Réponse courte : Brancher une IA sur votre plateforme QHSE (ou tout logiciel métier) déclenche trois obligations Loi 25 : une EFVP pour le nouveau système (art. 3.3), une évaluation des transferts si le fournisseur d'IA est hors Québec (art. 17), et l'encadrement des décisions automatisées si l'IA décide sans humain (art. 12.1). Le tout se prépare avant le branchement, pas après.
IA branchée sur votre plateforme QHSE ? Ce que la Loi 25 exige avant
Les plateformes QHSE (qualité, santé, sécurité, environnement) québécoises proposent désormais toutes des « connecteurs IA » : on branche ChatGPT, Claude, Gemini ou Mistral, et l'assistant rédige les rapports d'audit, analyse les incidents, répond aux demandes. C'est puissant — et c'est exactement le genre de projet qui fait entrer votre entreprise dans le champ de la Loi 25 d'une nouvelle manière.
Cet article ne dit pas « ne le faites pas ». Il dit : voici ce qu'il faut documenter avant de brancher.
Pourquoi « plateforme étrangère + IA » change votre situation Loi 25
Deux facteurs se multiplient :
- La plateforme est souvent hébergée hors Québec (Europe, États-Unis) — les dossiers de vos employés (incidents, visites médicales, formations) y transitent.
- L'IA branchée dessus est un service tiers — le plus souvent américain, parfois européen.
Résultat : des renseignements personnels — parfois sensibles (santé au travail !) — sont communiqués à des fournisseurs hors Québec, puis analysés par des modèles dont le fournisseur est lui-même hors Québec. Chaque maillon compte.
Le point clé : ce n'est pas parce que la plateforme est « conforme RGPD » qu'elle est conforme Loi 25. Ce sont deux lois différentes, avec des obligations différentes. Le RGPD ne remplace pas l'EFVP de l'art. 3.3, pas plus qu'il ne remplace l'évaluation d'équivalence de l'art. 17.
Les trois obligations déclenchées (avec articles)
Le tableau suivant résume ce que déclenche le branchement d'une IA sur une plateforme qui traite des renseignements personnels de personnes au Québec :
| Obligation | Article | Quand elle s'applique | Ce qu'elle exige |
|---|---|---|---|
| EFVP | art. 3.3 | Acquisition, développement ou refonte d'un système d'information impliquant des renseignements personnels | Dossier documentant projet, renseignements, parcours, risques, mesures, plan d'action — avant la mise en service |
| Transferts hors Québec | art. 17 | Communication à un fournisseur hors Québec (hébergeur, API IA) | Vérification d'équivalence, EFVP préalable, entente écrite, information des personnes |
| Décisions automatisées | art. 12.1 | La machine accorde, refuse ou classe sans humain qui analyse | Informer, communiquer les facteurs, permettre les observations à un réviseur humain qui peut renverser |
Cas concret : l'IA qui répond aux courriels
Un agent IA qui répond automatiquement aux demandes envoyées à votre adresse support@ est l'exemple le plus courant — et le plus trompeur.
Ce qui en fait un projet Loi 25 complet : l'IA lit l'identité de l'expéditeur, le contenu du message (qui peut contenir santé, finances, griefs), les pièces jointes. Ce sont des renseignements personnels.
La nuance art. 12.1 : si l'IA rédige un brouillon relu par un humain, vous n'êtes pas dans le régime des décisions automatisées. Mais si elle envoie « votre demande est refusée » sans relecture — même juste pour trier ou catégoriser avec effet — vous y êtes. Règle pratique : si vous pouvez remplacer l'humain par un script sans changer le résultat, c'est une décision automatisée au sens de la loi.
Checklist avant de brancher (10 points)
- Inventorier l'IA : nom du modèle et du fournisseur, version, ce qu'elle lit, ce qu'elle produit
- Identifier les renseignements personnels impliqués (y compris sensibles : santé, finances)
- Tracer le parcours des données : boîte → plateforme → API IA → réponse
- Identifier le pays de chaque fournisseur (plateforme ET modèle IA)
- Vérifier si l'IA rend des décisions (art. 12.1) ou assiste seulement
- Lancer l'EFVP (art. 3.3) — Veridy la génère en parcours guidé, 6 étapes norme CAI
- Évaluer les transferts (art. 17) : équivalence + entente écrite
- Fixer la rétention des transcripts (ex. 90 jours puis purge documentée)
- Préparer l'information des personnes (« réponse générée par un assistant IA »)
- Mettre la révision humaine en place si décision (qui peut renverser, sous quel délai)
Ce que fait la plateforme Veridy (et ce qu'elle ne fait pas)
Ce qu'elle fait : scanner gratuitement votre surface publique, inventorier vos systèmes IA détectés, générer l'EFVP-IA (dossier 8 sections norme CAI) par moteur déterministe — pas par LLM pour le juridique —, tenir la matrice des transferts par API IA, et suivre les décisions automatisées avec révision humaine intégrée.
Ce qu'elle ne fait pas : elle ne remplace pas un avocat. Toute situation contentieuse ou à enjeux élevés doit aller à un avocat membre du Barreau du Québec.
Conclusion : l'IA encadrée, pas l'IA interdite
Les plateformes QHSE ont raison : l'IA accélère vraiment la gestion de la conformité. Mais « conforme RGPD Europe » n'équivaut pas à « conforme Loi 25 Québec ». Tant que les éditeurs ne traitent pas la Loi 25 nativement, c'est à l'entreprise québécoise de documenter ce que ses outils font de ses données — et c'est précisément ce que notre plateforme automatise.
Commencez par voir ce que votre surface publique révèle déjà : scan gratuit en 60 secondes.