IA et Loi 25 : ce qu'une PME du Québec doit vérifier avant de coller des données client

Tu ouvres ChatGPT, tu colles un courriel de client pour te faire aider à répondre, et hop, tu gagnes dix minutes. Le geste est banal. Sauf que ce courriel contient peut-être un nom, une adresse, un numéro de dossier : des renseignements personnels. Et au Québec, dès qu'il y a des renseignements personnels, la Loi 25 entre en scène.

Pas de panique : l'idée n'est pas d'arrêter d'utiliser l'IA. C'est de l'utiliser en connaissant deux ou trois règles simples, pour ne pas te retrouver du mauvais côté sans même t'en rendre compte. On vulgarise ici les grands principes ; pour tes obligations précises, un professionnel reste ton meilleur allié (on y revient à la fin).

C'est quoi, la Loi 25, en une minute

La Loi 25 est la modernisation des règles québécoises sur la protection des renseignements personnels dans le secteur privé. Elle est entrée en vigueur par étapes entre 2022 et 2024. Son esprit tient en une phrase : les renseignements personnels que tu détiens ne t'appartiennent pas, on te les confie, et tu es responsable d'en prendre soin.

Point important pour toi : elle ne vise pas seulement les grandes entreprises. Une PME de trois personnes est concernée autant qu'une banque. La taille ne change pas les principes, seulement l'ampleur de ce que tu as à gérer.

Le vrai piège avec l'IA : le « transfert » invisible

Quand tu colles un texte dans un outil d'IA en ligne, tu ne fais pas que « poser une question ». Tu envoies cette information à un fournisseur, souvent situé à l'extérieur du Québec, parfois à l'extérieur du Canada. Aux yeux de la loi, c'est une communication de renseignements. Ce n'est pas interdit, mais ce n'est pas anodin : ça mérite d'être fait consciemment, pas par réflexe à 21 h un mardi soir.

Le danger n'est pas le robot. C'est le geste automatique : copier-coller un vrai dossier sans se demander une seconde ce qu'il contient. La bonne nouvelle, c'est que ce réflexe se remplace par un autre, tout aussi rapide.

Les 5 points à vérifier avant de te servir de l'IA

Aucun n'exige un avocat à demeure. Ce sont des habitudes de dirigeant prudent.

1. Trie avant de coller

Avant d'envoyer quoi que ce soit à une IA, pose-toi la question : « est-ce que ce texte permet d'identifier quelqu'un ? » Si oui, enlève ou remplace les noms et coordonnées (écris « le client », « MONTANT-1 », « VILLE-X »). L'IA t'aide tout aussi bien avec un texte anonymisé : elle a besoin de comprendre la situation, pas de savoir qui. On détaille cette méthode dans Sécurité et données : l'IA sans exposer ta PME.

2. Choisis tes outils en connaissance de cause

Regarde, dans les réglages de ton outil, si tes conversations servent à entraîner le modèle, et désactive cette option quand c'est possible. Certaines versions professionnelles offrent des garanties plus solides sur la conservation des données. Tu n'as pas à tout comprendre : tu as à savoir où tes informations aboutissent.

3. Écris une règle maison, même courte

Une page suffit : ce qu'on ne colle jamais dans une IA, qui a le droit de l'utiliser, et le réflexe « dans le doute, on demande avant ». Une règle écrite et comprise vaut dix règles improvisées. C'est exactement ce qu'on t'aide à bâtir, prompt inclus, dans la checklist maître Sécurité et confidentialité IA.

4. Sache qui est responsable chez toi

La Loi 25 prévoit qu'une personne soit responsable de la protection des renseignements personnels dans l'entreprise. Par défaut, dans une PME, c'est souvent la personne qui dirige, c'est-à-dire toi. Ce n'est pas un titre décoratif : c'est le réflexe de savoir, à tout moment, où sont tes données et qui y touche.

5. Prépare le « et si » avant qu'il arrive

Si des renseignements personnels fuitaient d'une manière qui présente un risque de préjudice sérieux, tu as des obligations : évaluer, documenter, et aviser les bonnes personnes, dont la Commission d'accès à l'information et les gens touchés. Tu n'as pas besoin de tout mémoriser aujourd'hui. Tu as besoin de savoir que ce plan doit exister, et de le préparer à froid plutôt qu'en panique.

Faut-il un avocat pour utiliser l'IA ?

Non, pas pour les gestes de tous les jours. Les cinq points ci-dessus règlent la grande majorité des situations d'une PME. En revanche, dès que tu touches à un projet plus lourd (un nouveau système qui brasse beaucoup de renseignements, un partage de données avec un partenaire, un doute réel), là, un professionnel du droit ou de la protection des renseignements personnels au Québec est le bon réflexe. Cet article t'aide à voir clair et à poser les bonnes questions, il ne remplace pas un avis juridique adapté à ta situation.

En résumé

La Loi 25 n'est pas là pour t'empêcher d'utiliser l'IA. Elle te demande une chose simple : traite les renseignements des autres comme tu voudrais qu'on traite les tiens. Trie avant de coller, choisis tes outils en connaissance de cause, écris ta règle maison, sache qui est responsable, et prépare le plan « et si ». Cinq réflexes, et tu profites de l'IA la tête tranquille.

Tu peux voir un agent Top Clario travailler avant d'acheter, ou partir de la checklist Sécurité et confidentialité IA pour cadrer ton entreprise dès cette semaine.