Si ChatGPT vous fait déjà gagner du temps, ces trois gestes prennent environ une heure, sans service informatique ni politique d'entreprise.
La Loi 25 protège tout ce qui permet d'identifier un client
La Loi 25 a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé. Son article 2 vise tout renseignement qui concerne une personne et permet, directement ou indirectement, de l'identifier.
Un nom avec une adresse, une facture, une note de rendez-vous : tout cela compte. La question n'est jamais « ai-je le droit d'utiliser ChatGPT ? », mais « qu'est-ce que j'y colle ? »
Geste 1 : vous êtes le responsable, et votre site doit le dire
Selon l'article 3.1, la personne qui a la plus haute autorité dans l'entreprise est responsable de la protection des renseignements personnels. Dans une petite entreprise, c'est vous.
Vous pouvez déléguer cette fonction par écrit, par exemple à une personne de confiance. Le titre et les coordonnées du responsable sont publiés sur votre site Web, ou rendus accessibles autrement si vous n'en avez pas.
La ligne à copier
Responsable de la protection des renseignements personnels : Prénom Nom, propriétaire. Courriel : vous@votreentreprise.ca. Téléphone : votre numéro.
Ajoutez-la à votre page de confidentialité ou au pied de page de votre site. C'est l'affaire de quelques minutes.
Geste 2 : aucune donnée client identifiable dans un outil d'IA public
Quand vous collez un texte dans ChatGPT, il part chez le fournisseur. Si ce fournisseur le traite hors du Québec, même ailleurs au Canada, l'article 17 exige d'abord une évaluation des facteurs relatifs à la vie privée.
Cette évaluation est une analyse des risques pour la vie privée de vos clients. La règle la plus simple est de ne rien y mettre qui identifie quelqu'un.
Exemple
Au lieu de : « Relance Jean Tremblay, 12 rue des Érables, pour sa facture de juin. »
Écrivez : « Rédige une relance polie pour un client dont la facture de juin est en retard. »
Remplacez les noms par « le client » et les adresses par « la propriété ». Retirez aussi ce qui permet de deviner qui c'est : une date précise, un numéro de dossier, une situation inhabituelle.
Bien des tâches n'ont besoin d'aucune donnée client. Notre article sur les tâches administratives à automatiser avec l'IA en propose plusieurs.
Geste 3 : un compte d'entreprise, pas un compte personnel
Quand vous utilisez ChatGPT pour votre entreprise, OpenAI devient votre fournisseur. L'article 18.3 de la loi exige un contrat écrit avec tout fournisseur qui manipule des renseignements personnels pour votre entreprise, et ce contrat doit les protéger.
Un compte personnel gratuit, ouvert avec votre courriel personnel, est prévu pour un particulier, pas pour votre entreprise. Les comptes ChatGPT Business et Enterprise sont ouverts au nom de votre entreprise, et OpenAI indique sur sa page sur les données d'entreprise que, par défaut, elle n'utilise pas leurs données pour entraîner ses modèles, c'est-à-dire pour améliorer ChatGPT.
Vous gardez un compte personnel pour l'instant ? Faites au moins ceci : Settings, puis Data controls, puis désactivez « Improve the model for everyone ». Vos conversations ne serviront plus à l'entraînement. Ça prend quelques minutes.
C'est pareil pour Microsoft Copilot, Google Gemini ou l'assistant intégré à votre logiciel : avant d'y mettre des renseignements sur vos clients, demandez par écrit au fournisseur si vos données servent à entraîner ses modèles.
Où en êtes-vous avec ChatGPT et la Loi 25 ?
Cochez ce qui est déjà vrai pour vous. Outil d'autoévaluation, pas un avis juridique ; rien n'est envoyé.
Cochez les énoncés pour voir votre résultat.
Trois usages de l'IA demandent encore de la prudence
- La machine décide seule. Selon l'article 12.1, une décision fondée exclusivement sur un traitement automatisé doit être annoncée à la personne. Un outil refuse seul des demandes de soumission ? Le plus simple : vous validez chaque décision.
- Les données changent d'usage. Selon l'article 12, un renseignement sert seulement aux fins de sa collecte, sauf consentement de la personne. Analyser vos données de facturation pour du marketing demande donc, en principe, le consentement du client.
- Un nouvel outil touche vos dossiers clients. Selon l'article 3.3, tout projet d'acquisition ou de développement d'un système d'information qui touche des renseignements personnels exige d'abord une évaluation. Faites-la avant de brancher l'outil, pas après.
Pour les dossiers sensibles, l'IA privée garde tout à l'interne
Une IA privée est un modèle d'IA installé sur une infrastructure réservée à votre entreprise. Vos données ne passent par aucun service d'IA public.
Elle convient aux cliniques, aux cabinets comptables, aux avocats et aux autres services professionnels. Ils manipulent des dossiers de santé, des déclarations de revenus ou des contrats confidentiels.
Avec une IA privée, des agents IA peuvent résumer un dossier ou trier vos courriels sans que vos données quittent votre infrastructure. Pour prévoir le budget, voyez combien coûte un agent IA pour une PME.
Cet article est informatif et ne constitue pas un avis juridique. Pour votre situation, consultez un professionnel. La référence officielle est la Commission d'accès à l'information.
Questions fréquentes
La Loi 25 interdit-elle ChatGPT ?
Non. La loi ne nomme aucun outil : elle encadre la façon dont vous recueillez, utilisez et communiquez des renseignements personnels. ChatGPT reste permis pour trouver des idées, rédiger une offre ou corriger un texte sans données clients.
Je suis seul dans mon entreprise : suis-je visé ?
Oui, si vous détenez des renseignements sur des clients : noms, adresses, factures, rendez-vous. Selon l'APCHQ, la loi s'applique peu importe la taille de l'entreprise. Les coordonnées professionnelles de vos contacts d'affaires (nom, fonction, courriel du bureau) sont toutefois exclues.
Peut-on utiliser ChatGPT avec des données anonymisées ?
Oui, si elles le sont vraiment. Selon l'article 23, il doit être raisonnable de prévoir qu'elles ne permettent plus, de façon irréversible, d'identifier la personne. Retirer le nom ne suffit pas.
Que faire si j'ai collé des données clients par erreur ?
Limitez d'abord les dégâts. L'article 3.5 exige des mesures raisonnables pour diminuer le risque de préjudice, et l'incident s'inscrit dans votre registre des incidents. Vous avisez la CAI et les personnes concernées seulement s'il y a un risque de préjudice sérieux.
Mon outil stocke les données au Canada : est-ce suffisant ?
Non. Au sens de l'article 17, le Canada est hors du Québec. Avant d'y communiquer des renseignements personnels, une évaluation des facteurs relatifs à la vie privée est requise. La communication est permise si les renseignements y bénéficieraient d'une protection adéquate.