Agents IA et Loi 25 : la régulation automatisée de l'intelligence artificielle

Le problème : l'IA est partout (et personne ne la documente)

En 2026, l'intelligence artificielle n'est plus une promesse — c'est une réalité opérationnelle dans presque toutes les PME québécoises. Un chatbot répond à vos clients. Un assistant IA rédige vos courriels. Un script trie les CV reçus. Un algorithme de scoring évalue la solvabilité. La Loi 25 est claire : tout cela est un traitement automatisé qui doit être documenté, évalué et encadré.

Mais la réalité est que la quasi-totalité des PME n'ont aucune idée qu'elles utilisent de l'IA au sens de la loi. Le propriétaire installe un chatbot sur son site — souvent un simple copier-coller d'un snippet fourni par un fournisseur américain — sans savoir que cela déclenche une obligation légale. La technique est invisible. La loi, elle, ne l'est pas.

C'est précisément le problème que Veridy.ca résout. Notre plateforme ne se contente pas de scanner votre site pour détecter l'IA — elle génère automatiquement l'évaluation d'impact requise par la loi. C'est une innovation que personne d'autre n'offre au Québec.

La loi : article 12.1 — décisions automatisées

L'article 12.1 de la Loi 25 dispose qu'une entreprise qui utilise un traitement automatisé de renseignements personnels qui prend une décision basée entièrement ou partiellement sur un algorithme doit :

• Informer la personne qu'une décision est prise à son sujet de manière automatisée
• Offrir la possibilité de soumettre ses observations ou de demander une révision par un humain
• Évaluer les risques que ce traitement pose à ses droits (c'est l'AI-PIA)
• Documenter le tout dans un registre de gouvernance

La sanction en cas d'absence : jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial (article 90.12). Ce n'est pas théorique — les sanctions de la CAI sont en vigueur depuis septembre 2024.

La nouvelle vague : agents IA autonomes

La situation se complique rapidement. Nous passons des chatbots réactifs — qui répondent aux questions — aux agents IA autonomes qui prennent des initiatives. Des plateformes comme Hermes Agent, Claude Code, OpenAI Codex, OpenCode et les frameworks d'orchestration agentique permettent désormais de déployer des systèmes IA qui naviguent le web, envoient des courriels, remplissent des formulaires et prennent des décisions en séquence — sans intervention humaine à chaque étape.

Des outils commerciaux émergent rapidement. Ces agents peuvent analyser des documents, contacter des clients, classer des demandes, trier des réclamations d'assurance. Un cabinet d'avocats qui utilise un agent IA pour trier les dossiers de clients. Une clinique qui laisse un agent IA répondre aux demandes de rendez-vous et orienter les patients. Un commerce en ligne dont l'agent IA décide quels produits recommander à quel utilisateur.

Tous ces cas déclenchent l'article 12.1. Et presque personne ne s'en occupe.

Ce que ça change pour votre entreprise

Si vous utilisez — ou prévoyez utiliser — un agent IA pour traiter des données personnelles de vos clients, employés ou candidats, vous devez :

1. Détecter où et comment l'IA intervient dans vos processus
2. Documenter le type d'IA, les données utilisées, les décisions prises
3. Évaluer les risques (biais, discrimination, confidentialité, sécurité)
4. Mettre en place un mécanisme de révision humaine
5. Informer les personnes concernées
6. Maintenir le tout à jour dans le temps

C'est exactement ce que fait l'AI-PIA — l'Artificial Intelligence Privacy Impact Assessment — intégrée à la plateforme Veridy.ca.

L'innovation Veridy.ca : l'AI-PIA automatisée

C'est ici que Veridy.ca innove de façon radicale. Alors que les cabinets traditionnels vous facturent une AI-PIA comme un service-conseil manuel — plusieurs jours de travail, des ateliers, des entrevues, des milliers de dollars — Veridy.ca la génère automatiquement, en quelques secondes, à partir des données collectées par le scanner.

Comment ça marche — 3 étapes

1. Détection automatique. Le scanner Veridy.ca analyse votre site public et identifie les technologies IA présentes : chatbots (Intercom, Drift, Tidio), widgets OpenAI, API Claude/Gemini, scripts de scoring, pixels de retargeting algorithmique, formulaires intelligents. Le scanner utilise une bibliothèque de plus de 110 empreintes technologiques pour identifier précisément quel outil IA est déployé, où, et quelles données il traite.

2. Questionnaire guidé. Pour chaque IA détectée, la plateforme vous pose des questions ciblées : quel type de données personnelles l'IA traite-t-elle ? D'où viennent les données ? Où sont-elles envoyées ? Le fournisseur est-il américain (transfert hors Québec — article 17) ou canadien ? L'IA prend-elle des décisions finales ou seulement des recommandations ? Un humain peut-il passer en revue chaque décision ?

3. Rapport généré. À partir de vos réponses, la plateforme génère un document AI-PIA complet : analyse des risques (biais, discrimination, confidentialité, transferts), identification des articles de loi applicables, plan de correction priorisé, recommandations de mesures d'atténuation. Ce document est prêt à être présenté à un inspecteur de la CAI en cas d'audit.

Les agents IA et la communication A2A

Une dimension nouvelle et complexe émerge : les agents IA ne fonctionnent plus de façon isolée. Ils communiquent entre eux. Un agent peut en appeler un autre pour accomplir une sous-tâche. Un chatbot client transfère un dossier complexe à un agent d'analyse juridique. Un agent de collecte de données alimente un agent de scoring. Cette communication inter-agents — souvent appelée « agent-to-agent » ou A2A — multiplie les risques pour la vie privée : chaque transfert entre agents est potentiellement un transfert de données personnelles.

La Loi 25 exige de documenter chaque maillon de cette chaîne. Pour chaque agent impliqué : qui est le fournisseur, où sont traitées les données, quelles décisions sont prises, et par qui ces décisions peuvent-elles être révisées. La complexité augmente de façon exponentielle avec le nombre d'agents en jeu.

La plateforme Veridy.ca intègre une approche structurée pour cartographier ces flux inter-agents. Chaque IA détectée est positionnée dans une chaîne de traitement, et chaque lien entre agents est documenté comme un transfert potentiel de données. Vous obtenez une vue d'ensemble claire de l'architecture d'IA de votre organisation — ce qu'aucun consultant ne peut produire en quelques heures de atelier.

Comparaison : Veridy.ca vs cabinet traditionnel

Checklist : êtes-vous en conformité article 12.1 ?

Vérifiez rapidement si votre organisation respecte l'article 12.1. Pour chaque point, si la réponse est « non » ou « je ne sais pas », vous avez un risque Loi 25.

• □ Avez-vous identifié tous les systèmes IA ou algorithmiques qui traitent des données personnelles ?
• □ Pour chacun, savez-vous où vont les données (fournisseur, pays d'hébergement) ?
• □ Avez-vous une évaluation d'impact (AI-PIA) documentée pour chaque système ?
• □ Les personnes concernées sont-elles informées qu'une décision automatisée est prise à leur sujet ?
• □ Offrez-vous un mécanisme de révision humaine sur demande ?
• □ Si vous utilisez plusieurs agents IA, avez-vous cartographié les flux de données entre eux ?
• □ Votre documentation est-elle à jour (pas plus de 12 mois) ?
• □ Si vous ajoutez un nouvel outil IA demain, avez-vous un processus pour l'évaluer avant déploiement ?

Si vous avez répondu « non » ou « je ne sais pas » à au moins une de ces questions, votre entreprise présente un risque au regard de l'article 12.1. La bonne nouvelle : Veridy.ca peut détecter et documenter tout cela automatiquement.

Pourquoi c'est urgent maintenant

Plusieurs facteurs convergent pour faire de la conformité IA une priorité immédiate :

1. Les sanctions sont actives. Depuis septembre 2024, la CAI peut imposer des sanctions administratives pécuniaires. Le cadre d'application a été publié. Les premières enquêtes ciblées commencent. Une PME qui attend « de voir » prend un risque juridique réel.

2. Les outils IA explosent. L'adoption de chatbots et d'agents IA a connu une croissance fulgurante en 2025-2026. Des outils comme Hermes, Claude Code ou Codex permettent à n'importe quel développeur de déployer un agent IA autonome en quelques minutes. Chaque déploiement non documenté est une vulnérabilité juridique.

3. Les inspecteurs le savent. La CAI est parfaitement au courant de l'adoption massive de l'IA. Les premières enquêtes thématiques ciblent précisément les entreprises qui utilisent des décisions automatisées sans documentation. Avoir une AI-PIA à jour est votre meilleure défense.

4. Vos clients vous le demanderont. Les clients enterprise, les partenaires institutionnels et les investisseurs commencent à exiger des preuves de conformité IA. Une AI-PIA à jour est un avantage commercial — pas seulement une contrainte.

Conclusion : l'IA encadrée, pas l'IA interdite

La Loi 25 ne vise pas à interdire l'IA. Elle vise à s'assurer que l'IA est utilisée de façon transparente, responsable et révisable. C'est une bonne chose pour vos clients, pour la société, et ultimement pour votre entreprise — une IA bien documentée est une IA que vous pouvez déployer en confiance.

L'approche de Veridy.ca est pragmatique : l'IA fait 80 % du travail de détection et de documentation, et un expert humain intervient pour les 20 % de cas complexes (analyse de biais approfondie, évaluation de modèles propriétaires, litiges). Vous obtenez la rigueur d'un cabinet à la vitesse et au prix de l'automatisation.

Si votre site utilise un chatbot, un script de tri, ou n'importe quel traitement automatisé — et statistiquement, c'est le cas — le moment de documenter tout ça, c'est maintenant. Avant que la CAI ne vienne vous le demander.

Note : Cet article traite de conformité à la Loi 25 et ne constitue pas un avis juridique. Pour une analyse approfondie de votre situation, consultez un avocat ou activez la plateforme Veridy.ca qui automatise l'évaluation de conformité.