Loi 25 et agents IA
Ce que la loi demande quand un agent IA traite des renseignements personnels, ce qui reste la responsabilité de votre organisation, et comment notre méthode vous aide à le démontrer.
Vous écrivez à un agent IA. Confidentialité
En bref
La Loi 25 en quatre phrases.
La Loi 25 a modernisé les lois québécoises sur les renseignements personnels, pour les entreprises comme pour les organismes publics.
Un projet d’agent IA qui traite des renseignements personnels demande une évaluation des facteurs relatifs à la vie privée (EFVP) avant d’aller de l’avant.
Une décision fondée exclusivement sur un traitement automatisé doit être annoncée à la personne concernée, qui peut demander qu’une personne la révise.
Avant de communiquer des renseignements personnels à l’extérieur du Québec, l’organisation évalue que leur protection sera adéquate.
Ce que la loi demande
Cinq obligations qui touchent un agent IA.
Les articles cités renvoient à la loi sur le secteur privé (P-39.1) et à la Loi sur l’accès, pour les organismes publics (A-2.1).
L’EFVP avant le projet
Pour tout projet d’acquisition, de développement ou de refonte d’un système qui traite des renseignements personnels. Art. 3.3 (secteur privé), art. 63.5 (secteur public).
Les décisions automatisées
Informer la personne d’une décision fondée exclusivement sur un traitement automatisé, et lui permettre de présenter ses observations à une personne en mesure de la réviser. Art. 12.1 (secteur privé), art. 65.2 (secteur public).
Les renseignements qui sortent du Québec
Une évaluation avant la communication, et une entente écrite qui protège les renseignements. Art. 17 (secteur privé), art. 70.1 (secteur public).
La transparence à la collecte
Dire à la personne à quelles fins ses renseignements sont recueillis, par quels moyens, et quels sont ses droits. Art. 8 (secteur privé).
Le contrat avec un fournisseur
Quand un fournisseur traite des renseignements pour vous, un contrat écrit précise les mesures qui les protègent. Art. 18.3 (secteur privé).
Votre responsabilité
Ce qui reste à votre organisation.
Votre organisation demeure responsable des renseignements personnels qu’elle détient, y compris quand un agent les traite. C’est elle qui fait l’EFVP, informe les personnes, désigne la personne responsable de la protection des renseignements personnels et approuve chaque agent.
Notre méthode
Conçus pour soutenir la conformité à la Loi 25.
Validation humaine
Dans nos mandats, une décision qui touche les droits d’une personne est validée par un humain.
Description pour l’EFVP
Données, accès, hébergement, journal : la description technique dont votre responsable a besoin.
Lieu de traitement écrit
Le lieu d’hébergement et le modèle d’IA sont choisis avec vous et inscrits au contrat; une configuration résidente au Canada est possible.
Contrat écrit
Les mesures de protection des renseignements sont précisées par écrit.
Journal
Chaque décision est consignée : vous pouvez démontrer qui a décidé quoi, et sur quelle base.
Transparence
Un agent qui échange avec des personnes dit toujours qu’il est une IA.
Pour votre responsable
Ce que nous remettons à votre responsable.
Pour chaque agent : la description des renseignements traités et de leur provenance, la liste des accès de l’agent, le lieu d’hébergement et de traitement, le contenu du journal et sa durée de conservation, les points de validation humaine, et la façon d’arrêter l’agent.
Information générale, à jour au 14 novembre 2026.
Questions fréquentes
La Loi 25 en questions.
Faut-il une évaluation des facteurs relatifs à la vie privée (EFVP) pour un projet d’agent IA?
Oui, dès que le projet touche des renseignements personnels : la loi l’exige pour tout projet d’acquisition, de développement ou de refonte d’un système d’information qui en traite (article 3.3 pour les entreprises, article 63.5 pour les organismes publics). L’EFVP relève de votre organisation. Nous fournissons la description technique dont votre responsable a besoin : données, accès, hébergement, journal.
Un agent IA peut-il utiliser un modèle traité à l’extérieur du Québec?
C’est possible, après une évaluation qui conclut que les renseignements seront adéquatement protégés, et avec une entente écrite (article 17 pour les entreprises, article 70.1 pour les organismes publics). Pour votre solution, le lieu de traitement se choisit avec vous, et une configuration résidente au Canada est possible.
Qui est responsable des renseignements personnels traités par un agent IA?
L’organisation qui détient les renseignements. Quand Virage agentique conçoit ou exploite un agent pour vous, nous agissons comme fournisseur, sous contrat écrit, et votre organisation demeure responsable des renseignements de ses clients, de ses employés ou des citoyens qu’elle sert.
L’agent de ce site respecte-t-il la Loi 25?
Il dit qu’il est une IA, sa politique de confidentialité indique ce qui est recueilli, pourquoi, où c’est traité et combien de temps c’est conservé, et vous pouvez demander l’accès à vos renseignements, leur rectification ou leur suppression. Ses échanges sont traités à l’extérieur du Québec, notamment aux États-Unis.