L’intelligence artificielle générative est entrée dans la plupart des entreprises par la porte de côté. Personne ne l’a achetée, personne ne l’a approuvée : un employé a ouvert un compte gratuit dans son navigateur pour rédiger un courriel délicat, résumer un contrat ou préparer une soumission. C’est efficace, et c’est exactement là que le risque commence.

Précisons d’entrée de jeu en août 2026 : aucune loi québécoise ne réglemente spécifiquement l’intelligence artificielle dans le secteur privé. Mais il ne faut pas confondre absence de loi sur l’IA et vide juridique. La Loi s’applique déjà, intégralement, à ce que votre entreprise fait avec ces outils.

Voici des éléments de vigilance sur lesquels nous vous invitons à porter votre attention.

1. La confidentialité : ce que vous saisissez, vous le communiquez!

Le réflexe le plus dangereux est de percevoir un outil d’IA comme un logiciel installé sur votre ordinateur. Ce n’en est pas un. Chaque requête que vous y saisissez quitte votre entreprise et est traitée sur les serveurs d’un fournisseur, le plus souvent à l’extérieur du Québec.

Or, l’article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé est très large : il vise le fait de confier à une personne ou à un organisme situé à l’extérieur du Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver un renseignement personnel pour le compte de l’entreprise. Un employé qui « copie/colle » le dossier d’un client dans un outil d’IA hébergé à l’étranger fait précisément cela.

Trois obligations en découlent :

• une évaluation des facteurs relatifs à la vie privée (EFVP), tenant compte de la sensibilité du renseignement, de la finalité de son utilisation, des mesures de protection — y compris contractuelles — et du régime juridique du pays visé;
• la démonstration que le renseignement y bénéficierait d’une protection adéquate;
• une entente écrite avec le fournisseur, tenant compte des résultats de l’évaluation.

S’y ajoute l’article 3.3, qui impose une EFVP pour tout projet d’acquisition, de développement ou de refonte d’un système d’information mettant en cause des renseignements personnels — ce qui inclut le déploiement d’un outil d’IA dans vos processus — et l’article 10, qui exige des mesures de sécurité raisonnables compte tenu de la sensibilité des renseignements.

Le réflexe à installer est simple et il est celui que recommandent les autorités canadiennes de protection de la vie privée depuis décembre 2023 : lorsque c’est possible, utiliser des renseignements anonymisés ou dépersonnalisés dans les requêtes plutôt que des renseignements personnels. Un contrat dont on a retiré les noms, les adresses et les numéros de dossier se résume tout aussi bien.

Et rappelez-vous qu’une communication non autorisée de renseignements personnels, même par un employé bien intentionné qui voulait aller plus vite, constitue un incident de confidentialité au sens de la loi. S’il présente un risque de préjudice sérieux, il doit être déclaré à la Commission d’accès à l’information et aux personnes concernées.

2. Version gratuite ou version d’affaires : ce n’est pas qu’une question de prix

Du côté grand public, les fournisseurs sont généralement transparents dans leurs conditions d’utilisation : le contenu que vous saisissez peut servir à améliorer et à entraîner leurs modèles. Chez certains, le paramètre correspondant est activé par défaut, et une partie des conversations peut être examinée par des réviseurs humains, puis conservée pendant des années même si l’utilisateur efface son historique.

Par conséquent, il est primordial de choisir un outil qui vous permet de retirer ce consentement, et d’éviter ainsi que votre contenu serve à entraîner le système. Cette possibilité existe généralement dans les versions payantes ou d’affaires, et beaucoup plus rarement dans les versions gratuites.

Ce qu’il faut en retenir : l’outil ne se conformera pas à votre place. C’est à vous, entreprise utilisatrice, de choisir une offre dont les engagements contractuels vous permettent de respecter vos propres obligations et de revalider ces conditions périodiquement, car elles changent souvent.

3. La révision humaine : c’est votre responsabilité

Un modèle de langage produit un texte plausible. Plausible n’est pas exact. L’outil peut inventer une source, une citation, une décision, un chiffre et le faire avec un aplomb parfait. On parle alors parfois d’hallucination.

Les tribunaux québécois ne s’en amusent plus. Le 22 avril 2026, la Cour supérieure a annulé une sentence arbitrale parce qu’elle contenait des références doctrinales et jurisprudentielles qui étaient le résultat d’hallucinations générées par l’intelligence artificielle, sans vérification effective (Association des ressources intermédiaires d’hébergement du Québec c. Santé Québec, 2026 QCCS 1360). Ailleurs au Canada, un avocat a été condamné personnellement aux dépens pour avoir cité deux décisions fictives (Zhang v. Chen, 2024 BCSC 285).

Et la responsabilité ne s’arrête pas aux documents : elle s’étend à ce que vos outils disent à vos clients. Dans Moffatt v. Air Canada (2024 BCCRT 149), un transporteur a plaidé que son robot conversationnel était une entité juridique distincte, responsable de ses propres propos. Le tribunal a rejeté l’argument sans détour : le robot n’est qu’une partie du site Web de l’entreprise, et il devrait être évident pour celle-ci qu’elle répond de toute l’information qui s’y trouve. L’entreprise a été condamnée pour déclaration inexacte faite par négligence. Il faut savoir qu’en droit on est responsable des faits de nos employés, il en est donc de même de vos robots conversationnels!

Lorsqu’on utilise les outils IA il faut les percevoir comme un stagiaire ou un employé junior. Tout ce qui est produit et créée par les outils doit être révisé. Saviez-vous qu’en droit on ne peut pas être maître de stage pour un stagiaire avant d’avoir 5 ans d’expérience? Rappelez-vous de ceci si vous tentez de rédiger ou réviser des contrats avec l’aide de l’IA, car vous n’avez sans doute pas le 5 ans d’expérience pour cerner les erreurs. Nous sommes d’avis que pour bien manier les outils IA il faut avoir une bonne expertise du sujet abordé. Par la suite, oui les outils peuvent faire sauver du temps. Toutefois ca serait une erreur de se prétendre expert dans tous les domaines maintenant qu’on utilise l’IA.

4. Devoir de transparence vis-à-vis de vos clients

Lorsque vous utilisez l’intelligence artificielle dans le cadre de vos activités, la transparence n’est pas une simple courtoisie commerciale : c’est la condition d’un consentement valide. Vos clients doivent savoir que l’outil est utilisé et à quelles fins. Ils doivent aussi pouvoir refuser, ce qui suppose que vous ayez prévu une solution de rechange.

Les autorités canadiennes de protection de la vie privée recommandent depuis décembre 2023 d’indiquer clairement à toute partie concernée qu’un outil d’IA générative sera utilisé dans un processus décisionnel.

En pratique, cette transparence se loge à trois endroits : votre politique de confidentialité, vos contrats de service et le point de contact lui-même. Un agent conversationnel devrait s’identifier comme tel dès le premier échange, d’autant que, comme on vient de le voir, vous répondez de ce qu’il dit.

5. Quoi faire dans ce contexte?

Interdire l’IA ne fonctionnera que rarement : vos employés l’utiliseront de toute façon, mais sans que vous le sachiez. Par conséquent nous recommandons d’établir une politique interne claire encadrant son usage par vos employés. Une politique interne d’utilisation de l’IA devrait au minimum nommer les outils autorisés et les fournisseurs, préciser les finalités permises, énoncer clairement quelles catégories de renseignements ne doivent jamais être saisies (renseignements personnels de clients, dossiers d’employés, secrets d’affaires, information visée par une entente de confidentialité), imposer la vérification humaine des extrants avant tout usage externe, et désigner qui approuve l’ajout d’un nouvel outil.

Du côté contractuel, il faut aussi s’assurer que vos ententes avec vos fournisseurs prévoient le non-entraînement de l’outil IA, la durée de conservation, le lieu d’hébergement, etc. Vous devez veiller à la confidentialité de vos données.

Enfin, un mot sur la propriété intellectuelle. Au Canada, la protection du droit d’auteur suppose un auteur humain ayant exercé  son talent et son jugement. La question de savoir si, et dans quelle mesure, un contenu généré par une IA est protégé. Si votre entreprise investit dans du contenu commercial, il est prudent de documenter l’apport humain réel dans sa création. L’inverse est vrai aussi. Le texte ou l’image que l’outil vous remet peut reprendre, en tout ou en partie, une œuvre qui appartient à quelqu’un d’autre, sans que vous puissiez le savoir. Si vous la publiez, c’est votre entreprise qui pourrait être tenue responsable de la contrefaçon, et non le fournisseur de l’outil. En bref documentez vos efforts (votre degré de talent, d’effort, d’habilité et de créativé) et soyez prudent dans le cadre de l’utilisation d »oeuvre » créé par votre outil IA.

En conclusion

L’absence de loi sur l’intelligence artificielle ne crée pas pour autant une zone de non-droit. Les règles qui vous exposent aujourd’hui sont celles que vous connaissez déjà : la protection des renseignements personnels, vos obligations contractuelles et votre responsabilité pour ce que votre entreprise affirme. L’IA ne crée pas de nouveaux devoirs : elle multiplie simplement les occasions de manquer à ceux qui existent déjà.

Nous accompagnons les entreprises dans la rédaction de leur politique d’utilisation de l’intelligence artificielle, la rédaction de leur politique de confidentialité et la révision de leurs contrats de service.

Nous pouvons aussi réviser les documents légaux préparés par vos outils! N’hésitez pas à me contacter pour bénéficier de ce service.

Sylvie Bougie, avocate et humaine 😊

sbougie@vigiquebec.com