Loi 25 et IA : ce que la loi exige avant de confier des renseignements personnels à une IA

Copier un dossier dans un assistant conversationnel, faire lire des factures à un modèle, trier des courriels de clients : chaque fois, des renseignements personnels sont utilisés, souvent communiqués à un tiers, parfois hors du Québec. Or la loi définit le renseignement personnel de façon large : tout renseignement qui concerne une personne physique et permet de l’identifier, directement ou indirectement (art. 2).

La « Loi 25 » est la loi de 2021 qui a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1). Ses dispositions sont entrées en vigueur par étapes, de 2022 à 2024. C’est cette loi, et non un texte propre à l’IA, qui encadre aujourd’hui l’usage de l’intelligence artificielle par une entreprise québécoise.

1. Un responsable de la protection, nommé et joignable (art. 3.1)

Dans chaque entreprise, la personne qui exerce la plus haute autorité est d’office responsable de la protection des renseignements personnels ; elle peut déléguer cette fonction par écrit. Son titre et ses coordonnées sont publiés sur le site de l’entreprise. Pour un projet d’IA, c’est elle qu’il faut consulter dès le début : la loi l’exige pour l’évaluation qui suit.

2. Une évaluation des facteurs relatifs à la vie privée avant le projet (art. 3.3)

Tout projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique de services qui recueille, utilise, communique, conserve ou détruit des renseignements personnels doit faire l’objet d’une évaluation des facteurs relatifs à la vie privée (ÉFVP). Brancher un outil d’IA sur vos dossiers clients est, le plus souvent, un tel projet.

L’évaluation est proportionnée à la sensibilité des renseignements, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support. Le même article demande que le système permette de communiquer à la personne, à sa demande, les renseignements recueillis auprès d’elle dans un format technologique structuré et couramment utilisé.

3. Une autre évaluation avant de communiquer hors du Québec (art. 17)

Beaucoup de services d’IA sont exploités hors du Québec. Avant d’y communiquer un renseignement personnel, l’entreprise évalue notamment :

• la sensibilité du renseignement ;
• la finalité de son utilisation ;
• les mesures de protection, y compris contractuelles, dont il bénéficierait ;
• le régime juridique de l’État où il serait communiqué.

La communication n’est possible que si l’évaluation conclut à une protection adéquate, et elle fait l’objet d’une entente écrite qui tient compte des résultats de l’évaluation. La règle vaut aussi quand l’entreprise confie à quelqu’un hors du Québec le soin de recueillir, d’utiliser, de communiquer ou de conserver ces renseignements pour son compte.

4. Informer, en termes simples et clairs (art. 8 et 8.1)

Au moment de la collecte, la personne est informée des fins, des moyens, de ses droits d’accès et de rectification, et de son droit de retirer son consentement ; le cas échéant, des tiers à qui ses renseignements seront communiqués et de la possibilité qu’ils le soient hors du Québec. Si vos avis de collecte et votre politique de confidentialité ne disent pas qu’une IA traite les renseignements, et pour quoi, c’est le premier texte à revoir.

Une technologie capable d’identifier, de localiser ou de profiler une personne appelle une information de plus, donnée au préalable, avec les moyens d’activer ces fonctions. La loi définit le profilage : recueillir et utiliser des renseignements pour évaluer certaines caractéristiques d’une personne, comme son rendement au travail, sa situation économique, sa santé, ses préférences, ses intérêts ou son comportement. Un score de prospects ou de risque calculé par une IA en relève souvent.

5. Ne pas réutiliser les renseignements à d’autres fins (art. 12)

Un renseignement personnel ne sert qu’aux fins pour lesquelles il a été recueilli, sauf consentement de la personne, exprès s’il est sensible. La loi prévoit des exceptions étroites : une fin compatible, qui a un lien pertinent et direct avec la fin d’origine, un usage manifestement au bénéfice de la personne, la prévention de la fraude et la sécurité, la prestation d’un service qu’elle a demandé, ou l’étude et la statistique sur des renseignements dépersonnalisés. La prospection commerciale n’est jamais une fin compatible.

Concrètement : entraîner ou ajuster un modèle avec les dossiers de vos clients n’est pas, en général, la fin pour laquelle vous les avez recueillis. Et un consentement, pour valoir, doit être manifeste, libre, éclairé et donné à des fins spécifiques (art. 14).

6. Encadrer le fournisseur d’IA (art. 18.3)

Communiquer des renseignements à un fournisseur sans le consentement de la personne est permis s’ils sont nécessaires au mandat ou au contrat de service que vous lui confiez. Mais alors :

• le mandat ou le contrat est écrit ;
• il précise les mesures que le fournisseur prend pour protéger la confidentialité des renseignements ;
• il limite leur usage à l’exécution du mandat ;
• il interdit de les conserver après son expiration ;
• le fournisseur avise sans délai votre responsable de toute violation ou tentative de violation, et lui permet de vérifier.

Lisez les conditions de votre fournisseur avec trois questions en tête : vos données servent-elles à entraîner ses modèles ? Combien de temps sont-elles conservées ? Où sont-elles traitées ?

7. Annoncer une décision entièrement automatisée (art. 12.1)

Quand une décision est fondée exclusivement sur un traitement automatisé de renseignements personnels, l’entreprise en informe la personne au plus tard au moment où elle lui communique la décision. À sa demande, elle lui dit aussi quels renseignements ont servi, les raisons et les principaux facteurs et paramètres de la décision, et son droit de faire rectifier ces renseignements. La personne doit pouvoir présenter ses observations à un membre du personnel en mesure de réviser la décision.

Une demande de crédit refusée par un modèle, une candidature écartée par un tri automatique : la loi exige une porte de sortie humaine. Garder un professionnel qui décide vraiment écarte l’article 12.1, pas les autres obligations.

Toute entreprise prend des mesures de sécurité raisonnables, compte tenu de la sensibilité des renseignements, de leur finalité, de leur quantité, de leur répartition et de leur support (art. 10). Si elle offre au public un produit ou un service technologique doté de paramètres de confidentialité, ceux-ci assurent par défaut le plus haut niveau de confidentialité (art. 9.1).

La loi définit l’incident de confidentialité : l’accès, l’utilisation ou la communication non autorisés d’un renseignement personnel, ou sa perte (art. 3.6). L’entreprise qui a des motifs de croire qu’un incident s’est produit prend des mesures raisonnables pour réduire le risque ; si le risque de préjudice est sérieux, elle avise avec diligence la Commission d’accès à l’information et les personnes concernées (art. 3.5). Elle tient un registre de ces incidents (art. 3.8).

Remplacer les noms, les NAS et les adresses par des substituts avant qu’un texte parte vers un modèle réduit le risque, et c’est une bonne pratique. Mais tant que l’entreprise garde la correspondance entre le substitut et la personne, le renseignement reste un renseignement personnel. La loi parle alors de renseignement dépersonnalisé : il ne permet plus d’identifier directement la personne, et l’entreprise doit prendre des mesures raisonnables pour limiter le risque de réidentification (art. 12).

Un renseignement ne cesse d’être personnel que s’il ne permet plus, de façon irréversible, d’identifier la personne, directement ou indirectement (art. 23). Lorsque les fins de la collecte sont accomplies, l’entreprise détruit le renseignement, ou le rend anonyme pour l’utiliser à des fins sérieuses et légitimes, selon les critères fixés par règlement, sous réserve d’un délai de conservation prévu par une loi.

Pour une personne physique, la sanction administrative peut atteindre 50 000 dollars. Au-delà des montants, un incident coûte surtout la confiance des clients, qui ont confié leurs renseignements à l’entreprise et non à son fournisseur d’IA.

• Quels renseignements personnels l’outil verra-t-il, et lesquels sont sensibles (santé, finances, NAS) ?
• Pour quelle fin, et est-ce la fin pour laquelle ils ont été recueillis ?
• L’évaluation des facteurs relatifs à la vie privée est-elle faite, avec le responsable consulté dès le début ?
• Où le fournisseur traite-t-il et conserve-t-il les données ? Hors du Québec, l’évaluation de l’article 17 et l’entente écrite sont-elles en place ?
• Le contrat interdit-il d’entraîner ses modèles avec vos données, et prévoit-il leur destruction ?
• Pouvez-vous masquer les renseignements avant l’envoi, et qui détient la correspondance ?
• L’outil prend-il seul des décisions sur des personnes ? Si oui, comment l’annoncez-vous, et qui révise ?
• Vos avis de collecte et votre politique de confidentialité disent-ils qu’une IA est utilisée, et pour quoi ?
• Qui, dans l’équipe, peut utiliser l’outil, et avec quels renseignements ?
• Que faites-vous si un renseignement part au mauvais endroit : mesures, évaluation du risque, avis, registre ?