# Pouvez-vous coller les renseignements de vos clients dans ChatGPT ou Claude?

Date: 2026-10-28 · Author: Robert Scales · https://guidetoartificialintelligence.com/fr/apprendre/coller-donnees-clients-chatgpt-loi-25/

**Answer:** Parfois, mais pas à la légère : pour une entreprise québécoise, coller les renseignements personnels d’un client dans un robot conversationnel infonuagique revient généralement à les confier à un fournisseur situé hors de la province. La Loi 25 exige alors une évaluation des facteurs relatifs à la vie privée, une entente écrite qui prévoit des mesures de protection et une utilisation conforme à ce qu’on a dit au client; dans la plupart des cas courants, la meilleure réponse est donc de retirer d’abord les renseignements personnels.

Quand vous collez le courriel d’un client dans ChatGPT ou Claude, le texte quitte votre ordinateur et il est traité sur les serveurs du fournisseur. Pour une entreprise au Québec, ce n’est pas qu’un détail technique. Selon la loi québécoise sur la protection des renseignements personnels dans le secteur privé, modernisée par la **Loi 25** (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels), il s’agit d’une communication de **renseignements personnels** (tout ce qui permet d’identifier une personne) à une autre organisation, et très souvent à une organisation située à l’extérieur du Québec. La loi ne l’interdit pas. Elle pose des conditions, et la plupart doivent être remplies avant le premier copier-coller, pas après.

La réponse honnête, en octobre 2026, est donc la suivante : vous le pouvez si vous avez fait le travail préalable, et la plupart du temps vous n’en avez pas besoin. La majorité des tâches qu’on confie à un robot conversationnel, comme résumer des plaintes, rédiger une réponse ou repérer des tendances, fonctionnent tout aussi bien une fois les noms, les adresses et les numéros de compte retirés. Cet article explique la démarche juridique en termes généraux; il a une visée éducative, alors vérifiez votre propre situation avec un professionnel de la protection des renseignements personnels avant de vous y fier.

## Trois questions à vous poser avant de coller

Voyez-les comme un court parcours de décision. Chaque « non » vous ramène à l’option la plus sûre : retirer les renseignements personnels.

| Question | Pourquoi c’est important | Si la réponse est non |
|---|---|---|
| Cette tâche a-t-elle vraiment besoin de renseignements qui identifient le client? | Les commissaires à la protection de la vie privée fédéral et provinciaux recommandent, autant que possible, des renseignements anonymisés ou dépersonnalisés dans les prompts | Remplacez les identifiants par des étiquettes et continuez |
| L’utilisation est-elle compatible avec ce qu’on a dit au client au moment de la collecte? | L’article 12 limite l’utilisation aux fins d’origine, sauf exceptions étroites; la prospection commerciale n’est jamais une fin compatible | N’utilisez pas les renseignements, ou obtenez un nouveau consentement |
| L’outil est-il couvert par une entente écrite et une évaluation? | Les articles 17 et 18.3 exigent les deux quand un fournisseur traite les renseignements pour vous, surtout hors du Québec | Utilisez un outil approuvé, ou dépersonnalisez |

Les principes communs des commissaires sur l’IA générative ajoutent deux points à retenir. Les prompts ne devraient pas être conservés ni réutilisés à d’autres fins, sauf obligation, et tout ce que l’IA déduit au sujet d’une personne identifiable est lui-même un renseignement personnel. L’hypothèse d’un robot conversationnel selon laquelle « ce client va probablement annuler » appartient à la même catégorie que l’adresse du client.

## Pourquoi l’emplacement du fournisseur compte

La plupart des grands services d’IA traitent les données à l’extérieur du Québec. L’article 17 de la loi prévoit qu’avant de communiquer des renseignements personnels à l’extérieur de la province, l’entreprise doit réaliser une **évaluation des facteurs relatifs à la vie privée** (EFVP) : un examen écrit des risques pour les personnes concernées et des mesures qui les réduisent. Elle doit tenir compte de la sensibilité des renseignements, de la fin à laquelle ils serviront, des mesures de protection qui s’appliqueront (y compris contractuelles) et du régime juridique de l’endroit où ils iront. Les renseignements ne peuvent être communiqués que si l’évaluation démontre qu’ils bénéficieront d’une protection adéquate, et la communication doit faire l’objet d’une entente écrite. La même règle s’applique quand vous confiez à quelqu’un hors du Québec la tâche de conserver ou d’utiliser des renseignements pour votre compte.

La Commission d’accès à l’information (CAI), l’organisme québécois de surveillance en matière de vie privée, dit la même chose dans ses directives : une évaluation d’abord, et une entente écrite chaque fois.

## Un exemple concret : quarante courriels de plaintes

Une entreprise de rénovation de Saint-Jérôme reçoit environ quarante courriels de plaintes par mois et veut un résumé mensuel des problèmes récurrents. La première idée du propriétaire est de coller toute la boîte de réception dans un robot conversationnel, avec un compte personnel. Voici une meilleure séquence :

1. **Définir le résultat.** Le propriétaire a besoin de thèmes et de chiffres, pas de noms. Cela indique déjà que les identifiants sont inutiles.
2. **Exporter et nettoyer.** Copiez les courriels dans un document et remplacez les noms, les numéros de téléphone, les adresses et les numéros de chantier par des étiquettes comme `[CLIENT-07]`. Faites-le vous-même, avant que quoi que ce soit parte vers l’IA.
3. **Vérifier ce qui reste.** Supprimez les détails qui pourraient encore désigner une personne, comme un nom de rue dans un petit village ou la mention de la maladie de quelqu’un.
4. **Lancer l’analyse** sur le texte nettoyé.
5. **Garder la clé** qui relie `[CLIENT-07]` à un vrai client dans votre propre système, pour que l’équipe puisse faire le suivi.

```prompt
Voici 40 courriels de plaintes de clients d’une entreprise de rénovation. Les noms, les adresses et les numéros de chantier ont été remplacés par des étiquettes comme [CLIENT-07]. Regroupe les plaintes par thèmes, compte combien de courriels relèvent de chaque thème et cite un court exemple par thème en utilisant seulement les étiquettes. N’essaie pas de deviner qui sont les clients. Termine par trois changements que l’entreprise pourrait faire pour réduire les plaintes les plus fréquentes.
```

> **À essayer :** prenez un vrai courriel pour lequel vous aimeriez l’aide d’une IA. Avant de le coller, surlignez chaque mot qui pourrait identifier l’expéditeur ou une personne qu’il mentionne. Si la tâche a encore du sens sans les mots surlignés, retirez-les; sinon, la tâche exige les démarches formelles décrites plus bas.

## Qu’exige la Loi 25 du Québec avant de le faire?

Si une tâche a réellement besoin de renseignements qui identifient le client, par exemple pour rédiger des réponses individuelles dans un outil de service à la clientèle, la Loi 25 demande plusieurs choses avant de commencer.

**Une évaluation.** L’article 3.3 exige une évaluation chaque fois que vous acquérez, développez ou refondez un système d’information qui traite des renseignements personnels, et l’adoption d’un outil d’IA pour des données de clients correspond à cette description. Le responsable de la protection des renseignements personnels (par défaut, la personne ayant la plus haute autorité dans l’entreprise) doit être consulté dès le début, et l’ampleur de l’évaluation doit être proportionnée à la sensibilité, à la finalité et à la quantité des renseignements. Quand l’outil est hébergé hors du Québec, l’évaluation de l’article 17 décrite plus haut s’applique aussi.

**Un contrat écrit avec les bonnes clauses.** L’article 18.3 permet à une entreprise de communiquer des renseignements personnels sans consentement à un fournisseur de services lorsque c’est nécessaire au service, mais seulement si le mandat est écrit et précise comment le fournisseur protégera la confidentialité, utilisera les renseignements uniquement pour le travail confié et ne les conservera pas ensuite. En pratique, cela oriente vers des forfaits entreprise assortis d’une entente sur le traitement des données plutôt que vers un compte personnel ouvert d’un simple clic.

**Une utilisation conforme à votre avis.** Selon l’article 8, au moment de la collecte, vous devez informer les personnes des fins et, s’il y a lieu, de la possibilité que les renseignements soient communiqués à l’extérieur du Québec. Si votre politique de confidentialité ne dit rien des outils d’IA ni des fournisseurs externes, mettez-la à jour avant de changer votre façon de traiter les données.

**Un dossier.** Conservez l’évaluation, l’entente et les paramètres choisis. Si un problème survient, ils montrent que vous avez pris une décision réfléchie plutôt que commode.

## Sources

- Act respecting the protection of personal information in the private sector (CQLR c P-39.1): https://www.legisquebec.gouv.qc.ca/en/document/cs/P-39.1
- Utilisation et communication de renseignements personnels (entreprises privées): https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/utilisation-communication-renseignements-personnels
- Principles for responsible, trustworthy and privacy-protective generative AI technologies: https://www.priv.gc.ca/en/privacy-topics/technology/artificial-intelligence/gd_principles_ai/