Ce que la Loi 25 change pour les systèmes d'IA
La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels — communément appelée Loi 25 — est entrée en vigueur par phases de 2021 à 2024. Les articles 12.1 et 3.3 ont pris effet le 22 septembre 2023. Elle modifie la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP) et impose des obligations nouvelles qui touchent directement les organisations qui utilisent des systèmes d'intelligence artificielle.
Ce n'est pas une loi sur l'IA en tant que telle. Mais ses exigences en matière de transparence, d'évaluation des risques et de décision automatisée créent des obligations opérationnelles réelles pour tout système qui traite des renseignements personnels dans le cadre de ses fonctions — ce qui couvre la grande majorité des systèmes d'IA déployés au Québec.
Si un système d'IA traite des renseignements personnels pour prendre ou préparer une décision concernant une personne, la Loi 25 s'applique. Ce n'est pas une question de secteur ni de taille d'organisation — c'est une question de traitement.
Les obligations de la Loi 25 applicables à l'IA : vue d'ensemble
La Loi 25 introduit plusieurs obligations dont l'impact sur les systèmes d'IA est direct. On peut les organiser en quatre blocs.
| Obligation | Déclencheur | Statut |
|---|---|---|
| Transparence sur la décision automatisée | Décision fondée exclusivement sur un traitement automatisé de renseignements personnels | Obligatoire |
| Occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision | Toute décision visée par l'article 12.1 | Obligatoire |
| EFVP (évaluation des facteurs relatifs à la vie privée) | Projet d'acquisition, de développement ou de refonte d'un système d'information ou d'une prestation électronique de services impliquant la collecte, l'utilisation, la communication, la conservation ou la destruction de renseignements personnels | Obligatoire |
| Publication d'une politique de confidentialité à jour | Traitement de renseignements personnels — sans exception | Obligatoire |
| Consentement et finalités explicites | Collecte ou utilisation secondaire de renseignements personnels | Obligatoire |
| Responsable de la protection des renseignements personnels | Toutes les organisations visées | Obligatoire |
| Transfert à un tiers hors Québec | Données traitées à l'extérieur du Québec (ex. : cloud étranger) | Conditionnel |
Systèmes de décision automatisée : ce que la Loi 25 exige exactement
L'article 12.1 de la loi modifiée est celui qui crée le plus d'obligations opérationnelles pour les équipes IA. Il s'applique à toute décision fondée exclusivement sur un traitement automatisé de renseignements personnels.
Obligation 1 — Informer la personne
L'organisation doit informer la personne concernée que la décision est fondée exclusivement sur un traitement automatisé de renseignements personnels. Cette information est due au plus tard au moment où la personne est informée de la décision.
En pratique : si un système d'IA génère une décision de crédit, de recrutement, d'accès à un service ou d'évaluation de risque, la personne doit savoir que c'est un algorithme — et non un humain — qui a décidé.
Obligation 2 — Informer sur demande
À la demande de la personne concernée, l'organisation doit l'informer des renseignements personnels utilisés pour rendre la décision, des raisons ainsi que des principaux facteurs et paramètres ayant mené à la décision, et de son droit de faire rectifier les renseignements personnels utilisés pour rendre la décision. Ce n'est pas une exigence d'explicabilité algorithmique totale, mais c'est plus qu'un simple accusé de réception.
De nombreuses organisations utilisent des modèles commerciaux (fournis par des tiers) sans pouvoir identifier les principaux facteurs décisionnels. La Loi 25 n'accepte pas "le fournisseur ne nous le dit pas" comme réponse suffisante. La responsabilité reste dans l'organisation qui prend la décision.
Obligation 3 — Présenter ses observations
Il doit être donné à la personne concernée l'occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision. Cette occasion doit être réelle et opérationnelle : il ne suffit pas de l'indiquer si le processus n'existe pas ou si ce membre du personnel ne fait que valider mécaniquement la sortie du système.
La question de gouvernance concrète est : qui reçoit ces observations, à quel moment, avec quelle autorité pour réviser la décision, et quelle trace documentaire est produite ?
L'évaluation des facteurs relatifs à la vie privée (EFVP)
L'EFVP est l'obligation qui génère le plus de travail opérationnel pour les équipes qui déploient de nouveaux systèmes d'IA. Elle est requise pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou d'une prestation électronique de services impliquant la collecte, l'utilisation, la communication, la conservation ou la destruction de renseignements personnels.
Pour les systèmes d'IA, cela signifie concrètement :
- Documenter quels renseignements personnels sont utilisés comme données d'entraînement ou d'inférence.
- Évaluer les risques liés à la collecte, au stockage, à la transmission et à l'utilisation secondaire de ces données.
- Identifier les mesures de protection qui s'appliquent et les lacunes qui subsistent.
- Conserver l'EFVP et la mettre à jour si le système est modifié de façon substantielle.
L'EFVP n'est pas un document de conformité générique qu'on remplit une fois. C'est une évaluation des risques spécifique au système, au traitement et au contexte d'utilisation. Un gabarit copié-collé sans analyse réelle du système en question ne satisfait pas l'obligation.
Loi 25 et Règlement européen sur l'IA : convergences pour les organisations canadiennes
Les organisations canadiennes qui font affaire avec des entreprises européennes ou qui utilisent des systèmes développés en Europe sont exposées à une double pression réglementaire : la Loi 25 d'un côté, le Règlement européen sur l'IA (EU AI Act) de l'autre.
Les deux régimes partagent plusieurs préoccupations centrales :
- Transparence des décisions automatisées : l'EU AI Act impose des exigences d'explicabilité pour les systèmes à haut risque ; la Loi 25 impose la divulgation des facteurs décisionnels.
- Supervision humaine : l'EU AI Act exige une supervision humaine effective pour les systèmes à haut risque ; la Loi 25 exige que la personne puisse présenter ses observations à un membre du personnel en mesure de réviser la décision.
- Documentation et traçabilité : les deux régimes exigent une documentation des systèmes, des données utilisées et des décisions prises.
La principale différence est de portée : l'EU AI Act classifie les systèmes selon leur niveau de risque et impose des obligations proportionnelles. La Loi 25 s'applique dès qu'il y a traitement de renseignements personnels, sans classification de risque — mais avec des obligations moins étendues sur la conception et les tests des systèmes.
Pour les organisations canadiennes, la convergence crée une opportunité : les contrôles construits pour satisfaire l'EU AI Act (documentation des données, registres de décisions, supervision humaine) sont généralement suffisants pour couvrir les exigences de la Loi 25 sur les mêmes systèmes. Construire une fois, couvrir les deux.
Ce que les organisations manquent le plus souvent
Dans la pratique, quatre lacunes reviennent systématiquement lors d'une revue de gouvernance IA dans le contexte de la Loi 25.
Lacune 1 — Le seuil de "décision automatisée" n'est pas défini
De nombreuses organisations ne savent pas précisément quels systèmes déclenchent les obligations de l'article 12.1. Un système de recommandation qui classe des candidatures est-il une décision automatisée ? Un outil de scoring de risque crédit utilisé par un conseiller qui prend la décision finale ? La frontière n'est pas toujours claire, et le défaut de la définir crée une exposition non documentée.
Lacune 2 — Les observations ne sont pas opérationnelles
L'occasion de présenter des observations à un membre du personnel en mesure de réviser la décision existe sur papier, mais pas dans les processus. Personne n'a d'autorité nommée pour les recevoir, les délais ne sont pas définis, et aucune trace documentaire n'est produite. Lors d'une révision réglementaire ou d'un audit, cette lacune est la plus difficile à défendre.
Lacune 3 — L'EFVP est générique ou absente
L'évaluation a été faite une fois, pour le système d'origine, sans être mise à jour lors des modifications. Ou elle a été remplie avec un gabarit générique sans analyse spécifique des flux de données réels du système en question.
Lacune 4 — Le responsable RPP n'a pas d'autorité réelle
La Loi 25 exige la désignation d'un responsable de la protection des renseignements personnels (RPRP). Dans de nombreuses organisations, ce rôle est nommé mais sans mandat, sans ressources et sans décision à prendre. La responsabilité nominale sans autorité réelle ne satisfait pas l'esprit de l'obligation.
Une approche de gouvernance déterministe pour la Loi 25
La conformité à la Loi 25 ne se construit pas avec des déclarations générales sur l'engagement envers la protection de la vie privée. Elle se construit en nommant des seuils précis, des droits décisionnels explicites et des chemins d'évidence reconstruisibles.
Pour chaque système d'IA dans la portée de la Loi 25, cela signifie documenter :
- Quels renseignements personnels sont utilisés, à quelle fin, et sur quelle base juridique.
- Si le système prend des décisions automatisées au sens de l'article 12.1, et lesquelles.
- Comment les observations sont reçues : par quel membre du personnel en mesure de réviser la décision, à quel moment, avec quelle autorité, et quelle trace est produite.
- Où est l'EFVP et quand elle a été revue pour la dernière fois.
- Qui est le RPRP, avec quel mandat, et comment les demandes de révision lui parviennent.
Ce travail n'est pas de la conformité symbolique. C'est la construction d'un dossier que n'importe quel vérificateur externe — la Commission d'accès à l'information, un acheteur institutionnel, un partenaire qui fait sa vérification diligente — peut suivre et reconstruire.
Un système de gouvernance IA qui ne peut pas être reconstruit par un observateur extérieur n'est pas un système de gouvernance — c'est une déclaration d'intention. La Loi 25 récompense le premier et expose le second.
Votre organisation est-elle prête pour une revue Loi 25 sur ses systèmes d'IA ?
PHAROS structure des revues de gouvernance IA qui traduisent les obligations de la Loi 25 en contrôles opérationnels vérifiables — seuils explicites, droits décisionnels nommés, et documentation reconstruisible pour la CAI, vos acheteurs ou vos auditeurs.