Au Québec, une entreprise qui utilise des renseignements personnels pour rendre une décision fondée exclusivement sur un traitement automatisé doit respecter des obligations particulières d’information et d’intervention humaine. L’article 12.1 de la Loi sur la protection des renseignements personnels dans le secteur privé est le point de départ. L’étiquette « intelligence artificielle » ne suffit pas à déterminer si cette disposition s’applique.
Pour une organisation, l’enjeu est de comprendre comment la décision est réellement prise et de préparer un processus utilisable par la personne concernée. Ce guide présente les obligations du secteur privé québécois et une fiche de mise en œuvre. Il ne remplace pas l’analyse juridique d’un projet particulier; les organismes publics relèvent d’un cadre distinct.
À retenir
- L’article 12.1 vise une décision fondée exclusivement sur un traitement automatisé de renseignements personnels.
- La personne doit être informée de cette automatisation au plus tard lorsqu’elle est informée de la décision.
- Sur demande, elle doit recevoir les renseignements prévus par la loi sur les données et les facteurs ayant mené à la décision.
- Elle doit avoir l’occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision.
- Un canal de contact doit mener à une personne qui dispose d’informations utiles et d’une capacité réelle d’intervention.
Vérifier le fonctionnement réel du processus
Trois éléments structurent l’examen : des renseignements personnels sont utilisés, une décision est rendue et cette décision repose exclusivement sur un traitement automatisé. Un système de règles peut donc être concerné même s’il n’utilise pas un modèle génératif. À l’inverse, un outil d’IA qui aide à préparer un texte ne produit pas nécessairement une telle décision.
Cartographiez le parcours du dossier, depuis les renseignements reçus jusqu’à la communication du résultat. Indiquez où une personne intervient, ce qu’elle voit et ce qu’elle peut changer. Une étape intitulée « validation » ne décrit pas, à elle seule, la substance de l’examen. La qualification du processus doit tenir compte de son fonctionnement réel et des faits propres au projet.
Le texte de référence demeure la loi consolidée. La Commission d’accès à l’information présente également les principaux changements introduits par la Loi 25, dont ceux concernant les décisions automatisées. Légis Québec, article 12.1; repères de la Commission d’accès à l’information. Références vérifiées le 17 octobre 2026.
Distinguer l’avis initial des informations sur demande
L’entreprise doit informer la personne du caractère exclusivement automatisé de la décision au plus tard au moment où elle l’informe de cette décision. Cette obligation ne dépend pas d’une demande préalable. L’avis doit donc être intégré au parcours de communication, et sa présence doit pouvoir être vérifiée sur les supports réellement utilisés.
Sur demande, l’entreprise doit aussi informer la personne des renseignements personnels utilisés pour rendre la décision, des raisons ainsi que des principaux facteurs et paramètres ayant mené à celle-ci. Elle doit l’informer de son droit de faire rectifier les renseignements personnels utilisés. Ces éléments sont distincts : une description générale du logiciel ne répond pas nécessairement à une question portant sur les données utilisées dans un dossier précis.
La loi prévoit également que la personne doit avoir l’occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision. Cela n’équivaut pas à une garantie d’annulation ou de résultat favorable. L’organisation doit cependant rendre cette possibilité praticable et désigner une personne dont le rôle permet un examen utile.
Une fiche de préparation pour l’organisation
La fiche suivante est une proposition opérationnelle d’extensio.ai. Elle vise à relier les exigences aux responsables et aux preuves disponibles. Les formulations et les délais internes doivent être adaptés au contexte avec les personnes compétentes. Cette fiche ne constitue pas, à elle seule, une démonstration de conformité.
| Élément | Décision à prendre | Preuve à vérifier |
|---|---|---|
| Périmètre | Quels processus et quelles décisions sont concernés? | Cartographie du traitement et interventions humaines |
| Avis | Où et quand la personne est-elle informée? | Exemple réel de message et moment de communication |
| Demande d’information | Qui reçoit la demande et vérifie l’identité au besoin? | Canal fonctionnel et procédure proportionnée |
| Explication | Quelles données, raisons, facteurs et paramètres sont disponibles? | Dossier reconstituable et réponse compréhensible |
| Rectification | Comment traiter une donnée inexacte? | Chemin vers la procédure applicable |
| Observations | Quel membre du personnel peut réviser la décision? | Responsabilité, disponibilité et pouvoir d’intervention |
| Suivi | Comment repérer les difficultés récurrentes? | Registre proportionné des demandes et des suites |
Préparer l’explication avant la mise en service
Une organisation peut découvrir trop tard qu’elle ne dispose pas des informations nécessaires pour expliquer une décision. Avant le déploiement, demandez au fournisseur ce qui est enregistré et ce qui peut être exporté. Vérifiez si les données d’entrée, la version du système et les facteurs pertinents peuvent être reliés au dossier. Une réponse commerciale sur la transparence doit être traduite en éléments accessibles.
Il faut également prévoir qui rédigera la réponse à la personne. Un journal technique peut aider à reconstituer un traitement sans être compréhensible pour son destinataire. La réponse doit permettre de comprendre les informations pertinentes et le chemin à suivre pour faire rectifier une donnée ou présenter des observations. Évitez d’affirmer une cause que l’organisation n’est pas en mesure d’établir.
Le fait de conserver davantage de traces n’autorise pas une collecte sans limite. Définissez les accès, la durée de conservation et les mesures de protection selon les obligations applicables et les besoins justifiés. La préparation d’un mécanisme d’explication fait partie de la gouvernance de l’IA et du traitement des renseignements personnels.
Tester le parcours avec un dossier fictif
Un essai complet commence par la décision communiquée. Demandez à une personne qui ne connaît pas le projet de lire le message et de trouver comment obtenir des informations. Si elle ne repère pas le canal ou ne comprend pas ce qu’elle peut demander, le parcours mérite d’être amélioré avant d’être utilisé avec de vrais dossiers.
Simulez ensuite une demande portant sur une donnée inexacte. L’équipe doit retrouver les renseignements utilisés, expliquer les éléments pertinents et transmettre les observations au membre du personnel approprié. Vérifiez que cette personne peut consulter le dossier et intervenir. Un transfert vers une boîte partagée sans responsable désigné laisse une étape essentielle incertaine.
Terminez l’essai en documentant le résultat : demande reçue, informations retrouvées, difficulté observée, décision sur la suite et correction nécessaire. Utilisez des données fictives adaptées au scénario. Le but est de tester le fonctionnement du processus, sans créer de décision réelle ni exposer inutilement des renseignements personnels.
Réexaminer le processus quand l’outil ou le mandat change
Un changement de fournisseur, de modèle ou de source de données peut modifier ce que l’organisation est capable d’expliquer. Une automatisation supplémentaire peut aussi déplacer le rôle humain. Le responsable du processus doit savoir quels changements déclenchent une nouvelle analyse et un nouvel essai du parcours d’information.
La veille des paramètres et des conditions fournisseurs permet de suivre ces évolutions. Pour les agents qui peuvent agir dans plusieurs systèmes, la définition des accès, de l’autorité et de la supervision complète cette préparation. Le droit applicable doit être réexaminé selon les caractéristiques du projet, sans présumer qu’un outil déjà utilisé reste adapté à tout nouveau mandat.
Une bonne question de contrôle consiste à demander : si une personne conteste aujourd’hui les renseignements utilisés dans son dossier, qui peut lui répondre et que peut-on vérifier? Une réponse précise, testée et documentée donne un point de départ beaucoup plus utile qu’une mention générale de supervision humaine dans une politique.
Questions fréquentes
Toutes les utilisations de l’IA sont-elles visées par l’article 12.1?
Non. Cette disposition vise une décision fondée exclusivement sur un traitement automatisé de renseignements personnels dans le secteur privé québécois. Le fonctionnement réel du processus doit être examiné. Un outil peut être soumis à d’autres obligations même si cet article ne s’applique pas à l’usage considéré.
La loi garantit-elle qu’une décision automatisée sera annulée?
Non. Elle prévoit notamment l’information sur le caractère automatisé, certaines informations sur demande et l’occasion de présenter des observations à un membre du personnel en mesure de réviser la décision. Cette possibilité ne garantit pas un résultat favorable. Les autres droits et recours applicables dépendent du contexte.
Un simple clic humain suffit-il à écarter ces obligations?
On ne peut pas le conclure à partir du seul clic. Il faut examiner le rôle réel de la personne, les informations qu’elle reçoit et sa capacité d’intervenir. La qualification juridique dépend du processus concret. Documentez le fonctionnement et faites valider les situations incertaines par une personne compétente.
