# Que demande la Loi 25 quand on utilise l'intelligence artificielle au Québec ?

l'IA privée enfermée qui reste dans votre bureau, au Québec

Avec ou sans IA, la même loi s'applique à votre entreprise. Chaque article de la loi suit plus bas, mot pour mot. Oria, d'Agent Oria, est l'IA privée enfermée qui reste dans votre bureau, au Québec.

La Loi 25 (2021, chapitre 25) a modifié la Loi sur la protection des renseignements personnels dans le secteur privé. Voici ce que cette loi exige de vous :

- Il vous faut un responsable de la protection des renseignements personnels (art. 3.1).
- Établissez des politiques et des pratiques pour protéger ces renseignements et appliquez-les (art. 3.2).
- Évaluez les effets sur la vie privée de tout projet pour acquérir, développer ou refaire un système qui touche ces renseignements (art. 3.3).
- Quand vous recueillez les renseignements personnels de quelqu'un, dites-lui à quoi ils serviront, comment vous les recueillez et quels sont ses droits (art. 8).
- Si vous recueillez ces renseignements avec une technologie qui peut identifier, localiser ou profiler la personne, prévenez-la d'abord (art. 8.1).
- Si vous recueillez ces renseignements par un moyen technologique, comme un formulaire en ligne, publiez une politique de confidentialité (art. 8.2).
- Si un système décide seul, à partir des renseignements d'une personne, dites-le-lui au plus tard quand vous lui annoncez la décision (art. 12.1).
- Avant qu'un renseignement personnel sorte du Québec, évaluez les effets sur la vie privée et concluez une entente écrite (art. 17).

## Ce qui change quand l'IA reste au bureau

Oria, c'est un ordinateur réservé à votre bureau et l'IA qu'il contient. Pour vous répondre, son IA n'envoie rien hors du bureau. L'article 17 s'applique quand des renseignements personnels sortent du Québec. Il s'applique aussi quand un fournisseur hors du Québec garde ou utilise ces renseignements pour vous.

Les recherches d'Oria sur internet et « Oria de partout » ne servent que si vous ouvrez la porte du coffre-fort, avec votre mot de passe, pour mettre Oria en ligne. Chacune s'active ensuite d'un clic. « Oria de partout » est une deuxième adresse pour joindre Oria de chez vous, protégée par le mot de passe de chaque compte. Les réponses d'Oria par texto passent par le réseau cellulaire, sans internet.

L'article 3.3 demande la même évaluation pour un système installé au bureau et pour un système en ligne.

Dites à Oria : « trouve le bail Dupont ». Elle retrouve le bail pour vous. Elle rédige aussi un brouillon, que le professionnel corrige. Le professionnel prend la décision et accomplit l'acte professionnel.

[Voir : pourquoi Oria reste un coffre-fort hors ligne](/fr/confiance)

## Il vous faut un responsable de la protection des renseignements personnels (art. 3.1)

> « Toute personne qui exploite une entreprise est responsable de la protection des renseignements personnels qu’elle détient.
>
> Au sein de l’entreprise, la personne ayant la plus haute autorité veille à assurer le respect et la mise en oeuvre de la présente loi. Elle exerce la fonction de responsable de la protection des renseignements personnels; elle peut déléguer cette fonction par écrit, en tout ou en partie, à toute personne.
>
> Le titre et les coordonnées du responsable de la protection des renseignements personnels sont publiés sur le site Internet de l’entreprise ou, si elle n’a pas de site, rendus accessibles par tout autre moyen approprié. »

## Adoptez des politiques pour protéger les renseignements personnels (art. 3.2)

> « Toute personne qui exploite une entreprise doit établir et mettre en oeuvre des politiques et des pratiques encadrant sa gouvernance à l’égard des renseignements personnels et propres à assurer la protection de ces renseignements. Celles-ci doivent notamment prévoir l’encadrement applicable à la conservation et à la destruction de ces renseignements, prévoir les rôles et les responsabilités des membres de son personnel tout au long du cycle de vie de ces renseignements et un processus de traitement des plaintes relatives à la protection de ceux-ci. Elles doivent également être proportionnées à la nature et à l’importance des activités de l’entreprise et être approuvées par le responsable de la protection des renseignements personnels.
>
> Des informations détaillées au sujet de ces politiques et de ces pratiques, notamment en ce qui concerne le contenu exigé au premier alinéa, sont, en termes simples et clairs, publiées sur le site Internet de l’entreprise ou, si elle n’a pas de site, rendues accessibles par tout autre moyen approprié. »

## Évaluez les effets d'un projet de système sur la vie privée (art. 3.3)

> « Toute personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée de tout projet d’acquisition, de développement et de refonte de système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels.
>
> Aux fins de cette évaluation, la personne doit consulter, dès le début du projet, son responsable de la protection des renseignements personnels. (…) »

## Informez la personne quand vous recueillez ses renseignements (art. 8)

> « La personne qui recueille des renseignements personnels auprès de la personne concernée doit, lors de la collecte et par la suite sur demande, l’informer:
>
> 1° des fins auxquelles ces renseignements sont recueillis;
>
> 2° des moyens par lesquels les renseignements sont recueillis;
>
> 3° des droits d’accès et de rectification prévus par la loi;
>
> 4° de son droit de retirer son consentement à la communication ou à l’utilisation des renseignements recueillis.
>
> Le cas échéant, la personne concernée est informée du nom du tiers pour qui la collecte est faite, du nom des tiers ou des catégories de tiers à qui il est nécessaire de communiquer les renseignements aux fins visées au paragraphe 1° du premier alinéa et de la possibilité que les renseignements soient communiqués à l’extérieur du Québec. (…) »

## Prévenez d'abord si une technologie peut identifier, localiser ou profiler une personne (art. 8.1)

> « En plus des informations devant être fournies suivant l’article 8, la personne qui recueille des renseignements personnels auprès de la personne concernée en ayant recours à une technologie comprenant des fonctions permettant de l’identifier, de la localiser ou d’effectuer un profilage de celle-ci doit, au préalable, l’informer:
>
> 1° du recours à une telle technologie;
>
> 2° des moyens offerts pour activer les fonctions permettant d’identifier, de localiser ou d’effectuer un profilage. (…) »

## Publiez une politique de confidentialité (art. 8.2)

> « La personne qui recueille par un moyen technologique des renseignements personnels doit publier sur le site Internet de l’entreprise, le cas échéant, et diffuser par tout moyen propre à atteindre les personnes concernées une politique de confidentialité rédigée en termes simples et clairs. Elle fait de même pour l’avis dont toute modification à cette politique doit faire l’objet. »

## Dites-le à la personne quand un système décide seul (art. 12.1)

> « Toute personne qui exploite une entreprise et qui utilise des renseignements personnels afin que soit rendue une décision fondée exclusivement sur un traitement automatisé de ceux-ci doit en informer la personne concernée au plus tard au moment où elle l’informe de cette décision. (…) »

## Évaluez les effets sur la vie privée avant qu'un renseignement sorte du Québec (art. 17)

> « Avant de communiquer à l’extérieur du Québec un renseignement personnel, la personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. Elle doit notamment tenir compte des éléments suivants:
>
> 1° la sensibilité du renseignement;
>
> 2° la finalité de son utilisation;
>
> 3° les mesures de protection, y compris celles qui sont contractuelles, dont le renseignement bénéficierait;
>
> 4° le régime juridique applicable dans l’État où ce renseignement serait communiqué, notamment les principes de protection des renseignements personnels qui y sont applicables.
>
> La communication peut s’effectuer si l’évaluation démontre que le renseignement bénéficierait d’une protection adéquate, notamment au regard des principes de protection des renseignements personnels généralement reconnus. Elle doit faire l’objet d’une entente écrite qui tient compte notamment des résultats de l’évaluation et, le cas échéant, des modalités convenues dans le but d’atténuer les risques identifiés dans le cadre de cette évaluation.
>
> Il en est de même lorsque la personne qui exploite une entreprise confie à une personne ou à un organisme à l’extérieur du Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver pour son compte un tel renseignement. (…) »

## Sources

- [Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1), LégisQuébec](https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1) (lue le 30 octobre 2026)

Appelez-nous au 450 239-2228 ou sans frais au 1 855 239-2228.

Page : https://www.agent-oria.com/fr/ia-loi-25