Loi 25 et IA : ce que votre organisation doit documenter avant de déployer

L'article 3.3 exige une EFVP pour tout nouveau système (ou refonte substantielle) qui traite des renseignements personnels. Un projet IA qui ingère des courriels, des dossiers clients, des transcriptions ou des décisions automatisées déclenche presque toujours cette obligation. L'EFVP n'est pas une formalité. Elle doit nommer les finalités, les catégories de renseignements, les risques, les mesures de protection, et les droits des personnes. Pour l'IA, ajoutez explicitement : fournisseur de modèle, lieu d'inférence, durée de rétention des prompts, et mécanisme de recours humain. L'offre Découverte du Programme LysIA livre une EFVP prête à soumettre à votre RPRP — pas un modèle générique téléchargé sur Internet.

Chaque fournisseur IA (OpenAI, Anthropic, Microsoft, Google, ou un studio québécois) est un sous-traitant au sens de la Loi 25. Vous devez :

• Signer un contrat écrit avec obligations de confidentialité et de sécurité.
• Documenter la communication de renseignements hors Québec (art. 17).
• Évaluer si la protection offerte est équivalente — difficile avec un acteur soumis au CLOUD Act.
• Publier les informations requises dans votre politique de confidentialité. Le tableau ci-dessous résume les obligations minimales par type de fournisseur — à adapter avec votre avocat et votre RPRP.

  Élément contractuel	Fournisseur US (SaaS IA)	Studio québécois documenté
  Contrat écrit Loi 25	Obligatoire	Obligatoire
  Évaluation transfert hors Québec	Souvent défavorable (CLOUD Act)	Documentable (OVH BHS + inférence QC)
  EFVP avant go-live	Presque toujours	Presque toujours
  Registre sous-traitants public	Rare chez les US	Attendu (ex. LysIA)
  Recours humain art. 12.1	À négocier explicitement	Attendu si agent métier
  Le « shadow AI » — employés qui utilisent ChatGPT sans autorisation — est le scénario le plus fréquent d'infraction involontaire. La presse québécoise en a traité en mai 2026. La réponse n'est pas l'interdiction aveugle : c'est une politique claire plus une alternative québécoise documentée.
  Politique shadow AI minimale (modèle interne) :

1. Interdiction d'introduire des renseignements personnels identifiants dans tout outil non approuvé.
2. Liste blanche des outils autorisés (avec contrats sous-traitants signés).
3. Canal approuvé pour les cas d'usage métier (assistant interne ou copilote hébergé au Québec).
4. Formation annuelle + attestation signée par les employés à risque.
5. Procédure d'incident si un employé reconnaît une fuite (art. 3.8).

Dès qu'un système IA influence une décision concernant une personne (embauche, crédit, admission, refus de service), l'article 12.1 s'applique. L'organisation doit :

1. Informer la personne que la décision est automatisée.
2. Lui permettre de présenter des observations.
3. Sur demande, communiquer les facteurs pertinents et les renseignements utilisés.
4. Offrir un recours humain — pas un chatbot qui confirme la décision du chatbot. C'est exactement ce que garantit le Pacte LysIA §1 : l'humain signe, toujours. Chaque agent LysIA a un superviseur nommé publiquement sur sa carte d'identité.

L'article 3.1 exige qu'une personne physique soit responsable de la protection des renseignements personnels (RPRP). Pour un projet IA, le RPRP n'est pas un rôle décoratif : il signe l'EFVP, valide les sous-traitants, et supervise le registre des incidents (art. 3.8). Incidents typiques en contexte IA :

• Prompt contenant un nom + dossier client envoyé à un modèle public.
• Index RAG mal configurée exposant des documents hors périmètre.
• Journalisation de conversations sans politique de rétention.
• Décision automatisée sans recours humain documenté. Chaque incident doit être consigné avec date, nature, gravité, mesures correctives, et notification CAI si le seuil de « préjudice grave » est atteint. La CAI publie des lignes directrices — votre registre doit être auditable sur 24 mois minimum. LysIA publie son propre registre consolidé dans le rapport de transparence H1 2026 — pas comme modèle juridique, mais comme preuve que la transparence opérationnelle est faisable.

Stocker ou inférer au « Canada » chez un fournisseur américain ne suffit pas. Le CLOUD Act (2018) permet aux autorités américaines d'exiger des données détenues par une entité américaine — peu importe le datacenter. Pour un transfert hors Québec, la Loi 25 exige une évaluation préalable documentée. Un fournisseur exposé au CLOUD Act ne peut généralement pas démontrer une protection équivalente pour des dossiers sensibles (santé, notariat, finance, CPE). Alternative documentée : hébergement OVHcloud Beauharnois, inférence RunPod Montréal — voir /infrastructure pour la table publique des sous-traitants.

Notariat / immobilier. Un agent qui prépare une recherche de titre ingère des noms, adresses, numéros de lot et hypothèques — tous des renseignements personnels ou professionnels sensibles. EFVP obligatoire, contrat sous-traitant, inférence documentée au Québec. Voir aussi fonciq.ca (logiciel métier LysIA — immobilier). CPE / garderies. Photos d'enfants, ratios, dossiers parents : Loi 25 + RL-24. Un copilote IA sans EFVP ni politique de rétention des prompts est un risque réputationnel immédiat. Voir lecocon.ca. Municipalités / OBNL. Appels d'offres IA exigent souvent une preuve de résidence des données. « Hébergé au Canada » chez un hyperscaler US ne répond pas à la question de l'équivalence — il faut la fiche sous-traitant complète.

La CAI peut imposer des sanctions administratives pécuniaires proportionnelles à la gravité, à la récidive et à la taille de l'organisation. Les plafonds législatifs atteignent 25 M$ ou 4 % du chiffre d'affaires mondial. En pratique, les premières vagues de plaintes IA au Québec (2025–2026) visent surtout :

• Absence d'EFVP sur un nouveau système.
• Transfert US non documenté (shadow AI ou SaaS générique).
• Refus de donner accès aux facteurs d'une décision automatisée. La conformité n'est pas une case cochée une fois : chaque nouveau modèle, chaque nouvel agent, chaque nouvelle intégration API déclenche une réévaluation. C'est pourquoi LysIA publie des cartes d'identité versionnées par agent — le sous-traitant IA devient auditable comme n'importe quel autre.

1. EFVP signée par le RPRP (ou en cours d'approbation).
2. Registre des incidents de confidentialité (12 mois).
3. Contrats sous-traitants IA avec clauses Loi 25.
4. Politique d'usage interne (shadow AI interdit ou canal approuvé).
5. Fiche de recours humain pour toute décision automatisée (art. 12.1). Notre audit public en 12 questions couvre ces points en cinq minutes. Gratuit, sans courriel.

• Loi 25 et IA — ce que beaucoup d'agences oublient
• Guide pratique Loi 25 — IA & sous-traitance
• Audit Loi 25 en 12 questions
• Pourquoi un LLM québécois ne suffit pas
• Programme LysIA — offre Découverte avec EFVP
• Politique de vie privée LysIA Patrick Beland · fondateur, LysIA · [email protected]