Loi 25 et IA : ce que les entreprises québécoises doivent réellement faire

Information générale, pas un avis juridique. La Loi 25, la LPRPDE et la Charte de la langue française sont des textes complexes et tributaires des faits propres à chaque situation. Pour établir votre propre position de conformité, consultez un avocat québécois qualifié en protection de la vie privée ou les ressources de la Commission d'accès à l'information (CAI).

La Loi 25 du Québec (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) est maintenant pleinement en vigueur, et l'adoption de l'IA dans les entreprises canadiennes grimpe rapidement — Statistique Canada rapporte que 19,2 % des entreprises canadiennes ont utilisé l'IA au 2^e trimestre de 2026, en hausse par rapport à 6,1 % au 2^e trimestre de 2024. Si vous exploitez une ligne téléphonique gérée par IA, un agent conversationnel ou un outil de filtrage de prospects qui touche des personnes résidant au Québec, la loi vous vise, peu importe où votre entreprise a son siège. Voici la version « terrain » de ce qui s'applique réellement.

Le consentement et la transparence d'abord

La Loi 25 exige que vous recueilliez et utilisiez des renseignements personnels à une fin claire et déterminée, et que le consentement soit manifeste, libre et éclairé — en termes simples, les personnes doivent comprendre ce que vous faites et y consentir. Lorsqu'un système d'IA mène la conversation, la transparence a un rôle supplémentaire à jouer : les personnes qui appellent ou qui visitent votre site Web devraient pouvoir constater qu'elles interagissent avec un agent automatisé, sans être amenées à croire qu'il s'agit d'un humain.

Concrètement, cela signifie :

• Une divulgation brève et honnête dès le début d'un appel ou d'une conversation prise en charge par l'IA (« Vous parlez à un assistant automatisé »).
• Une politique de confidentialité qui nomme les catégories de renseignements recueillis, les fins visées et si les renseignements peuvent être traités par des fournisseurs de services — y compris à l'extérieur du Québec ou du Canada.
• Une personne désignée responsable de la protection des renseignements personnels (la Loi 25 exige ce rôle; par défaut, il s'agit de la personne ayant la plus haute autorité au sein de l'organisation, à moins d'une délégation par écrit).

La CAI a publié des orientations sur le consentement et sur les évaluations des facteurs relatifs à la vie privée (ÉFVP); si vous déployez un nouveau système d'IA qui traite des renseignements personnels, une évaluation des facteurs relatifs à la vie privée constitue le point de départ rigoureux.

La règle sur la décision automatisée : l'article 12.1

C'est la disposition que l'on comprend le plus souvent de travers. L'article 12.1 s'applique lorsqu'une entreprise prend une décision fondée exclusivement sur un traitement automatisé de renseignements personnels. Lorsqu'il s'applique, vous devez informer la personne que la décision a été prise de cette façon et, sur demande, lui donner l'occasion de présenter ses observations à une personne en mesure de réviser la décision — en plus de lui indiquer quels renseignements personnels ont été utilisés et les raisons qui justifient la décision.

Le mot clé est exclusivement. Lorsqu'un humain est véritablement présent dans le processus décisionnel, ou lorsque la « décision » n'a aucun effet juridique ni aucun effet semblablement important, l'art. 12.1 n'est généralement pas déclenché.

Là où, en général, il ne mord pas

La prise de rendez-vous et la réservation courantes — un réceptionniste IA qui prend une réservation, vérifie les disponibilités et confirme une heure — ne constituent généralement pas une « décision exclusivement automatisée » ayant un effet juridique ou important sur la personne. Il s'agit d'une tâche administrative, pas d'un jugement porté sur quelqu'un.

Là où il peut mordre

Dès que votre IA se met à filtrer, évaluer, classer ou qualifier des personnes — à décider qui obtient un rappel, à qui l'on offre un crédit ou un taux, qui est signalé comme peu prioritaire — vous vous rapprochez d'une décision exclusivement automatisée ayant de réels effets. Si c'est votre cas d'usage, intégrez les mécanismes de l'art. 12.1 dès le départ : la divulgation, un registre des renseignements utilisés et un humain qui peut réviser la décision sur demande.

Enregistrement et consentement pour les appels IA

Si votre IA répond aux appels ou en effectue, et qu'elle les enregistre ou les transcrit, l'enregistrement lui-même constitue une collecte de renseignements personnels (souvent sensibles, puisque les personnes qui appellent peuvent divulguer spontanément des détails de nature médicale, financière ou identificatoire). Traitez-le en conséquence : divulguez que l'appel peut être enregistré ou transcrit et pourquoi, limitez la conservation à ce que la fin exige, et sécurisez l'audio et les transcriptions conservés. Consentir à parler à un agent automatisé n'équivaut pas à consentir à être enregistré — dites les deux clairement au début de l'appel.

Le traitement transfrontalier, fait honnêtement

Une grande partie de l'infrastructure d'IA — modèles, téléphonie, transcription — fonctionne sur des serveurs situés à l'extérieur du Canada. Voici la position exacte, pas le mythe. La LPRPDE n'interdit pas le traitement de renseignements personnels à l'extérieur du Canada. Le Commissariat à la protection de la vie privée du Canada (CPVP, priv.gc.ca) considère qu'un transfert à un fournisseur de services aux fins de traitement constitue une utilisation des renseignements, régie par le principe de responsabilité : votre organisation demeure responsable de ces renseignements, doit assurer un degré de protection comparable par des moyens contractuels et autres, et doit faire preuve de transparence quant au fait que les renseignements peuvent être traités à l'extérieur du Canada — et donc être accessibles aux tribunaux et aux autorités étrangères.

La Loi 25 ajoute sa propre couche : avant de communiquer des renseignements personnels à l'extérieur du Québec, vous devez procéder à une évaluation des facteurs relatifs à la vie privée et vous assurer que les renseignements bénéficient d'une protection adéquate. La liste honnête est donc la suivante : évaluer, contracter pour une protection comparable, et divulguer la réalité transfrontalière aux personnes concernées par les données. Prétendre que les données « ne quittent jamais le Canada » alors qu'elles le font est pire que de ne rien dire.

Le service en français

Distincte de la loi sur la protection de la vie privée, la Charte de la langue française du Québec (mise à jour par la Loi 96) crée un droit général pour les consommateurs et le public d'être servis et informés en français. Elle n'impose pas de règle précise du type « vous devez répondre au téléphone en français ». Le constat pratique : un agent IA capable de fonctionner en français appuie vos obligations de service en français — il ne s'acquitte d'aucun mandat téléphonique unique, parce qu'il n'en existe pas. La capacité bilingue est une façon de satisfaire à l'obligation générale, pas une case de conformité à cocher.

La véritable exposition aux sanctions

La Loi 25 a de vraies dents grâce à deux régimes distincts. Il y a des sanctions administratives pécuniaires imposées par la CAI, et il y a des infractions pénales poursuivies séparément. Pour les infractions pénales, la fourchette d'amende pour une entreprise va de 15 000 $ à 25 000 000 $, ou — si ce montant est plus élevé — une somme correspondant à 4 % du chiffre d'affaires mondial de l'exercice financier précédent. En clair : les sanctions peuvent atteindre des dizaines de millions, ou un pourcentage du chiffre d'affaires mondial si ce nombre est plus élevé. Ce n'est pas un risque négligeable.

Qu'en est-il d'une loi fédérale sur l'IA?

Vous avez peut-être lu que le Canada allait se doter d'une loi consacrée à l'IA. Il s'agissait de la LIAD (Loi sur l'intelligence artificielle et les données), qui faisait partie du projet de loi fédéral C-27 — et elle est morte au feuilleton lorsque le Parlement a été prorogé en janvier 2025. La LIAD n'est pas une loi. En 2026, le véhicule fédéral en matière de protection de la vie privée et d'IA qui est sur la table est le projet de loi C-36, qui est un projet de loi et non une loi adoptée. Pendant ce temps, la LPRPDE demeure la loi fédérale applicable en matière de protection de la vie privée dans le secteur privé. Ne bâtissez pas un programme de conformité autour d'une loi qui n'est jamais entrée en vigueur.

Ce qu'il faut retenir sur le terrain

La plupart des entreprises québécoises qui utilisent l'IA pour répondre aux appels ou gérer des réservations ne prennent pas de « décisions exclusivement automatisées » au sens de l'art. 12.1 — mais elles doivent tout de même le consentement, la transparence, une divulgation transfrontalière honnête et une gestion sensée des enregistrements. Si votre IA se met à porter des jugements sur des personnes, les obligations montent nettement d'un cran.

Si vous envisagez un réceptionniste IA et souhaitez que les pratiques de consentement, de divulgation et d'enregistrement soient traitées avec soin dès le départ, c'est exactement le genre de choses que nous intégrons à ALMATalk. À titre de partenaire d'implémentation, le rôle d'ALMA Intelligence est de vous aider à déployer une IA qui est à la fois utile et défendable — pas l'une au détriment de l'autre.