Réponse — Gouvernance de l’IA
Qu’est-ce qu’une décision automatisée selon la Loi 25 ?
La Loi 25 vise les décisions fondées exclusivement sur un traitement automatisé de renseignements personnels. Trois obligations s’ensuivent : informer la personne, lui communiquer sur demande les principaux facteurs et paramètres, et recueillir ses observations auprès de quelqu’un en mesure de réviser la décision. Une intervention humaine significative soustrait la décision à ce régime.
Quelles décisions sont visées ?
Celles rendues exclusivement par un traitement automatisé de renseignements personnels — sans intervention humaine au moment de décider. Le mot porte tout le régime : une décision où une personne exerce un jugement réel avant qu’elle prenne effet n’est pas visée. À l’inverse, une validation humaine de pure forme — cliquer « approuver » sans examiner — ne constitue pas une intervention significative.
Le régime existe en deux textes jumeaux : l’article 12.1 de la Loi sur la protection des renseignements personnels dans le secteur privé et l’article 65.2 de la Loi sur l’accès — celui qui s’applique aux organismes publics, municipalités comprises.
Quelles obligations la Loi crée-t-elle ?
Trois, à la charge de l’organisation qui décide :
- Informer la personne, au plus tard au moment de la décision, qu’elle repose exclusivement sur un traitement automatisé.
- Communiquer, sur demande, les renseignements utilisés, les principaux facteurs et paramètres ayant mené à la décision, et son droit de faire rectifier les renseignements.
- Recueillir ses observations auprès d’un membre du personnel en mesure de réviser la décision.
La portée exacte mérite d’être lue dans le texte : le droit conféré est de présenter des observations — pas une garantie de nouvelle décision.
Que faut-il pouvoir démontrer ?
D’abord une chose simple : savoir lesquels de vos systèmes décident seuls. L’obligation ne se déclenche qu’au moment d’une décision exclusivement automatisée ; encore faut-il pouvoir dire, preuve à l’appui, quels outils traitent des renseignements personnels, lesquels rendent des décisions, et où une personne intervient réellement. C’est un fait d’inventaire avant d’être un fait juridique.
C’est ce que tient Agentica : la cartographie continue de chaque agent d’IA de votre environnement d’affaires, enregistrée dans un historique infalsifiable — de quoi répondre à la question « lesquels décident seuls ? » avec un registre daté plutôt qu’une estimation.