La Loi 25 du Québec et l’IA : ce qu’exigent les décisions automatisées

La Loi 25 du Québec a modernisé, par étapes entre 2022 et 2024, la loi provinciale sur la protection des renseignements personnels dans le secteur privé. Plusieurs de ses dispositions s’appliquent directement à l’IA et aux systèmes automatisés, et elles visent toute entreprise qui traite des renseignements personnels de personnes au Québec, et non seulement les entreprises qui y sont établies.

Le présent article fournit de l’information générale et ne constitue pas un avis juridique. Faites valider vos obligations par un conseiller juridique.

Décisions fondées exclusivement sur un traitement automatisé

Lorsque vous rendez une décision fondée exclusivement sur un traitement automatisé des renseignements personnels d’une personne, par exemple une évaluation automatisée du crédit, de la tarification, de l’admissibilité ou des candidatures à l’embauche, la loi vous oblige à :

• informer la personne concernée que la décision a été prise de cette façon, au plus tard au moment où vous l’informez de la décision;
• lui faire connaître, à sa demande, les renseignements personnels utilisés pour rendre la décision, les raisons ainsi que les principaux facteurs et paramètres ayant mené à la décision, de même que son droit de faire rectifier ces renseignements;
• lui donner l’occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision.

En pratique, cela signifie que votre système d’IA doit être suffisamment explicable pour qu’un membre de votre équipe puisse décrire pourquoi il a rendu la décision qu’il a rendue.

Technologies de profilage, de localisation et d’identification

Si vous recourez à une technologie comprenant des fonctions permettant d’identifier, de localiser ou d’effectuer un profilage d’une personne, vous devez l’en informer, ainsi que des moyens offerts pour activer ces fonctions. Ces fonctions devraient être désactivées par défaut.

Évaluations des facteurs relatifs à la vie privée

Une évaluation des facteurs relatifs à la vie privée (EFVP) est requise pour tout projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique de services impliquant des renseignements personnels. La plupart des projets d’IA sont visés. Une EFVP est également requise avant de communiquer des renseignements personnels à l’extérieur du Québec, ce qui touche de nombreux services d’IA hébergés dans le nuage.

Les enjeux

La Loi 25 a instauré des sanctions administratives pécuniaires pouvant atteindre 10 M$ ou 2 % du chiffre d’affaires mondial, et des amendes pénales pouvant atteindre 25 M$ ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé.

Liste de vérification de la conformité pour l’IA

1. Dressez la liste de tous les systèmes qui prennent des décisions concernant des personnes ou qui y contribuent.
2. Indiquez quelles décisions sont prises exclusivement par traitement automatisé.
3. Rédigez l’avis et le processus d’explication pour chacune.
4. Désignez un membre du personnel chargé de la révision et documentez la façon dont les observations sont traitées.
5. Réalisez une EFVP pour chaque projet d’IA, y compris pour les communications de données à l’extérieur du Québec.
6. Consignez le tout dans votre registre de l’IA et votre programme de protection des renseignements personnels.

Nos équipes aident les organisations à inventorier leurs décisions automatisées, à réaliser des EFVP et à intégrer des processus d’explication dans leurs systèmes d’IA dès le départ.