Outils d'IA et données clients : ce que la Loi 25 signifie pour les entreprises solos

Oui, ça s'applique à une entreprise d'une seule personne

La Loi 25 (Loi sur la protection des renseignements personnels dans le secteur privé) s'applique à toute organisation qui recueille, détient, utilise ou communique des renseignements personnels dans le cadre de ses activités d'entreprise au Québec — même si elle est établie à l'extérieur du Québec. La CAI confirme que cela vise les PME, les travailleurs autonomes et les OBNL qui exploitent une entreprise (CAI; P-39.1). Une liste de clients, une boîte de courriels de clients, des notes de séance sur un client de coaching — ce sont des renseignements personnels.

Vous êtes votre propre responsable de la protection des renseignements personnels

Toute entreprise doit avoir un responsable de la protection des renseignements personnels. Par défaut, c'est la personne ayant la plus haute autorité — dans une entreprise solo, vous — qui peut déléguer cette fonction par écrit, en tout ou en partie, à toute personne. Le titre et les coordonnées du responsable doivent être publiés sur le site Web de l'entreprise, ou rendus accessibles par tout autre moyen approprié en l'absence de site (P-39.1, art. 3.1; CAI). Détail qui compte : la loi exige le titre et les coordonnées du responsable — pas son nom.

Votre site Web, votre politique de confidentialité, vos témoins

Si vous recueillez des renseignements personnels par un moyen technologique (formulaire de contact, outil de réservation, analytiques), vous devez publier sur votre site une politique de confidentialité rédigée en termes simples et clairs. Toute technologie comportant des fonctions d'identification, de localisation ou de profilage exige d'informer la personne au préalable, ces fonctions devant être désactivées par défaut (activation volontaire). Selon les orientations de la CAI, les témoins (cookies) non essentiels — analytiques, publicitaires — exigent un consentement préalable, demandé distinctement pour chaque finalité; les témoins strictement nécessaires (session, panier, langue) n'en exigent pas (P-39.1, art. 8.1, 8.2, 9.1 et 14; CAI).

La clause IA que personne ne lit : les données qui quittent le Québec

C'est ici que les outils d'IA rencontrent la loi. Une évaluation des facteurs relatifs à la vie privée (EFVP) est obligatoire (1) avant de communiquer des renseignements personnels à l'extérieur du Québec — la communication ne peut avoir lieu que si l'évaluation démontre une protection adéquate — et (2) pour tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels (P-39.1, art. 3.3 et 17).

En pratique, ça attrape les outils courants des entreprises solos hébergés hors Québec — CRM américains, analytiques, stockage infonuagique et assistants d'IA qui traitent des données clients sur des serveurs hors de la province. L'évaluation doit tenir compte de la sensibilité des renseignements, des finalités, des mesures de protection (y compris contractuelles) et du régime juridique de la destination. Elle doit être proportionnée — pour une entreprise solo, une courte évaluation documentée vaut mieux que pas d'évaluation du tout.

Quand ça fuit : le registre des incidents

Toute entreprise doit tenir un registre de tous les incidents de confidentialité — même ceux sans risque de préjudice sérieux. Si un incident présente un risque de préjudice sérieux, vous devez aviser avec diligence la CAI et les personnes concernées, et prendre des mesures raisonnables pour diminuer les risques de préjudice et éviter la récidive. Les renseignements du registre doivent être conservés au moins 5 ans (P-39.1, art. 3.5 à 3.8; CAI).

Paramètres par défaut, conservation, portabilité

Si vous offrez au public un produit ou service technologique, ses paramètres de confidentialité doivent offrir par défaut le plus haut niveau de confidentialité (témoins de connexion exclus). Des politiques de gouvernance doivent encadrer la conservation et la destruction des renseignements personnels, lesquels doivent être détruits ou anonymisés une fois les finalités accomplies. Depuis le 22 septembre 2024, toute personne a aussi droit à la portabilité de ses renseignements personnels informatisés — dans un format technologique structuré et couramment utilisé — et peut exiger la cessation de la diffusion ou la désindexation d'hyperliens dans les cas prévus (P-39.1, art. 9.1, 3.2, 23, 27 et 28.1; CAI).

Ce que coûte la non-conformité

La Loi 25 a de vraies dents : sanctions administratives pécuniaires (imposées par la CAI) jusqu'à 50 000 $ pour une personne physique et, pour les entreprises, jusqu'à 10 000 000 $ ou 2 % du chiffre d'affaires mondial de l'exercice précédent, selon le montant le plus élevé; amendes pénales de 5 000 $ à 100 000 $ pour une personne physique et, pour les entreprises, de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé; plus un recours civil en cas d'atteinte illicite causant un préjudice, avec dommages-intérêts punitifs d'au moins 1 000 $ lorsque l'atteinte est intentionnelle ou résulte d'une faute lourde (P-39.1, art. 90.12, 91 et 93.1). Les amendes doublent en cas de récidive.

Habitudes pratiques pour une entreprise solo qui utilise l'IA

Ce qui suit relève des bonnes habitudes de travail, pas des obligations légales — les obligations, ce sont les sections ci-dessus; voici comment une entreprise d'une seule personne peut vivre avec :

• Inventoriez vos outils. Listez chaque outil qui touche aux données clients (CRM, courriel, notes, assistants d'IA) et où chacun les stocke.
• Minimisez ce que vous donnez aux outils d'IA. Retirez les noms et les détails identifiants de vos requêtes, sauf si vous avez évalué le traitement des données de l'outil.
• Écrivez d'abord la version courte. Une politique de confidentialité d'une page en langage clair, votre titre et vos coordonnées comme responsable, un registre d'incidents simple — fait vaut mieux que parfait.
• Préférez les outils qui répondent à la question. Si un fournisseur ne peut pas vous dire où vivent les données et comment elles sont protégées, c'est votre réponse.