Loi 25 et API d'IA, ce qu'une PME du Québec peut vérifier

Brouillon. SignalOrange relit encore ce texte. Ne le citez pas comme une position définitive de l'entreprise, ni comme un avis professionnel.

Ce texte décrit des obligations publiques de la Loi sur la protection des renseignements personnels dans le secteur privé. Ce n’est pas un avis juridique. Faites-le relire par la personne responsable dans votre entreprise, ou par un avocat, avant de vous en servir pour une décision.

Le prompt est souvent un renseignement personnel

Une PME branche un assistant à son CRM, à sa boîte courriel ou à ses dossiers. Le texte envoyé au modèle contient un nom, un courriel, un numéro de dossier, parfois une situation financière ou un problème de santé. Dès que ce texte identifie une personne, ou permet de l’identifier, c’est un renseignement personnel au sens de la loi québécoise. Le fait qu’il soit collé dans un champ appelé « prompt » ne change rien.

Le fournisseur du modèle n’est pas « juste un outil de productivité ». Si le texte quitte le Québec pour être traité ailleurs, la loi encadre cette communication. Un appel d’API est une communication comme une autre.

Trois dates à garder en tête

La Loi 25 a modifié la Loi sur la protection des renseignements personnels dans le secteur privé en plusieurs étapes. Les dates publiques, à revérifier dans le texte officiel si vous documentez un dossier, sont celles-ci.

22 septembre 2022. Désignation d’une personne responsable de la protection des renseignements personnels. Par défaut, c’est la personne qui exerce la plus haute autorité. Obligation de tenir un registre des incidents de confidentialité et, lorsqu’il y a risque de préjudice sérieux, d’aviser la Commission d’accès à l’information et les personnes concernées.
22 septembre 2023. Politique de confidentialité, règles de consentement, confidentialité par défaut, évaluation des facteurs relatifs à la vie privée pour certains projets, et encadrement des communications hors du Québec.
22 septembre 2024. Droit à la portabilité des renseignements personnels informatisés recueillis auprès de la personne.

Ce guide s’intéresse à ce qui se passe quand une PME envoie des prompts à une API d’IA. Les deux pièces qui reviennent le plus souvent sont l’évaluation et la communication hors Québec.

Faites l’inventaire avant de choisir un modèle

Avant de comparer les prix au million de jetons, listez ce qui peut se retrouver dans un appel.

Ce que les employés collent. Un résumé de rencontre, un courriel de client, un CV, une pièce jointe.
Ce que le logiciel ajoute tout seul. Un contexte qui contient le nom du compte, l’historique du dossier, des extraits de base de données.
Ce que les journaux gardent. L’URL, l’identifiant, parfois le prompt complet et la réponse, chez vous, chez le routeur, ou chez le fournisseur du modèle.
Ce qui sert à entraîner ou à évaluer. Un réglage « améliorer le produit » qui réutilise les prompts. Un jeu de données exporté vers un autre pays pour affiner un modèle.
Les secrets qui n’ont rien à faire là. Clés d’API, fichiers .env, numéros de carte, jetons. Ce ne sont pas toujours des renseignements personnels, mais les envoyer est une fuite.

Pour chaque flux, écrivez qui envoie, vers quel fournisseur, dans quel pays le traitement a lieu, combien de temps c’est conservé, et si le texte peut servir à l’entraînement. Si vous ne pouvez pas répondre, vous n’êtes pas prêt à brancher la production.

Avant d’envoyer hors du Québec

La loi prévoit une évaluation des facteurs relatifs à la vie privée avant de communiquer un renseignement personnel hors du Québec. L’évaluation tient compte, notamment, de la sensibilité du renseignement, de la finalité, des mesures de protection (y compris celles du contrat) et du régime juridique de l’endroit où le renseignement sera communiqué. La communication ne se fait que si l’évaluation montre une protection adéquate, et l’entente est écrite.

Un appel vers une API dont les serveurs sont aux États-Unis, en Europe, ou « quelque part dans le nuage du fournisseur » est, dans la plupart des cas, une communication hors Québec dès que le prompt contient un renseignement personnel. « Le fournisseur dit qu’il est compatible avec le RGPD » ne répond pas à la question québécoise. Le RGPD est un autre régime. Il peut être un indice. Ce n’est pas une conclusion.

Une évaluation est aussi prévue lorsqu’une entreprise acquiert, développe ou refond un système d’information ou une prestation électronique qui implique des renseignements personnels. Brancher un assistant sur le CRM entre souvent dans ce cas. L’évaluation se fait avant le projet, pas après le premier incident.

La Commission publie des guides. Partez de là. Faites valider le résultat par la personne responsable chez vous. Ce texte ne remplace pas cette évaluation, et il ne cite pas de numéros d’article de mémoire : le texte officiel fait foi.

Questions à poser au fournisseur, par écrit

Demandez des réponses que vous pouvez classer avec l’évaluation. Une page de tarifs sans date ne suffit pas.

Où le prompt et la réponse sont-ils traités? Dans quelle province, quel pays, chez quels sous-traitants?
Le prompt et la réponse sont-ils conservés? Combien de temps? Pour quelle raison (facturation, abus, débogage, entraînement)?
Peut-on refuser que le texte serve à entraîner un modèle, et est-ce le réglage par défaut?
Que se passe-t-il si le fournisseur du modèle, derrière le routeur, a une politique différente?
Existe-t-il un accord de traitement écrit, et nomme-t-il les sous-traitants?
Où sont les journaux d’appels?
Dans quel délai le fournisseur vous avise-t-il d’un incident?
Peut-on effacer ou sortir les données si vous quittez le service?
La facture et le contrat nomment-ils une entité, une devise et une personne à joindre?

Si la réponse est « ça dépend du modèle » sans liste, notez-le comme un risque, pas comme un oui.

Réduire ce qui part

La meilleure protection est de ne pas envoyer le renseignement. Quelques pratiques qui ne demandent pas un projet de six mois.

Retirez les noms, courriels, numéros de dossier et pièces d’identité du prompt quand la tâche n’en a pas besoin. « Client A, facture en retard de 30 jours » suffit souvent.
N’envoyez pas tout le dossier parce que c’est plus simple à coder. Séparez le texte utile du contexte.
Interdisez, dans une consigne interne courte, de coller des secrets, des .env et des numéros de carte dans un outil d’IA. Dites où les mettre à la place.
Filtrez avant l’envoi. Un filtre qui caviardise des renseignements personnels et des secrets réduit ce qui atteint le modèle. Il ne remplace pas l’évaluation : le reste du prompt peut encore identifier quelqu’un, et le filtre peut rater un cas. Router, l’API de SignalOrange, fait ce filtrage avant l’appel au fournisseur. La page produit, lue le 30 septembre 2026, indique aussi que les corps de requête et de réponse ne sont pas conservés. C’est un contrôle technique. Ce n’est pas une conformité automatique à la Loi 25.
Gardez vos propres journaux au minimum. Enregistrer le prompt complet « pour déboguer » crée une nouvelle collecte.
Fermez l’accès par défaut. Un interrupteur par équipe vaut mieux qu’une clé d’API partagée dans un clavardage.

Consentement, politique et incidents

Depuis septembre 2023, le consentement demandé doit être manifeste, libre, éclairé, donné à des fins spécifiques, et demandé en termes simples, distincts des autres informations. Un renseignement sensible appelle un consentement exprès. Une case déjà cochée au bas d’une longue page ne fait pas ce travail.

La politique de confidentialité publiée sur votre site doit décrire ce que vous faites vraiment. Si un employé envoie le dossier d’un client à une API, la politique doit pouvoir le dire en langage clair : quelles catégories de renseignements, à quelles fins, et hors du Québec le cas échéant.

La confidentialité par défaut signifie que les paramètres les plus protecteurs s’appliquent sans action de la personne. Pour un outil interne, traduisez ainsi : l’accès à l’API est fermé tant qu’on ne l’ouvre pas, les journaux verbeux sont éteints, et l’envoi vers un modèle qui entraîne sur les données n’est pas le réglage d’usine.

Un incident de confidentialité comprend notamment un accès, une utilisation ou une communication non autorisés. Une clé d’API dans un dépôt public, un prompt de client repris dans un outil de recherche, une liste exportée vers un compte personnel : ce sont des événements à inscrire au registre. S’il y a risque de préjudice sérieux, l’avis à la Commission et aux personnes concernées suit les règles de la Commission, pas celles d’un fil de discussion.

Une grille courte

Posez ces questions avant d’élargir l’accès. Une réponse négative veut dire « pas encore », pas « on verra en production ».

Avons-nous nommé une personne responsable? Sinon, faites-le avant d’ajouter une API. Par défaut, c’est la plus haute autorité.
Savons-nous quels prompts contiennent des renseignements personnels? Sinon, pas d’envoi en production. Faites l’inventaire.
L’évaluation de la communication hors Québec est-elle écrite? Sinon, ne communiquez pas encore hors Québec.
Le contrat décrit-il la conservation et les sous-traitants? Une page de tarifs ne suffit pas.
Peut-on empêcher l’entraînement sur nos prompts? Traitez le « peut-être » comme un non.
La politique de confidentialité décrit-elle cet usage? Mettez-la à jour avant d’élargir l’accès.
Savons-nous quoi faire si une clé ou un prompt fuit? Écrivez les trois premiers gestes et le nom de la personne qui avise.

Ce que ce guide ne fait pas

Il ne dit pas qu’un outil est « conforme à la Loi 25 ». La conformité dépend de votre collecte, de votre finalité, de votre contrat et de votre évaluation. Il ne donne pas de montant d’amende : les sanctions sont dans la loi, et les citer de mémoire est une mauvaise idée. Il ne traite pas en détail le secteur public, la santé, ni la biométrie. Si vous traitez des données de santé, de mineurs, ou de la biométrie, arrêtez-vous et faites-vous accompagner.

Le choix entre un logiciel du commerce et un logiciel écrit pour vous est un autre sujet, traité dans Logiciel sur mesure ou prêt-à-porter.

Sources

Texte préparé par SignalOrange le 30 septembre 2026, à partir de ces sources publiques. Aucun taux d’adoption, aucune étude de cas et aucune citation inventée.

Ressources