# Qu’est-ce qui a changé en septembre 2023 avec la Loi 25 du Québec?

Date: 2023-10-06 · Author: Robert Scales · https://guidetoartificialintelligence.com/fr/apprendre/loi-25-changements-septembre-2023/

**Answer:** Le 22 septembre 2023, la plus grande partie de la Loi 25 du Québec est entrée en vigueur pour les entreprises, dont de nouvelles obligations de transparence, des paramètres de confidentialité réglés par défaut au plus haut niveau, des règles de consentement plus strictes et l’obligation d’informer les personnes quand une décision à leur sujet est fondée exclusivement sur un traitement automatisé. C’est la plus importante des trois étapes de la loi, et celle qui touche le plus directement les outils d’IA.

Il y a deux semaines, le 22 septembre, la deuxième et la plus importante étape de la Loi 25 est entrée en vigueur. La Loi 25 est le nom courant de la loi québécoise adoptée en 2021, la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, qui modernise les règles de la province sur les renseignements personnels. Elle modifie plusieurs lois, dont celle qui encadre les entreprises privées. La Commission d’accès à l’information (CAI), l’organisme québécois de surveillance en matière de vie privée, a souligné la date par un court avis rappelant aux entreprises que la réforme s’applique par étapes sur trois ans, de 2022 à 2024.

La première étape, l’an dernier, portait surtout sur l’organisation : désigner un responsable de la protection des renseignements personnels et gérer les incidents de confidentialité. Cette étape-ci porte sur la façon dont une entreprise recueille, utilise et explique concrètement les renseignements personnels, et c’est pourquoi elle concerne toute personne qui utilise des outils d’IA sur des données de clients ou d’employés. Ce qui suit explique les règles en termes généraux; ce n’est pas un avis juridique.

## Ce qui est entré en vigueur le 22 septembre

L’aide-mémoire de la CAI destiné aux entreprises énumère les nouvelles obligations. Les principales, en mots simples :

- **Les politiques de gouvernance.** Une entreprise doit avoir des politiques sur la façon dont elle conserve, protège et détruit les renseignements personnels, sur qui est responsable de quoi et sur le traitement des plaintes, et elle doit publier une information claire à leur sujet, sur son site Web si elle en a un.
- **Les évaluations des facteurs relatifs à la vie privée.** Une évaluation des facteurs relatifs à la vie privée est un examen structuré des risques qu’un projet présente pour la vie privée des personnes. La loi en exige une avant qu’une entreprise acquière, développe ou refonde en profondeur un système qui traite des renseignements personnels, et avant qu’elle communique des renseignements personnels à l’extérieur du Québec.
- **Le consentement.** Le consentement doit être manifeste, libre et éclairé, donné à des fins spécifiques, et demandé pour chacune de ces fins en termes simples.
- **La confidentialité par défaut.** Un produit ou un service technologique offert au public qui comporte des paramètres de confidentialité doit être livré avec ces paramètres au plus haut niveau de confidentialité, sans que l’utilisateur ait à changer quoi que ce soit. Les paramètres des témoins de connexion du navigateur sont exclus.
- **La transparence.** Une politique de confidentialité rédigée en termes simples et clairs pour les renseignements recueillis par un moyen technologique, l’obligation d’informer les personnes avant d’utiliser une technologie qui permet de les identifier, de les localiser ou d’effectuer un profilage, et la règle sur les décisions automatisées expliquée plus bas.
- **D’autres droits et limites.** La destruction ou l’anonymisation des renseignements une fois leur fin accomplie, de nouvelles règles pour les renseignements concernant les mineurs, et un droit à la désindexation de certains renseignements.

Le droit à la portabilité des données, c’est-à-dire recevoir vos renseignements dans un format utilisable, attend la troisième étape, le 22 septembre 2024.

## Pourquoi c’est important pour les outils d’IA

Beaucoup d’outils d’IA fonctionnent en profilant ou en décidant. La loi définit le **profilage** comme la collecte et l’utilisation de renseignements personnels afin d’évaluer certaines caractéristiques d’une personne, comme le rendement au travail, la situation économique, la santé, les préférences ou le comportement. Un outil qui note des candidats, signale des clients « à risque » ou prédit qui annulera un abonnement correspond à cette description. Intégrer un tel outil dans une entreprise est aussi, selon toute vraisemblance, le genre de projet de système d’information qui exige d’abord une évaluation des facteurs relatifs à la vie privée, surtout si le fournisseur traite les données à l’extérieur du Québec.

## Un exemple concret : un outil d’IA qui trie les candidatures

Imaginez une chaîne régionale de quincailleries de 40 employés. Elle commence à utiliser un service en ligne qui lit les CV et rejette automatiquement les candidats dont la note est sous un certain seuil. Personne dans l’entreprise ne regarde les dossiers rejetés. C’est une décision fondée exclusivement sur un traitement automatisé de renseignements personnels, le cas que vise le nouvel article 12.1 de la loi sur le secteur privé.

Voici à quoi pourrait ressembler un avis illustratif dans le courriel de refus. C’est un exemple pédagogique construit à partir du texte de la loi, pas un modèle approuvé par qui que ce soit.

```prompt
Votre candidature au poste de conseiller ou conseillère aux ventes a été évaluée par un système automatisé, sans examen par un membre de notre personnel. À la suite de cette évaluation, nous ne donnerons pas suite à votre candidature.

Vous pouvez nous demander :
- quels renseignements personnels ont été utilisés pour rendre cette décision;
- les raisons, ainsi que les principaux facteurs et paramètres, qui y ont mené;
- de rectifier tout renseignement personnel utilisé qui serait inexact.

Vous pouvez aussi nous faire part de vos observations; un membre de notre équipe de recrutement en mesure de réviser cette décision en tiendra compte.

Pour faire une demande : [nom ou titre du responsable de la protection des renseignements personnels], [courriel], [téléphone].
```

Derrière cet avis, l’entreprise doit aussi être capable de répondre à ces demandes, ce qui veut dire savoir, par son fournisseur, quels renseignements l’outil utilise et ce qui détermine ses notes. Si elle ne peut pas l’obtenir, elle a un problème avant même d’envoyer un seul courriel.

> **À essayer :** dressez la liste des logiciels que votre entreprise ou votre équipe utilise et qui prennent ou suggèrent des décisions au sujet de personnes. Pour chacun, écrivez une ligne qui répond à cette question : une personne examine-t-elle le résultat avant qu’il ait un effet sur quelqu’un? Tout outil pour lequel la réponse est « non » mérite un examen plus attentif au regard de l’article 12.1.

## Que devez-vous dire aux personnes quand une décision est automatisée?

Selon l’article 12.1, une entreprise qui utilise des renseignements personnels afin que soit rendue une décision fondée *exclusivement* sur un traitement automatisé doit en informer la personne concernée, au plus tard au moment où elle l’informe de la décision. À la demande de la personne, elle doit aussi lui faire connaître trois choses : les renseignements personnels utilisés; les raisons pour lesquelles la décision a été rendue ainsi, y compris ses principaux facteurs et paramètres; et son droit de faire rectifier ces renseignements. La personne doit aussi pouvoir présenter ses observations à un membre du personnel en mesure de réviser la décision.

Le mot « exclusivement » pèse lourd. Si un employé formé examine vraiment chaque résultat avant qu’il prenne effet, la décision n’est pas prise par la machine seule. Un coup d’œil rapide à une note qui est toujours acceptée est plus difficile à défendre. L’endroit exact où passe la limite dans une situation donnée relève des lignes directrices de la CAI ou d’un avocat spécialisé en protection des renseignements personnels.

L’aide-mémoire de la CAI se décrit lui-même comme générique et précise que la loi a toujours préséance. Les entreprises qui ne savent pas trop où elles en sont peuvent commencer par les publications destinées aux entreprises privées sur le site Web de la CAI, et obtenir un avis juridique spécialisé pour tout ce qui touche des décisions automatisées au sujet de personnes.

## Sources

- Bill 64 (2021, chapter 25): An Act to modernize legislative provisions as regards the protection of personal information: https://www.publicationsduquebec.gouv.qc.ca/fileadmin/Fichiers_client/lois_et_reglements/LoisAnnuelles/en/2021/2021C25A.PDF
- Vers la conformité à la Loi sur le privé — Aide-mémoire : nouvelles responsabilités des entreprises, pistes d'action et bonnes pratiques: https://www.cai.gouv.qc.ca/documents/CAI_Guide_obligations_entreprises_vf.pdf
- Des dispositions de la Loi 25 qui entrent en vigueur aujourd'hui: https://www.cai.gouv.qc.ca/des-dispositions-de-la-loi-25-qui-entrent-en-vigueur-aujourdhui/