L'adoption de l'IA générative a été fulgurante dans les organisations québécoises. Des équipes marketing de Montréal aux cabinets professionnels de Québec, en passant par les manufacturiers de la Beauce et les fintechs de Laval, presque tout le monde utilise aujourd'hui un assistant conversationnel, un copilote de code ou un générateur de contenu. Le problème, c'est que cette adoption a souvent devancé les réflexes de conformité. Et au Québec, la conformité en matière de renseignements personnels porte un nom précis : la Loi 25.
En 2026, la Commission d'accès à l'information (CAI) dispose désormais de tous ses pouvoirs, y compris les sanctions administratives pécuniaires qui peuvent atteindre des sommes très élevées pour une entreprise. Coller un extrait de dossier client dans un outil d'IA hébergé à l'étranger n'est plus une simple maladresse technique : c'est potentiellement une communication de renseignements personnels non conforme. Cet article explique comment les organisations d'ici peuvent tirer profit de l'IA générative sans se placer en infraction.
La Loi 25 rencontre l'IA générative : où en sommes-nous en 2026
La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, connue de tous sous le nom de Loi 25, est maintenant pleinement en vigueur. Ses dernières obligations, dont le droit à la portabilité des données, s'appliquent, et les entreprises ont eu le temps de mettre en place leur gouvernance. L'IA générative vient toutefois bousculer plusieurs principes fondamentaux du régime québécois.
D'abord, le principe de minimisation : une entreprise ne doit recueillir que les renseignements nécessaires. Or, les employés qui alimentent un modèle avec des transcriptions d'appels ou des bases de données clients font exactement l'inverse. Ensuite, la question du consentement : un client qui a consenti à ce que ses renseignements servent à traiter sa commande n'a pas consenti à ce qu'ils entraînent un modèle tiers. Enfin, la Loi 25 encadre les décisions fondées exclusivement sur un traitement automatisé : la personne concernée doit en être informée et pouvoir présenter ses observations. Un système d'IA qui refuse une demande de crédit ou trie des candidatures tombe directement dans cette catégorie.
Sur le plan fédéral, le projet de loi qui devait encadrer l'IA (l'ancienne Loi sur l'intelligence artificielle et les données) est mort au feuilleton, laissant un vide réglementaire. Résultat : au Québec, c'est la Loi 25 qui demeure la véritable colonne vertébrale de la gouvernance de l'IA touchant des renseignements personnels. Les organisations qui exportent vers l'Europe doivent en plus composer avec le RGPD et le nouveau règlement européen sur l'IA (EU AI Act), dont les obligations sur les systèmes à haut risque se déploient progressivement.
Ce que la Loi 25 exige concrètement quand vous déployez de l'IA
Trois obligations se démarquent lorsqu'on introduit un outil d'IA générative dans ses opérations.
- ▸L'évaluation des facteurs relatifs à la vie privée (ÉFVP). Tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels exige une ÉFVP. Adopter une plateforme d'IA qui traitera des données clients ou RH déclenche cette obligation. Ce n'est pas une formalité : c'est l'analyse qui documente les risques et justifie vos choix devant la CAI.
- ▸La communication hors Québec. Dès qu'un fournisseur d'IA héberge ou traite les données à l'extérieur du Québec, ce qui est la norme avec les grands modèles américains, vous devez évaluer si le renseignement bénéficie d'une protection équivalente. Cette évaluation doit être réelle et consignée, appuyée par des clauses contractuelles solides.
- ▸La transparence et le rôle du responsable de la protection des renseignements personnels. Votre responsable désigné doit être dans la boucle. Vos politiques de confidentialité doivent refléter honnêtement l'usage de l'IA, et vos employés doivent savoir ce qu'ils ont le droit, ou non, de soumettre à ces outils.
La bonne nouvelle : la Loi 25 n'interdit pas l'IA. Elle exige de la rigueur documentée. Une organisation qui a fait ses ÉFVP, encadré ses transferts et informé les personnes concernées peut innover en toute légitimité.
Cybersécurité : l'autre moitié de l'équation
La protection de la vie privée et la cybersécurité sont indissociables. La Loi 25 impose d'ailleurs la déclaration à la CAI de tout incident de confidentialité présentant un risque de préjudice sérieux, et la tenue d'un registre de ces incidents. L'IA générative élargit considérablement la surface d'attaque.
Les risques concrets en 2026 sont bien réels : fuite de données par les invites lorsqu'un employé copie des renseignements sensibles dans un service grand public; injection d'invite dans les agents connectés à vos systèmes internes; hallucinations qui génèrent des décisions erronées prises pour argent comptant; et shadow AI, ces dizaines d'outils adoptés par les équipes sans passer par les TI. À cela s'ajoute le risque de sous-traitance : votre fournisseur d'IA devient un maillon de votre chaîne, et sa sécurité devient la vôtre.
Les organisations québécoises qui font affaire avec des clients européens du secteur financier voient aussi arriver des exigences comme DORA sur la résilience opérationnelle numérique, et NIS2 pour les secteurs essentiels. Même sans y être directement assujetties, ces normes deviennent des références de marché que les donneurs d'ordre exigent de leurs partenaires canadiens.
Liste de vérification : déployer un outil d'IA générative sans enfreindre la Loi 25
Voici une démarche concrète, dans l'ordre, pour encadrer un projet d'IA générative touchant des renseignements personnels :
1. Cartographiez les données qui alimenteront ou transiteront par l'outil, et repérez tout renseignement personnel ou sensible. 2. Réalisez l'ÉFVP avant le déploiement, pas après, et faites-la valider par votre responsable de la protection des renseignements personnels. 3. Vérifiez l'hébergement et les transferts : où les données sont-elles traitées, et bénéficient-elles d'une protection équivalente hors Québec? 4. Négociez le contrat de sous-traitance avec des clauses claires sur la non-réutilisation des données pour l'entraînement, la localisation et la notification d'incident. 5. Appliquez la minimisation : anonymisez, caviardez ou synthétisez les données avant qu'elles n'atteignent le modèle. 6. Encadrez les décisions automatisées en prévoyant l'information des personnes et un mécanisme de révision humaine. 7. Formez vos employés sur ce qui peut et ne peut pas être soumis à un outil d'IA, et déployez des garde-fous techniques. 8. Journalisez et surveillez les usages, et intégrez l'IA à votre plan de réponse aux incidents et à votre registre.
Un partenaire d'ingénierie qui parle votre langue et votre fuseau horaire
Bâtir cette gouvernance à l'interne demande des compétences rares : ingénierie logicielle, sécurité applicative et maîtrise réelle des régimes de protection des données. C'est précisément là que TuniCyberLabs accompagne les organisations québécoises. Ancrée en Estonie (Tallinn), avec une présence à Chypre (Limassol) et une équipe d'ingénierie en Tunisie (Sousse), notre société conçoit des solutions logicielles, cybersécurité, infonuagique et intégration d'IA pensées pour les exigences européennes et nord-américaines.
Pour le Québec, l'ajustement est naturel. Nos équipes travaillent en français, ce qui élimine les frictions de communication et facilite la rédaction de documentation conforme. La structure estonienne permet des contrats alignés sur le RGPD, dont les principes recoupent largement ceux de la Loi 25, un atout pour toute organisation qui vise aussi le marché européen. Le décalage horaire modéré entre la Tunisie et le Québec laisse une plage de collaboration commune chaque matin, contrairement aux fournisseurs d'Asie. Et le modèle d'ingénierie nearshore offre des coûts maîtrisés sans compromis sur la qualité, un argument décisif quand la conformité exige un investissement soutenu.
Conclusion : innover avec discipline
En 2026, la véritable question n'est plus de savoir si les organisations québécoises utiliseront l'IA générative, mais comment elles le feront sans trahir la confiance de leurs clients ni les obligations de la Loi 25. La conformité n'est pas l'ennemie de l'innovation : elle en est la condition durable. Les entreprises qui documentent leurs ÉFVP, sécurisent leurs flux de données et encadrent leurs décisions automatisées transformeront cette rigueur en avantage concurrentiel. Celles qui l'ignorent s'exposent aux sanctions de la CAI et, pire encore, à la perte de confiance de leur clientèle.