# Qu’est-ce que la Loi 25 du Québec, et que signifie-t-elle pour les outils d’IA?

Date: 2021-10-04 · Author: Robert Scales · https://guidetoartificialintelligence.com/fr/apprendre/loi-25-quebec-outils-ia/

**Answer:** La Loi 25 est la nouvelle loi québécoise sur la protection des renseignements personnels, adoptée sous le nom de projet de loi no 64 le 21 septembre 2021 et sanctionnée le lendemain. Elle revoit, en trois étapes de 2022 à 2024, la façon dont les organismes publics et les entreprises doivent protéger les renseignements personnels. Pour les outils d’IA, elle ajoute des obligations concrètes : informer les personnes lorsqu’une décision à leur sujet est fondée exclusivement sur un traitement automatisé, expliquer sur demande les principaux facteurs, et évaluer les risques pour la vie privée avant que des renseignements personnels soient confiés à des systèmes ou à des services situés à l’extérieur du Québec.

Le 21 septembre, l’Assemblée nationale du Québec a adopté le projet de loi no 64, intitulé « Loi modernisant des dispositions législatives en matière de protection des renseignements personnels ». Il a été sanctionné le 22 septembre et est devenu le chapitre 25 des lois de 2021, d’où son nom abrégé, Loi 25. Il modifie plusieurs lois à la fois, surtout la loi qui encadre les renseignements personnels dans le secteur privé; il touche donc presque toutes les entreprises qui servent une clientèle québécoise, du cabinet d’avocats à la boulangerie du coin qui a un formulaire de commande en ligne.

La Loi 25 n’est pas une « loi sur l’IA ». Elle ne mentionne aucun produit en particulier. Mais beaucoup de services d’IA fonctionnent en envoyant des données aux serveurs d’un fournisseur, en faisant des prédictions sur des personnes ou en les classant dans des catégories, et plusieurs des nouvelles règles visent justement ces situations. Selon le cabinet Blakes, aucune autre province ni aucun autre territoire du Canada n’a encore remanié aussi profondément ses règles en matière de protection des renseignements personnels.

## Les trois étapes

La loi n’entre pas en vigueur d’un seul coup. Sa dernière disposition fixe les dates :

| Date | Ce qui entre en vigueur (secteur privé, principaux éléments) |
|---|---|
| 22 septembre 2022 | Un responsable de la protection des renseignements personnels dans chaque entreprise; des règles sur les incidents de confidentialité (fuites de données), dont l’avis à la Commission d’accès à l’information (CAI) |
| 22 septembre 2023 | La plupart des autres règles : politiques de gouvernance, évaluations des facteurs relatifs à la vie privée, nouvelles règles de consentement, communication à l’extérieur du Québec, décisions automatisées, avis de profilage, confidentialité par défaut |
| 22 septembre 2024 | La portabilité des données : le droit d’obtenir ses renseignements personnels informatisés dans un format technologique structuré et couramment utilisé |

Les sanctions augmentent aussi fortement. Pour une entreprise, les amendes pour une infraction vont de 15 000 $ à 25 millions de dollars, ou 4 % du chiffre d’affaires mondial si ce montant est plus élevé.

## Les règles qui touchent le plus directement les outils d’IA

**Les décisions fondées sur un traitement automatisé (nouvel article 12.1).** Une entreprise qui utilise des renseignements personnels pour rendre une décision fondée exclusivement sur un traitement automatisé doit en informer la personne, au plus tard au moment où elle l’informe de la décision. Sur demande, elle doit aussi lui faire connaître les renseignements personnels utilisés, les raisons et les principaux facteurs et paramètres ayant mené à la décision, ainsi que son droit de faire rectifier ces renseignements. La personne doit pouvoir présenter ses observations à un membre du personnel en mesure de réviser la décision. Une préapprobation de prêt ou un filtre de candidatures entièrement géré par un logiciel entrerait dans cette catégorie.

**Identifier, localiser ou profiler (article 8.1).** Si vous recueillez des renseignements au moyen d’une technologie qui permet d’identifier une personne, de la localiser ou d’effectuer un profilage, vous devez l’en informer au préalable et lui expliquer comment activer ces fonctions. La loi définit le profilage comme la collecte et l’utilisation de renseignements personnels afin d’évaluer certaines caractéristiques, comme le rendement au travail, la situation économique, la santé, les préférences, les intérêts ou le comportement, ce qui décrit une bonne partie de ce que font les systèmes de recommandation et de notation.

**La communication à l’extérieur du Québec (article 17).** Avant que des renseignements personnels quittent la province, une entreprise doit faire une évaluation des facteurs relatifs à la vie privée qui tient compte de la sensibilité des renseignements, de la fin de leur utilisation, des mesures de protection en place et du régime juridique de l’endroit où ils s’en vont. La même règle s’applique lorsqu’un fournisseur situé hors du Québec traite les renseignements pour votre compte. Beaucoup de services d’IA, de la transcription à la génération de texte, fonctionnent sur des serveurs situés ailleurs.

**Les nouveaux systèmes (article 3.3).** Acquérir, développer ou refondre en profondeur un système d’information qui traite des renseignements personnels exige une évaluation des facteurs relatifs à la vie privée, proportionnée à la sensibilité des renseignements.

**Le consentement et les paramètres par défaut.** Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques, en termes simples (article 14). Les produits technologiques offerts au public qui comportent des paramètres de confidentialité doivent être livrés avec les paramètres les plus protecteurs activés par défaut (article 9.1).

## Un exemple concret : une liste de vérification pour une entreprise qui utilise des services d’IA

Imaginez un petit cabinet comptable québécois qui utilise un service de transcription en ligne pour les appels de clients et un robot conversationnel sur son site Web.

1. **Dressez la liste de chaque outil** qui reçoit des renseignements personnels : ce qu’il recueille, pourquoi, et où le fournisseur les conserve.
2. **Désignez le responsable** de la protection des renseignements personnels. Par défaut, c’est la personne ayant la plus haute autorité, qui peut déléguer cette fonction par écrit; son titre et ses coordonnées doivent figurer sur le site Web.
3. **Rédigez un plan en cas d’incident** : qui décide si un incident présente un risque de préjudice sérieux, et comment vous avisez la CAI et les personnes concernées.
4. **Repérez toute décision automatisée**, même modeste, comme un robot conversationnel qui refuse des rendez-vous selon une règle, et préparez une explication simple des facteurs.
5. **Évaluez les fournisseurs situés hors de la province** avant que des renseignements personnels leur soient transmis, et inscrivez les mesures de protection dans une entente écrite.
6. **Revoyez la formulation du consentement et votre politique de confidentialité** pour qu’elles soient courtes, précises et faciles à lire.

> **À essayer :** prenez un outil d’IA que vous utilisez au travail et répondez par écrit à trois questions. Quels renseignements personnels reçoit-il? Où sont-ils traités? Lui arrive-t-il de décider quelque chose au sujet d’une personne sans qu’un humain y jette un œil? Ces réponses sont le début de l’inventaire que la loi attend de vous.

## Qu’est-ce qui change en premier pour une petite entreprise?

La première échéance, le 22 septembre 2022, porte sur la responsabilité et les incidents. Chaque entreprise a besoin d’une personne responsable des renseignements personnels, et la loi confie ce rôle à la personne ayant la plus haute autorité, à moins qu’elle ne le délègue par écrit à quelqu’un d’autre. Le titre et les coordonnées de cette personne doivent être publiés sur le site Web de l’entreprise, ou rendus accessibles par un autre moyen s’il n’y a pas de site.

La même date amène les règles sur les incidents. Une entreprise qui a des motifs de croire qu’un incident de confidentialité est survenu doit prendre des mesures raisonnables pour diminuer les risques de préjudice et éviter que de nouveaux incidents de même nature se produisent. S’il y a un risque de préjudice sérieux, elle doit aviser avec diligence la CAI et les personnes dont les renseignements sont concernés. Un règlement du gouvernement pourra préciser le contenu de ces avis.

Pour une petite entreprise qui utilise des services d’IA, le premier geste pratique est l’inventaire : savoir quels outils détiennent quels renseignements personnels facilite beaucoup le respect de l’obligation liée aux incidents comme des règles de 2023 sur les évaluations et les décisions automatisées. Pour les décisions qui touchent votre situation particulière, un avocat ou les guides de la CAI sont la bonne prochaine étape.

## Sources

- Bill 64 (2021, chapter 25): An Act to modernize legislative provisions as regards the protection of personal information: https://www.publicationsduquebec.gouv.qc.ca/fileadmin/Fichiers_client/lois_et_reglements/LoisAnnuelles/en/2021/2021C25A.PDF
- Privacy Update: Quebec's Bill 64 Receives Royal Assent: https://www.blakes.com/insights/privacy-update-quebec-s-bill-64-receives-royal-ass/