« L’IA est-elle conforme à la Loi 25 pour un cabinet? »

Un outil peut-il être « conforme à la Loi 25 »?

Non, et c’est le point de départ honnête. La Loi 25, la loi québécoise qui a modernisé la protection des renseignements personnels, impose des obligations aux organisations qui recueillent et traitent ces renseignements : elle s’applique donc au cabinet, pas aux logiciels qu’il utilise. Un outil, IA comprise, n’est jamais « conforme » en soi; ce sont les pratiques du cabinet qui le sont ou ne le sont pas : comment les accès sont attribués, comment le consentement est obtenu, comment les incidents sont consignés. Un fournisseur qui vend un produit « conforme à la Loi 25 » vend un raccourci qui n’existe pas. Agentica ne certifie rien et ne rend personne conforme; la responsabilité reste au cabinet et à ses propres conseillers. Ce qu’un fournisseur peut faire d’utile, c’est installer des systèmes qui rendent les bonnes pratiques possibles, puis documenter ce qui est vérifiable. La question utile n’est donc pas « l’outil est-il conforme? », mais « nos pratiques le sont-elles, outil compris? ».

Qu’est-ce que la Loi 25 exige d’un cabinet, dans les grandes lignes?

Dans les grandes lignes, et selon la Commission d’accès à l’information du Québec (CAI), la Loi 25 demande à une organisation de désigner une personne responsable de la protection des renseignements personnels; d’obtenir un consentement valable pour la collecte et l’utilisation de ces renseignements; de mettre en place des mesures de sécurité proportionnées à leur sensibilité; et de tenir un registre des incidents de confidentialité, avec notification lorsqu’un incident présente un risque sérieux de préjudice. Ce résumé décrit le terrain, pas un avis juridique : le détail des obligations et leur application au contexte précis d’un cabinet relèvent de la CAI et des conseillers du cabinet lui-même. La bonne pratique est simple : la personne responsable désignée au cabinet évalue chaque nouvel outil, IA comprise, avec ces obligations en tête, et tranche avec l’aide de ses propres professionnels plutôt que sur la parole d’un vendeur.

Qu’est-ce qu’Agentica installe, par rapport à ces obligations?

Agentica installe des systèmes configurés pour que le cabinet puisse respecter ses obligations, sans jamais prétendre les respecter à sa place. Concrètement : des accès attribués par employé, avec des comptes individuels plutôt qu’un mot de passe partagé, pour que « qui accède à quoi » ait une réponse claire; une journalisation de l’activité des systèmes, pour qu’une vérification après coup soit possible; une fiche de protection des données remise au cabinet, qui énonce qui héberge chaque système, qui peut accéder à quoi, ce qui est journalisé, et que les données clients ne servent jamais à entraîner l’IA; et des interfaces pleinement fonctionnelles en français, pour l’équipe comme pour les clients. Après la mise en place, Agentica entretient, soutient et fait évoluer ces systèmes. La reddition de comptes, elle, ne bouge pas : elle reste au cabinet, à sa personne responsable et à ses professionnels.

Quelles questions poser à un fournisseur d’IA, avec la Loi 25 en tête?

Les questions utiles sont celles dont la réponse se vérifie par écrit. Qui héberge chaque système, et où cette information est-elle documentée? Qui peut accéder aux renseignements personnels, et les accès sont-ils individuels? Qu’est-ce qui est journalisé, et le cabinet peut-il le consulter? Les données servent-elles à entraîner l’IA, et où le fournisseur publie-t-il cet engagement? L’interface fonctionne-t-elle entièrement en français? Un fournisseur sérieux répond à chacune par un document, pas par une formule rassurante. Et la décision finale ne lui appartient jamais : c’est la personne responsable de la protection des renseignements personnels au cabinet qui évalue, avec les conseillers du cabinet, si l’outil s’insère dans ses pratiques. Agentica se présente à cet examen avec sa fiche de protection des données; c’est exactement le genre d’examen qu’un cabinet devrait faire passer à tous ses fournisseurs. Un cabinet qui exige des documents plutôt que des formules se protège mieux que n’importe quel logo de conformité.