Dernière mise à jour : 5 août 2026
Les PME du Québec devraient pouvoir améliorer leurs opérations avec l'IA sans perdre le contrôle des données de leurs clients, de leurs employés ou de leur entreprise. « Loi 25 » est le nom couramment donné à la réforme québécoise dont les obligations sont maintenant intégrées notamment à la Loi sur la protection des renseignements personnels dans le secteur privé. Voici comment nous transformons ces obligations en décisions de projet. Cette page complète notre politique de confidentialité et ne constitue pas un avis juridique.
La Loi 25 ne régit pas chaque donnée d'affaires ni chaque usage de l'IA. Elle s'applique lorsqu'une organisation du secteur privé recueille, utilise, communique, conserve ou détruit des renseignements personnels, c'est-à-dire des renseignements qui permettent d'identifier directement ou indirectement une personne. Un projet d'IA qui utilise des dossiers clients, des renseignements d'employés, des courriels, des enregistrements, des messages de soutien, des identifiants ou des profils inférés peut donc être visé. La Commission d'accès à l'information cite expressément les systèmes d'intelligence artificielle parmi les systèmes pouvant nécessiter une EFVP lorsque des renseignements personnels sont en jeu.
L'entreprise demeure responsable des renseignements personnels qu'elle détient, même lorsque Yeevy ou un fournisseur infonuagique ou d'IA les traite. Son responsable de la protection des renseignements personnels approuve la finalité, les données nécessaires, l'EFVP, le risque résiduel et la mise en production.
Yeevy est directement responsable des renseignements qu'elle recueille pour ses propres activités. Dans un mandat client, nous traitons uniquement les renseignements requis par l'entente écrite, protégeons leur confidentialité, signalons sans délai toute violation de confidentialité et ne les conservons pas après le mandat, sauf si l'entente et la loi le permettent.
Un fournisseur d'IA ou infonuagique est évalué comme un autre fournisseur de services. Il faut connaître son emplacement, ses sous-traitants, l'utilisation pour l'entraînement, la conservation, les accès, la sécurité, les avis d'incident, l'exportation et la suppression. Un traitement hors Québec exige une EFVP, une protection adéquate et une entente écrite.
Pour un projet typique de PME québécoise impliquant des renseignements personnels, l'entreprise devrait pouvoir démontrer chacun des éléments suivants :
Si un projet utilise uniquement des données synthétiques ou des renseignements anonymisés conformément à la loi, certaines obligations relatives aux renseignements personnels peuvent ne pas s'appliquer. Un renseignement dépersonnalisé est différent : il demeure protégé et l'entreprise doit prendre des mesures raisonnables contre la réidentification.
Par défaut, les prototypes utilisent des données synthétiques, caviardées ou dépersonnalisées. Aucun renseignement personnel sensible, dossier client, secret d'affaires ou identifiant d'accès n'est envoyé à un service d'IA externe avant que le besoin, les données autorisées, le fournisseur, l'EFVP applicable, les mesures contractuelles et l'autorisation du client soient documentés. Si le risque ne peut pas être ramené à un niveau acceptable, nous modifions l'architecture ou cessons cette utilisation des données.
La Loi 25 protège les renseignements concernant une personne identifiable. Pour une PME, il peut s'agir des dossiers de clients et d'employés, courriels, enregistrements, conversations de soutien, renseignements financiers ou de santé, identifiants et renseignements inférés par un système d'IA. La dépersonnalisation réduit le risque, mais ne rend pas automatiquement les renseignements anonymes et ne les soustrait pas aux obligations de confidentialité.
Les contrats, prix, processus, codes sources, prévisions et stratégies d'affaires peuvent être confidentiels même s'ils n'identifient personne. La Loi 25 peut ne pas s'y appliquer de la même façon, mais nous les protégeons tout de même par l'entente de projet, des restrictions d'accès, les contrôles du fournisseur et une liste explicite de ce qui est permis ou interdit dans le système d'IA.
Chaque projet franchit les portes suivantes avant l'activation des données de production. Si une porte échoue, les données restent à l'écart pendant que nous modifions la conception, choisissons un autre fournisseur ou arrêtons cette partie du projet.
Nous identifions chaque source, champ, propriétaire, groupe touché, destination, utilisateur et besoin de conservation. Nous classons les renseignements personnels, sensibles ou réglementés et les données d'affaires confidentielles. Nous repérons aussi les identifiants et secrets qui ne doivent jamais se retrouver dans des invites ou du matériel d'entraînement.
Ce que vous recevez : une carte des flux de données et un registre des données permises et interdites.
Nous vérifions si l'objectif peut être atteint sans renseignements personnels ou confidentiels, avec moins de champs ou avec des données synthétiques, agrégées, caviardées ou traitées localement. Le consentement ne remplace pas l'obligation de démontrer que les renseignements personnels sont nécessaires à la finalité annoncée.
Ce que vous recevez : une finalité documentée, un jeu de données minimal et les hypothèses de fondement légal à confirmer par le client.
Le responsable de la protection des renseignements personnels du client participe dès le début. Pour l'acquisition, le développement ou la refonte d'un système d'information impliquant des renseignements personnels — y compris un système d'IA — l'EFVP documente la conformité légale, les flux, les personnes touchées, les risques, leur gravité et leur probabilité, les mesures de protection, le risque résiduel et l'approbation. Elle est également réalisée avant de communiquer des renseignements personnels à l'extérieur du Québec ou de confier à une personne ou à un organisme à l'extérieur du Québec la tâche de les recueillir, de les utiliser, de les communiquer ou de les conserver. Elle est mise à jour si la finalité, les données, le modèle, le fournisseur ou le lieu change.
Ce que vous recevez : une décision EFVP indiquant poursuivre, modifier ou arrêter, avec les risques, responsables, mesures et dates de révision.
Nous vérifions les lieux d'hébergement et de traitement, les sous-traitants, les modalités d'entraînement des modèles, la conservation des invites et sorties, la sécurité, les accès, les avis d'incident, l'exportation et la suppression. L'entraînement d'un modèle partagé est désactivé dans la configuration et le contrat, sauf autorisation écrite expresse du client et fondement légal approprié. Toute communication applicable à l'extérieur du Québec doit offrir une protection adéquate et faire l'objet d'une entente écrite qui tient compte de l'EFVP.
Ce que vous recevez : une évaluation du fournisseur, les paramètres obligatoires et une liste de contrôle contractuelle.
Nous commençons avec des données synthétiques ou caviardées dans un environnement isolé. Les accès suivent le principe du moindre privilège. Selon le risque, les contrôles comprennent le chiffrement, la séparation des environnements, la pseudonymisation, les journaux d'audit, le filtrage des sorties et des tests contre les fuites de données, l'injection d'invites, les résultats erronés et les biais inappropriés. Les données de production ne sont activées qu'après vérification et approbation des contrôles.
Ce que vous recevez : les preuves de test, une matrice d'accès et une décision de préparation à la production.
En production, nous surveillons les accès, les erreurs, les fuites de données et les changements de fournisseur ou de modèle. Une révision humaine demeure dans le processus pour les décisions qui peuvent avoir un effet important sur une personne. Les entrées, sorties, journaux, copies du fournisseur et sauvegardes suivent le calendrier de conservation approuvé, puis sont retournés, supprimés ou légalement anonymisés. Le plan d'incident précise qui doit contenir, évaluer, consigner et transmettre les avis requis en cas d'incident de confidentialité.
Ce que vous recevez : un calendrier de conservation et de suppression, un plan de surveillance, une procédure d'incident et la documentation de transfert.
Par défaut, l'IA assiste une personne; elle ne remplace pas le jugement humain responsable lorsqu'une décision a un effet important sur quelqu'un.
Si un client choisit une décision fondée exclusivement sur le traitement automatisé de renseignements personnels, nous concevons le processus afin qu'il puisse donner l'avis requis, expliquer sur demande les renseignements et les principaux facteurs utilisés, corriger les renseignements inexacts, recevoir les observations de la personne et offrir une véritable révision humaine.
La PME demeure responsable des renseignements personnels qu'elle détient et approuve la finalité, les données, le risque résiduel et la mise en production par l'entremise de son responsable de la protection des renseignements personnels. Yeevy fournit les faits techniques, applique les contrôles convenus, documente ses recommandations et appuie les obligations d'accès, de rectification, de retrait du consentement et de gestion des incidents à titre de fournisseur de services. Un conseiller juridique devrait valider les usages nouveaux, sensibles, réglementés ou à incidence élevée.
Pour les renseignements recueillis directement par Yeevy, communiquez avec Oleg Hmelevschi, responsable de la protection des renseignements personnels de Yeevy — info@yeevy.ai · 514 346-2956.
