
Cartographier les données concernées
Quelles catégories de renseignements personnels ? Sources, formats, volumes, sensibilité (données de santé, financières, biométriques ?).
-
Décrire les traitements
Quel outil IA fait quoi, avec quelle finalité, avec quelle base légale (consentement, contrat, obligation légale) ?
-
Identifier les risques
Fuite, réidentification, usage détourné, décision automatisée injuste, entraînement non autorisé du modèle du fournisseur.
-
Définir les mesures d’atténuation
Chiffrement, pseudonymisation, minimisation, contrat renforcé avec l’éditeur, journal d’audit, purge automatique.
-
Documenter et faire valider
Signature du responsable, archivage, revue annuelle. En cas de changement matériel, refaire l’ÉFVP.
Vous n’êtes pas sûr que votre site et vos outils IA soient à jour côté Loi 25 ?
Un diagnostic GEO gratuit inclut une passe de repérage des points de friction Loi 25 sur votre stack — sans se substituer à un avis juridique.
Pourquoi la mise en conformité est-elle un avantage concurrentiel (et non un frein) ?
La conformité Loi 25 est devenue un signal de confiance mesurable : les IA génératives (ChatGPT, Perplexity, Gemini) priorisent les sources qui affichent une gouvernance des données claire. Sur le marché québécois, une page « Politique de confidentialité Loi 25 » bien rédigée est autant un actif marketing qu’un bouclier juridique.
Nous observons régulièrement que les pages qui déclarent explicitement leur cadre réglementaire (Loi 25, RGPD, responsable nommé, ÉFVP mentionnée) sont mieux reprises par les IA quand un utilisateur pose une question du type « quelles entreprises québécoises en [secteur] respectent la Loi 25 ? ». Ce n’est pas de la magie — c’est du GEO (Generative Engine Optimization) appliqué à un signal de conformité. Les LLM cherchent des sources d’autorité ; une gouvernance des données claire en est une.
Signal de confiance B2B
Sur le marché québécois, les acheteurs de logiciels et services scrutent la conformité Loi 25 de leurs fournisseurs. Une page dédiée = un cycle de vente raccourci.
Citabilité IA
Les LLM privilégient les sources qui affichent une gouvernance claire quand la requête touche à la réglementation.
Réduction du risque
Une ÉFVP documentée est votre première ligne de défense en cas de contrôle CAI ou de plainte client.
Alignement Toulouse-Montréal
Pour une entreprise française qui vise le Québec, une politique Loi 25 sur son site .ca est le signal que le marché est pris au sérieux — pas juste « un test d’export ».
« La Loi 25 n’est pas un frein à l’IA au Québec, c’est un filtre à sérieux. Les entreprises qui font le travail apparaissent dans les réponses de ChatGPT et Perplexity quand un prospect québécois cherche un partenaire fiable. Celles qui ne le font pas restent invisibles — ou pire, sont citées par un LLM avec la mention « conformité incertaine ». »
Rappel final : cet article vulgarise l’impact business et technique de la Loi 25 sur les outils IA. Il ne remplace en aucun cas un avis juridique. Pour valider vos pratiques, contactez un avocat spécialisé ou consultez directement la Commission d’accès à l’information du Québec.
📌 Points clés à retenir
- La Loi 25 s’applique à toute entreprise qui traite des renseignements personnels de résidents québécois — peu importe où elle est basée (Toulouse, Paris, Toronto).
- Aucun déploiement d’outil IA sur des données personnelles sans ÉFVP préalable documentée.
- Vos fournisseurs IA doivent s’engager par écrit à ne pas entraîner leurs modèles sur vos données.
- ChatGPT gratuit, Claude gratuit, Gemini gratuit = zone rouge pour les données clients. Passez aux offres entreprise avec engagement contractuel.
- Le consentement au Québec est explicite et granulaire. La case précochée est morte, les bannières « en continuant vous acceptez » aussi.
- La CAI est l’autorité de contrôle. Ses ressources (guides ÉFVP, réflexions IA) sont publiques et exploitables.
- Bien fait, ce chantier devient un avantage GEO : les IA citent plus volontiers les entreprises à gouvernance claire.
À propos de l’auteur : Ulysse Berthelot
Ulysse Berthelot est co-fondateur et président de iaba, agence de Generative Engine Optimization (GEO) basée à Toulouse avec une présence physique à Montréal. Architecte du Protocole GEO-4, il accompagne les entreprises françaises et québécoises dans leur visibilité auprès de ChatGPT, Perplexity, Gemini, Claude et Google AI Overviews. Expertises : GEO, SEO sémantique entity-first, Knowledge Graph Optimization, Schema.org, JSON-LD, automatisation (n8n, APIs LLM). Profil LinkedIn.
Questions fréquentes sur la Loi 25 et les outils IA
Une entreprise française qui n’a pas de bureau au Québec est-elle soumise à la Loi 25 ?
Oui, dès qu’elle traite des renseignements personnels de résidents québécois — même à distance, même via un site .fr accessible depuis le Québec. La Loi 25 a une portée extraterritoriale similaire au RGPD.
Puis-je utiliser ChatGPT gratuit pour rédiger une réponse client contenant son nom et son email ?
Non. C’est un transfert de renseignements personnels vers un tiers (OpenAI, États-Unis) sans consentement, sans ÉFVP et sans engagement de non-entraînement. Utilisez une offre entreprise avec DPA signé, ou anonymisez systématiquement le prompt.
Quelle est la sanction maximale prévue par la Loi 25 ?
Jusqu’à 25 millions de dollars canadiens ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé. À cela s’ajoutent les recours civils des personnes concernées.
Faut-il refaire une ÉFVP à chaque mise à jour de mon outil IA ?
Uniquement en cas de changement matériel : nouvelle finalité, nouvelle catégorie de données, changement de fournisseur, transfert vers une nouvelle juridiction. Une mise à jour mineure n’exige pas de nouvelle ÉFVP, mais son suivi doit être documenté.
Mon fournisseur IA est en Europe et certifié RGPD. Suffit-il pour être conforme Loi 25 ?
C’est un excellent point de départ mais pas une garantie automatique. Vous devez documenter l’évaluation d’équivalence, obtenir un engagement écrit spécifique à la Loi 25, et adapter votre politique de confidentialité aux mentions québécoises (responsable nommé, coordonnées, référence à la CAI).
Où trouver la ressource officielle de référence sur l’ÉFVP ?
Sur le site de la Commission d’accès à l’information du Québec (CAI), qui publie un guide dédié à la réalisation d’une ÉFVP et un document de réflexion sur l’IA et la vie privée. Voir les liens dans l’encadré Sources ci-dessous.
On se voit à Montréal pour cadrer votre conformité IA × visibilité GEO ?
Diagnostic gratuit : cartographie de vos points de friction Loi 25 + opportunités de citation par les moteurs IA sur le marché québécois. Rencontre possible sur place ou en visio.
📚 Sources et références
Officielles / réglementaires :
- Commission d’accès à l’information du Québec (CAI) — autorité de contrôle
- CAI — Document de réflexion : Intelligence artificielle et protection des renseignements personnels
- CAI — Guide pour réaliser une évaluation des facteurs relatifs à la vie privée (ÉFVP)
- CAI — Principaux changements apportés par la Loi 25
- Gouvernement du Québec — Guide d’intégration responsable de l’IA en milieu de travail
- LégisQuébec — Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1)
- France Num — Optimisation pour les moteurs génératifs (GEO)
Presse et analyses sectorielles :
- Université Laval (ATN) — NETendances : Intelligence artificielle générative
- BDC — La transformation numérique des PME à l’ère de l’IA
- La Presse — Votre recours à l’IA au boulot pourrait être illégal
- Loi25simple — Historique et calendrier d’entrée en vigueur
Encyclopédiques :
📖 À lire également
