Dès qu’un projet d’IA traite des renseignements personnels, la Loi 25 s’applique au Québec. Elle impose la minimisation des données, la transparence, le consentement, l’encadrement des décisions automatisées et le contrôle des transferts hors Québec. La bonne pratique : intégrer la conformité dès le cadrage du projet, pas après coup.
Note : cet article est informatif et ne constitue pas un avis juridique.
Qu’est-ce que la Loi 25 ?
La Loi 25 (loi modernisant les dispositions en matière de protection des renseignements personnels au Québec) renforce les obligations des organisations qui collectent et utilisent des données personnelles. Elle s’accompagne de sanctions significatives en cas de manquement.
Ce qu’elle exige pour un projet d’IA
- Minimisation — ne collecter et n’envoyer aux modèles que les données strictement nécessaires.
- Transparence et consentement — informer les personnes de l’usage de leurs données.
- Évaluation des facteurs relatifs à la vie privée (EFVP) — pour les projets à risque.
- Encadrement des transferts hors Québec (localisation des fournisseurs et des modèles).
Décisions automatisées : obligation de transparence
Lorsqu’une décision repose exclusivement sur un traitement automatisé, la personne concernée doit pouvoir en être informée et, sur demande, connaître les renseignements utilisés et faire corriger les erreurs. Un modèle d’IA qui décide seul (octroi, tri, scoring) tombe sous cette exigence.
Où hébergez-vous vos données et vos modèles ?
La localisation compte. Envoyer des renseignements personnels à un fournisseur d’IA hors Québec est un transfert à encadrer. C’est un argument fort en faveur de solutions auto-hébergées — par exemple une automatisation avec n8n hébergé chez vous, qui garde les données sur votre infrastructure.
Gouvernance de l’IA : bonnes pratiques
- Cartographier les données personnelles utilisées par chaque cas d’usage.
- Documenter les flux, les fournisseurs et les transferts.
- Limiter les données envoyées aux modèles ; anonymiser quand c’est possible.
- Garder une trace des décisions automatisées et prévoir une révision humaine.
Des firmes québécoises comme Rocket Science Development intègrent ces exigences dès la conception des projets d’IA, du cadrage à la production.
Questions fréquentes
Comment assurer la conformité d’un projet d’IA au Québec ?
En appliquant la Loi 25 dès le cadrage : minimisation des données, transparence et consentement, encadrement des décisions automatisées et des transferts hors Québec, et documentation des flux.
La Loi 25 s’applique-t-elle aux décisions prises par l’IA ?
Oui. Une décision fondée exclusivement sur un traitement automatisé doit être signalée à la personne concernée, qui peut connaître les données utilisées et demander une correction.
Faut-il héberger l’IA au Québec ?
Pas obligatoirement, mais tout transfert de renseignements personnels hors Québec doit être encadré. Les solutions auto-hébergées (comme n8n) réduisent ce risque en gardant les données sur votre infrastructure.