Qu’est-ce qu’une « décision automatisée » selon la Loi 25 du Québec?

L’article 12.1 de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (RLRQ, chapitre P-39.1), ajouté par la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) et en vigueur depuis le 22 septembre 2023, vise une situation que l’IA rend plus courante chaque mois : un ordinateur décide seul de quelque chose au sujet d’une personne. L’article s’applique quand une entreprise utilise des renseignements personnels pour rendre une décision fondée exclusivement sur un traitement automatisé, c’est-à-dire sans qu’aucun humain prenne part à la décision elle-même.

La Commission d’accès à l’information (CAI), l’organisme québécois de surveillance en matière de vie privée, donne des exemples tirés du quotidien : accorder un crédit, évaluer une demande de soutien financier, décider quelle demande passe en priorité. Dans ses conseils sur le recrutement, elle en ajoute un très concret : un logiciel de tri qui rejette automatiquement certaines candidatures. Chacune de ces décisions peut être prise par un moteur de règles classique ou par un modèle d’IA moderne; la loi regarde si une personne est intervenue, pas la technologie.

Dans le champ de l’article 12.1 ou non?

Le mot « exclusivement » fait l’essentiel du travail. Un outil qui recommande pendant qu’une personne décide se trouve généralement hors de l’article; un outil qui décide et envoie le résultat y est soumis. Le tableau ci-dessous montre ce que cela donne dans des situations typiques de petite entreprise. C’est un outil d’apprentissage, pas une décision juridique sur votre système.

La dernière ligne relève du jugement. Si vous comptez sur une révision humaine pour rester hors de l’article 12.1, assurez-vous que la personne qui révise a l’information, le temps et l’autorité nécessaires pour décider autrement, et que cela arrive réellement de temps en temps.

Même quand une décision échappe à l’article 12.1, la CAI s’attend à de la transparence. En matière d’embauche, elle indique que les candidats devraient être informés dès le début du processus lorsque l’IA sert à trier ou à évaluer les candidatures, et qu’un employeur doit réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) avant d’utiliser un système d’IA pour embaucher.

Ce que la loi exige quand elle s’applique

Si une décision est entièrement automatisée, l’entreprise a trois obligations :

1. Informer la personne que la décision a été prise au moyen d’un traitement automatisé, au plus tard au moment où elle l’informe de la décision elle-même.
2. Expliquer sur demande. Si la personne le demande, lui indiquer quels renseignements personnels ont été utilisés, les raisons ainsi que les principaux facteurs et paramètres à l’origine du résultat, et son droit de faire rectifier ces renseignements.
3. Offrir une révision humaine. Donner à la personne l’occasion de présenter ses observations à un membre du personnel qui a l’autorité de réexaminer la décision.

Par ailleurs, l’article 11 exige que les renseignements utilisés pour prendre une décision au sujet d’une personne soient à jour et exacts, ce qui est une bonne raison de vérifier ce que votre système lit réellement.

Un exemple concret : une demande de location

Une entreprise de gestion immobilière de Sherbrooke utilise un logiciel de sélection pour les demandes de location d’appartements. Il compare le revenu au loyer, vérifie les références et renvoie « accepter » ou « refuser ». Les refus partent par courriel sans que personne les regarde. C’est une décision fondée exclusivement sur un traitement automatisé; l’entreprise :

• ajoute à chaque courriel de refus une phrase indiquant que la décision a été prise automatiquement et comment demander une explication et une révision;
• conserve, pour chaque demande, un court journal des données utilisées et de la règle ou de la note qui a produit le résultat;
• désigne une gestionnaire immobilière qui traite les demandes de révision et peut renverser un refus.

Comment expliquer une décision prise avec l’aide de l’IA à un client qui le demande?

Partez du journal, pas du modèle. La personne a le droit de savoir lesquels de ses renseignements ont été utilisés et quelles sont les principales raisons, pas de recevoir le code source. Une bonne explication est propre à sa situation, emploie des mots simples et se termine par une façon de répondre. Pour l’exemple de la location, elle pourrait ressembler à ceci :

« Votre demande de location pour le logement 4 a été refusée automatiquement par notre système de sélection. Celui-ci a utilisé les renseignements que vous avez fournis : votre revenu mensuel déclaré, le loyer mensuel et les réponses de vos deux références. Le principal facteur a été le rapport entre le revenu et le loyer : notre règle exige un revenu d’au moins trois fois le loyer, et votre revenu déclaré représentait 2,4 fois le loyer. Vos références n’ont pas été un facteur. Si l’un de ces renseignements est inexact, vous pouvez nous demander de le corriger. Vous pouvez aussi transmettre vos commentaires à Julie Gagnon, gestionnaire immobilière, qui peut réviser la décision. »

Un assistant d’IA peut vous aider à rédiger ces lettres rapidement, à condition de lui donner le journal sans les détails qui identifient la personne et de vérifier chaque fait avant l’envoi :

Rédige une courte lettre d’explication polie, en langage simple, pour une personne dont la demande de location a été refusée par un système de sélection automatisé. Utilise seulement les faits ci-dessous. Indique que la décision a été automatisée, énumère les renseignements utilisés, explique le principal facteur avec les chiffres réels, mentionne le droit de faire corriger les renseignements et donne le nom du membre du personnel qui peut réviser la décision. N’ajoute aucune raison qui ne figure pas dans la liste.
Faits : logement [LOGEMENT]; renseignements utilisés : revenu mensuel déclaré, loyer mensuel, réponses de deux références; règle : le revenu doit être d’au moins 3 fois le loyer; rapport du demandeur : 2,4; références : pas un facteur; personne responsable de la révision : [NOM], gestionnaire immobilière.

Si vous ne pouvez pas rédiger cette explication parce que personne ne sait pourquoi le système a dit non, c’est le signe que l’outil ne devrait pas prendre la décision seul. Cet article est une explication générale, pas un avis juridique; pour un système qui décide au sujet de nombreuses personnes, faites examiner sa configuration par un professionnel de la protection des renseignements personnels.