Cadre québécois
La Loi 25 et l'IA
La Loi 25 ne parle pas d'intelligence artificielle, mais elle s'applique pleinement à vos usages d'IA. Voici ce qu'elle exige, et comment Aptia rend votre diligence mesurable et démontrable.
Une loi qui ne dit pas « IA »,
mais qui s'y applique
La Loi 25, qui modernise la protection des renseignements personnels au Québec, s'est déployée par étapes de 2022 à 2024. Elle s'impose à presque toutes les organisations qui détiennent des renseignements personnels. Elle ne mentionne pas l'intelligence artificielle, mais comme le rappelle le gouvernement du Québec, l'IA, en tant qu'outil, y est entièrement assujettie. Autrement dit : dès que vos équipes utilisent l'IA avec des données personnelles, la Loi 25 s'applique.
Obligations
Ce qu'elle exige, là où l'IA est en jeu
Les obligations de la Loi 25 qui touchent le plus directement vos usages d'IA.
Consentement valable
Manifeste, libre, éclairé et à des fins précises. Verser des renseignements personnels dans un outil d'IA sans base appropriée est un risque.
Décisions automatisées
Informer la personne quand une décision repose exclusivement sur un traitement automatisé, et lui permettre de présenter ses observations.
Évaluations (EFVP)
Une évaluation des facteurs relatifs à la vie privée pour certains projets, et pour les communications hors Québec.
Sécurité et minimisation
Limiter la collecte et sécuriser l'information. L'IA fantôme, les outils utilisés hors cadre, est un angle mort majeur.
Sensibilisation du personnel
Des politiques internes claires et des employés qui savent quoi faire, et quoi ne pas faire, avec l'IA.
Gouvernance et responsable désigné
Une personne responsable de la protection des renseignements personnels et une gouvernance documentée.
Des pouvoirs réels, des sanctions lourdes
La Commission d'accès à l'information (CAI) peut inspecter, même sans plainte, enquêter, exiger des documents et ordonner des mesures. Les sanctions administratives peuvent atteindre 10 M$ ou 2 % du chiffre d'affaires mondial, et les amendes pénales davantage. D'où l'intérêt d'arriver le jour d'un contrôle avec un dossier de preuve déjà prêt, plutôt que d'avoir à tout reconstituer dans l'urgence.
Accompagnement
Où Aptia vous aide
Sur la part « sensibilisation et preuve » de la Loi 25, Aptia agit directement.
Mesurer la maîtrise
Le niveau de vos équipes sur la confidentialité, les données et les règles applicables (compétences C2 et C7).
Former et documenter
Des capsules ciblées, puis un registre horodaté, exactement ce qu'on présente si la CAI demande ce qui a été fait.
Politiques d'usage
Rédiger, diffuser et vérifier la compréhension de vos règles internes d'utilisation de l'IA.
Soyons clairs sur le rôle d'Aptia
Aptia rend mesurable et démontrable la sensibilisation de vos équipes, et constitue votre dossier de preuve.
Il ne vous « rend » pas conforme à la Loi 25 et ne remplace ni votre responsable de la protection des renseignements personnels, ni vos évaluations (EFVP), ni un avis juridique. La conformité reste votre démarche d'ensemble, validez-la avec un conseiller juridique.
Rendez votre diligence démontrable
Commencez par mesurer la maîtrise de la Loi 25 dans vos équipes et constituez votre dossier de diligence.
Sans carte de crédit · Sans engagement · Données confidentielles