Ce que la Loi 25 change pour les systèmes d'IA
La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels — communément appelée Loi 25 — est entrée en vigueur par phases entre 2022 et 2023. Elle modifie la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP) et impose des obligations nouvelles qui touchent directement les organisations qui utilisent des systèmes d'intelligence artificielle.
Ce n'est pas une loi sur l'IA en tant que telle. Mais ses exigences en matière de transparence, d'évaluation des risques et de décision automatisée créent des obligations opérationnelles réelles pour tout système qui traite des renseignements personnels dans le cadre de ses fonctions — ce qui couvre la grande majorité des systèmes d'IA déployés au Québec.
Si un système d'IA traite des renseignements personnels pour prendre ou préparer une décision concernant une personne, la Loi 25 s'applique. Ce n'est pas une question de secteur ni de taille d'organisation — c'est une question de traitement.
Les obligations de la Loi 25 applicables à l'IA : vue d'ensemble
La Loi 25 introduit plusieurs obligations dont l'impact sur les systèmes d'IA est direct. On peut les organiser en quatre blocs.
| Obligation | Déclencheur | Statut |
|---|---|---|
| Transparence sur la décision automatisée | Décision exclusivement automatisée ayant un effet sur une personne | Obligatoire |
| Droit de révision humaine | Décision automatisée touchant à l'accès, à l'emploi, ou à des droits substantiels | Obligatoire |
| ÉSEFVP (évaluation des facteurs relatifs à la vie privée) | Nouveau système ou modification substantielle traitant des renseignements personnels | Obligatoire |
| Publication d'une politique de confidentialité à jour | Traitement de renseignements personnels — sans exception | Obligatoire |
| Consentement et finalités explicites | Collecte ou utilisation secondaire de renseignements personnels | Obligatoire |
| Responsable de la protection des renseignements personnels | Toutes les organisations visées | Obligatoire |
| Transfert à un tiers hors Québec | Données traitées à l'extérieur du Québec (ex. : cloud étranger) | Conditionnel |
Systèmes de décision automatisée : ce que la Loi 25 exige exactement
L'article 12.1 de la loi modifiée est celui qui crée le plus d'obligations opérationnelles pour les équipes IA. Il s'applique lorsqu'une décision est prise exclusivement de façon automatisée à partir de renseignements personnels et qu'elle affecte l'exercice d'un droit de la personne.
Obligation 1 — Informer la personne
L'organisation doit informer la personne concernée que la décision est prise de façon automatisée. Cette information doit être fournie avant ou au moment où la décision est communiquée. Elle ne peut pas être enfouie dans des conditions générales d'utilisation ou dans une politique de confidentialité longue de vingt pages.
En pratique : si un système d'IA génère une décision de crédit, de recrutement, d'accès à un service ou d'évaluation de risque, la personne doit savoir que c'est un algorithme — et non un humain — qui a décidé.
Obligation 2 — Divulguer les renseignements personnels utilisés
L'organisation doit aussi être en mesure d'informer la personne des renseignements personnels utilisés pour rendre la décision et des principaux facteurs qui ont influé sur cette décision. Ce n'est pas une exigence d'explicabilité algorithmique totale, mais c'est plus qu'un simple accusé de réception.
De nombreuses organisations utilisent des modèles commerciaux (fournis par des tiers) sans pouvoir identifier les principaux facteurs décisionnels. La Loi 25 n'accepte pas "le fournisseur ne nous le dit pas" comme réponse suffisante. La responsabilité reste dans l'organisation qui prend la décision.
Obligation 3 — Permettre la révision humaine
La personne a le droit de demander une révision de la décision par un être humain. Ce droit doit être réel et opérationnel : il ne suffit pas d'indiquer qu'une révision est possible si le processus n'existe pas ou si un humain ne fait que valider mécaniquement la sortie du système.
La question de gouvernance concrète est : qui est responsable de cette révision, à quel moment, avec quelle autorité pour modifier la décision, et quelle trace documentaire est produite ?
L'évaluation des facteurs relatifs à la vie privée (ÉSEFVP)
L'ÉSEFVP est l'obligation qui génère le plus de travail opérationnel pour les équipes qui déploient de nouveaux systèmes d'IA. Elle est requise avant la mise en service d'un système qui collecte, utilise ou communique des renseignements personnels à des fins nouvelles ou substantiellement modifiées.
Pour les systèmes d'IA, cela signifie concrètement :
- Documenter quels renseignements personnels sont utilisés comme données d'entraînement ou d'inférence.
- Évaluer les risques liés à la collecte, au stockage, à la transmission et à l'utilisation secondaire de ces données.
- Identifier les mesures de protection qui s'appliquent et les lacunes qui subsistent.
- Conserver l'ÉSEFVP et la mettre à jour si le système est modifié de façon substantielle.
L'ÉSEFVP n'est pas un document de conformité générique qu'on remplit une fois. C'est une évaluation des risques spécifique au système, au traitement et au contexte d'utilisation. Un gabarit copié-collé sans analyse réelle du système en question ne satisfait pas l'obligation.
Loi 25 et Règlement européen sur l'IA : convergences pour les organisations canadiennes
Les organisations canadiennes qui font affaire avec des entreprises européennes ou qui utilisent des systèmes développés en Europe sont exposées à une double pression réglementaire : la Loi 25 d'un côté, le Règlement européen sur l'IA (EU AI Act) de l'autre.
Les deux régimes partagent plusieurs préoccupations centrales :
- Transparence des décisions automatisées : l'EU AI Act impose des exigences d'explicabilité pour les systèmes à haut risque ; la Loi 25 impose la divulgation des facteurs décisionnels.
- Supervision humaine : l'EU AI Act exige une supervision humaine effective pour les systèmes à haut risque ; la Loi 25 exige le droit à la révision humaine.
- Documentation et traçabilité : les deux régimes exigent une documentation des systèmes, des données utilisées et des décisions prises.
La principale différence est de portée : l'EU AI Act classifie les systèmes selon leur niveau de risque et impose des obligations proportionnelles. La Loi 25 s'applique dès qu'il y a traitement de renseignements personnels, sans classification de risque — mais avec des obligations moins étendues sur la conception et les tests des systèmes.
Pour les organisations canadiennes, la convergence crée une opportunité : les contrôles construits pour satisfaire l'EU AI Act (documentation des données, registres de décisions, supervision humaine) sont généralement suffisants pour couvrir les exigences de la Loi 25 sur les mêmes systèmes. Construire une fois, couvrir les deux.
Ce que les organisations manquent le plus souvent
Dans la pratique, quatre lacunes reviennent systématiquement lors d'une revue de gouvernance IA dans le contexte de la Loi 25.
Lacune 1 — Le seuil de "décision automatisée" n'est pas défini
De nombreuses organisations ne savent pas précisément quels systèmes déclenchent les obligations de l'article 12.1. Un système de recommandation qui classe des candidatures est-il une décision automatisée ? Un outil de scoring de risque crédit utilisé par un conseiller qui prend la décision finale ? La frontière n'est pas toujours claire, et le défaut de la définir crée une exposition non documentée.
Lacune 2 — La révision humaine n'est pas opérationnelle
L'obligation de révision humaine existe sur papier mais pas dans les processus. Personne n'a d'autorité nommée pour réviser, les délais ne sont pas définis, et aucune trace documentaire n'est produite. Lors d'une révision réglementaire ou d'un audit, cette lacune est la plus difficile à défendre.
Lacune 3 — L'ÉSEFVP est générique ou absente
L'évaluation a été faite une fois, pour le système d'origine, sans être mise à jour lors des modifications. Ou elle a été remplie avec un gabarit générique sans analyse spécifique des flux de données réels du système en question.
Lacune 4 — Le responsable RPP n'a pas d'autorité réelle
La Loi 25 exige la désignation d'un responsable de la protection des renseignements personnels (RPRP). Dans de nombreuses organisations, ce rôle est nommé mais sans mandat, sans ressources et sans décision à prendre. La responsabilité nominale sans autorité réelle ne satisfait pas l'esprit de l'obligation.
Une approche de gouvernance déterministe pour la Loi 25
La conformité à la Loi 25 ne se construit pas avec des déclarations générales sur l'engagement envers la protection de la vie privée. Elle se construit en nommant des seuils précis, des droits décisionnels explicites et des chemins d'évidence reconstruisibles.
Pour chaque système d'IA dans la portée de la Loi 25, cela signifie documenter :
- Quels renseignements personnels sont utilisés, à quelle fin, et sur quelle base juridique.
- Si le système prend des décisions automatisées au sens de l'article 12.1, et lesquelles.
- Comment la révision humaine est exercée : qui, quand, avec quelle autorité, et quelle trace est produite.
- Où est l'ÉSEFVP et quand elle a été revue pour la dernière fois.
- Qui est le RPRP, avec quel mandat, et comment les demandes de révision lui parviennent.
Ce travail n'est pas de la conformité symbolique. C'est la construction d'un dossier que n'importe quel vérificateur externe — la Commission d'accès à l'information, un acheteur institutionnel, un partenaire qui fait sa vérification diligente — peut suivre et reconstruire.
Un système de gouvernance IA qui ne peut pas être reconstruit par un observateur extérieur n'est pas un système de gouvernance — c'est une déclaration d'intention. La Loi 25 récompense le premier et expose le second.
Votre organisation est-elle prête pour une revue Loi 25 sur ses systèmes d'IA ?
PHAROS structure des revues de gouvernance IA qui traduisent les obligations de la Loi 25 en contrôles opérationnels vérifiables — seuils explicites, droits décisionnels nommés, et documentation reconstruisible pour la CAI, vos acheteurs ou vos auditeurs.