IA et Loi 25: les questions à poser avant de signer

Quand on présente un projet d'assistant IA au conseil, la première vraie question ne porte jamais sur la technologie. C'est: « Et nos données, elles vont où? » C'est la bonne question, et au Québec, la Loi 25 vous oblige à y répondre sérieusement.

« Et nos données, elles vont où? »

La bonne nouvelle, c'est que la conformité n'a rien d'un mystère. C'est une suite de décisions claires, qu'on prend une à une.

Donnez le minimum, pas le maximum

La tentation, c'est de tout brancher d'un coup. Résistez. Un assistant qui répond aux questions sur les permis n'a aucune raison d'accéder au rôle d'évaluation, aux dossiers du personnel ou aux comptes de taxes nominatifs.

💡 La règle d'or. Ce qui n'est pas nécessaire ne devrait pas être accessible. Listez les sources dont l'assistant a réellement besoin, et arrêtez-vous là.

Demandez où vont les données, et qui les voit

Posez la question à votre fournisseur, et exigez la réponse par écrit:

• Où les données sont-elles traitées et conservées?
• Servent-elles à entraîner des modèles partagés avec d'autres clients? La réponse devrait être non.
• Qui, chez le fournisseur, peut y accéder, et dans quelles circonstances?
• Qu'arrive-t-il à la fin du contrat? La suppression doit être prévue noir sur blanc.

⚠️ Un signal à ne pas ignorer. Si une de ces réponses reste floue, prenez-le au sérieux. C'est rarement un simple oubli.

Gardez une trace, et gardez la main

Deux réflexes simples vous protègent. D'abord, chaque réponse de l'assistant devrait citer sa source officielle, pour qu'on sache d'où elle vient. Ensuite, les sujets sensibles doivent pouvoir basculer vers une personne. Un assistant bien conçu sait dire « je ne suis pas certain, je vous transfère » au lieu d'improviser.

C'est aussi ce qui rassure le conseil: pas de boîte noire. On peut retracer ce qui a été dit, et un humain reste responsable.

La courte liste avant de démarrer

Avant le premier déploiement, mettez ces points au clair:

• Le périmètre et les sujets que l'assistant a le droit de traiter
• Les sources de données et leur niveau de sensibilité
• La journalisation des échanges et la citation des sources
• Le mécanisme de transfert vers un humain
• L'entente écrite sur l'hébergement et la suppression des données

✅ Bien menée, la conformité ne ralentit rien. Elle vous permet de défendre le projet, devant le conseil comme devant les citoyens.

Ce sont les mêmes réflexes qu'avec n'importe quel fournisseur qui touche à des renseignements personnels, appliqués dès le départ plutôt qu'après coup. Si vous voulez qu'on regarde ça pour votre organisation, parlons-en.