Niveau de preuve : C — faits vérifiés à la source, outils non testés par nous. Dernière vérification : 20 septembre 2026.
En bref. Saisir des renseignements de clients dans un outil d’IA hébergé hors Québec déclenche huit articles de la loi 25 d’un coup : déterminer les fins avant la collecte (art. 4), ne recueillir que le nécessaire (art. 5), informer la personne (art. 8), assurer des mesures de sécurité raisonnables (art. 10), obtenir un consentement manifeste, libre et éclairé (art. 14), et — le plus lourd — produire une évaluation des facteurs relatifs à la vie privée avant toute communication hors du Québec (art. 17). L’article 12.1 s’ajoute si une décision est fondée exclusivement sur un traitement automatisé, et l’article 18.3 ouvre la voie d’une communication à un prestataire sans consentement, sous conditions.
Cette page n’est pas un avis juridique et ne remplace pas un avocat.
Le critère mesurable de cette page
Le critère est le nombre d’articles de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1, modifiée par la loi 25) qui se déclenchent quand une entreprise québécoise saisit des renseignements personnels de clients dans un outil d’IA générative hébergé hors Québec. On en a lu onze à la source : les articles 3.3, 4, 5, 8, 8.1, 10, 12.1, 14, 17, 18.3 et 23. On ne cite que ce que le texte de loi et les publications officielles disent. Tout ce qui n’est pas écrit dans une source officielle est marqué « à vérifier ». Aucune opinion, aucune interprétation de notre part.
Tableau principal — les obligations déclenchées, article par article
| Article de P-39.1 | Ce que le texte impose | Déclenché par l’usage d’un outil d’IA hébergé hors Québec |
|---|---|---|
| 4 | Déterminer les fins avant la collecte | Oui |
| 5 | Ne recueillir que les renseignements « nécessaires aux fins déterminées avant la collecte », par des moyens licites | Oui |
| 8 | Informer la personne des fins, des moyens de collecte, de ses droits d’accès, de rectification et de retrait du consentement, des tiers destinataires et des coordonnées du responsable | Oui |
| 8.1 | Informer d’avance de l’usage d’une technologie d’identification, de localisation ou de profilage, et des moyens de la désactiver | À vérifier — dépend des fonctions réelles de l’outil |
| 10 | Mesures de sécurité « raisonnables » selon la sensibilité, la finalité, la quantité, la répartition et le support | Oui |
| 12.1 | Informer d’une décision fondée exclusivement sur un traitement automatisé ; sur demande, fournir renseignements, raisons, facteurs et paramètres ; permettre des observations devant un employé en mesure de réviser | Oui, seulement si la décision est exclusivement automatisée |
| 14 | Consentement « manifeste, libre, éclairé », à des fins spécifiques, demandé pour chacune, présenté distinctement | Oui |
| 17 | Évaluation des facteurs relatifs à la vie privée avant la communication hors Québec, plus entente écrite | Oui |
| 18.3 | Communication à un prestataire sans consentement, aux conditions d’un contrat écrit | Oui, voie prévue au texte pour un fournisseur |
| 23 | Détruire ou anonymiser quand les fins sont accomplies | Oui |
| 3.3 | Évaluation des facteurs relatifs à la vie privée pour tout projet d’acquisition, de développement ou de refonte de système d’information | Oui, si l’intégration constitue un tel projet |
Source : Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1, consultée le 20 septembre 2026.
La question centrale : envoyer des renseignements de clients dans un outil d’IA hébergé hors Québec
Le texte de loi ne nomme pas l’intelligence artificielle. Il nomme la communication à l’extérieur du Québec. C’est l’article 17 qui s’applique, et son libellé est explicite :
« Avant de communiquer à l’extérieur du Québec un renseignement personnel, la personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. Elle doit notamment tenir compte des éléments suivants : 1° la sensibilité du renseignement ; 2° la finalité de son utilisation ; 3° les mesures de protection, y compris celles qui sont contractuelles, dont le renseignement bénéficierait ; 4° le régime juridique applicable dans l’État où ce renseignement serait communiqué, notamment les principes de protection des renseignements personnels qui y sont applicables. »
Le même article fixe la condition de sortie et l’exigence contractuelle :
« La communication peut s’effectuer si l’évaluation démontre que le renseignement bénéficierait d’une protection adéquate, notamment au regard des principes de protection des renseignements personnels généralement reconnus. Elle doit faire l’objet d’une entente écrite qui tient compte notamment des résultats de l’évaluation et, le cas échéant, des modalités convenues dans le but d’atténuer les risques identifiés dans le cadre de cette évaluation. »
Trois faits découlent directement du texte : l’évaluation vient avant la communication, elle doit porter sur les quatre éléments nommés, et une entente écrite est requise. Le texte ne prévoit pas de seuil de volume, pas d’exemption pour les petites entreprises, pas de dispense pour un usage ponctuel ou expérimental.
Le Guide d’accompagnement : réaliser une évaluation des facteurs relatifs à la vie privée de la Commission (version 3.1, avril 2024) donne comme situation visée le « stockage de renseignements personnels en infonuagique à l’extérieur du Québec », et énumère la communication hors Québec parmi les cinq situations où l’évaluation s’impose, en précisant son entrée en vigueur le 22 septembre 2023. Le même guide mentionne « l’intelligence artificielle, notamment générative » et le fait de « rendre une décision automatisée à l’endroit d’une personne » parmi les traitements couverts.
Le Guide explicatif pour les entreprises — Prévenir les incidents de confidentialité (janvier 2026) formule la question de l’étape 2 ainsi : « Les règles applicables dans le pays où sont situés les serveurs infonuagiques sont-elles suffisantes pour protéger les renseignements comme s’ils étaient hébergés au Québec ? » Il ne fournit ni réponse par pays, ni liste d’États jugés adéquats.
Ce que les textes officiels ne disent pas : aucune publication lue le 20 septembre 2026 ne nomme un outil d’IA générative précis comme conforme ou non conforme, ne fournit de modèle d’entente écrite pour un fournisseur d’IA, ni ne déclare un pays adéquat au sens de l’article 17. Ces trois points sont à vérifier.
Sources : https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_GU_EFVP.pdf et https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_GU_ENTR_Prevention_incidents.pdf, consultées le 20 septembre 2026.
L’article 12.1 : les décisions exclusivement automatisées
C’est la seule disposition de P-39.1 qui porte directement sur le traitement automatisé. Texte intégral :
« Toute personne qui exploite une entreprise et qui utilise des renseignements personnels afin que soit rendue une décision fondée exclusivement sur un traitement automatisé de ceux-ci doit en informer la personne concernée au plus tard au moment où elle l’informe de cette décision.
Elle doit aussi, à la demande de la personne concernée, l’informer :
1° des renseignements personnels utilisés pour rendre la décision ;
2° des raisons, ainsi que des principaux facteurs et paramètres, ayant mené à la décision ;
3° de son droit de faire rectifier les renseignements personnels utilisés pour rendre la décision.
Il doit être donné à la personne concernée l’occasion de présenter ses observations à un membre du personnel de l’entreprise en mesure de réviser la décision. »
Quatre faits tirés du libellé. Le mot est exclusivement : les décisions partiellement automatisées ne sont pas couvertes. L’information de base est due d’office, au plus tard au moment où la décision est annoncée. Les trois éléments du deuxième alinéa sont dus sur demande seulement. Les observations doivent pouvoir être présentées à un membre du personnel « en mesure de réviser la décision ».
La Commission a relevé ces mêmes limites dans son mémoire L’IA au travail : pour un meilleur encadrement (27 janvier 2025), déposé auprès du ministère du Travail. Elle y propose de divulguer dans la politique de confidentialité les noms des systèmes et fournisseurs, les finalités, les renseignements en entrée et en sortie, les mesures d’atténuation et la méthode de production des résultats, et d’imposer une « analyse d’impact algorithmique prenant en considération l’impact sur les droits fondamentaux ». Ce sont des propositions législatives, pas du droit en vigueur.
Source : https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_ME_Transfo_Travail.pdf, consulté le 20 septembre 2026.
Consentement, finalité, minimisation
L’article 14 pose quatre qualités cumulatives : le consentement doit être « manifeste, libre, éclairé et être donné à des fins spécifiques », et il est « demandé à chacune de ces fins, en termes simples et clairs ». Une demande écrite doit être « présentée distinctement de toute autre information ». Le consentement « ne vaut que pour la durée nécessaire à la réalisation des fins auxquelles il a été demandé », et « un consentement qui n’est pas donné conformément à la présente loi est sans effet ».
L’article 4 exige de déterminer les fins avant la collecte ; l’article 5 la limite aux « renseignements nécessaires aux fins déterminées avant la collecte ». L’article 23 impose la destruction ou l’anonymisation quand les fins sont accomplies, et définit l’anonymisation comme l’état où il est « en tout temps, raisonnable de prévoir dans les circonstances qu’il ne permet plus, de façon irréversible, d’identifier directement ou indirectement cette personne ».
L’article 18.3 est la voie prévue au texte pour confier des renseignements à un fournisseur sans consentement additionnel : mandat ou contrat de service écrit, clauses de confidentialité, usage limité à l’exécution du contrat, destruction à la fin.
Ce que la Commission a publié sur l’IA
Documents lus à la source le 20 septembre 2026, avec leur date :
- Mémoire — Pour un développement responsable de l’intelligence artificielle, mars 2018
- Document de consultation sur les principes en intelligence artificielle, avril 2020
- Intelligence artificielle et protection des renseignements personnels — Retour sur la consultation, 4 mai 2021
- Principes pour des technologies de l’IA générative responsables, dignes de confiance et respectueuses de la vie privée, 7 décembre 2023 (principes conjoints, 15 autorités)
- Guide d’accompagnement : réaliser une évaluation des facteurs relatifs à la vie privée, version 3.1, avril 2024
- Mémoire — L’IA au travail : pour un meilleur encadrement, 27 janvier 2025
- Rapport de conclusions — Enquête conjointe sur OpenAI OpCo, LLC, 6 mai 2026
Sources : https://www.cai.gouv.qc.ca/commission-acces-information/rapports-etudes-documents-officiels et https://www.cai.gouv.qc.ca/commission-acces-information/guide-fiches-information, consultées le 20 septembre 2026.
Le document du 4 mai 2021 énonce des constats, pas des obligations : la Commission y écrit que les entreprises devraient « obligatoirement divulguer l’utilisation d’un SIA » lors d’interactions directes avec les individus, et propose un « droit à la révision par une personne physique » d’une telle décision.
Le fédéral
Les Principes pour des technologies de l’intelligence artificielle (IA) générative responsables, dignes de confiance et respectueuses de la vie privée ont été publiés le 7 décembre 2023 par le Commissariat à la protection de la vie privée du Canada et les autorités provinciales et territoriales, dont la Commission d’accès à l’information du Québec — quinze autorités. Les neuf principes : autorité légale et consentement ; fins appropriées ; nécessité et proportionnalité ; transparence ; responsabilité ; accès aux renseignements personnels ; limitation de la collecte, de l’utilisation et de la communication ; exactitude ; mesures de sécurité.
Extraits du texte : la collecte « ne devrait avoir lieu qu’à des fins qu’une personne raisonnable jugerait appropriées » et devrait être « restreinte à ce qui est nécessaire, en utilisant des données anonymisées ou dépersonnalisées lorsque cela est possible » ; les résultats « devraient être traçables et explicables ».
Le Commissariat a aussi publié L’intelligence artificielle, la protection de la vie privée et votre entreprise, page mise à jour le 6 mai 2025. Elle demande d’« ajouter une mention lorsque l’IA générative a été utilisée pour créer du contenu ou prendre des décisions », de limiter le partage de données sensibles et d’intégrer la protection de la vie privée dès la conception.
Le 6 mai 2026, quatre autorités — le Commissariat fédéral, la Commission d’accès à l’information du Québec et les commissariats de la Colombie-Britannique et de l’Alberta — ont publié le Rapport de conclusions — Enquête conjointe sur OpenAI OpCo, LLC (dossiers PIPEDA-045141, P23-93177, 1032001-S et 030562 ; référence fédérale : rapport PIPEDA 2026-002). Les autorités y concluent qu’OpenAI a contrevenu aux lois sur la protection des renseignements personnels, jugent la collecte de renseignements issus de sources Internet « trop large et donc inappropriée » et estiment qu’au moment de développer et de déployer GPT-3.5 et GPT-4, OpenAI « ne respectait pas les exigences en matière d’exactitude prévues par les Lois ». Le rapport établit la compétence des quatre autorités malgré le siège américain de l’entreprise, sur la base d’« un lien réel et substantiel avec le Canada », et précise que les données d’interaction comprennent « ce qui est saisi dans le modèle et le résultat obtenu, les téléchargements d’images et de fichiers, la rétroaction de l’utilisateur ».
Sources : https://www.priv.gc.ca/fr/sujets-lies-a-la-protection-de-la-vie-privee/technologie/intelligence-artificielle/gd_principes_ia/, https://www.priv.gc.ca/fr/sujets-lies-a-la-protection-de-la-vie-privee/technologie/intelligence-artificielle/ai_entreprises/ et https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_RAP_conj_OpenAI.pdf, consultées le 20 septembre 2026.
L’état d’avancement d’une loi fédérale sur l’IA
Fait vérifié à la source parlementaire : le projet de loi C-27, Loi de 2022 sur la mise en œuvre de la Charte du numérique, qui contenait la Loi sur l’intelligence artificielle et les données (LIAD), a franchi la deuxième lecture le 24 avril 2023 et a été renvoyé au Comité permanent de l’industrie et de la technologie. La fiche LEGISinfo affiche comme état d’avancement « À l’examen en comité à la Chambre des communes ». L’étape du rapport et la troisième lecture n’ont pas été franchies : le projet de loi n’a pas reçu la sanction royale.
La même fiche indique que la 44e législature, 1re session s’est déroulée du 22 novembre 2021 au 6 janvier 2025, et porte la mention « L’information ci-dessous se rapporte à une session antérieure ». La législature en cours est la 45e, 1re session, débutée le 26 mai 2025. C-27 et la LIAD ne sont donc pas en vigueur au 20 septembre 2026.
Sources : https://www.parl.ca/legisinfo/fr/projet-de-loi/44-1/c-27 et https://www.ourcommons.ca/members/fr/votes, consultées le 20 septembre 2026.
Ce qui reste à vérifier
- Montants des sanctions administratives pécuniaires, des amendes pénales et des dommages-intérêts punitifs de P-39.1. Les paragraphes 4.1, 5 et 6 figurent à la table des matières de la loi, mais le texte des articles 90.1, 91 et suivants n’a pas pu être lu pendant cette session. Montants : à vérifier.
- Existence d’un nouveau projet de loi fédéral sur l’IA dans la 45e législature. La recherche LEGISinfo est bloquée par le fichier robots.txt du site parlementaire. Statut : à vérifier.
- Liste d’États jugés offrir une protection adéquate au sens de l’article 17 : aucune liste officielle lue. À vérifier.
- Modèle d’entente écrite au sens de l’article 17 ou de l’article 18.3 publié par la Commission : non trouvé. À vérifier.
- Orientation ou avis de la Commission portant spécifiquement sur l’usage d’un outil d’IA générative commercial par une entreprise, par opposition aux mémoires, guides et principes conjoints recensés ci-dessus : non trouvé. À vérifier.
- Position officielle sur le statut des invites contenant des renseignements de clients : le rapport du 6 mai 2026 décrit ce qui est saisi dans le modèle comme une donnée d’interaction, mais aucune orientation lue ne qualifie explicitement la saisie d’une invite comme une « communication » au sens de l’article 17. À vérifier.
- Règlement d’application ou décret précisant les critères de l’évaluation des facteurs relatifs à la vie privée pour un système d’information : à vérifier.
Méthode
Tous les articles de loi cités ici ont été lus le 20 septembre 2026 sur legisquebec.gouv.qc.ca, au chapitre P-39.1. Les guides, mémoires, principes conjoints et le rapport d’enquête ont été lus le même jour sur cai.gouv.qc.ca et priv.gc.ca. Le statut de C-27 a été lu sur parl.ca/legisinfo, et la législature en cours sur ourcommons.ca.
Ce que cette page ne fait pas : elle ne donne aucun avis juridique, ne conclut pas qu’un outil ou un fournisseur est conforme, ne recommande aucun produit, ne remplace pas une évaluation des facteurs relatifs à la vie privée et ne remplace pas un avocat. Aucun outil n’a été testé, aucun contrat de fournisseur n’a été lu. Les propositions citées dans les mémoires de la Commission sont adressées au gouvernement, pas du droit en vigueur — la page les identifie comme telles à chaque fois.
Une tension de sources a été relevée, et elle est consignée plutôt qu’arbitrée : la fiche LEGISinfo de C-27 continue d’afficher « À l’examen en comité à la Chambre des communes » tout en indiquant que la session 44-1 est terminée depuis le 6 janvier 2025. Les deux mentions sont reproduites ci-dessus telles quelles.
Cette page n’est pas un avis juridique et ne remplace pas un avocat. Pour une situation précise, consultez un avocat ou communiquez directement avec la Commission d’accès à l’information.
À lire aussi
- Le web scraping est-il légal ? Ce que disent la loi 25 et PIPEDA — le moissonnage de données est-il légal, texte de loi à l’appui
- Loi 25 : où sont hébergées les données de vos outils SaaS — le tableau d’hébergement des données, outil par outil
- Loi 25 et site web d’une PME : ce qu’il faut afficher (responsable, politique de confidentialité, témoins, formulaires) — responsable, politique de confidentialité, témoins : ce que le site doit afficher
- Chatbots pour site de PME : lesquels offrent interface et support en français — quels chatbots offrent une interface en français
- Transcription de réunions Teams, Zoom et Meet : lesquels annoncent le français canadien — quels outils de transcription de réunions annoncent le français canadien
Ce site peut toucher une commission si vous vous abonnez à un outil par un de nos liens. Ça ne change ni les prix affichés, ni le contenu de cette page, qui ne contient aucune recommandation.