# Comment la Loi 25 du Québec s’applique-t-elle aux agents d’IA qui traitent des renseignements personnels?

Date: 2026-06-19 · Author: Robert Scales · https://guidetoartificialintelligence.com/fr/apprendre/loi-25-agents-ia-renseignements-personnels/

**Answer:** La Loi 25 ne nomme pas les agents d’IA, mais ses règles générales s’appliquent dès qu’un agent recueille, utilise, conserve ou communique des renseignements personnels pour une entreprise au Québec. En pratique, cela veut dire faire une évaluation des facteurs relatifs à la vie privée (EFVP) avant de le déployer, limiter l’agent aux renseignements et aux fins annoncés aux personnes, et évaluer toute communication à l’extérieur du Québec, ce qui inclut beaucoup de services d’IA infonuagiques.

Un **agent d’IA** est un modèle de langage relié à des outils, ce qui lui permet d’agir plutôt que seulement de répondre : lire une boîte de réception, consulter un dossier client, rédiger une réponse et la classer. C’est ce qui rend les agents utiles, et c’est pourquoi le droit de la vie privée s’applique à eux. La **Loi 25** du Québec (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels), qui a modernisé par étapes, de 2022 à 2024, la loi québécoise sur la protection des renseignements personnels dans le secteur privé, ne mentionne pas les agents. Elle n’en a pas besoin. Ses règles s’attachent à ce qui arrive aux **renseignements personnels**, c’est-à-dire tout renseignement qui concerne une personne et permet de l’identifier, peu importe qui, ou quoi, les traite.

Cet article explique les principales obligations en termes généraux, à l’aide d’un exemple concret. Ce n’est pas un avis juridique. La Commission d’accès à l’information (CAI), l’organisme québécois de surveillance en matière de vie privée, précise que ses propres guides sont informatifs et que la loi elle-même prévaut; pour un vrai projet, lisez la loi sur LégisQuébec et consultez un professionnel de la protection des renseignements personnels.

## Les obligations qui comptent le plus pour un agent

La Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1) contient plusieurs obligations qu’un projet d’agent déclenche :

| Obligation | Article | Ce que cela signifie pour un agent |
|---|---|---|
| Un responsable de la protection des renseignements personnels | 3.1 | Une personne, par défaut la personne ayant la plus haute autorité dans l’entreprise, répond de la conformité; son titre et ses coordonnées doivent figurer sur votre site Web |
| Évaluation des facteurs relatifs à la vie privée | 3.3 | Obligatoire pour tout projet d’acquisition ou de développement d’un système d’information qui traite des renseignements personnels |
| Communication à l’extérieur du Québec | 17 | Évaluer les risques avant que les renseignements quittent la province, et conclure une entente écrite |
| Utilisation seulement aux fins de la collecte | 12 | L’agent ne peut utiliser les renseignements qu’aux fins pour lesquelles ils ont été recueillis, sauf exceptions limitées |
| Accès selon la nécessité | 20 | Les employés et les autres personnes qui agissent pour l’entreprise n’ont accès aux renseignements que si leurs fonctions l’exigent; donnez à l’agent la même portée étroite |
| Destruction | 23 | Détruire ou anonymiser les renseignements une fois leur fin accomplie |

Une **évaluation des facteurs relatifs à la vie privée**, ou EFVP, est un examen structuré de la façon dont un projet pourrait porter atteinte à la vie privée des personnes et de ce que vous ferez pour l’éviter. Le guide de la CAI, mis à jour pour la Loi 25 en septembre 2023, cite l’acquisition d’un système d’intelligence artificielle comme exemple de projet qui en exige une. Il précise aussi que l’évaluation doit être proportionnée à la sensibilité, à la finalité, à la quantité et à la localisation des renseignements.

## Une évaluation concrète : un agent qui lit les courriels des clients

Un cabinet comptable de cinq personnes à Gatineau veut un agent qui lit les courriels entrants des clients, les trie (question fiscale, envoi de documents, rendez-vous), rédige une réponse et enregistre les pièces jointes dans le bon dossier client. L’agent fonctionne sur un service d’IA infonuagique dont les serveurs sont aux États-Unis. En suivant les étapes de la CAI, une courte évaluation pourrait ressembler à ceci :

1. **Décrire l’objectif.** Des réponses plus rapides et moins de documents mal classés.
2. **Inventorier les renseignements.** Noms, adresses courriel, numéros d’assurance sociale dans les formulaires joints, données sur les revenus et, parfois, des détails de santé ou familiaux mentionnés au passage.
3. **Cartographier leur parcours.** La boîte de réception, puis le service d’IA aux États-Unis pour le traitement, puis le système documentaire du cabinet. Notez ce que le fournisseur conserve, et pendant combien de temps.
4. **Vérifier la proportionnalité.** La CAI demande si le projet est un moyen efficace d’atteindre l’objectif, s’il existe une option moins intrusive et si les avantages l’emportent sur le préjudice pour les personnes concernées. L’agent pourrait-il travailler à partir du texte des courriels et laisser les pièces jointes à une personne?
5. **Dresser la liste des risques.** En s’inspirant des exemples de la CAI, pour cet agent : une réponse envoyée au mauvais client, des données fiscales conservées dans les journaux du fournisseur, une pièce jointe classée dans le dossier d’un autre client.
6. **Choisir des mesures.** Des brouillons seulement, avec une personne qui approuve chaque réponse; aucun accès aux archives complètes, seulement aux 30 derniers jours; les pièces jointes contenant un numéro d’assurance sociale signalées pour un traitement manuel; un contrat avec le fournisseur qui encadre la conservation et l’entraînement.
7. **Évaluer la communication.** Comme les renseignements sortent du Québec, l’article 17 exige de tenir compte de leur sensibilité, des fins, des mesures de protection prévues au contrat et du régime juridique de l’autre État, puis de conclure une entente écrite.
8. **Consigner et réviser.** Mettez l’évaluation par écrit, faites-la approuver par le responsable de la protection des renseignements personnels et mettez-la à jour quand l’agent obtient un nouvel outil.

La CAI est claire : l’évaluation pèse les conséquences pour les clients, pas les coûts ni la réputation du cabinet.

> **À essayer :** dressez la liste de tous les outils que votre agent peut utiliser, ou pourra utiliser. À côté de chacun, notez les renseignements personnels auxquels il peut accéder et l’endroit où ces renseignements vont. Chaque outil pour lequel vous ne pouvez pas remplir ces cases est une lacune dans votre évaluation.

## Quand l’agent prend des décisions

Si un agent prend seul une décision au sujet d’une personne, comme refuser un remboursement ou rejeter une demande sans aucune intervention humaine, l’article 12.1 s’applique. L’entreprise doit informer la personne que la décision a été prise au moyen d’un traitement automatisé, au plus tard au moment où elle l’informe de la décision et, à sa demande, lui expliquer les renseignements utilisés ainsi que les raisons et les principaux facteurs. La personne doit aussi pouvoir présenter ses observations à un membre du personnel en mesure de réviser la décision.

## Quels avis devez-vous donner aux personnes concernées?

**Au moment de la collecte.** L’article 8 exige d’informer les personnes, lorsque vous recueillez leurs renseignements, des fins de la collecte, des moyens utilisés et de leurs droits d’accès et de rectification, ainsi que de leur droit de retirer leur consentement. Si les renseignements peuvent être communiqués à l’extérieur du Québec, ou à des tiers nommés, vous devez le dire. Si un agent traite les courriels des clients sur un service situé aux États-Unis, votre avis devrait le mentionner.

**Sur votre site Web.** Les entreprises qui recueillent des renseignements par un moyen technologique doivent publier une politique de confidentialité rédigée en termes simples et clairs, ainsi que le titre et les coordonnées du responsable de la protection des renseignements personnels. L’aide-mémoire de la CAI ajoute que l’information sur vos politiques de gouvernance doit être publiée en termes simples.

**Quand la technologie permet le profilage.** L’article 8.1 ajoute l’obligation d’informer les personnes avant d’utiliser une technologie qui permet de les identifier, de les localiser ou d’effectuer un profilage, et de leur expliquer comment activer ces fonctions. Le profilage désigne ici l’utilisation de renseignements personnels pour évaluer des caractéristiques comme le rendement au travail, la situation économique, la santé, les préférences ou le comportement. Un agent qui note les clients selon leur risque ou leur valeur s’approche de cette limite.

Une approche pratique consiste à rédiger le paragraphe de votre politique de confidentialité qui porte sur l’agent avant de le construire. Si vous ne pouvez pas décrire en langage simple ce que l’agent lit, pourquoi, et où vont les renseignements, le projet n’est pas prêt.

## Sources

- Act respecting the protection of personal information in the private sector (CQLR c P-39.1): https://www.legisquebec.gouv.qc.ca/en/document/cs/P-39.1
- Réaliser une évaluation des facteurs relatifs à la vie privée — Guide d'accompagnement (version 3.0): https://www.cai.gouv.qc.ca/documents/CAI_GU_EFVP.pdf
- Vers la conformité à la Loi sur le privé — Aide-mémoire : nouvelles responsabilités des entreprises, pistes d'action et bonnes pratiques: https://www.cai.gouv.qc.ca/documents/CAI_Guide_obligations_entreprises_vf.pdf