La Loi 25 en clair : ce qu'elle exige vraiment d'une entreprise

Toute personne qui exploite une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits et qui sont raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support.

Ce que ça veut dire

La norme est proportionnelle : plus le renseignement est sensible, plus la mesure attendue est forte. La Loi 25 n'a pas touché à cet article, mais elle lui a donné des dents — ne pas prendre ces mesures est devenu une infraction pénale distincte (art. 91, par. 4°).

Ce que nous y répondons

Instance dédiée au Canada, chiffrement au repos et en transit — celui de la plateforme Azure, avec des clés gérées par Microsoft, pas une clé qui vous appartiendrait — coffre à clés avec contrôle par rôle pour les secrets d'intégration, droits par objet, journal d'audit, et un contrat qui engage des mesures administratives, techniques et organisationnelles (art. 14.5). L'article 10 demande des mesures raisonnables et proportionnées, pas une certification : le droit de vérification de l'article 14.10 vous permet de les contrôler vous-même.

droit dur·2006, non modifié par la Loi 25·Source officielle

Toute personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée de tout projet d'acquisition, de développement et de refonte de système d'information ou de prestation électronique de services impliquant la collecte, l'utilisation, la communication, la conservation ou la destruction de renseignements personnels. […] La personne doit également s'assurer que ce projet permet qu'un renseignement personnel informatisé recueilli auprès de la personne concernée soit communiqué à cette dernière dans un format technologique structuré et couramment utilisé.

Ce que ça veut dire

Adopter une plateforme d'IA est l'acquisition d'un système d'information : la Commission range explicitement le « système d'intelligence artificielle » parmi les formes que prend un système d'information (Guide EFVP v3.1, § 7.2, p. 51). L'évaluation est donc obligatoire pour le projet — non pas « avant le projet », mais avant sa mise en service, votre responsable de la protection des renseignements personnels devant être consulté dès le début du projet (al. 2). L'alinéa 3, souvent oublié, ajoute une exigence de conception : au moment d'acquérir le système, vous devez vous assurer qu'il permettra de restituer à une personne, dans un format technologique structuré et couramment utilisé, les renseignements informatisés recueillis auprès d'elle.

Ce que nous y répondons

L'ÉFVP est la vôtre — la loi la met sur l'entreprise, pas sur le fournisseur. Nous fournissons les intrants : description du flux de données, catégories transmises hors Québec, régions d'hébergement, politiques publiées des fournisseurs de modèles, mesures de sécurité, engagements contractuels et cette page. Le contrat prévoit expressément que nous collaborons à documenter ces évaluations (art. 14.8). Sur l'alinéa 3, en revanche, nous ne vous mettons pas en position de répondre oui : l'export existe (conversations, documents, bases de connaissances) mais n'est pas normalisé dans un format d'échange structuré. C'est un écart de notre côté, à consigner tel quel dans votre évaluation.

droit dur·En vigueur le 22 septembre 2023·Source officielle

Avant de communiquer à l'extérieur du Québec un renseignement personnel, la personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. […] La communication peut s'effectuer si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate […]. Elle doit faire l'objet d'une entente écrite.

Ce que ça veut dire

Contrairement à une idée répandue, l'article 17 n'interdit pas de sortir des données du Québec et n'impose aucune règle de localisation. Il impose trois choses : une évaluation préalable pesant quatre facteurs, une conclusion de protection adéquate, et une entente écrite. Son troisième alinéa vise expressément le cas où vous confiez à un tiers hors Québec la tâche de conserver ou de traiter pour votre compte — c'est exactement le cas d'une plateforme d'IA infonuagique.

Ce que nous y répondons

L'hébergement lui-même est déjà visé, et c'est le point que la plupart des lecteurs manquent : votre instance est en région Azure Canada Centre par défaut, c'est-à-dire à Toronto — au Canada, mais à l'extérieur du Québec. Nous confier la conservation de vos renseignements pour votre compte tombe donc sous le troisième alinéa, et l'inférence chez les fournisseurs de modèles, dont plusieurs aux États-Unis, sous le premier. Votre évaluation, votre conclusion de protection adéquate et votre entente écrite doivent couvrir les deux, pas seulement l'appel au modèle. Ce qui sort à l'exécution : le contenu de la requête, le temps du calcul, et le texte intégral des documents versés à une base de connaissances, envoyé dès l'indexation pour être vectorisé. Nous déployons une région québécoise en hébergement privé seulement — mais soyons exacts, parce que la phrase inverse traînait ici : cela ne retire PAS l'hébergement du champ de l'article 17. Les sauvegardes de la base sont géo-répliquées vers la région jumelée — Canada Est, à Québec — donc dans la province, alors que l'instance elle-même est à Toronto ; les fichiers que vous versez, eux, ne sont pas répliqués hors de la région de votre instance. L'engagement de résidence de l'hébergeur porte de toute façon sur le Canada, pas sur la province. Le troisième alinéa reste donc engagé même dans une région québécoise ; ce que la région rapproche, c'est le traitement courant, pas le périmètre légal. L'inférence, elle aussi, y reste. L'entente écrite existe : c'est l'article 14 du contrat-maître — mais le deuxième alinéa en veut une qui TIENNE COMPTE DES RÉSULTATS de votre évaluation, que nous ne connaissons pas d'avance. Si la vôtre conclut à des mesures particulières, elles se consignent en avenant ; l'article 14 seul n'y suffit pas. La conclusion de protection adéquate vous appartient : nous donnons les éléments, vous rendez le jugement. Nous ne garantissons pas par défaut que l'inférence reste au Canada.

droit dur·En vigueur le 22 septembre 2023·Source officielle

Une personne qui exploite une entreprise peut, sans le consentement de la personne concernée, communiquer un renseignement personnel à toute personne ou à tout organisme si cette communication est nécessaire à l'exercice d'un mandat ou à l'exécution d'un contrat de service ou d'entreprise qu'elle confie à cette personne ou à cet organisme.

Ce que ça veut dire

C'est la disposition qui répond à « dois-je caviarder avant d'utiliser l'IA ». Lisez précisément ce qu'elle fait, et rien de plus : elle écarte LE CONSENTEMENT de la personne concernée pour la communication à un mandataire ou à l'exécutant d'un contrat. Le reste de la loi tient debout — l'article 10 (sécurité), l'article 12 (finalité de l'utilisation au sein de l'entreprise), les articles 3.3 et 17 (les deux évaluations) et les articles 3.5 à 3.8 (incidents). Elle porte aussi son propre seuil, dans la phrase citée : la communication n'est permise que si elle « est nécessaire à l'exercice d'un mandat ou à l'exécution d'un contrat ». C'est une exigence de minimisation, pas un blanc-seing. En contrepartie, l'alinéa 2 impose de confier le mandat ou le contrat par écrit et d'y indiquer les mesures de confidentialité, de limitation d'usage et de non-conservation après expiration ; l'avis sans délai de toute violation et le droit de vérification, eux, sont imposés directement à l'exécutant par la loi — ce n'est pas au contrat de les créer.

Ce que nous y répondons

Les six éléments sont dans notre contrat : écrit et signé ; mesures de sécurité (14.5, 14.6) ; usage limité à des finalités énumérées (14.2) ; suppression après la période de transition (14.11) ; avis sans délai au responsable (14.9) ; droit de vérification (14.10). Le tableau de correspondance, clause par clause, figure plus haut sur cette page. Ce que cela règle vraiment : vous n'avez pas à obtenir le consentement de vos clients ou de vos employés pour nous confier leurs renseignements — un contrat conforme remplace ce consentement. Ce que cela ne règle pas : l'article 12 exige que l'utilisation serve la finalité de la collecte, l'article 18.3 ne couvre que ce qui est nécessaire au mandat, et la Commission, qui a coélaboré les principes canadiens du 7 décembre 2023 sur l'IA générative, demande aux organisations utilisatrices d'employer des renseignements anonymisés ou dépersonnalisés dans les requêtes lorsque c'est possible et raisonnable. Conclusion honnête : caviarder n'est pas une obligation générale, mais « ne rien caviarder » n'est pas la règle non plus — c'est un arbitrage à faire requête par requête, et à écrire dans votre politique interne.

droit dur·En vigueur le 22 septembre 2023·Source officielle

Si l'incident présente un risque qu'un préjudice sérieux soit causé, elle doit, avec diligence, aviser la Commission d'accès à l'information […]. Elle doit également aviser toute personne dont un renseignement personnel est concerné par l'incident, à défaut de quoi la Commission peut lui ordonner de le faire.

Ce que ça veut dire

Un incident, ce n'est pas seulement un piratage : l'article 3.6 vise tout accès, toute utilisation et toute communication non autorisés par la loi, et la simple perte d'un renseignement. Le seuil de l'avis est le « risque qu'un préjudice sérieux soit causé », apprécié selon la sensibilité du renseignement, les conséquences appréhendées de son utilisation et la probabilité d'un usage préjudiciable (art. 3.7). Le registre, lui, est inconditionnel et vient d'un autre article : « La personne qui exploite une entreprise doit tenir un registre des incidents de confidentialité » (art. 3.8, al. 1), dont une copie est transmise à la Commission sur demande. Le détail opérationnel est dans le Règlement sur les incidents de confidentialité (RLRQ, c. A-2.1, r. 3.1, en vigueur le 29 décembre 2022) : onze éléments obligatoires dans l'avis à la Commission (art. 3), le contenu de l'avis aux personnes concernées (art. 5), les huit éléments du registre (art. 7) et sa conservation pendant au moins cinq ans après la prise de connaissance de l'incident (art. 8).

Ce que nous y répondons

Le contrat nous oblige à aviser sans délai votre responsable désigné, avec la nature de l'incident, les personnes visées, la période et les mesures prises (art. 14.9) — sans engagement chiffré en heures. L'avis à la Commission, l'avis aux personnes concernées et la tenue du registre restent vos obligations. Une nuance qui compte : vos obligations restent les vôtres, mais les nôtres ne disparaissent pas pour autant. Nous exploitons nous-mêmes une entreprise assujettie à la Loi 25 pour les renseignements que nous détenons, et l'article 1 du Règlement sur les incidents vise « toute personne qui exploite une entreprise et qui est visée par la Loi sur la protection des renseignements personnels dans le secteur privé » : nos obligations d'avis et de registre s'ajoutent aux vôtres au lieu de s'y substituer. Notre plan de réponse existe mais n'a jamais été exercé, et nous le disons.

droit dur·En vigueur le 22 septembre 2022·Source officielle

Toute personne qui exploite une entreprise et qui utilise des renseignements personnels afin que soit rendue une décision fondée exclusivement sur un traitement automatisé de ceux-ci doit en informer la personne concernée au plus tard au moment où elle l'informe de cette décision.

Ce que ça veut dire

Le déclencheur est le mot « exclusivement ». Une IA qui rédige un projet de lettre, propose un classement ou résume un dossier ne rend aucune décision : un humain décide. Une IA branchée sur une automatisation qui refuse, tarifie ou trie sans intervention humaine, oui. Ce que la personne obtient alors est plus étroit qu'on ne le dit couramment. D'office : être informée de l'existence de la décision, au plus tard au moment où on la lui annonce (al. 1), et se voir donner « l'occasion de présenter ses observations à un membre du personnel de l'entreprise en mesure de réviser la décision » (al. 3) — un droit d'être entendue, pas un droit à ce que la décision soit révisée. À sa demande seulement (al. 2) : les renseignements utilisés, les raisons ainsi que les principaux facteurs et paramètres, et son droit de faire rectifier ces renseignements. À lire avec l'article 11 : les renseignements utilisés pour prendre une décision doivent être à jour et exacts au moment de l'usage, et se conservent au moins un an après la décision.

Ce que nous y répondons

La plateforme rédige, résume et propose ; elle ne rend pas de décision par elle-même. Mais elle sait automatiser, et c'est vous qui construisez ces automatisations. Si l'une d'elles décide seule, l'article 12.1 s'applique à vous. Le contrat le rappelle en propres termes : aucun résultat généré ne doit être une décision automatisée finale sans validation humaine appropriée (art. 17 du contrat).

droit dur·En vigueur le 22 septembre 2023·Source officielle

Lorsque les fins auxquelles un renseignement personnel a été recueilli ou utilisé sont accomplies, la personne qui exploite une entreprise doit le détruire ou l'anonymiser pour l'utiliser à des fins sérieuses et légitimes, sous réserve d'un délai de conservation prévu par une loi. […] un renseignement concernant une personne physique est anonymisé lorsqu'il est, en tout temps, raisonnable de prévoir dans les circonstances qu'il ne permet plus, de façon irréversible, d'identifier directement ou indirectement cette personne.

Ce que ça veut dire

Conserver n'est pas neutre : une fois la finalité accomplie, il faut détruire ou anonymiser. Deux membres de phrase que l'on saute souvent changent pourtant tout. « Pour l'utiliser à des fins sérieuses et légitimes » : on n'anonymise pas pour anonymiser, l'usage visé doit être établi avant de lancer le processus (Règlement sur l'anonymisation des renseignements personnels, D. 783-2024, art. 3). « Sous réserve d'un délai de conservation prévu par une loi » : l'article 11, al. 2, oblige par exemple à conserver au moins un an les renseignements utilisés pour prendre une décision — supprimer trop vite est aussi un manquement. Et l'anonymisation est une démarche formelle, pas une case à cocher : supervision par une personne compétente (art. 4), retrait des identifiants directs puis analyse préliminaire des risques de réidentification selon les critères d'individualisation, de corrélation et d'inférence (art. 5), analyse post-processus démontrant des risques résiduels « très faibles » (art. 7), réévaluation périodique (art. 8) et registre (art. 9). Un renseignement seulement dépersonnalisé n'est pas anonymisé : il reste un renseignement personnel (art. 12, al. 4, 1°).

Ce que nous y répondons

Vous pouvez supprimer conversations, documents et bases de connaissances, et le mode confidentialité rend une conversation éphémère. Trois des horloges non désactivables du produit bornent ce qui traîne (30 jours, 7 jours, 48 heures), mais il n'existe aucune rétention configurable : vous ne pouvez pas programmer « détruire à 24 mois » par espace de travail. Nous n'émettons pas de certificat de destruction, et nous ne documentons aucun délai de purge des sauvegardes — et il ne faut pas confondre cela avec la fenêtre de restauration de 30 jours ni les instantanés de 14 jours indiqués ailleurs : ce sont des capacités de reprise, pas un engagement de destruction, et l'article 23 porte précisément sur ce qui survit dans une sauvegarde — posez-nous la question avant de vous engager sur un calendrier de destruction, parce qu'une destruction incomplète au sens de l'article 23 est celle qui survit dans une sauvegarde. La plateforme n'anonymise rien au sens de l'article 23 : les analyses de conformité repèrent rétrospectivement les échanges contenant des renseignements personnels pour que vous les traitiez, ce qui est un signal, pas un processus d'anonymisation. Ce sont les minuteries qui touchent un dossier ; d'autres horloges existent ailleurs dans le produit, et la page Confidentialité et conformité en publie l'inventaire complet.

droit dur·En vigueur le 22 septembre 2023·Source officielle

Un renseignement personnel ne peut être utilisé au sein de l'entreprise qu'aux fins pour lesquelles il a été recueilli, à moins du consentement de la personne concernée. Ce consentement doit être manifesté de façon expresse dès qu'il s'agit d'un renseignement personnel sensible. Un renseignement personnel peut toutefois être utilisé à une autre fin sans le consentement de la personne concernée dans les seuls cas suivants: 1° lorsque son utilisation est à des fins compatibles avec celles pour lesquelles il a été recueilli; […]

Ce que ça veut dire

L'article 18.3 règle la COMMUNICATION au fournisseur ; l'article 12 règle l'UTILISATION à l'intérieur de l'entreprise, et c'est lui qui décide si vous pouvez verser un dossier client ou un dossier d'employé dans un assistant. La règle est la finalité de la collecte. En sortir n'est permis que dans cinq cas limitativement énumérés — fin compatible, bénéfice manifeste de la personne, prévention et détection de la fraude ou amélioration des mesures de sécurité, fourniture d'un produit ou prestation d'un service demandé, étude ou recherche sur des renseignements dépersonnalisés — ou avec le consentement de la personne, exprès si le renseignement est sensible. Et une fin n'est « compatible » que s'il existe un lien pertinent et direct avec la fin de collecte (al. 3). C'est cet article, plus que l'article 18.3, qui répond à « puis-je mettre ce dossier dans l'outil ».

Ce que nous y répondons

Cette qualification est structurellement la vôtre : nous n'avons aucune visibilité sur la finalité pour laquelle vous avez recueilli un dossier. Ce que la plateforme donne, ce sont des moyens de la faire respecter — accès par utilisateur et par groupe, cloisonnement des bases de connaissances, mode confidentialité, journal d'audit, et la détection Loi 25 qui signale message par message la présence de renseignements personnels (option payante, désactivée par défaut, et elle-même un appel sortant vers un modèle). Ce sont des instruments de contrôle et de preuve, pas une conformité : si l'usage envisagé ne sert pas la finalité de collecte et ne tombe dans aucune exception, aucun réglage de notre côté ne le rend licite. La décision d'autoriser un type de dossier dans l'outil est une politique interne, écrite, pas un paramètre.

droit dur·En vigueur le 22 septembre 2023·Source officielle

Le cas échéant, la personne concernée est informée du nom du tiers pour qui la collecte est faite, du nom des tiers ou des catégories de tiers à qui il est nécessaire de communiquer les renseignements aux fins visées au paragraphe 1° du premier alinéa et de la possibilité que les renseignements soient communiqués à l'extérieur du Québec.

Ce que ça veut dire

Le moment de cette information est ce qui la rend contraignante : elle se donne LORS DE LA COLLECTE, et par la suite sur demande. Une entreprise qui branche ses dossiers sur une plateforme dont l'hébergement et l'inférence sortent du Québec devait donc avoir annoncé, dans son avis de collecte et sa politique de confidentialité, les catégories de tiers destinataires et la possibilité d'une communication à l'extérieur du Québec. Un contrat impeccable signé après coup et une évaluation complète ne réparent pas une information qui n'a pas été donnée : ce sont deux obligations distinctes, et celle-ci se juge à la date de la collecte.

Ce que nous y répondons

Nous ne pouvons rien y faire à votre place, et c'est le genre d'écart qui se découvre tard. Ce que nous fournissons pour que vous puissiez corriger vos textes : la liste de nos sous-traitants d'hébergement et d'inférence, les régions où ils opèrent, et les catégories de renseignements qui sortent du Québec. À vous de reprendre l'avis de collecte, la politique de confidentialité et, pour vos employés, la documentation d'embauche, afin qu'ils nomment les catégories de tiers et la possibilité d'une communication hors Québec. Pour les renseignements déjà recueillis sous un avis muet sur ce point, la question de savoir si l'usage envisagé reste possible se pose sous l'article 12, pas sous l'article 18.3.

droit dur·En vigueur le 22 septembre 2023·Source officielle

À moins que cela ne soulève des difficultés pratiques sérieuses, un renseignement personnel informatisé recueilli auprès du requérant, et non pas créé ou inféré à partir d'un renseignement personnel le concernant, lui est, à sa demande, communiqué dans un format technologique structuré et couramment utilisé.

Ce que ça veut dire

Le droit à la portabilité n'est pas une particularité européenne : il est en vigueur au Québec depuis le 22 septembre 2024 et s'exerce sans dimension européenne, par n'importe quel client ou employé. Sa portée est bornée — il vise ce qui a été recueilli AUPRÈS de la personne, pas ce qui a été créé ou inféré à son sujet, de sorte qu'un extrant d'IA la concernant en sort (il reste accessible sous l'al. 1, en simple copie). Et l'article 3.3, al. 3, en fait une exigence de conception : c'est avant de signer, au moment de l'acquisition, que vous devez vous assurer que le système le permettra.

Ce que nous y répondons

Nous ne satisfaisons pas cette exigence aujourd'hui, et il vaut mieux le lire ici que le découvrir sur une demande d'accès. Conversations, documents et bases de connaissances s'exportent intégralement, par utilisateur — mais l'export n'est pas normalisé dans un format d'échange structuré et couramment utilisé. En pratique, vous répondriez par une transcription intelligible (ce que permet l'al. 2), pas par un fichier structuré. C'est le même écart que celui nommé du côté du RGPD à l'article 20 ; nous le comptons une fois, pas deux, et nous ne l'annonçons pas comme résolu.

droit dur·En vigueur le 22 septembre 2024 (art. 27, al. 3) ; le 22 septembre 2023 (art. 3.3, al. 3)·Source officielle

Le montant maximal de la sanction administrative pécuniaire est de 50 000 $ dans le cas d'une personne physique et, dans les autres cas, de 10 000 000 $ ou du montant correspondant à 2% du chiffre d'affaires mondial de l'exercice financier précédent si ce dernier montant est plus élevé.

Ce que ça veut dire

Les manquements décrits sur cette page sont exactement ceux que l'article 90.1 rend passibles d'une sanction administrative pécuniaire : ne pas informer les personnes conformément aux articles 7 et 8, recueillir ou utiliser des renseignements en contravention à la loi, ne pas déclarer un incident, ne pas prendre les mesures de sécurité de l'article 10, ne pas informer la personne visée par une décision automatisée ou ne pas lui donner l'occasion de présenter ses observations (art. 12.1). Le plafond est celui de la phrase citée. À côté, la voie pénale de l'article 91 va de 5 000 $ à 100 000 $ pour une personne physique et de 15 000 $ à 25 000 000 $ — ou 4 % du chiffre d'affaires mondial si c'est plus élevé — dans les autres cas, montants doublés en cas de récidive (art. 92.1). Et l'article 93.1 ouvre des dommages-intérêts punitifs d'au moins 1 000 $ lorsqu'une atteinte illicite est intentionnelle ou résulte d'une faute lourde : c'est le levier des actions collectives, et souvent la ligne de risque la plus concrète pour une entreprise dont les clients se comptent en milliers.

Ce que nous y répondons

Ce risque ne se transfère pas par contrat : une sanction administrative ou une amende frappe la personne en défaut, et aucune clause d'indemnisation d'un fournisseur ne l'efface. Ce que nous pouvons faire porte sur la probabilité et sur la preuve : chiffrement en transit et au repos, accès par utilisateur et par groupe, journal d'audit — dont l'export CSV de la console ne couvre que la page de 50 lignes affichée, détection des renseignements personnels message par message (option payante, désactivée par défaut, et elle-même un appel sortant vers un modèle), avis sans délai en cas d'incident (art. 14.9) et droit de vérification annuel (art. 14.10) — de quoi documenter la diligence que la Commission examine dans le cadre général d'application des sanctions. Nous ne vendons pas d'assurance de conformité, et vous devriez vous méfier de qui le fait.

droit dur·En vigueur le 22 septembre 2023·Source officielle

Dans les autres cas, il n'est pas nécessaire de transmettre proactivement un rapport d'EFVP à la Commission. Celle-ci pourrait toutefois demander à en prendre connaissance dans le cadre de ses activités de surveillance.

Ce que ça veut dire

La Commission publie un guide de soixante pages qui structure l'ÉFVP et, surtout, sa documentation. C'est la référence sur laquelle un enquêteur s'appuiera pour juger si votre évaluation tenait debout. Le § 1.1 (p. 11) énumère les situations où l'évaluation est obligatoire ; le § 7.1 (p. 49) traite de la sortie du Québec ; le § 7.2 (p. 51) range le « système d'intelligence artificielle » parmi les formes d'un système d'information. Le rapport lui-même n'a pas à être déposé à la Commission hors des cas où l'évaluation précède une entente (p. 43 et § 5.4), mais la démarche doit exister et pouvoir être produite.

Ce que nous y répondons

Deux ÉFVP se déclenchent en même temps quand vous adoptez une plateforme d'IA : celle de l'article 3.3 pour l'acquisition du système, celle de l'article 17 pour l'hébergement et le traitement hors Québec. Elles peuvent tenir dans un seul document. Si le RGPD vous vise aussi, comptez-en trois : l'analyse d'impact de son article 35 s'ajoute, avec ses propres exigences. Demandez-nous la trousse d'intrants : flux de données, catégories transmises, régions, politiques des fournisseurs, clauses contractuelles correspondantes.

attente du régulateur·Avril 2024·Source officielle

lorsque possible et raisonnable, utiliser des renseignements anonymisés ou dépersonnalisés dans les requêtes d'un système d'IA générative plutôt que des renseignements personnels; lorsque des renseignements personnels (et, en particulier, des renseignements sensibles ou confidentiels) doivent être entrés dans une requête, ne le faire que si cela est autorisé

Ce que ça veut dire

C'est le seul document publié qui porte directement sur le sujet de cette page, et la Commission l'a coélaboré : son propre Guide EFVP y renvoie comme au « document de principes élaboré par la Commission et ses homologues canadiens ». Ce n'est pas du droit dur — le document emploie « devrait » — mais c'est la position à laquelle un enquêteur vous confrontera. Lisez la recommandation telle qu'elle est écrite : ni « caviardez tout », ni « ne caviardez rien ». Elle demande d'employer des renseignements anonymisés ou dépersonnalisés dans les requêtes lorsque c'est possible et raisonnable, et de n'y saisir des renseignements personnels que si cela est autorisé. La même section demande de traiter les inférences produites sur une personne identifiable comme des renseignements personnels et de ne pas conserver les requêtes pour des fins secondaires.

Ce que nous y répondons

Nous ne dépersonnalisons pas vos requêtes : il n'y a pas de passerelle de pseudonymisation entre vos utilisateurs et le modèle, et c'est un choix que nous préférons dire plutôt que laisser deviner. Ce que la plateforme offre pour appliquer cette attente : le mode confidentialité, qui rend une conversation éphémère ; la détection Loi 25, qui signale message par message la présence de renseignements personnels et vous donne la mesure du phénomène plutôt qu'une impression — mais il faut voir ce qu'elle coûte ici : c'est une option payante, désactivée par défaut, et la détection est elle-même un appel sortant qui envoie le texte du message à un modèle. Comme mesure de minimisation, elle augmente l'exposition avant de la mesurer ; les accès par utilisateur et par groupe, qui limitent qui peut soumettre quoi ; et trois des horloges non désactivables du produit (30 jours, 7 jours, 48 heures) qui bornent la durée de vie des traces — mais aucune rétention configurable ni certificat de destruction. Le geste de dépersonnaliser, quand il est possible et raisonnable, reste celui de vos utilisateurs ; nous fournissons le signal et le journal qui permettent de vérifier qu'ils le font. Ce sont les minuteries qui touchent un dossier ; d'autres horloges existent ailleurs dans le produit, et la page Confidentialité et conformité en publie l'inventaire complet.

attente du régulateur·7 décembre 2023·Source officielle

Une organisation est responsable des renseignements personnels qu'elle a en sa possession ou sous sa garde, y compris les renseignements confiés à une tierce partie aux fins de traitement. L'organisation doit, par voie contractuelle ou autre, fournir un degré comparable de protection aux renseignements qui sont en cours de traitement par une tierce partie.

Ce que ça veut dire

La LPRPDE ne disparaît pas parce que vous êtes au Québec : le décret DORS/2003-374 n'exclut une entreprise québécoise que « à l'égard de la collecte, de l'utilisation et de la communication de renseignements personnels qui s'effectuent à l'intérieur de la province de Québec », et ne vise jamais les entreprises fédérales. Les flux qui franchissent la frontière provinciale — un hébergement à Toronto, une inférence aux États-Unis, un client ou un employé dans une autre province — restent dans le champ fédéral, en parallèle de la Loi 25. Ce que le principe cité y ajoute est simple et exigeant : confier des renseignements à un tiers pour traitement ne transfère pas la responsabilité, et il faut fournir un degré COMPARABLE de protection, par voie contractuelle ou autre. Le contrat est donc le moyen, pas la fin.

Ce que nous y répondons

Les engagements de l'article 14 du contrat-maître sont précisément le « moyen contractuel » que le principe 4.1.3 demande : finalités énumérées, sous-traitants, mesures de sécurité, avis d'incident, droit de vérification annuel. Deux limites à énoncer. D'abord, « comparable » se plaide sur le contrat et non sur le régime juridique lorsque l'inférence a lieu chez des fournisseurs établis hors du Québec, dont plusieurs aux États-Unis : c'est une conclusion que vous devez pouvoir défendre, pas une case cochée. Ensuite, nous ne produisons aucune attestation d'un tiers ; le droit de vérification de l'article 14.10 est ce que vous avez à la place, et il ne vaut que si vous l'exercez.

droit dur·LPRPDE sanctionnée en 2000 ; décret d'exclusion en vigueur le 19 novembre 2003·Source officielle

Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l'Union ou du droit d'un État membre, qui lie le sous-traitant à l'égard du responsable du traitement...

Ce que ça veut dire

Si vous traitez des données de personnes de l'UE/EEE et que vous nous confiez ce traitement, un contrat de sous-traitance (DPA) distinct de notre contrat-maître est requis : instructions documentées, confidentialité du personnel, mesures de sécurité de l'article 32, recours à des sous-traitants ultérieurs avec autorisation, assistance pour les droits des personnes concernées, notification de violation, suppression ou retour des données en fin de contrat.

Ce que nous y répondons

Nous n'offrons pas encore, au catalogue, un DPA conforme à l'article 28. C'est un écart que nous nommons plutôt que de prétendre le contraire. Si votre usage touche des données de personnes de l'UE ou de l'EEE, dites-le-nous avant de signer : nous évaluerons avec vous si un addendum peut être négocié, sans engagement de notre part tant qu'il n'est pas signé. Elles se négocient au bon de commande, au cas par cas ; leur mise en produit n'est pas planifiée.

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins: a) la pseudonymisation et le chiffrement des données à caractère personnel […]

Ce que ça veut dire

L'article 32 nomme explicitement le chiffrement, la capacité à rétablir la disponibilité après un incident, et un processus de test régulier des mesures de sécurité. Le niveau attendu est fonction du risque pour les personnes concernées, pas d'un standard unique.

Ce que nous y répondons

Chiffrement au repos et en transit, contrôle d'accès par rôle, journal d'audit et plan de continuité font partie de l'architecture décrite sur cette page — les mêmes mesures que celles évaluées pour la Loi 25. L'article 32 demande des mesures appropriées au risque, et le droit de vérification de l'article 14.10 vous permet de les auditer plutôt que de les croire. Mais l'article 32 nomme un quatrième élément que nous ne satisfaisons pas : « une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité » des mesures. Notre plan de réponse aux incidents est écrit et publie ses paliers, mais il n'a jamais été exercé ; nous n'avons pas non plus d'objectifs de temps et de point de reprise documentés et éprouvés par un exercice de restauration. Un plan jamais exercé est une hypothèse, et le droit de vérification de l'article 14.10 vous laisse le constater — il ne remplace pas le test que l'article exige de nous.

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

La personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées...

Ce que ça veut dire

Accès, rectification, effacement, limitation, portabilité et opposition : six droits distincts, chacun avec ses propres conditions et délais — l'opposition est à l'article 21, hors de la plage 15 à 20, et l'article 19, qui y est, ajoute l'obligation de notifier toute rectification, tout effacement et toute limitation à chacun des destinataires. En tant que responsable du traitement, c'est vous qui répondez à la personne concernée — mais vous avez besoin que votre sous-traitant puisse retrouver et produire ses données.

Ce que nous y répondons

Conversations, documents et bases de connaissances s'exportent et se suppriment, par utilisateur, et un message se rectifie sur place avec une entrée au journal d'audit. L'export sert la portabilité de l'article 20 ; il n'est pas normalisé dans un format d'échange structuré. Ne rangez pas cet écart du seul côté européen : le même manquement touche le droit québécois — l'article 27, al. 3 de la Loi 25, en vigueur depuis le 22 septembre 2024, et l'article 3.3, al. 3, qui vous demande de vous en assurer avant même d'acquérir le système.

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

Un transfert, vers un pays tiers ou à une organisation internationale, de données à caractère personnel qui font ou sont destinées à faire l'objet d'un traitement après ce transfert ne peut avoir lieu que si, sous réserve des autres dispositions du présent règlement, les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous-traitant, y compris pour les transferts ultérieurs de données à caractère personnel au départ du pays tiers ou de l'organisation internationale vers un autre pays tiers ou à une autre organisation internationale.

Ce que ça veut dire

La fin de la phrase citée est la règle qui compte ici : le chapitre V suit les transferts ULTÉRIEURS, pas seulement le premier saut. Le Canada bénéficie d'une décision d'adéquation PARTIELLE de la Commission européenne (décision 2002/2/CE, maintenue au réexamen de janvier 2024) : elle ne couvre que les organisations privées effectivement assujetties à la LPRPDE, ce qui, pour un hébergeur québécois, ne va pas de soi et se vérifie plutôt qu'il ne se présume — le décret DORS/2003-374 exclut de la LPRPDE la collecte, l'utilisation et la communication qui s'effectuent à l'intérieur du Québec. Le saut suivant, vers un fournisseur de modèle hors UE, exige sa propre base : des clauses contractuelles types, ou, pour un fournisseur américain certifié, la décision d'adéquation UE–États-Unis (Data Privacy Framework) du 10 juillet 2023.

Ce que nous y répondons

Nous ne proposons pas encore de clauses contractuelles types signées au catalogue. C'est un écart direct pour toute donnée de personnes de l'UE/EEE transitant par notre plateforme, et nous préférons vous le dire maintenant plutôt qu'en diligence raisonnable. Parlez-nous de votre besoin précis : la solution dépend de la nature du transfert.

droit dur·En vigueur depuis le 25 mai 2018 ; clauses types du 4 juin 2021·Source officielle

En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l'autorité de contrôle compétente conformément à l'article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à l'autorité de contrôle n'a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard.

Ce que ça veut dire

Soixante-douze heures, mais pas un délai inconditionnel : l'obligation tombe si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés, et une notification tardive doit être accompagnée des motifs du retard. Comparé à l'article 3.5 de la Loi 25, sur cette même page, le RGPD est plus strict deux fois : sur le délai (72 heures contre « avec diligence ») et sur le seuil (un simple risque, contre un « risque qu'un préjudice sérieux soit causé »). Le sous-traitant, lui, notifie le responsable « dans les meilleurs délais » (par. 2), ce qui permet à l'horloge du responsable de démarrer à temps. Et l'article 33 n'est que le premier geste : si le risque est ÉLEVÉ, l'article 34 impose en plus de communiquer la violation aux personnes concernées, dans les meilleurs délais.

Ce que nous y répondons

Le contrat nous oblige à vous aviser sans délai, avec la nature de l'incident, les personnes visées, la période et les mesures prises (art. 14.9) — mais sans nombre d'heures chiffré. Pour un traitement soumis au RGPD, c'est une clause à négocier explicitement au bon de commande : un engagement en heures, pas seulement « sans délai ».

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

Lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel.

Ce que ça veut dire

Si le RGPD vous vise, ce ne sont pas deux évaluations qui se déclenchent mais trois : les deux ÉFVP québécoises, plus l'analyse d'impact de l'article 35. Une plateforme d'IA générative appliquée à des dossiers de clients ou d'employés en est le cas d'école — nouvelles technologies et risque élevé — et le paragraphe 3 du même article vise en particulier l'évaluation systématique fondée sur un traitement automatisé et le traitement à grande échelle de catégories particulières de données. Son pendant permanent est l'article 30 : un registre des activités de traitement, tenu à jour, où l'ajout de la plateforme crée une entrée — finalités, catégories de personnes et de données, destinataires, transferts hors UE, délais d'effacement. C'est le premier document qu'une autorité de contrôle réclame.

Ce que nous y répondons

L'analyse d'impact et le registre sont les vôtres ; nous fournissons les mêmes intrants que pour l'ÉFVP québécoise — flux de données, catégories transmises, régions d'hébergement, sous-traitants d'inférence et leurs politiques publiées, mesures de sécurité, clauses contractuelles correspondantes. Trois faits à inscrire tels quels dans votre registre, parce qu'ils sont contre-intuitifs : les minuteries de rétention (30 jours, 7 jours, 48 heures) ne sont pas désactivables, il n'existe aucune rétention configurable au-delà, et l'export n'est pas normalisé dans un format d'échange structuré. Rappel utile : sans contrat de sous-traitance conforme à l'article 28, l'analyse d'impact conclura à un écart — nous le nommons ailleurs sur cette page plutôt que de le laisser passer ici. Ce sont les minuteries qui touchent un dossier ; d'autres horloges existent ailleurs dans le produit, et la page Confidentialité et conformité en publie l'inventaire complet.

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

La personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire.

Ce que ça veut dire

Ne lisez pas cet article comme un jumeau de l'article 12.1 de la Loi 25. L'article 12.1 est une obligation d'INFORMATION : il présuppose que la décision peut être rendue. L'article 22 est une interdiction de principe, à laquelle on n'échappe que par l'une des trois exceptions du paragraphe 2 — nécessité contractuelle, autorisation par le droit de l'Union ou d'un État membre, consentement explicite — et, dans les cas contractuel et consensuel, en mettant en place des garanties comprenant au moins l'intervention humaine du responsable, l'expression du point de vue de la personne et la contestation de la décision. Le paragraphe 4 ferme presque entièrement la porte aux catégories particulières de données. La question n'est donc pas « ai-je informé ? » mais « ai-je le droit de rendre cette décision ainsi ? ».

Ce que nous y répondons

La plateforme rédige, résume et propose ; elle ne rend pas de décision par elle-même. Mais elle sait automatiser, et c'est vous qui construisez ces automatisations — si l'une d'elles décide seule au sujet d'une personne située dans l'UE, vous devez d'abord établir votre base au titre du paragraphe 2, puis démontrer les garanties du paragraphe 3. Sur ce dernier point, soyez avertis : nous n'offrons pas de flux d'« intervention humaine » outillé — pas de file de révision, pas de trace normalisée d'un réexamen humain. Ce que le contrat pose est une garde-fou juridique, pas technique : aucun résultat généré ne doit être une décision automatisée finale sans validation humaine appropriée (art. 17 du contrat).

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

Lorsque l'article 3, paragraphe 2, s'applique, le responsable du traitement ou le sous-traitant désigne par écrit un représentant dans l'Union.

Ce que ça veut dire

C'est la conséquence immédiate de la situation que cette page décrit ailleurs — être visé par le RGPD sans établissement dans l'Union. La désignation est ÉCRITE, le représentant est établi dans un des États membres où se trouvent les personnes concernées, et il faut l'avoir avant le traitement, pas après une première demande. L'exception du paragraphe 2 est étroite : un traitement occasionnel, sans traitement à grande échelle de catégories particulières et sans risque pour les droits et libertés. Verser des dossiers de clients européens dans une plateforme d'IA n'a rien d'occasionnel. L'obligation vise le responsable du traitement comme le sous-traitant, donc vous et nous, chacun pour soi.

Ce que nous y répondons

Nous n'avons pas d'établissement dans l'Union et nous n'avons désigné aucun représentant au sens de l'article 27. C'est un écart de notre côté, et il rejoint les deux autres que nous nommons déjà : pas de contrat de sous-traitance conforme à l'article 28 au catalogue, pas de clauses contractuelles types signées. Si votre usage touche des personnes situées dans l'UE ou l'EEE, traitez ces trois manques comme un même chantier et parlez-nous-en avant de signer, pas après. De votre côté, la désignation d'un représentant est une démarche distincte, qui vous incombe et que personne ne peut faire à votre place.

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

La personne qui recueille des renseignements personnels sur autrui ne doit recueillir que les renseignements nécessaires aux fins déterminées avant la collecte. Ces renseignements doivent être recueillis par des moyens licites.

Ce que ça veut dire

C'est le contrepoids que la question du caviardage réclame. L'article 18.3 dispense de caviarder avant de confier un renseignement à un prestataire ; il ne dispense pas d'en recueillir moins. Les deux articles répondent à des questions différentes — 18.3 porte sur la COMMUNICATION à un tiers, l'article 5 sur la COLLECTE — et les fins doivent être déterminées AVANT la collecte, pas justifiées après coup.

Ce que nous y répondons

Attention à un raccourci fréquent : « vous n'avez pas à caviarder » ne veut pas dire « versez tout ». Ce que la plateforme offre à la marge : la détection Loi 25 signale message par message les renseignements personnels, les secrets et les mots de passe, et le mode confidentialité rend un échange éphémère. Deux réserves qui comptent ici : cette détection est une option payante, désactivée par défaut, et elle constitue elle-même un appel sortant vers un modèle choisi par prix. Surtout, rien dans le produit ne décide ce qui est nécessaire à votre finalité. Ce jugement est le vôtre, et il précède l'outil.

droit dur·Texte lu à jour au 1er avril 2026·Source officielle

Toute personne qui exploite une entreprise doit veiller à ce que les renseignements personnels qu'elle détient sur autrui soient à jour et exacts au moment où elle les utilise pour prendre une décision relative à la personne concernée. Les renseignements utilisés pour prendre une telle décision sont conservés pendant au moins un an suivant la décision.

Ce que ça veut dire

Deux obligations dans un seul article, et la seconde surprend presque tout le monde. La première vise l'exactitude AU MOMENT de la décision : si un modèle génératif invente un détail et que ce détail se retrouve au dossier derrière une décision concernant la personne, l'article est en défaut — il porte sur l'exactitude au point de décision, pas sur l'outil qui a produit le texte. La seconde est un PLANCHER de conservation : les renseignements ayant servi à la décision se conservent au moins un an après elle. C'est une durée minimale, à rebours des règles de destruction qu'on lit ailleurs dans la loi.

Ce que nous y répondons

L'exactitude est la vôtre — nous ne validons aucun contenu, et un modèle peut affirmer faux avec aplomb. Ce que nous fournissons pour que vous puissiez l'établir : la conversation conserve l'invite, les pièces jointes, les bases rattachées, les sources citées et le modèle exact, horodatés et attribués à un compte, et le tout s'exporte. Le plancher d'un an, lui, se heurte de front à notre produit et il faut le dire sans détour : nos horloges vont dans l'autre sens. Trois minuteries codées en dur et non désactivables touchent un dossier — transcriptions à 30 jours, fichiers produits par un outil à 7 jours, pièces jointes déposées mais jamais envoyées à 48 heures — et aucune n'approche douze mois. Si une décision s'est appuyée sur une transcription, l'article 11 vous en impose la conservation pendant un an et notre minuterie l'efface au trentième jour. Exportez ce qui fonde une décision au moment où vous la rendez : aucun réglage ne rallonge ces délais.

droit dur·Texte lu à jour au 1er avril 2026·Source officielle

Une personne qui détient des renseignements personnels pour le compte d'une personne qui exploite une entreprise peut, lorsqu'elle est saisie d'une demande d'accès ou de rectification par une personne concernée, référer la demande à la personne pour le compte de qui elle agit.

Ce que ça veut dire

C'est le seul article de la loi qui décrit NOTRE position plutôt que la vôtre : celle de qui détient des renseignements pour le compte d'autrui. Il est permissif et non libératoire — il règle QUI répond à la demande, pas si une réponse est due. Le droit d'accès de la personne concernée reste entier, et le délai de l'article 32 continue de courir chez vous.

Ce que nous y répondons

C'est exactement notre posture, et nous préférons l'écrire que la laisser deviner : une demande d'accès ou de rectification qui nous parviendrait est référée à votre responsable de la protection des renseignements personnels, avec notre assistance — nous ne répondons pas à votre place, et nous ne prétendons pas que le fait de nous l'avoir confiée vous en décharge. Les moyens sont là : conversations, documents et pièces jointes s'exportent ; un message se rectifie sur place et la modification laisse une entrée au journal d'audit. Ce que nous n'avons pas : un flux qui relie une demande à sa correction et en conserve la preuve. Sur trente jours c'est tenable à la main, mais la trace de conformité, c'est vous qui la construisez.

droit dur·Texte lu à jour au 1er avril 2026·Source officielle

Dans l'exploitation d'une entreprise, un renseignement personnel n'est accessible, sans le consentement de la personne concernée, à tout préposé ou agent de l'exploitant qui a qualité pour le connaître qu'à la condition que ce renseignement soit nécessaire à l'exercice de ses fonctions.

Ce que ça veut dire

Le besoin d'en connaître, à l'INTÉRIEUR de l'entreprise. L'article ne parle pas de communication à un tiers mais de vos propres employés : l'accès sans consentement suppose deux conditions cumulatives — avoir qualité pour connaître le renseignement, et que celui-ci soit nécessaire à l'exercice des fonctions. Un espace de travail où tout le monde voit tout n'y satisfait pas, même sans la moindre fuite vers l'extérieur.

Ce que nous y répondons

C'est un article auquel le produit répond bien, à deux réglages près. Chaque base de connaissances, invite, outil, formulaire, automatisation et assistant porte ses propres droits, par utilisateur et par groupe, et rien n'est visible à l'échelle de l'organisation par défaut. Les défauts à corriger au déploiement : le partage HORS de votre organisation est actif par défaut, sans liste de domaines imposée au départ — les liens publics anonymes, eux, sont désactivés — donc fixez le plafond et les domaines invitables. Et une limite du journal, parce qu'elle porte précisément sur cet article : les actes d'administration, les usurpations d'identité et les consultations administrateur sont journalisés, mais aucune route de LECTURE d'une conversation, d'un document ou d'une base de connaissances n'écrit au journal. Vous pouvez donc démontrer qui POUVAIT voir un contenu, et qui l'a administré — pas qui l'a lu.

droit dur·Texte lu à jour au 1er avril 2026·Source officielle

En plus des informations devant être fournies suivant l'article 8, la personne qui recueille des renseignements personnels auprès de la personne concernée en ayant recours à une technologie comprenant des fonctions permettant de l'identifier, de la localiser ou d'effectuer un profilage de celle-ci doit, au préalable, l'informer: 1° du recours à une telle technologie; 2° des moyens offerts pour activer les fonctions permettant d'identifier, de localiser ou d'effectuer un profilage.

Ce que ça veut dire

L'article que presque personne n'applique à une plateforme d'IA, et c'est sa définition qui explique pourquoi il faudrait. Le profilage s'entend ici de « la collecte et l'utilisation de renseignements personnels afin d'évaluer certaines caractéristiques d'une personne physique, notamment à des fins d'analyse du rendement au travail, de la situation économique, de la santé, des préférences personnelles, des intérêts ou du comportement ». Faire résumer par un modèle les évaluations d'un employé, trier des candidatures, dégager le comportement d'un client à partir de son dossier : tout cela entre dans la définition. Et l'information est due AU PRÉALABLE, sur deux objets — le recours à la technologie, et les moyens offerts pour activer la fonction.

Ce que nous y répondons

Cette obligation vise votre usage, pas notre code : c'est vous qui décidez si un assistant sert à évaluer une personne. Nous ne pouvons pas le détecter à votre place et nous ne prétendrons pas le contraire — rien dans le produit ne classe un assistant comme « profilant », et rien ne déclenche d'avis à la personne concernée. Ce que nous fournissons pour que vous puissiez tenir l'obligation : assistants, invites et automatisations sont nommés, décrits et listés dans la console avec leurs droits d'accès, donc l'inventaire de ce qui tourne chez vous est lisible ; le journal d'audit conserve quel modèle a répondu, à quelle requête et pour quel compte. Deux conséquences pratiques. Si un usage entre dans la définition, l'avis préalable et la description des moyens d'activation vous incombent, à rédiger avant la mise en service. Et ne confondez pas cet article avec l'article 12.1 : on peut profiler sans décision entièrement automatisée, et rendre une décision automatisée sans profilage. Les deux obligations se traitent séparément.

droit dur·Texte lu à jour au 1er avril 2026·Source officielle

aux fournisseurs et aux déployeurs de systèmes d’IA qui ont leur lieu d’établissement ou sont situés dans un pays tiers, lorsque les sorties produites par le système d’IA sont utilisées dans l’Union;

Ce que ça veut dire

Le règlement ne s'arrête pas aux frontières de l'Union. Une entreprise québécoise sans aucun établissement européen y est soumise dès lors que les SORTIES du système sont utilisées dans l'Union — un rapport rédigé ici et remis à un client européen, un texte publié sur un site consulté depuis l'Union. Le critère est l'usage de la sortie, pas l'emplacement du serveur ni la nationalité du fournisseur. Vous seriez alors « déployeur » et nous « fournisseur » : deux rôles, deux séries d'obligations distinctes.

Ce que nous y répondons

C'est votre analyse, pas la nôtre : nous ne savons pas où aboutissent vos sorties. Ce que nous pouvons établir est factuel — la plateforme est un système d'IA à usage général au sens du règlement, et si vos sorties sont utilisées dans l'Union, les deux exigences suivantes s'appliquent, les vôtres comme les nôtres. Si rien ne quitte le Canada, le règlement ne vous vise pas et les deux entrées suivantes ne vous concernent pas. Nous n'avons pas de mandataire établi dans l'Union au sens de l'article 22, et nous ne prétendrons pas le contraire.

droit dur·En vigueur le 1er août 2024, applicable depuis le 2 août 2026·Source officielle

Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés.

Ce que ça veut dire

L'obligation vise le déployeur autant que le fournisseur, elle est applicable depuis février 2025, et elle ne connaît pas de seuil de taille. Elle n'exige pas de certification : elle exige des mesures proportionnées aux connaissances de vos équipes et au contexte d'usage — et elle couvre expressément les personnes qui utilisent l'outil POUR VOTRE COMPTE, donc vos sous-traitants et vos pigistes, pas seulement vos salariés.

Ce que nous y répondons

La plateforme comprend un centre d'apprentissage où un administrateur publie des cours et des parcours pour ses équipes : c'est de la matière pour documenter vos mesures, et c'est la seule chose que nous apportons ici. L'obligation reste la vôtre. Nous ne formons pas votre personnel, nous n'attestons d'aucun niveau de maîtrise, et nous ne fournissons pas de programme prêt à l'emploi rédigé pour l'article 4.

droit dur·Applicable depuis le 2 février 2025·Source officielle

Les fournisseurs de systèmes d’IA, y compris de systèmes d’IA à usage général, qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte, veillent à ce que les sorties des systèmes d’IA soient marquées dans un format lisible par machine et identifiables comme ayant été générées ou manipulées par une IA.

Ce que ça veut dire

L'obligation pèse sur le FOURNISSEUR — sur nous, pas sur vous. Le règlement (UE) 2026/1744 du 8 juillet 2026, l'« omnibus numérique » sur l'IA, n'a pas repoussé cet article : il a reporté les systèmes à haut risque et il a inséré à l'article 111 un paragraphe 4 qui laisse aux systèmes mis sur le marché avant le 2 août 2026 jusqu'au 2 décembre 2026 pour s'y conformer. Le marquage visé est lisible par machine, ce qui est plus qu'une mention affichée à l'écran.

Ce que nous y répondons

Nous ne le faisons pas. La plateforme n'appose aucun marquage lisible par machine sur les textes, images, fichiers audio et vidéos qu'elle génère, et rien n'identifie une sortie comme produite par une IA une fois qu'elle est sortie de l'outil. C'est un écart de fournisseur, il est à nous, il porte désormais une date qui n'est pas de notre main, et nous n'avons pas d'échéance de livraison à annoncer. Il ne vous atteint que si vos sorties sont utilisées dans l'Union — mais dans ce cas c'est votre chaîne de conformité qui porte notre manquement, et c'est une question à nous poser par écrit avant de signer.

droit dur·Applicable depuis le 2 août 2026 ; 2 décembre 2026 pour les systèmes mis sur le marché avant cette date·Source officielle

exactes et, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude);

Ce que ça veut dire

Le principe d'exactitude ne porte pas sur la justesse de notre base, mais sur celle des données que VOUS traitez. Un modèle qui invente un fait au sujet d'une personne nommée produit un renseignement personnel inexact, et l'article impose alors des mesures raisonnables pour l'effacer ou le rectifier sans tarder. C'est le pendant européen de l'article 11 de la Loi 25 cité plus haut : le texte québécois rattache l'exactitude au moment d'une décision, le RGPD la rattache au traitement lui-même, ce qui est plus large.

Ce que nous y répondons

Ce que la plateforme apporte : un message se modifie, un document se remplace dans une base de connaissances, les sources consultées s'affichent sous la réponse, et la trace reste au journal d'audit. Ce qu'elle n'apporte pas, et c'est l'essentiel ici : aucune détection d'un énoncé fabriqué au sujet d'une personne, et aucun mécanisme qui signalerait une sortie inexacte une fois qu'elle a quitté l'outil. L'exactitude de ce qu'un modèle écrit sur quelqu'un n'est pas un contrôle que nous pouvons vendre ; la vérifier avant d'agir dessus reste une étape humaine, chez vous.

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, que présente le traitement pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre, tant au moment de la détermination des moyens du traitement qu'au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en œuvre les principes relatifs à la protection des données, par exemple la minimisation des données, de façon effective

Ce que ça veut dire

L'obligation vise le responsable du traitement — vous — et elle mord AU MOMENT OÙ VOUS CHOISISSEZ LES MOYENS, c'est-à-dire quand vous retenez une plateforme et que vous la configurez, pas après coup. Le paragraphe 2 ajoute la protection par défaut : seules les données nécessaires à chaque finalité doivent être traitées, sans intervention de la personne concernée.

Ce que nous y répondons

Ce qui joue en votre faveur par défaut : instance dédiée, droits par objet sur chaque base, invite, outil et assistant, liens publics anonymes désactivés, catalogue de modèles restreignable, mode confidentialité. Ce qui joue contre, et c'est précisément le volet « par défaut » : il n'existe aucun réglage de durée de conservation. Les conversations, les documents et les bases de connaissances n'ont pas d'horloge et restent jusqu'à suppression manuelle ; les neuf minuteries du produit sont codées en dur et ne se configurent pas ; et la restriction du catalogue ne lie pas les appels que le serveur émet lui-même. Un responsable du traitement qui doit démontrer la minimisation par défaut ne trouvera pas ici le réglage qui la produirait.

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

Lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais.

Ce que ça veut dire

À distinguer de l'article 33, déjà cité plus haut, qui vise la notification à l'autorité de contrôle sous 72 heures. L'article 34 vise l'information des PERSONNES lorsque le risque est élevé. C'est une obligation du responsable du traitement, pas du sous-traitant — mais elle ne peut être tenue que si le sous-traitant a prévenu à temps.

Ce que nous y répondons

Le contrat vous doit un avis « sans délai » à votre responsable de la protection des renseignements personnels, avec la nature de l'incident, les personnes visées, la période et les mesures prises (art. 14.9). Ce qu'il ne vous doit pas, c'est un nombre d'heures : aucun délai chiffré n'y figure et nous n'en avons pas annoncé. Votre obligation envers les personnes concernées, elle, se mesure en délais réels. Ce décalage est notre écart, pas le vôtre, et c'est le même que celui qui pèse sur vos horloges québécoises. Il se corrige à la signature, en inscrivant un nombre d'heures dans l'entente.

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

la mise sur le marché, la mise en service à cette fin spécifique ou l’utilisation de systèmes d’IA pour inférer les émotions d’une personne physique sur le lieu de travail et dans les établissements d’enseignement, sauf lorsque l’utilisation du système d’IA est destinée à être mise en place ou mise sur le marché pour des raisons médicales ou de sécurité;

Ce que ça veut dire

Ce n'est pas un niveau de risque à documenter : c'est une INTERDICTION, celle qui porte les amendes les plus élevées du règlement. Inférer les émotions d'une personne sur son lieu de travail ou dans un établissement d'enseignement est interdit, sauf raison médicale ou de sécurité. L'interdiction s'applique depuis février 2025 et elle vise l'utilisation, donc le déployeur, pas seulement le fabricant. L'article 99, paragraphe 3, chiffre l'enjeu : le manquement aux pratiques interdites de l'article 5 est passible d'une amende administrative pouvant atteindre 35 000 000 € ou 7 % du chiffre d'affaires annuel mondial, le plus élevé des deux — le plafond le plus haut du règlement.

Ce que nous y répondons

La plateforme ne comporte aucune fonction de reconnaissance des émotions et nous n'en vendons pas. Mais c'est un outil à usage général : rien n'empêche un administrateur d'écrire une invite ou un assistant qui demande à un modèle d'apprécier le ton, le moral ou l'attitude d'un employé à partir de ses messages, et le produit ne refusera pas cette demande. Nous ne détectons pas cet usage et nous ne le bloquons pas. Si vos sorties sont utilisées dans l'Union, une telle configuration est une pratique interdite et l'exposition est la vôtre. La restriction du catalogue et le journal d'audit sont ce dont vous disposez ; ni l'un ni l'autre n'est un contrôle pour cela.

droit dur·Applicable depuis le 2 février 2025·Source officielle

Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie: a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques; b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci;

Ce que ça veut dire

C'est la différence de structure la plus importante entre le RGPD et la Loi 25, et elle surprend les entreprises québécoises. Le droit québécois part du consentement et prévoit des exceptions ; le RGPD exige une base légale parmi six, dont le consentement n'est qu'une, et souvent la plus fragile en contexte d'emploi où elle est rarement libre. Nourrir un modèle avec des dossiers d'employés européens suppose donc d'avoir choisi et documenté une base — intérêt légitime, contrat, obligation légale — AVANT le traitement, pas après.

Ce que nous y répondons

Rien dans le produit ne choisit ni ne documente une base légale : ce n'est pas une fonction, c'est une décision qui vous appartient et qui se prend hors de l'outil. Ce que nous fournissons pour l'étayer : la description de l'architecture, la table des appels que le serveur émet lui-même, l'inventaire des minuteries et le tableau des fournisseurs — c'est-à-dire la matière factuelle d'une analyse d'intérêt légitime. Nous ne rendons pas d'avis sur votre base légale et nous n'en présumons aucune.

droit dur·En vigueur depuis le 25 mai 2018·Source officielle

Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.

Ce que ça veut dire

Deux plafonds, pas un. Le paragraphe 4 vise notamment les obligations de sécurité et de sous-traitance : 10 000 000 € ou 2 % du chiffre d'affaires mondial. Le paragraphe 5 vise les principes, les bases légales, les droits des personnes et les transferts : 20 000 000 € ou 4 %, le plus élevé des deux. L'ordre de grandeur dépasse celui de la sanction administrative québécoise, et l'amende s'adresse au responsable du traitement — vous — même lorsque la défaillance technique vient du sous-traitant.

Ce que nous y répondons

L'amende ne nous est pas adressée, et c'est précisément pourquoi elle figure ici : notre défaillance devient votre exposition. Le contrat prévoit des mesures, un droit de vérification annuel et un avis d'incident, mais il ne comporte pas de clause d'indemnisation qui vous rendrait indemne d'une amende infligée à cause de nous. Si ce risque compte pour votre organisation, c'est une clause à négocier avant la signature ; nous ne prétendrons pas qu'elle existe déjà.

droit dur·En vigueur depuis le 25 mai 2018·Source officielle