IA et Loi 25 : ce qu'une PME québécoise
doit savoir avant d'automatiser

Pourquoi la Loi 25 inquiète autant, souvent pour les mauvaises raisons

Depuis que la Loi 25 est pleinement en vigueur au Québec, beaucoup de propriétaires de PME l'ont découverte via des manchettes alarmistes ou des courriels de fournisseurs qui leur vendaient une solution de conformité. Le résultat : une impression que déployer quoi que ce soit de numérique est désormais un risque légal.

La réalité est plus nuancée. La Loi 25, officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, n'interdit pas l'automatisation ni l'intelligence artificielle. Elle impose des règles sur ce que vous faites avec les données de vos clients. La plupart de ces règles relèvent du bon sens et beaucoup de PME les respectent déjà sans le savoir.

Ce que la Loi 25 dit, en clair

La loi s'applique à toute organisation qui collecte, utilise, communique ou conserve des renseignements personnels sur des personnes physiques dans le cadre de ses activités commerciales. Un renseignement personnel, c'est n'importe quelle information qui permet d'identifier quelqu'un directement ou indirectement : nom, numéro de téléphone, adresse courriel, adresse postale.

Elle a été déployée en trois phases entre 2022 et 2023 :

La loi est maintenant pleinement en vigueur. Ce n'est plus un sujet à remettre à plus tard.

Quand un outil IA déclenche des obligations

Tous les outils IA ne sont pas équivalents sous la Loi 25. Voici comment distinguer les cas qui créent des obligations de ceux qui n'en créent pas.

Les cas qui créent des obligations

• Un agent vocal qui prend des noms et des numéros de téléphone. Dès que votre IA collecte un identifiant lié à une personne, vous êtes dans le périmètre de la loi.
• Un chatbot qui pose des questions sur la santé, les revenus ou d'autres données sensibles. Les données sensibles sont soumises à des règles de consentement plus strictes.
• Un système de relance automatique qui enregistre le comportement d'un client (a-t-il ouvert le courriel, rappelé, cliqué). Ces traces constituent des renseignements personnels.
• Toute décision automatisée qui a des effets sur une personne (refus d'un service, classement d'un lead comme prioritaire ou non). La loi exige que vous informiez la personne et lui offriez un recours.

Les cas qui n'en créent pas

• Un outil qui traite uniquement des données agrégées ou anonymisées (tableaux de bord, statistiques sans nom).
• Un outil interne qui ne touche que les données de vos employés dans le cadre de leur travail (la loi couvre les relations avec les clients, pas les RH en général).
• Un générateur de contenu IA qui n'ingère aucune donnée de client.

Les trois obligations pratiques pour une PME qui utilise l'IA

Voici ce que la loi attend concrètement, sans le jargon juridique :

• 1️⃣
  Informer les personnes avant de collecter leurs données. Votre agent vocal doit mentionner, en début d'appel ou via un message d'accueil, que la conversation peut être enregistrée ou traitée automatiquement, et dans quel but. Ce n'est pas différent de « Cet appel peut être enregistré à des fins de qualité » que vous entendez dans tous les centres d'appels.
• 2️⃣
  Avoir une politique de confidentialité accessible. Elle doit être publiée sur votre site et indiquer quelles données vous collectez, pourquoi, comment vous les protégez et combien de temps vous les conservez. La Commission d'accès à l'information (CAI) offre un modèle gratuit pour les PME.
• 3️⃣
  Ne pas conserver les données plus longtemps que nécessaire. Vous n'avez pas besoin de garder les enregistrements d'appels indéfiniment. Définissez une durée de rétention raisonnable (30, 60 ou 90 jours selon votre contexte) et respectez-la. Documentez ce choix quelque part.

Il y a bien sûr d'autres obligations selon votre contexte (désigner un responsable de la protection des renseignements personnels, réaliser une EFVP avant de déployer un nouveau système). Mais pour une PME qui débute avec l'IA, ces trois points couvrent l'essentiel.

Un point souvent mal compris : la décision automatisée

La Loi 25 contient une disposition spécifique sur les décisions prises exclusivement par un système automatisé et qui ont des effets importants sur une personne. Si votre outil IA décide seul d'accorder ou refuser un service, de prioriser ou d'éliminer un lead sans intervention humaine, vous devez :

• Informer la personne que la décision a été prise de façon automatisée.
• Lui expliquer les facteurs principaux qui ont mené à cette décision.
• Lui offrir la possibilité de faire réviser la décision par un humain.

Dans la pratique, la plupart des outils IA utilisés par les PME québécoises, agents vocaux, chatbots de prise de rendez-vous, relances automatiques, n'entrent pas dans cette catégorie. Un agent vocal qui répond à des appels et transfère les informations à un humain n'est pas un système de décision automatisée au sens de la loi.

Ce que ça change pour un déploiement concret de Sofia

Sofia est configurée pour respecter les exigences de la Loi 25 dès le départ. Voici comment ça se traduit dans la pratique :

• Message d'accueil transparent : Sofia peut mentionner en début d'appel que la conversation est traitée automatiquement, selon votre préférence.
• Aucune donnée médicale ou sensible collectée : sur les pages clinique, Sofia ne stocke pas les informations de santé, elle collecte uniquement les coordonnées nécessaires à la prise de rendez-vous.
• Rétention limitée à 90 jours : les enregistrements et transcriptions d'appels sont effacés après 90 jours par défaut.
• Aucune décision autonome : Sofia collecte et transfère, elle ne prend pas de décision finale sur vos clients.

Vous devez quand même publier une politique de confidentialité sur votre site et y mentionner l'utilisation d'un agent vocal. Ce point reste votre responsabilité. La CAI met à disposition des ressources pour rédiger ce document simplement.

L'erreur la plus courante : ne rien faire par peur

L'obstacle que rencontrent le plus souvent les PME n'est pas la complexité réelle de la loi. C'est la paralysie. On reporte le déploiement d'un outil utile parce qu'on a entendu que « la Loi 25, c'est compliqué » sans jamais vraiment lire ce qu'elle demande.

La CAI a été très claire dans ses communications : elle cherche à accompagner les entreprises de bonne foi, pas à les sanctionner pour des manquements techniques. Les ressources qu'elle publie sont accessibles et concrètes. Et si vous déployez un outil avec un fournisseur sérieux, une grande partie du travail de conformité est déjà fait.

Si vous n'êtes pas sûr de votre situation, l'Audit IA de Nexia inclut une revue de votre exposition sous la Loi 25 dans le contexte de votre projet d'automatisation, avant de dépenser un sou.