1) Loi 25 en bref: ce qui change pour une entreprise privée au Québec

« Loi 25 » désigne surtout la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (adoptée en 2021). Elle a modifié, entre autres, la Loi sur la protection des renseignements personnels dans le secteur privé (chapitre P-39.1).

Pour une entreprise privée qui recueille, détient, utilise ou communique des renseignements personnels dans le cadre de ses activités au Québec, les grandes lignes (vulgarisées) sont:

  • Responsabilité claire de l’entreprise (et d’un responsable de la protection des renseignements personnels, souvent le dirigeant par défaut, avec possibilité de délégation écrite).
  • Gouvernance documentée: politiques et pratiques proportionnées à la taille et aux activités, publiées de façon accessible.
  • Transparence au moment de la collecte (finalités, moyens, droits, possibilité de communication hors Québec, etc.).
  • Consentement mieux encadré (simple, clair, par finalité; règles plus strictes pour les renseignements sensibles).
  • Sécurité raisonnable selon la sensibilité et le contexte.
  • Incidents de confidentialité: registre; avis à la CAI et aux personnes concernées si risque de préjudice sérieux.
  • Évaluation des facteurs relatifs à la vie privée (EFVP) dans certains cas (ex.: projet de système d’information impliquant des RP; communication hors Québec).
  • Droits des personnes (accès, rectification, et d’autres droits selon le contexte, dont des notions de portabilité / désindexation selon les cas prévus par la loi).
  • Sanctions possibles (administratives et, dans certains cas, pénales) — détails et plafonds: textes officiels et CAI.

Les obligations se sont déployées par phases (2022, 2023, 2024). En pratique, une PME qui traite des données de clients, employés ou visiteurs web ne peut plus traiter la vie privée comme un « plus » optionnel.

Pour un aperçu officiel des changements: Principaux changements — CAI.

2) Notions clés (sans jargon inutile)

Renseignement personnel

Toute information qui concerne une personne physique et permet de l’identifier, directement ou indirectement (nom, courriel, téléphone, adresse IP dans certains contextes, numéro de client, dossier RH, etc.). La sensibilité dépend de la nature et du contexte (santé, biométrie, données financières, etc.).

Finalités

Pourquoi vous collectez et utilisez l’information. Vous ne recyclez pas librement des données « pour autre chose » sans base légale / consentement selon le cas.

Consentement

Doit être, en substance, libre, éclairé, manifeste et demandé pour des fins précises, en termes simples. À l’écrit, la demande doit être distincte des autres infos. Les renseignements sensibles exigent souvent un consentement exprès pour certains usages.

Transparence

Dire clairement ce que vous faites avec les données: politique de confidentialité en langage clair, infos au moment de la collecte, mention si des données peuvent sortir du Québec.

Responsabilité et gouvernance

L’entreprise reste responsable même si un fournisseur (cloud, SaaS, IA) traite des données pour elle. Il faut des politiques, des rôles, un processus de plaintes, des règles de conservation / destruction.

Incidents

Fuite, accès non autorisé, perte: documenter; évaluer le risque; aviser quand la loi l’exige. Tenir un registre des incidents.

Droits d’accès (et apparentés)

Les personnes peuvent demander l’accès / la correction de leurs renseignements, et exercer d’autres droits prévus par la loi. Prévoir un canal de réponse (coordonnées du responsable).

Transferts hors Québec / fournisseurs cloud

Avant de communiquer des renseignements personnels à l’extérieur du Québec, la loi prévoit notamment une EFVP et, si la protection est jugée adéquate, une entente écrite encadrant le traitement. Beaucoup d’outils IA et cloud ont des infrastructures hors Québec: c’est un point central pour Grok / xAI et la plupart des grands fournisseurs.

Guide CAI (EFVP): Guide d’accompagnement EFVP (PDF).

3) Cas d’usage: Grok, Grok Bot et assistants IA en entreprise

Un assistant IA n’est pas « magique » au regard de la Loi 25. Si vous y collez des renseignements personnels, vous traitez (et souvent communiquez) ces renseignements — parfois hors Québec.

Exemples concrets à risque élevé

  • Coller un fil courriel client (noms, montants, plaintes) dans un chat Grok.
  • Résumer un dossier RH ou une évaluation d’employé.
  • Brancher un bot sur une boîte mail, un CRM, Drive ou des tickets support sans filtre.
  • Enregistrer des appels / réunions et les envoyer à un modèle.
  • Utiliser des connecteurs qui synchronisent automatiquement des dossiers complets.
  • Demander au bot de « décider » seul (embauche, crédit, sanction, refus de service) sans encadrement humain.

Points à clarifier avec le fournisseur (xAI / plateforme d’hébergement du bot)

Sans entrer dans le détail commercial d’un fournisseur précis (lisez les conditions à jour):

  • Où sont traités / hébergés les prompts et sorties?
  • Les données d’entreprise servent-elles à entraîner des modèles généraux?
  • Quelle rétention? Qui peut accéder? Sous-traitants?
  • Y a-t-il un contrat / addendum de traitement de données adapté?
  • Options « entreprise » / désactivation d’entraînement / journalisation?

Sous-traitance: même si le fournisseur est « connu », votre entreprise demeure responsable envers les personnes concernées. Un bot mal configuré = incident potentiellement à votre nom.

Décisions automatisées

Si une décision est fondée exclusivement sur un traitement automatisé de renseignements personnels, la loi prévoit des obligations d’information et, en pratique, une possibilité pour la personne de faire réviser la décision par un humain. Un bot qui « refuse automatiquement » un client ou « classe » un employé sans revue humaine mérite une analyse sérieuse.

4) Checklist pratique avant d’activer des bots (PME)

À adapter à votre taille. Ce n’est pas une liste magique de conformité garantie.

  1. Cartographier — Quels bots? Quels systèmes (mail, CRM, Drive)? Quelles catégories de RP y entrent?
  2. Inventaire / registre des traitements — Documenter finalités, destinataires, localisation, durées (bonne pratique forte; utile pour EFVP et audits).
  3. Désigner le responsable (RPRP) et publier titre + coordonnées.
  4. Politique de confidentialité à jour: mention des outils / fournisseurs pertinents, transferts hors Québec si applicables, droits, contact.
  5. Avis internes — Employés: ce qu’on peut / ne peut pas coller dans un bot; sanctions disciplinaires possibles si politique claire.
  6. Minimisation — Pseudonymiser, masquer, résumer sans PII, utiliser des jeux de données fictifs pour tester.
  7. Accès et rôles — Qui a le droit d’utiliser quel bot? Comptes individuels? Journalisation?
  8. EFVP — Si le projet ressemble à un système d’information / prestation électronique avec RP, ou s’il y a communication hors Québec: évaluer selon le guide CAI avant le déploiement large.
  9. Contrats fournisseurs — Ententes écrites, sécurité, avis d’incident, limites d’usage, destruction / retour en fin de contrat.
  10. Conservation — Combien de temps gardez-vous historiques de chat / exports?
  11. Formation courte — 30–60 minutes valent mieux qu’un PDF jamais lu.
  12. Procédure d’incident — Qui contacte? Qui évalue le préjudice? Qui avise la CAI / les personnes?

5) Pièges fréquents

  • « C’est juste un résumé » — le prompt contient encore des PII.
  • Compte perso pour du travail — hors contrôle, hors contrat.
  • Politique de confidentialité silencieuse sur l’IA / les transferts hors Québec.
  • Le bot décide (embauche, crédit, litige) sans humain.
  • Tout le Drive branché « pour que le bot soit utile ».
  • Pas de registre d’incidents le jour où un employé colle une liste de clients dans un outil public.
  • Promettre « on est 100 % conformes Loi 25 » sur le site marketing — risque de représentation trompeuse; mieux vaut décrire des pratiques et renvoyer aux textes.

6) Ce que cet article ne fait pas

  • Il ne remplace pas une opinion juridique sur votre situation.
  • Il ne valide pas un fournisseur précis (Grok, xAI ou autre) à une date donnée.
  • Il ne certifie pas qu’un site web, une PME ou un projet de bots est conforme.
  • Il ne couvre pas toutes les lois possibles (fédéral PIPEDA / LPRPDE, lois sectorielles, obligations d’employeur, etc.).

Pour aller plus loin (sources officielles)