Loi 25 et IA : checklist en 10 points pour ton équipe

Ce que la loi exige. Par défaut, la personne ayant la plus haute autorité dans l'entreprise est responsable de la protection des renseignements personnels. Elle peut déléguer ce rôle par écrit. Le titre et les coordonnées du responsable doivent être publiés, notamment sur ton site web.

Livrable. Une délégation écrite si le rôle n'est pas assumé par la direction, et une page ou une section de site avec le titre et le courriel du responsable. C'est cette personne qui signe les 9 points suivants.

Ce que la loi exige. Une évaluation des facteurs relatifs à la vie privée (EFVP) est obligatoire pour tout projet d'acquisition, de développement ou de refonte de système d'information impliquant des renseignements personnels. Abonner ton équipe à un outil d'IA, c'est une acquisition de système d'information.

Livrable. Un document proportionné à la sensibilité des données : quelles catégories de renseignements entreront dans l'outil, pour quelles fins, quels risques, quelles mesures d'atténuation. Pas de format imposé; quelques pages rigoureuses suffisent pour une PME.

Ce que la loi exige. Avant de communiquer des renseignements personnels hors du Québec, tu dois évaluer si l'État de destination offre une protection adéquate, en tenant compte de la sensibilité des données et du régime juridique applicable. La communication doit faire l'objet d'une entente écrite. Un outil IA dont les serveurs sont aux États-Unis, c'est un transfert hors Québec à chaque prompt contenant un renseignement personnel.

Livrable. La localisation exacte des serveurs de ton fournisseur, documentée dans l'EFVP, et l'entente écrite couvrant le transfert s'il y en a un. Un hébergement au Canada simplifie radicalement ce point.

Ce que la loi exige. Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques, demandé en termes simples et clairs. Si tes clients ont consenti à ce que leurs données servent à la facturation, ce consentement ne couvre pas leur analyse par un outil d'IA : nouvelle finalité, nouveau consentement.

Livrable. Une revue de tes formulaires et politiques de confidentialité : est-ce que l'usage IA prévu entre dans les finalités déjà consenties? Sinon, mise à jour du consentement avant le déploiement, pas après.

Ce que la loi exige. Si une décision fondée exclusivement sur un traitement automatisé est prise au sujet d'une personne (tri de candidatures, approbation de crédit, tarification), tu dois l'en informer, et à sa demande lui communiquer les renseignements utilisés, les principaux facteurs de la décision et son droit de la faire rectifier. La personne doit pouvoir présenter ses observations à un humain.

Livrable. Une règle interne simple : aucune décision affectant un client ou un employé ne sort de l'IA sans validation humaine documentée. Si tu automatises complètement, prépare le mécanisme d'information et de révision avant la première décision.

Ce que la loi exige. Tout incident de confidentialité (accès, utilisation ou communication non autorisés, ou perte de renseignements personnels) doit être inscrit dans un registre. S'il présente un risque de préjudice sérieux, tu dois aviser la CAI et les personnes concernées, et prendre des mesures pour réduire les risques.

Livrable. Un registre d'incidents (un tableau tenu à jour suffit) et une procédure d'une page : qui constate, qui évalue le préjudice, qui avise la CAI. Un employé qui colle un dossier client complet dans un chatbot public, c'est potentiellement un incident.

Ce que la loi exige. Lorsque les fins pour lesquelles un renseignement personnel a été recueilli sont accomplies, tu dois le détruire ou l'anonymiser, sous réserve des délais de conservation prévus par d'autres lois. Les historiques de conversation IA contenant des renseignements personnels sont visés comme n'importe quel autre dossier.

Livrable. Une durée de rétention décidée et écrite pour les conversations IA, et la vérification que ton fournisseur permet réellement la suppression (pas juste le masquage) des historiques.

Ce que la loi exige. Tes politiques et pratiques de gouvernance des renseignements personnels doivent encadrer leur cycle de vie complet et être publiées en termes simples. Concrètement, tu dois pouvoir répondre à la question : qui, dans l'équipe, a accès à l'outil IA, et quelles catégories de données y transitent?

Livrable. Des comptes nominatifs (pas de compte partagé), une liste d'accès tenue à jour, et si l'outil le permet, l'export des journaux d'activité. Sans traçabilité, impossible de documenter un incident au point 6.

Ce que la loi exige. Confier des renseignements personnels à un fournisseur de services exige un contrat écrit qui limite l'utilisation des données aux fins du mandat. Un fournisseur d'IA qui entraîne ses modèles sur tes conversations utilise tes données à ses propres fins : c'est exactement ce que le contrat doit interdire.

Livrable. La clause écrite, dans le contrat ou les conditions d'entreprise du fournisseur, confirmant que tes données ne servent pas à l'entraînement des modèles. Si le fournisseur ne peut pas la fournir, choisis-en un autre.

Ce que la loi exige. Le contrat avec ton fournisseur doit prévoir le sort des renseignements personnels à la fin du mandat, incluant leur destruction. Si tu quittes l'outil dans deux ans, tes données doivent pouvoir sortir avec toi, puis disparaître chez lui.

Livrable. Trois réponses écrites du fournisseur : comment j'exporte mes données (format exploitable), dans quel délai elles sont supprimées après résiliation, et quelle confirmation de suppression je reçois.