Loi 25 et intelligence artificielle

Nous identifions chaque source, champ, propriétaire, groupe touché, destination, utilisateur et besoin de conservation. Nous classons les renseignements personnels, sensibles ou réglementés et les données d'affaires confidentielles. Nous repérons aussi les identifiants et secrets qui ne doivent jamais se retrouver dans des invites ou du matériel d'entraînement.

Ce que vous recevez : une carte des flux de données et un registre des données permises et interdites.

Nous vérifions si l'objectif peut être atteint sans renseignements personnels ou confidentiels, avec moins de champs ou avec des données synthétiques, agrégées, caviardées ou traitées localement. Le consentement ne remplace pas l'obligation de démontrer que les renseignements personnels sont nécessaires à la finalité annoncée.

Ce que vous recevez : une finalité documentée, un jeu de données minimal et les hypothèses de fondement légal à confirmer par le client.

Le responsable de la protection des renseignements personnels du client participe dès le début. Pour l'acquisition, le développement ou la refonte d'un système d'information impliquant des renseignements personnels — y compris un système d'IA — l'EFVP documente la conformité légale, les flux, les personnes touchées, les risques, leur gravité et leur probabilité, les mesures de protection, le risque résiduel et l'approbation. Elle est également réalisée avant de communiquer des renseignements personnels à l'extérieur du Québec ou de confier à une personne ou à un organisme à l'extérieur du Québec la tâche de les recueillir, de les utiliser, de les communiquer ou de les conserver. Elle est mise à jour si la finalité, les données, le modèle, le fournisseur ou le lieu change.

Ce que vous recevez : une décision EFVP indiquant poursuivre, modifier ou arrêter, avec les risques, responsables, mesures et dates de révision.

Nous vérifions les lieux d'hébergement et de traitement, les sous-traitants, les modalités d'entraînement des modèles, la conservation des invites et sorties, la sécurité, les accès, les avis d'incident, l'exportation et la suppression. L'entraînement d'un modèle partagé est désactivé dans la configuration et le contrat, sauf autorisation écrite expresse du client et fondement légal approprié. Toute communication applicable à l'extérieur du Québec doit offrir une protection adéquate et faire l'objet d'une entente écrite qui tient compte de l'EFVP.

Ce que vous recevez : une évaluation du fournisseur, les paramètres obligatoires et une liste de contrôle contractuelle.

Nous commençons avec des données synthétiques ou caviardées dans un environnement isolé. Les accès suivent le principe du moindre privilège. Selon le risque, les contrôles comprennent le chiffrement, la séparation des environnements, la pseudonymisation, les journaux d'audit, le filtrage des sorties et des tests contre les fuites de données, l'injection d'invites, les résultats erronés et les biais inappropriés. Les données de production ne sont activées qu'après vérification et approbation des contrôles.

Ce que vous recevez : les preuves de test, une matrice d'accès et une décision de préparation à la production.

En production, nous surveillons les accès, les erreurs, les fuites de données et les changements de fournisseur ou de modèle. Une révision humaine demeure dans le processus pour les décisions qui peuvent avoir un effet important sur une personne. Les entrées, sorties, journaux, copies du fournisseur et sauvegardes suivent le calendrier de conservation approuvé, puis sont retournés, supprimés ou légalement anonymisés. Le plan d'incident précise qui doit contenir, évaluer, consigner et transmettre les avis requis en cas d'incident de confidentialité.

Ce que vous recevez : un calendrier de conservation et de suppression, un plan de surveillance, une procédure d'incident et la documentation de transfert.