La Loi 25 est la loi québécoise qui encadre la collecte, l'utilisation et la protection des renseignements personnels, pleinement en vigueur depuis septembre 2024. Pour une PME qui déploie un chatbot, un agent vocal IA ou une automatisation, elle impose des obligations précises : responsable désigné, évaluation des facteurs relatifs à la vie privée, transparence des décisions automatisées et hébergement encadré.
Cet article est informatif et ne constitue pas un avis juridique. Pour votre situation particulière, consultez un professionnel du droit.
Qu'est-ce que la Loi 25 exactement ?
Son nom complet est la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels. Sanctionnée le 22 septembre 2021, elle modifie notamment la Loi sur la protection des renseignements personnels dans le secteur privé, celle qui s'applique aux PME. C'est l'équivalent québécois des régimes modernes de protection de la vie privée adoptés ailleurs, avec ses propres règles et son propre organisme de surveillance : la Commission d'accès à l'information du Québec (CAI).
La loi s'applique à toute personne qui exploite une entreprise au Québec, du travailleur autonome à la multinationale : une clinique de trois employés est aussi visée qu'une institution financière.
Quand la Loi 25 est-elle entrée en vigueur ?
La loi a été déployée en trois phases, comme le résume la page Principaux changements apportés par la Loi 25 de la CAI et l'annonce du Gouvernement du Québec :
- 22 septembre 2022 : désignation d'un responsable de la protection des renseignements personnels, obligation de gérer et de déclarer les incidents de confidentialité, tenue d'un registre des incidents.
- 22 septembre 2023 : politique de confidentialité, règles de consentement renforcées, évaluation des facteurs relatifs à la vie privée (EFVP), transparence des décisions automatisées, encadrement des communications hors Québec, sanctions administratives pécuniaires.
- 22 septembre 2024 : droit à la portabilité des renseignements personnels informatisés.
Il n'y a donc plus de période de transition : un projet d'intelligence artificielle lancé en 2026 doit être conforme dès le premier jour.
Quelles sont les obligations de base pour une PME ?
Désigner un responsable de la protection des renseignements personnels
Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise; la fonction peut être déléguée par écrit. Le titre et les coordonnées de ce responsable doivent être publiés sur le site Web de l'entreprise.
Publier une politique de confidentialité
Toute entreprise qui recueille des renseignements personnels par un moyen technologique (formulaire Web, chatbot, application) doit publier une politique en termes simples et clairs et annoncer toute modification.
Réaliser une EFVP
L'évaluation des facteurs relatifs à la vie privée est obligatoire pour tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels. La CAI publie un guide d'accompagnement; son ampleur doit être proportionnelle à la sensibilité et à la quantité des renseignements.
Obtenir un consentement valide
Le consentement doit être demandé pour chaque finalité, de façon distincte, dans un langage simple et clair. Les exceptions au consentement doivent être interprétées de manière restrictive.
Gérer les incidents de confidentialité
En cas d'incident présentant un risque de préjudice sérieux, l'entreprise doit aviser la CAI et les personnes concernées. Tous les incidents, même mineurs, doivent être consignés dans un registre conservé au moins cinq ans.
Respecter le droit à la portabilité
Depuis septembre 2024, une personne peut demander à obtenir ses renseignements personnels informatisés dans un format technologique structuré et couramment utilisé, ou à les faire transmettre à un tiers autorisé.
Que change la Loi 25 pour un projet d'intelligence artificielle ?
Les décisions fondées exclusivement sur un traitement automatisé
C'est l'obligation la plus directement liée à l'IA. Lorsqu'une décision concernant une personne est prise sans intervention humaine, l'entreprise doit, selon la CAI :
- informer la personne, au plus tard au moment où la décision lui est communiquée;
- lui fournir, sur demande, les renseignements utilisés, les raisons et principaux facteurs de la décision, et son droit de rectification;
- lui donner l'occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision.
Concrètement, un chatbot qui répond à des questions ou prend un rendez-vous ne prend pas de « décision » au sens de la loi; une automatisation qui accepte ou refuse seule une demande de crédit, une candidature ou une réclamation, oui. Le plus simple pour une PME : garder un humain dans la boucle pour toute décision à effet significatif.
L'hébergement et la communication de données hors Québec
Avant de communiquer des renseignements personnels à l'extérieur du Québec (une autre province ou un autre pays), l'entreprise doit réaliser une EFVP démontrant que les renseignements bénéficieront d'une protection adéquate, et conclure une entente écrite avec le destinataire. Envoyer des données à un fournisseur d'IA infonuagique dont les serveurs sont aux États-Unis constitue donc une communication hors Québec. Le choix de l'hébergement est ainsi une décision de conformité, pas seulement technique.
Tableau : obligation Loi 25 et implication pour un projet IA
| Obligation | Ce que ça implique pour un projet de chatbot, d'agent vocal IA ou d'automatisation |
|---|---|
| Responsable désigné | Consulter le responsable dès le cadrage; publier ses coordonnées sur le site. |
| Politique de confidentialité | Mettre à jour la politique pour décrire l'outil IA, les renseignements recueillis et leur finalité. |
| EFVP | Documenter les risques du projet (données, hébergement, accès) avant la mise en production. |
| Consentement | Informer l'utilisateur qu'il interagit avec une IA et obtenir un consentement clair pour chaque finalité. |
| Décisions automatisées | Prévoir un mécanisme de révision humaine et une explication des principaux facteurs. |
| Communication hors Québec | Choisir un hébergement au Canada ou conclure une entente écrite après EFVP. |
| Incidents | Journaliser les conversations et les accès pour détecter et déclarer un incident rapidement. |
| Portabilité | Pouvoir exporter les données d'une personne dans un format structuré (ex. : JSON, CSV). |
| Minimisation | Ne recueillir que le nécessaire et détruire les renseignements une fois la finalité atteinte. |
Quelles sont les sanctions en cas de non-conformité ?
Selon la page officielle de la CAI sur les sanctions :
- Sanctions administratives pécuniaires : jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé. Une entreprise qui s'engage auprès de la Commission à prendre des mesures correctives, et qui respecte cet engagement, évite la sanction pécuniaire pour les manquements visés.
- Sanctions pénales : de 15 000 $ à 25 millions de dollars ou 4 % du chiffre d'affaires mondial pour une entreprise; de 5 000 $ à 100 000 $ pour une personne physique. Les amendes sont doublées en cas de récidive, et une poursuite peut être intentée dans les cinq ans suivant l'infraction.
Au-delà des montants, le vrai risque pour une PME est souvent réputationnel.
Checklist de conformité pour un projet de chatbot, d'agent vocal IA ou d'automatisation
- Cartographier les renseignements : quels renseignements l'outil recueille-t-il, pourquoi, et pendant combien de temps ?
- Appliquer la minimisation : un chatbot de prise de rendez-vous n'a pas besoin du numéro d'assurance maladie.
- Réaliser une EFVP proportionnée au projet, en impliquant le responsable désigné.
- Vérifier l'hébergement de chaque composant (modèle de langage, base de données, téléphonie, outil d'automatisation) et documenter toute communication hors Québec.
- Rédiger les avis : l'utilisateur parle à une IA, finalités, droits d'accès et de rectification, lien vers la politique.
- Identifier les décisions automatisées et prévoir une révision humaine.
- Configurer la journalisation et la rétention : conserver ce qui est utile, supprimer le reste automatiquement.
- Prévoir la portabilité et la suppression sur demande.
- Mettre à jour le registre des incidents et la procédure de déclaration.
- Former l'équipe : la formation IA en entreprise transforme une politique sur papier en pratique réelle.
Comment Zenidata conçoit des solutions conformes à la Loi 25 ?
Chez Zenidata, la conformité est intégrée dès la conception :
- Hébergement 100 % au Canada pour nos chatbots d'entreprise, nos agents vocaux IA et nos agents IA, ce qui évite le plus souvent la démarche de communication hors Québec.
- Minimisation des données : chaque projet commence par une cartographie des renseignements réellement nécessaires.
- Humain dans la boucle pour toute automatisation de processus qui touche une décision à l'égard d'une personne.
- Journalisation, rétention et suppression configurées selon vos politiques, y compris pour le traitement intelligent des documents et des factures.
- Documentation d'EFVP fournie pour alimenter votre dossier de conformité.
Vous avez un projet de chatbot, d'agent vocal IA ou d'automatisation et vous voulez le lancer sans mauvaise surprise ? Demandez votre Audit IA gratuit : nous analysons votre cas d'usage, vos flux de données et vos obligations Loi 25 avant toute ligne de code.
Dernière mise à jour : 23 août 2026
Questions fréquentes
La Loi 25 s'applique-t-elle à une petite entreprise qui utilise un chatbot ?
Oui. La Loi 25 s'applique à toute personne qui exploite une entreprise au Québec et qui recueille, utilise ou conserve des renseignements personnels, peu importe sa taille. Un chatbot qui collecte un nom, un courriel ou un numéro de téléphone tombe donc sous son champ d'application.
Faut-il faire une évaluation des facteurs relatifs à la vie privée (EFVP) avant de déployer un agent vocal IA ?
Une EFVP est requise pour tout projet d'acquisition, de développement ou de refonte d'un système d'information qui implique des renseignements personnels, ainsi qu'avant toute communication de ces renseignements hors du Québec. Un agent vocal IA qui enregistre des appels ou transmet des données à un fournisseur hors province est un cas typique.
Qu'est-ce qu'une décision fondée exclusivement sur un traitement automatisé ?
C'est une décision prise à propos d'une personne sans intervention humaine, par exemple un refus de crédit calculé par un algorithme. La Loi 25 oblige alors l'entreprise à informer la personne, à lui expliquer sur demande les principaux facteurs de la décision et à lui permettre de présenter ses observations à un membre du personnel capable de réviser la décision.
Mes données peuvent-elles être hébergées aux États-Unis ?
La Loi 25 ne l'interdit pas, mais elle exige une EFVP démontrant que les renseignements bénéficieront d'une protection adéquate, ainsi qu'une entente écrite avec le destinataire. Héberger au Canada simplifie considérablement cette démarche, c'est pourquoi Zenidata privilégie un hébergement 100 % canadien.
Quelles sont les sanctions en cas de non-conformité ?
La Commission d'accès à l'information peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial. Les sanctions pénales peuvent aller jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial, et ces amendes sont doublées en cas de récidive.
