EFVP avant un outil d'IA : la marche à suivre pour un cabinet
L'évaluation des facteurs relatifs à la vie privée (EFVP) n'est pas un exercice théorique : c'est elle qui vous dit si un outil d'IA peut recevoir les renseignements de vos clients, et à quelles conditions.
L'essentiel
- Une EFVP est exigée pour tout projet d'acquisition d'un système qui traite des renseignements personnels (art. 3.3), et avant toute communication hors du Québec (art. 17).
- Elle se fait au début du projet, avec le responsable de la protection des renseignements personnels, et elle est proportionnée à la sensibilité des renseignements.
- La Commission d'accès à l'information publie un guide d'accompagnement (version 3.1, avril 2024) et un modèle de rapport.
- Quand les dossiers sont traités sur le poste du cabinet et que rien n'en sort, l'article 17 ne s'applique pas ; l'EFVP du projet reste à faire, plus simple.
Quand l'EFVP est obligatoire
- Art. 3.3 : pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou d'une prestation électronique de services qui traite des renseignements personnels.
- Art. 17 : avant de communiquer un renseignement personnel à l'extérieur du Québec, ou de confier à quelqu'un hors du Québec la tâche de le recueillir, de l'utiliser, de le communiquer ou de le conserver pour vous.
Un outil d'IA qui lit des dossiers clients tombe sous l'article 3.3. S'il les traite hors du Québec, l'article 17 s'ajoute.
Les étapes
- Décrire le projet : l'outil, l'usage prévu (recherche, analyse de dossiers, rédaction) et les personnes qui l'utiliseront.
- Consulter le responsable de la protection des renseignements personnels dès le départ.
- Inventorier les renseignements traités et leur sensibilité : un dossier de droit de la famille ou de santé n'a pas le même poids qu'une question de droit générale.
- Tracer le trajet des données : où elles sont traitées, conservées et sauvegardées, et qui y a accès, y compris chez le fournisseur et ses sous-traitants.
- Si les données quittent le Québec, évaluer les quatre éléments de l'article 17 : sensibilité, finalité, mesures de protection et régime juridique de l'État de destination.
- Évaluer les risques (accès non autorisé, réutilisation pour l'entraînement, conservation trop longue, réidentification) et choisir les mesures pour les réduire.
- Prévoir le contrat : mesures de protection, usage limité, destruction, avis d'atteinte et vérifications (art. 18.3), et l'entente écrite exigée par l'article 17.
- Conclure, signer et conserver le rapport ; le revoir quand l'outil ou son usage change.
Les questions à poser au fournisseur
- Dans quel pays et dans quelle région les données sont-elles traitées et conservées ?
- Les données servent-elles à entraîner ou à améliorer un modèle ? Peut-on l'exclure par contrat ?
- Combien de temps sont-elles conservées, et comment sont-elles détruites ?
- Qui, chez le fournisseur, peut y accéder, et cet accès est-il journalisé ?
- Quels sous-traitants interviennent, et où ?
- Comment le fournisseur vous avise-t-il d'un incident de confidentialité ?
- Peut-on récupérer les données dans un format structuré et couramment utilisé ?
Le cas d'un outil qui fonctionne sur le poste du cabinet
Quand l'IA tourne sur le poste ou le serveur du cabinet et que les dossiers n'en sortent pas, il n'y a pas de communication hors du Québec : l'article 17 ne s'applique pas. L'EFVP du projet, exigée par l'article 3.3, porte alors surtout sur la sécurité du poste, les accès, les sauvegardes et ce que le logiciel envoie à son éditeur.
C'est le choix fait par Jurisync en mode privé : les dossiers sont analysés sur place, et le poste n'envoie que sa version, sa licence et son état technique, jamais un document. Nous fournissons ces informations pour faciliter votre évaluation ; la décision reste celle du cabinet.
Les outils de la Commission d'accès à l'information
La Commission d'accès à l'information publie un guide d'accompagnement pour réaliser une EFVP (version 3.1, avril 2024) et un modèle de rapport. Ils couvrent les obligations de la Loi 25 et servent de canevas.
Pour le cadre général, voir notre guide Loi 25 et intelligence artificielle.
Questions fréquentes
Un petit cabinet doit-il vraiment faire une EFVP ?
Oui, la loi ne prévoit pas d'exception selon la taille. L'évaluation est toutefois proportionnée : pour un outil simple et peu de renseignements, quelques pages peuvent suffire.
Faut-il refaire l'EFVP à chaque mise à jour de l'outil ?
Pas pour chaque version. Il faut la revoir quand le traitement change de façon importante : nouveau fournisseur, nouveau lieu d'hébergement, nouvel usage ou nouvelles catégories de renseignements.
Faut-il transmettre l'EFVP à la Commission ?
La loi ne prévoit pas de dépôt systématique. Le cabinet conserve l'évaluation et doit pouvoir la produire, par exemple lors d'une enquête de la Commission.
Sources
Textes officiels consultés pour ce guide. Vérifiez toujours la version en vigueur.
Ce guide donne de l'information générale. Ce n'est pas un avis juridique. La conformité demeure la responsabilité de chaque cabinet.