Loi 25 et IA au travail : une approche réaliste pour les PME

Les employés utilisent déjà ChatGPT, Claude, Gemini et les fonctions d'IA intégrées à leurs outils de travail.

Ils corrigent un courriel, résument un document, préparent une proposition ou cherchent une réponse dans des fichiers internes. L'IA fait maintenant partie du travail de bureau, souvent sans projet officiel, sans budget particulier et sans que la direction le sache.

La Loi 25 n'a pas été conçue pour cette vitesse d'adoption.

Elle exige une évaluation des facteurs relatifs à la vie privée, une EFVP, pour certains projets de systèmes qui impliquent des renseignements personnels. Elle en exige aussi une avant de communiquer des renseignements personnels à l'extérieur du Québec ou d'en confier le traitement à une organisation située à l'extérieur.

Pris au pied de la lettre, ça peut mener à une situation absurde pour une PME. Une simple fonction « améliorer le texte » dans un courriel peut traiter le nom d'un client, le contenu de son message ou sa signature dans une infrastructure située hors Québec. Faudrait-il lancer un projet de conformité complet chaque fois qu'un employé veut reformuler trois phrases?

Ce n'est ni réaliste ni représentatif de la façon dont les gens travaillent.

La bonne réponse est de l'appliquer à la bonne échelle.

Une EFVP pour le mode de travail, pas pour chaque clic

La Commission d'accès à l'information précise qu'une EFVP doit être proportionnée à la sensibilité, à la finalité, à la quantité, à la répartition et au support des renseignements.

Pour une PME, l'unité d'analyse utile est donc le mode de travail récurrent.

Nos employés utilisent la fonction d'aide à la rédaction de Google Workspace pour corriger et reformuler des courriels ordinaires destinés aux clients.

L'entreprise peut évaluer ce mode de travail une fois, documenter les règles et réutiliser la décision. Elle n'a pas à recommencer l'exercice pour chaque courriel.

Ce regroupement par mode de travail est une méthode de gouvernance pratique. La loi ne le présente pas comme une exemption ou une garantie de conformité.

L'évaluation devrait être revue si quelque chose change de façon importante :

• un nouveau fournisseur;
• un nouveau type de données;
• l'ajout d'une boîte courriel, d'un CRM ou d'un dossier partagé;
• un agent qui peut maintenant envoyer ou supprimer;
• un changement de conservation ou de lieu de traitement;
• une utilisation en RH, en santé, en finance ou pour prendre une décision sur une personne.

Une EFVP proportionnée n'a pas besoin d'être un rapport de 40 pages pour un usage courant à faible risque. Elle doit laisser une trace crédible de ce qui a été vérifié et de la décision prise.

Le vrai décalage entre la Loi 25 et la technologie

Le problème est simple : la loi raisonne en projets, en systèmes et en communications de renseignements. L'IA moderne arrive comme une fonction dans presque chaque outil.

Un employé ne pense pas qu'il lance un nouveau système d'information lorsqu'il clique sur « reformuler ». Il pense qu'il corrige un courriel.

Pourtant, du point de vue de la confidentialité, du contenu peut quitter son écran, être traité par un fournisseur, être conservé pendant une certaine période et parfois passer par d'autres services.

Ce décalage explique pourquoi une politique qui interdit tout ne fonctionne pas. Les gens vont continuer à utiliser ces outils parce qu'ils sont utiles.

L'objectif devrait être de rendre les bons choix faciles et les usages réellement dangereux difficiles. Une politique pratique aide aussi à encadrer l'IA fantôme déjà présente dans beaucoup d'organisations.

Ce que l'arrivée d'Internet nous a déjà appris

Au début du commerce électronique, beaucoup de gens refusaient d'inscrire leur numéro de carte de crédit sur un site Web. La crainte était compréhensible. L'infrastructure, les habitudes et les protections étaient encore nouvelles.

Aujourd'hui, la même personne peut avoir plusieurs cartes avec des limites élevées enregistrées auprès de dizaines, parfois de centaines de services. Le risque n'a pas disparu. Nous avons développé des contrôles autour de lui : chiffrement, normes de paiement, détection de fraude, jetons, alertes et mécanismes de contestation.

L'IA suivra probablement une trajectoire semblable.

La solution ne sera pas de ne jamais lui confier d'information. Elle sera de choisir où l'information peut aller, de limiter ce que l'outil peut voir, de surveiller ce qu'il fait et de pouvoir intervenir lorsqu'une erreur survient.

Compte personnel ou compte entreprise?

La règle pratique tient en trois lignes.

Un forfait personnel payant reste un produit destiné aux consommateurs. Désactiver l'entraînement du modèle est utile, mais ça ne répond pas à toutes les questions : conservation, lieu de traitement, accès humain, services connectés, suppression et contrôle administratif.

Les versions entreprise de ChatGPT, Claude et Gemini offrent généralement de meilleures conditions pour les données d'affaires et plus de contrôles. Elles ne rendent pas automatiquement l'utilisation conforme à la Loi 25.

Cinq questions avant d'utiliser l'IA au travail

Une PME peut commencer avec une fiche d'une page.

1. Qu'est-ce qu'on essaie de faire?

Décrire une tâche précise : corriger des courriels, résumer des réunions ou préparer des brouillons de propositions.

2. Quelles données seront exposées?

Identifier les renseignements personnels, confidentiels ou sensibles. Retirer ce qui n'est pas nécessaire.

3. Quel compte et quelles conditions s'appliquent?

Vérifier s'il s'agit d'un compte personnel ou entreprise, si les données servent à l'entraînement, combien de temps elles sont conservées et où elles peuvent être traitées.

4. Qu'est-ce que l'outil peut voir et faire?

Lire un texte collé manuellement n'est pas la même chose qu'accéder à toute une boîte courriel. Préparer un brouillon n'est pas la même chose que l'envoyer.

5. Comment reprendre le contrôle?

Prévoir les journaux, la révocation des accès, la suppression, la gestion d'incident et la personne responsable.

Si l'équipe ne peut pas répondre à ces cinq questions, elle ne devrait pas encore connecter l'outil à un système complet.

Une règle simple pour les accès

Donner le minimum nécessaire, puis augmenter l'accès seulement après avoir observé les résultats.

1. Public ou synthétique : essais et formation.
2. Contenu vérifié manuellement : l'employé choisit ce qu'il transmet.
3. Lecture seule limitée : un dossier ou une boîte partagée précise.
4. Brouillon avec approbation : l'agent propose, une personne décide.
5. Action limitée : seulement des actions réversibles, journalisées et à faible impact.

L'envoi de messages externes, la suppression, les paiements, les changements de permissions, les décisions RH et les décisions qui touchent une personne devraient rester sous approbation humaine.

Exemple : un agent pour les courriels et le calendrier

Une PME veut classer les messages reçus à info@entreprise.ca, préparer une réponse et proposer une heure de rencontre.

Voici un départ réaliste :

• un compte entreprise approuvé;
• un accès à la boîte partagée seulement;
• une période d'historique limitée;
• aucun dossier RH, juridique ou financier;
• le calendrier montre les disponibilités, pas les détails;
• l'agent prépare un brouillon, mais ne peut pas l'envoyer;
• une personne vérifie le destinataire, le contenu et les pièces jointes;
• l'accès peut être retiré rapidement.

L'entreprise documente ce mode de travail une fois. Après quelques semaines, elle vérifie la qualité, les erreurs et les gains de temps. Elle peut ensuite décider si une petite action réversible mérite d'être automatisée.

Trois zones faciles à comprendre

Vert : information publique, synthétique ou bien dépersonnalisée. Usage permis dans les outils approuvés.

Jaune : courriels clients ordinaires, coordonnées et informations internes nécessaires. Compte entreprise, accès limité et règles de conservation.

Rouge : dossiers RH, santé, identité, mots de passe, renseignements financiers détaillés, communications juridiques ou décisions importantes sur une personne. Pas dans un outil général par défaut.

Cette classification est imparfaite, mais elle est beaucoup plus utile qu'une politique de 30 pages que personne ne lit.

Une approche réaliste en cinq étapes

1. Reconnaître les outils que les employés utilisent déjà.
2. Approuver un petit nombre d'environnements entreprise.
3. Créer une fiche d'évaluation réutilisable par mode de travail.
4. Définir les zones vertes, jaunes et rouges.
5. Commencer en lecture seule ou en mode brouillon avant d'accorder des actions.

La conformité parfaite avant toute expérimentation n'est pas réaliste pour la plupart des PME. Une progression documentée, proportionnée et contrôlée est plus crédible qu'une interdiction qui sera contournée.

Questions fréquentes

Faut-il faire une EFVP chaque fois qu'on utilise une fonction IA?

Non. L'évaluation devrait porter sur le projet ou le mode de travail, puis être réutilisée tant que le fournisseur, les données, les accès et les actions restent essentiellement les mêmes. Elle doit être révisée lors d'un changement important.

Est-ce qu'une simple fonction de correction dans Gmail peut être visée?

Oui, si elle traite des renseignements personnels dans un nouveau système ou communique ces renseignements hors Québec. Ça ne veut pas dire un nouveau document pour chaque message. Ça veut dire que l'entreprise devrait évaluer et encadrer cette fonction avant de l'adopter comme pratique de travail.

Est-ce qu'un compte entreprise suffit?

Non. C'est un meilleur point de départ. Il faut encore vérifier les données, la conservation, le lieu de traitement, les accès et les actions permises.

Peut-on utiliser un compte personnel pour travailler?

Oui pour de l'information publique, synthétique ou bien dépersonnalisée, si la politique interne le permet. Pour des renseignements personnels ou confidentiels, un environnement entreprise approuvé est plus approprié.

Jusqu'où peut-on automatiser?

Commencer par la lecture, le résumé et les brouillons. Accorder une action seulement si elle est limitée, réversible, journalisée et sans conséquence importante. Garder une approbation humaine pour le reste.

Le but : utiliser l'IA sans fermer les yeux

Les PME n'arrêteront pas d'utiliser l'IA. Elles ont besoin d'une façon simple de l'utiliser sans donner un accès illimité à leurs renseignements et à leurs systèmes.

Une page claire, quelques outils approuvés, des accès minimaux et une progression mesurée peuvent faire beaucoup plus qu'une politique théorique.

Nord Paradigm aide les PME à transformer ces principes en méthodes de travail concrètes. Découvrez notre accompagnement en implantation de l'IA ou réservez une conversation.

Sources officielles

• Loi sur la protection des renseignements personnels dans le secteur privé
• Commission d'accès à l'information, principaux changements de la Loi 25
• Commission d'accès à l'information, responsabilité et EFVP
• Commissariat à la protection de la vie privée du Canada, IA et entreprises

Ce texte présente une approche opérationnelle générale. Il ne remplace pas un avis juridique adapté à votre situation.