Passer au contenu
    Adwaizer

    Audit IA et Loi 25 du Québec : ce qu'il couvre et ce qu'il ne couvre pas

    English version

    Ceci n'est pas un avis juridique. Cette page résume des sources publiques du gouvernement du Québec et de son organisme de protection de la vie privée, la Commission d'accès à l'information (CAI), et dit ce que notre Audit IA fait et ne fait pas. Elle ne dit pas si votre entreprise se conforme à la Loi 25. Pour cela, adressez-vous à votre responsable de la protection des renseignements personnels ou à un avocat.

    La réponse courte

    L'Audit IA ne rend pas votre entreprise conforme à la Loi 25 et ne remplace pas une évaluation des facteurs relatifs à la vie privée (ÉFVP). Il donne à votre responsable de la protection des renseignements personnels trois éléments utiles pour le service qu'il examine : quels flux de travail traitent des données sensibles, quelles idées d'IA toucheraient ces données, et ce qui pourrait mal tourner pour chacune. Les obligations ci-dessous restent les vôtres.

    La Loi 25 en un paragraphe

    La « Loi 25 » est la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, adoptée en septembre 2021. Elle a modifié la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), la loi qui s'applique aux entreprises [1][2]. La majorité de ses dispositions sont entrées en vigueur le 22 septembre 2023 [3][4].

    Trois obligations qu'un projet d'IA rencontre, et la place de l'Audit IA

    Sujet de la Loi 25Ce que disent les sources officiellesCe que fait l'Audit IACe qu'il ne fait pas
    Inventaire des renseignements personnelsLe guide de conformité de la CAI pour les entreprises leur demande de dresser la liste des renseignements personnels qu'elles détiennent, y compris ceux qu'un tiers détient pour elles, d'en évaluer la sensibilité et de tenir cette liste à jour à mesure que de nouvelles collectes commencent [5]. Le guide de la CAI sur l'ÉFVP fait de l'inventaire une étape de toute évaluation [6].Cartographie de 8 à 12 flux de travail dans un service ou un secteur d'activité, chacun noté notamment selon la sensibilité des données (offre, livrable 1) [8]. Le questionnaire d'accueil demande quels systèmes sont utilisés et quelle est la sensibilité des données (trousse, étape 1) [9].Ce n'est pas un inventaire de vos renseignements personnels. Il ne couvre qu'un secteur et ne dresse pas la liste de chaque type de renseignement, de son lieu de conservation, de qui le détient ni du moment de sa destruction.
    ÉFVP pour un système d'information nouveau ou refonduUne entreprise doit procéder à une ÉFVP pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services impliquant des renseignements personnels (art. 3.3 de la P-39.1) [1][4]. Son ampleur est proportionnée à la sensibilité des renseignements, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support [1][6]. Obligatoire depuis le 22 septembre 2023 [4].Chacune des 3 occasions retenues nomme les outils qu'elle utiliserait et ce qui pourrait mal tourner ; le plan de 90 jours de la première donne le responsable, les étapes et une fourchette de coûts (offre, livrables 2 et 4) [8]. Votre responsable peut s'en servir pour décider tôt si une ÉFVP est nécessaire.Il ne réalise pas d'ÉFVP et ne décide pas si l'article 3.3 s'applique à un projet.
    Avis d'une décision fondée sur un traitement automatiséUne entreprise qui utilise des renseignements personnels afin que soit rendue une décision fondée exclusivement sur un traitement automatisé doit en informer la personne concernée au plus tard au moment où elle l'informe de la décision (art. 12.1 de la P-39.1) [1][4]. Sur demande, elle doit aussi l'informer des renseignements personnels utilisés pour rendre la décision, des raisons et des principaux facteurs et paramètres ayant mené à la décision, et de son droit de faire rectifier ces renseignements personnels. La personne concernée doit avoir l'occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision [1][7]. En vigueur depuis le 22 septembre 2023 [4].Note l'adéquation à l'IA de chaque flux de travail et nomme ce qui pourrait mal tourner pour chaque occasion retenue [8].Il ne construit ni ne configure aucun système (la mise en œuvre fait l'objet d'une soumission distincte [8]), ne rédige pas l'avis et ne vérifie pas si une décision existante est fondée exclusivement sur un traitement automatisé.

    Comment l'audit lui-même traite vos renseignements

    • Nous demandons des descriptions de processus et des modèles, de préférence avec des données caviardées ou fictives. Aucun renseignement personnel de clients ou d'employés, sauf s'il est nécessaire et que vous l'acceptez par écrit [8][9].
    • Nous n'utilisons des outils d'IA sur vos documents qu'avec votre accord écrit. Sans cet accord, nous travaillons uniquement à partir des notes d'entrevue, sans noms ni données de clients [8][9].

    Sources

    Sources officielles, trouvées par recherche Web le 30 octobre 2026. Nous n'avons pas pu ouvrir legisquebec.gouv.qc.ca en rédigeant cette page : le libellé des articles ci-dessus est un résumé, pas une citation. Lisez le texte officiel avant de vous y fier.

    1. LégisQuébec, Act respecting the protection of personal information in the private sector, CQLR c. P-39.1, art. 3.3 et 12.1 : https://www.legisquebec.gouv.qc.ca/en/document/cs/P-39.1 (consulté le 30 octobre 2026).
    2. CAI, Principaux changements apportés par la Loi 25 : https://www.cai.gouv.qc.ca/protection-renseignements-personnels/sujets-et-domaines-dinteret/principaux-changements-loi-25 (consulté le 30 octobre 2026).
    3. Gouvernement du Québec, communiqué « Loi 25 -- Entrée en vigueur de dispositions qui rehaussent la protection de la vie privée des Québécois » : https://www.quebec.ca/nouvelles/actualites/details/loi-25-entree-en-vigueur-de-dispositions-qui-rehaussent-la-protection-de-la-vie-privee-des-quebecois-50719 (consulté le 30 octobre 2026).
    4. CAI, texte consolidé de la P-39.1 (version administrative, sans valeur officielle) : https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_LSP_Version_ADMIN.pdf (consulté le 30 octobre 2026).
    5. CAI, Vers la conformité à la Loi sur le privé (guide pour les entreprises) : https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_GU_Responsabilites_Entreprises.pdf (consulté le 30 octobre 2026).
    6. CAI, Réaliser une évaluation des facteurs relatifs à la vie privée (guide ÉFVP) : https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_GU_EFVP.pdf (consulté le 30 octobre 2026).
    7. LégisQuébec, Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, art. 12.1 (texte français) : https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1 (consulté le 30 octobre 2026).
    8. Adwaizer, fiche de l'offre Audit IA (disponible sur demande) : « What you get » (livrables 1, 2 et 4), « What we need from you », « Not included ».
    9. Adwaizer, trousse de livraison de l'Audit IA (disponible sur demande) : Phases (questionnaire d'accueil, étape 1), « Inputs from the client ».