Réponse courte : L'EFVP (évaluation des facteurs relatifs à la vie privée, art. 3.3) est obligatoire pour tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels. Un système IA qui traite des données de personnes au Québec y tombe donc presque toujours — et si son API est hors Québec, l'art. 17 s'ajoute. Sanctions possibles : jusqu'à 10 M$ ou 2 % du chiffre d'affaires.
Pourquoi l'IA est le cas d'école de l'EFVP
La CAI liste expressément comme finalités à haut risque : rendre une décision automatisée, établir un profil, et améliorer un modèle d'IA (entraînement). L'IA générative est citée comme technologie à enjeux particuliers. Autrement dit : le régulateur québécois attend de la documentation pour exactement ce que les entreprises branchent en ce moment.
Les 5 situations où l'EFVP est obligatoire
| # | Situation | Article | Cas IA typique |
|---|---|---|---|
| 1 | Communiquer des RP hors Québec | art. 17 | API OpenAI / Anthropic / Google |
| 2 | Acquérir / développer / refondre un système impliquant des RP | art. 3.3 | Tout système IA traitant des données de personnes |
| 3 | Communication pour étude/recherche sans consentement | art. 21 | Entraînement sur données historiques |
| 4 | Collecte pour un autre organisme public (entente) | art. 64 | Projet public |
| 5 | Communication dans une entente sans consentement | art. 68 | Partage inter-organismes |
Le rapport EFVP : 6 sections norme CAI
La CAI propose un modèle générique de rapport — aucune forme n'est imposée par la loi, mais suivre la structure du régulateur est la meilleure protection. Notre plateforme génère ce dossier par moteur déterministe (pas de LLM pour le juridique) :
- Description du projet — contexte, objectifs, nécessité et proportionnalité
- Rôles et responsabilités — RPRP, réalisateurs, fournisseurs
- RP impliqués et ampleur — catégories, finalités, parcours, sensibilité
- Conformité aux obligations — art. 12, 12.1, 13-15, 17 selon le cas
- Risques et stratégies — liste, catégorisation, mesures
- Plan d'action — responsables, échéancier, réévaluation périodique
Cas concret : l'IA qui répond aux courriels
Exemple du support@ automatisé par un agent LLM :
| Élément | Ce que le dossier documente |
|---|---|
| RP traités | Identité expéditeur, contenu (santé, finances possibles), pièces jointes |
| Parcours | Boîte → agent → API IA (pays ?) → réponse |
| Décision ? | Brouillon relu = non ; refus/acceptation auto = art. 12.1 complet |
| Risques typiques | Hallucination envoyée, fuite vers l'API, sur-conservation, injection de prompt |
| Mesures | Rétention 90 j, relecture humaine si décision, mention IA, entente écrite |
Bon à savoir : nos concurrents vendent l'EFVP comme du conseil — des heures d'expert, des délais. Notre moteur la génère : parcours guidé, dossier 8 sections norme CAI, export PDF, révision par votre équipe, signature RPRP.
Checklist EFVP-IA : les 10 points avant de brancher une IA
- Inventorier le système (modèle, fournisseur, version, périmètre)
- Identifier les RP traités (y compris sensibles)
- Tracer le parcours des données bout en bout
- Identifier le pays de chaque fournisseur (plateforme + modèle)
- Décider si l'IA décide (art. 12.1) ou assiste
- Générer l'EFVP (art. 3.3) — parcours guidé norme CAI sur notre plateforme
- Évaluer les transferts (art. 17) : équivalence + entente écrite
- Fixer la rétention des transcripts
- Préparer l'information des personnes
- Prévoir la révision humaine si décision
Votre site révèle déjà votre IA
Chatbots, trackers d'IA, API tierces : notre scan gratuit détecte l'empreinte IA de votre surface publique en 60 secondes.
Scanner mon site gratuitement