Loi 25 et IA : les obligations qui s'appliquent déjà à vos projets

Un cadre déjà en vigueur

La plupart des obligations de la Loi 25 sont en vigueur depuis septembre 2023. Elles visent toute entreprise qui détient des renseignements personnels, quelle que soit sa taille. Un assistant qui répond à partir de dossiers clients, un outil qui trie des candidatures ou un agent qui lit des courriels sont donc concernés dès leur conception.

L'évaluation des facteurs relatifs à la vie privée

Tout projet d'acquisition, de développement ou de refonte d'un système d'information qui traite des renseignements personnels doit faire l'objet d'une évaluation des facteurs relatifs à la vie privée (EFVP). C'est aussi le cas avant de communiquer des renseignements à l'extérieur du Québec, ce qui arrive souvent avec des services d'IA hébergés ailleurs.

Concrètement, l'EFVP décrit les renseignements utilisés, leur provenance, les personnes qui y ont accès, les risques et les mesures pour les réduire. Elle est proportionnée à la sensibilité des renseignements et à l'ampleur du projet. Pour un projet d'IA, elle oblige à répondre tôt à des questions utiles : quelles données alimentent le système, où sont-elles traitées, qui voit les réponses.

Gouvernance et responsable

L'entreprise doit adopter des politiques et des pratiques de gouvernance des renseignements personnels, et les publier en termes simples. Elle doit aussi désigner une personne responsable de la protection des renseignements personnels. Par défaut, c'est la personne ayant la plus haute autorité dans l'organisation, qui peut déléguer cette fonction par écrit.

Pour vos systèmes d'IA, cela se traduit par des règles écrites : quelles données peuvent y entrer, combien de temps elles sont conservées, qui peut y accéder, comment elles sont détruites. Les principes de nécessité et de conservation limitée s'appliquent aux données d'entrée comme aux journaux et aux index de recherche.

Consentement et fins annoncées

Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques. Utiliser des renseignements recueillis pour une fin, par exemple le service à la clientèle, afin d'entraîner ou d'alimenter un système d'IA à une autre fin demande en principe un nouveau consentement, sauf exceptions prévues par la loi. Les fonctions de profilage doivent être désactivées par défaut.

Décisions fondées exclusivement sur un traitement automatisé

Lorsqu'une décision est fondée exclusivement sur un traitement automatisé de renseignements personnels, la personne concernée doit en être informée. Sur demande, elle peut connaître les renseignements utilisés, les raisons et principaux facteurs ayant mené à la décision, et présenter ses observations à une personne en mesure de réviser la décision.

Cette exigence influence directement l'architecture : il faut pouvoir retrouver ce qui a été utilisé pour une décision, et prévoir une révision humaine. Un système dont personne ne peut expliquer le résultat devient difficile à exploiter dans ces cas.

Les fournisseurs font partie du périmètre

Lorsqu'un fournisseur traite des renseignements pour vous, vous demeurez responsable de leur protection. Le contrat doit encadrer l'usage des données, leur lieu de traitement et leur destruction. C'est particulièrement vrai pour les services d'IA dont les conditions d'utilisation évoluent souvent.

Par où commencer

Dresser la liste des systèmes d'IA utilisés ou prévus, et des renseignements qu'ils traitent.
Réaliser une EFVP pour chaque nouveau projet, proportionnée à son risque.
Vérifier où vos fournisseurs traitent les données et ce que prévoient leurs contrats.
Repérer les décisions automatisées et prévoir leur révision humaine.
Consigner ces éléments dans un registre tenu à jour.

Ceci ne constitue pas un avis juridique. Pour votre situation précise, consultez votre conseiller juridique ou le site de la Commission d'accès à l'information du Québec.