Loi 25 et outils IA : guide de conformité pour les entreprises

Déployer ChatGPT, Copilot ou un chatbot maison au Québec sans passer la Loi 25 au crible, c’est jouer avec des sanctions pouvant atteindre 25 millions de dollars canadiens. Voici ce qu’un dirigeant doit vraiment vérifier avant d’appuyer sur « publier ».

Pourquoi la Loi 25 encadre l’utilisation de l’IA au Québec ?

La Loi 25 encadre l’IA parce qu’elle modernise le régime québécois de protection des renseignements personnels dans le secteur privé (chapitre P-39.1), en imposant transparence, consentement et gouvernance à toute technologie qui traite de la donnée nominative, y compris les modèles d’intelligence artificielle générative.

Officiellement nommée « Loi modernisant des dispositions législatives en matière de protection des renseignements personnels », elle est entrée en vigueur par phases entre 2022 et 2024. Sa mise en application relève de la Commission d’accès à l’information (CAI), qui a publié des principes spécifiques pour l’IA générative et mené, avec ses homologues canadiens, une enquête sur OpenAI qui a débouché sur des engagements précis.

Qui est concerné par la Loi 25 ?

Toute entreprise qui collecte, utilise ou communique des renseignements personnels sur des personnes résidant au Québec est concernée par la Loi 25, peu importe où se trouve son siège. Un e-commerce français qui vend à Montréal, un SaaS américain avec des utilisateurs à Québec, une PME de Laval avec un CRM : tous doivent s’y conformer.

Le critère déclencheur n’est pas la nationalité de l’entreprise, c’est le fait de traiter des données de citoyens québécois. Un simple formulaire de contact qui capte un nom et un courriel suffit à activer la loi. Les outils IA (chatbot, scoring, recommandation, génération de contenu personnalisé) sont couverts dès qu’ils manipulent ces données.

Loi 25 et RGPD : quelles différences pour l’IA ?

La Loi 25 et le RGPD partagent la même philosophie mais divergent sur trois points opérationnels pour l’IA : le seuil de notification des incidents à la CAI (« risque de préjudice sérieux » vs « risque élevé »), l’obligation stricte d’une EFVP avant tout transfert hors Québec, et le droit explicite d’obtenir les principaux paramètres d’une décision automatisée.

Pour une entreprise française déjà conforme au RGPD, la marche est franchissable : 70 à 80 % des chantiers sont mutualisables. Mais les 20 % restants (mécanique de consentement, notation d’incident, désignation du responsable RPRP au REQ) doivent être refaits pour le Québec.

Que dit la loi sur l’IA et la protection des données ?

La Loi 25 ne cite pas le mot « intelligence artificielle », mais elle règle son sort en imposant transparence sur toute décision automatisée et consentement explicite pour toute collecte de renseignements personnels traités par un algorithme. La CAI a publié en 2024 des principes directeurs pour l’IA générative qui précisent l’application concrète du texte.

Comment le règlement réglemente-t-il l’utilisation de l’IA ?

Le règlement impose d’informer la personne concernée lorsqu’une décision est prise exclusivement sur la base d’un traitement automatisé, et lui accorde le droit de connaître les principaux paramètres de cette décision. C’est l’article 12.1 de la loi P-39.1, dispositif central dès qu’un scoring, un tri de CV ou une recommandation IA affecte concrètement une personne.

Concrètement : si un modèle refuse un crédit, un logement ou une candidature, l’utilisateur doit pouvoir demander sur quels critères, et exiger une révision humaine. Le silence de l’entreprise sur ces mécaniques est une non-conformité directement sanctionnable.

Que dit la loi sur l’IA au sens large ?

Aucune loi québécoise n’encadre spécifiquement l’IA en tant que technologie ; elle est régulée par ricochet via la Loi 25 sur les données et, à venir, via la Loi canadienne sur l’IA et les données (LIAD, projet C-27). Le Québec s’appuie donc sur le principe : pas de donnée personnelle mal traitée, pas d’IA mal traitée.

Quelles sont les limites juridiques de l’IA ?

Les limites juridiques actuelles interdisent à une IA d’utiliser des données personnelles à l’insu de l’utilisateur pour entraîner des modèles publics, sous peine de sanctions administratives et pénales. L’enquête conjointe des commissariats canadiens sur OpenAI (conclusions publiées en 2026) l’a confirmé : le moissonnage web (scraping) massif de contenus personnels sans base légale est un problème.

Autres lignes rouges concrètes : l’utilisation d’IA pour de la surveillance biométrique sans consentement, le profilage discriminatoire, et l’usage secondaire de données collectées pour un tout autre motif (un CRM devenu jeu d’entraînement du dernier LLM à la mode, par exemple).

Quelles sont vos obligations avant de déployer un outil IA ?

Avant tout déploiement, une entreprise doit accomplir cinq obligations : désigner un responsable RPRP, réaliser une EFVP quand elle est requise, encadrer le consentement, documenter la décision automatisée, et notifier tout incident de confidentialité à la CAI. C’est le socle non négociable.

1. Cartographier les flux de données

   Lister chaque outil IA envisagé, les données qu’il ingère, celles qu’il produit, et le pays d’hébergement. Sans cette carte, aucune obligation n’est vérifiable.

2. Réaliser l’EFVP quand elle est requise

   Obligatoire avant l’acquisition, le développement ou la refonte d’un système traitant des renseignements personnels sensibles, ou tout transfert hors Québec.

3. Adapter le consentement

   Consentement manifeste, libre, éclairé, granulaire et donné à des fins spécifiques. Les bannières « accepter tout » globales ne suffisent plus.

4. Publier la politique et l’info sur les décisions automatisées

   Politique de confidentialité accessible, mention explicite des traitements algorithmiques, coordonnées du responsable RPRP.

5. Préparer la réponse aux incidents

   Registre d’incidents, procédure de notification à la CAI et aux personnes concernées en cas de « risque de préjudice sérieux ».

Réaliser une Évaluation des facteurs relatifs à la vie privée (EFVP)

L’EFVP est une analyse documentée qui identifie et atténue les risques qu’un projet fait peser sur la vie privée, avant sa mise en service. La CAI l’exige notamment pour tout projet d’acquisition, de développement ou de refonte de système d’information traitant des renseignements personnels, et pour tout transfert de ces données hors Québec.

Gérer le consentement explicite et la transparence

Le consentement Loi 25 doit être manifeste, libre, éclairé, donné à des fins spécifiques et pour chaque fin distincte. Un consentement au traitement marketing ne couvre pas l’entraînement d’un modèle IA sur ces mêmes données : ce sont deux finalités différentes, donc deux cases à cocher distinctes.

Désigner un responsable de la protection des renseignements personnels

Toute entreprise québécoise doit désigner un responsable de la protection des renseignements personnels (RPRP) et publier ses coordonnées sur son site web. Par défaut, ce rôle revient à la personne ayant la plus haute autorité (le PDG), mais il peut être délégué par écrit à un cadre interne ou à un prestataire externe.

Outils IA marketing et site web : les points de vigilance

Les outils IA marketing (ChatGPT, Copilot, Jasper, plateformes de personnalisation, chatbots) exposent l’entreprise dès qu’un employé y injecte une donnée client sans passer par une version entreprise sécurisée. C’est aujourd’hui le premier vecteur de fuite au Québec, avant même les cyberattaques externes.

Faut-il auditer les solutions comme ChatGPT ou Copilot ?

Oui, chaque outil IA grand public doit être audité avant tout usage professionnel avec des données de clients québécois. L’enquête conjointe menée par le Commissariat à la protection de la vie privée du Canada et ses homologues provinciaux (dont la CAI) sur OpenAI a documenté des pratiques de collecte insuffisamment encadrées, et abouti à des engagements de transparence de la part de l’éditeur.

Où sont hébergées vos données ?

La localisation des serveurs déclenche automatiquement une EFVP dès qu’un renseignement personnel sort du Québec. ChatGPT, Copilot, Claude, Gemini : tous hébergent aux États-Unis par défaut. Ce n’est pas interdit, mais ça vous oblige à documenter le transfert, évaluer l’équivalence de protection et l’inscrire au contrat.

Côté visibilité, cibler google.ca avec des contenus hébergés au Québec et référencés dans des sources locales (médias, annuaires, REQ) est un double atout : conformité renforcée et meilleure indexation par les IA qui géolocalisent les réponses. Pour un panorama plus large, voir notre analyse dédiée au référencement IA Québec.

Génération de contenu IA : droits et obligations

La génération de contenu par IA soulève deux questions au Québec : le droit d’auteur sur les œuvres produites, et la conformité linguistique au français canadien exigé par l’Office québécois de la langue française (OQLF). Les deux points doivent être traités en amont, avant la première publication.

Est-ce que les images générées par IA sont libres de droit ?

Non, une image générée par IA n’est pas automatiquement libre de droits. Au Canada, la Loi sur le droit d’auteur protège les œuvres humaines : une image purement générée par IA sans intervention créative humaine significative est difficilement protégeable, ce qui n’empêche pas des tiers de contester votre usage si le modèle s’est entraîné sur des œuvres protégées.

Est-il obligatoire de mentionner que les images sont générées par IA ?

Aucune loi fédérale ou québécoise n’oblige encore à étiqueter systématiquement les images générées par IA dans un usage commercial standard. Mais les lignes directrices gouvernementales québécoises et fédérales recommandent fortement la transparence pour éviter la tromperie du consommateur, et l’Union européenne l’imposera via l’AI Act (une norme qui influencera le marché canadien).

Contenu IA et français canadien : l’angle mort

Un contenu généré par IA en français « de France » et publié sur un site .ca destiné au marché québécois expose à un double risque : perte d’affinité culturelle et non-conformité potentielle aux exigences linguistiques de l’OQLF pour les entreprises assujetties. Les termes « email » vs « courriel », « shopping » vs « magasinage », « spam » vs « pourriel » ne sont pas des détails.

« Sur les projets québécois qu’on accompagne, ce n’est pas le contenu IA qui pose problème, c’est le contenu IA non relu par un rédacteur ancré localement. Les LLM restituent un français neutre européen par défaut, et les IA de recherche ancrent leurs réponses sur des sources qui, elles, sont typées Québec. »

Comment choisir vos fournisseurs pour le marché québécois ?

Choisir un fournisseur d’outils IA pour le marché québécois se joue sur trois critères : sa capacité à documenter la conformité Loi 25, sa présence contractuelle au Canada, et sa maîtrise du contexte francophone canadien (linguistique et sources locales). Les trois se vérifient à l’appel d’offres, pas après le contrat.

Pour comprendre ces enjeux spécifiques sans faire d’erreurs coûteuses, s’appuyer sur une vraie présence montréalaise change la donne. C’est tout l’avantage de faire appel à notre agence GEO basée à Montréal. Cette légitimité physique nous permet de maîtriser les subtilités du marché canadien francophone, du REQ à la CAI, en passant par les codes rédactionnels attendus par les acheteurs locaux et les sources que privilégient les IA quand elles répondent depuis le Canada.

Les cinq questions à poser à tout fournisseur IA

1. Où sont hébergées mes données ?

   Réponse attendue : localisation précise, avec option Canada si sensible.

2. Utilisez-vous mes données pour entraîner vos modèles ?

   Réponse attendue : non par défaut sur offre entreprise, opt-in explicite sinon.

3. Fournissez-vous une entente de traitement conforme Loi 25 ?

   Réponse attendue : oui, avec clauses spécifiques Québec, pas un simple DPA RGPD.

4. Comment gérez-vous les demandes de suppression ?

   Réponse attendue : procédure documentée, délai contractuel, journal auditable.

5. Quel est votre engagement en cas d’incident ?

   Réponse attendue : notification dans un délai compatible avec vos obligations à la CAI.

Un cas concret : un e-commerçant québécois et son chatbot IA

Un client du secteur e-commerce québécois, environ 40 employés, souhaitait déployer un chatbot IA pour son service client. Premier réflexe interne : brancher ChatGPT via API sur son historique de tickets. On a rappelé trois points : les tickets contenaient des données de commande nominatives, l’API standard OpenAI héberge hors Québec, et aucune EFVP n’avait été menée.

Résultat de la démarche : EFVP conduite en trois semaines, choix d’un fournisseur avec option d’hébergement canadien, réécriture du bandeau de consentement, et documentation de la décision automatisée dans la politique de confidentialité. Le chatbot est parti en production trois mois plus tard, sans risque juridique et avec un discours de conformité que le fondateur peut opposer sereinement à n’importe quel prospect B2B.

À propos de l’auteur : Ulysse Berthelot

Ulysse Berthelot est le co-fondateur et président de iaba, agence de Generative Engine Optimization (GEO) basée à Toulouse avec présence physique à Montréal. Architecte du Protocole GEO-4, il accompagne les entreprises françaises et québécoises sur la visibilité dans ChatGPT, Perplexity, Gemini et Google AI Overviews, en intégrant les contraintes locales (Loi 25, OQLF, sources canadiennes). Formé chez Oreegami (certification Google, RNCP niveau 6) et à l’ESG Business School Bordeaux.

Domaines d’expertise : GEO, AI Overviews, SEO sémantique, Knowledge Graph, Schema.org, JSON-LD, RAG, automatisation marketing.

Profil LinkedIn · Page auteur

FAQ : Loi 25 et intelligence artificielle