Loi 25 et intelligence artificielle : ce que doit faire un cabinet
Dès qu'un outil d'IA traite des renseignements personnels de vos clients, la loi québécoise sur la protection des renseignements personnels s'applique. Voici les obligations qui comptent, article par article.
L'essentiel
- Adopter un outil d'IA qui traite des renseignements personnels exige une évaluation des facteurs relatifs à la vie privée (EFVP) dès le début du projet (art. 3.3).
- Envoyer des renseignements hors du Québec, même ailleurs au Canada, exige une EFVP préalable et une entente écrite (art. 17).
- Le fournisseur qui traite les renseignements pour vous doit être lié par un contrat écrit (art. 18.3).
- Masquer les noms réduit le risque, mais seul un renseignement anonymisé, de façon irréversible, cesse d'être un renseignement personnel (art. 23).
- Les sanctions administratives peuvent atteindre 10 000 000 $ ou 2 % du chiffre d'affaires mondial.
Qui est visé
La Loi sur la protection des renseignements personnels dans le secteur privé s'applique aux entreprises, dont les cabinets d'avocats et de notaires. La « Loi 25 » est la loi de 2021 qui l'a modernisée ; la plupart de ses obligations sont en vigueur depuis le 22 septembre 2023.
Chaque cabinet a un responsable de la protection des renseignements personnels : par défaut, la personne qui a la plus haute autorité. Cette fonction peut être déléguée par écrit, et son titre et ses coordonnées doivent être publiés sur le site Web du cabinet (art. 3.1).
Avant d'adopter l'outil : l'EFVP
L'article 3.3 exige une EFVP pour tout projet d'acquisition, de développement ou de refonte d'un système d'information qui traite des renseignements personnels. Un outil d'IA qui lit des dossiers clients en fait partie.
Le responsable de la protection doit être consulté dès le début du projet. L'évaluation est proportionnée à la sensibilité, à la finalité, à la quantité, à la répartition et au support des renseignements. Le système doit aussi permettre de remettre les renseignements dans un format structuré et couramment utilisé.
La marche à suivre est détaillée dans notre guide sur l'EFVP avant un outil d'IA.
Si les données quittent le Québec
Beaucoup d'outils d'IA traitent les données à l'extérieur du Québec. Avant de leur communiquer un renseignement personnel, l'article 17 exige une EFVP qui tient compte de quatre éléments :
- la sensibilité du renseignement ;
- la finalité de son utilisation ;
- les mesures de protection, y compris contractuelles ;
- le régime juridique de l'État où il sera communiqué.
La communication n'est permise que si le renseignement bénéficie d'une protection adéquate, et elle doit faire l'objet d'une entente écrite qui tient compte de l'évaluation. La même règle s'applique quand on confie à quelqu'un hors du Québec la tâche de conserver ou d'utiliser des renseignements pour le cabinet. « Hors du Québec » comprend les autres provinces.
Le contrat avec le fournisseur
Un cabinet peut confier des renseignements personnels à un fournisseur sans le consentement du client lorsque c'est nécessaire à l'exécution d'un mandat ou d'un contrat de service (art. 18.3). Le contrat doit être écrit et prévoir notamment :
- les mesures de protection du fournisseur ;
- l'usage des renseignements limité à l'exécution du contrat ;
- l'absence de conservation après la fin du contrat ;
- l'obligation d'aviser le responsable de toute atteinte et de permettre les vérifications.
Cette règle ne lève pas le secret professionnel, qui obéit à ses propres exigences : voir notre guide sur le secret professionnel et l'IA.
Décisions automatisées et profilage
Une décision fondée exclusivement sur un traitement automatisé, par exemple le tri automatique de demandes de clients, doit être signalée à la personne au plus tard au moment où elle lui est communiquée. Sur demande, le cabinet lui explique les renseignements utilisés, les raisons et les principaux facteurs, et elle peut présenter ses observations à une personne en mesure de réviser la décision (art. 12.1).
Un outil capable d'identifier, de localiser ou de profiler une personne exige de l'en informer au préalable (art. 8.1).
En cas d'incident de confidentialité
Un incident de confidentialité est un accès, une utilisation ou une communication non autorisés par la loi, ou la perte d'un renseignement personnel. Un dossier versé dans un outil sans base légale peut en constituer un.
Le cabinet doit alors prendre des mesures raisonnables pour diminuer le risque. Si l'incident présente un risque de préjudice sérieux, il avise promptement la Commission d'accès à l'information et les personnes concernées. Tous les incidents sont inscrits dans un registre (art. 3.5 à 3.8).
Masquer, pseudonymiser, anonymiser
Remplacer les noms par des codes réduit le risque, mais le texte demeure un renseignement personnel tant qu'on peut retrouver la personne.
Un renseignement est anonymisé lorsqu'il est raisonnable de prévoir, en tout temps, qu'il ne permet plus de l'identifier de façon irréversible (art. 23). Le Règlement sur l'anonymisation, en vigueur depuis le 30 mai 2024, exige notamment une analyse du risque de réidentification.
Les sanctions
- Sanctions administratives pécuniaires : jusqu'à 50 000 $ pour une personne physique ; pour une entreprise, jusqu'à 10 000 000 $ ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé.
- Amendes pénales : de 5 000 $ à 100 000 $ pour une personne physique ; pour une entreprise, de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d'affaires mondial. Elles doublent en cas de récidive.
- Dommages-intérêts punitifs d'au moins 1 000 $ en cas d'atteinte illicite intentionnelle ou de faute lourde.
Ce que fait Jurisync
En mode privé, Jurisync analyse les dossiers sur le poste ou le serveur du cabinet : rien ne quitte le cabinet. La recherche publique signale les noms et numéros et propose une version masquée avant l'envoi. Les rôles et le journal horodaté vous donnent les faits en cas d'incident.
Jurisync vous aide à respecter la Loi 25 ; la conformité demeure la responsabilité du cabinet.
Questions fréquentes
La Loi 25 interdit-elle l'IA dans un cabinet ?
Non. Elle encadre le traitement des renseignements personnels : évaluation préalable, contrat avec le fournisseur, mesures de sécurité, transparence pour les décisions automatisées.
Un outil hébergé en Ontario exige-t-il une EFVP ?
Oui. L'article 17 vise toute communication à l'extérieur du Québec, y compris dans une autre province.
Masquer les noms avant l'envoi suffit-il ?
Cela réduit le risque, mais un texte pseudonymisé reste en principe un renseignement personnel. Seule l'anonymisation au sens de l'article 23, irréversible, le fait sortir de la loi.
Qui est responsable de la conformité ?
Le cabinet. Son responsable de la protection des renseignements personnels veille à l'application de la loi ; un outil peut l'aider, sans prendre sa place.
Sources
Textes officiels consultés pour ce guide. Vérifiez toujours la version en vigueur.
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c P-39.1
- Règlement sur l'anonymisation des renseignements personnels, RLRQ c A-2.1, r 0.1
- Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, LQ 2021, c 25
- Commission d'accès à l'information, Guide d'accompagnement – Réaliser une EFVP (version 3.1, avril 2024)
Ce guide donne de l'information générale. Ce n'est pas un avis juridique. La conformité demeure la responsabilité de chaque cabinet.