Avant que la Loi 25 ne vous rattrape, cadrez votre usage de l’IA

L’ouverture

Cybersécurité, ce n’est pas le sujet que les dirigeants veulent discuter, sauf ceux qui en font leur métier. C’est un peu comme les assurances : on veut être protégé, on veut que ça fonctionne, mais on ne veut pas en parler tous les jours.

Loi 25, c’est le même principe. On veut tous que nos données personnelles ne se propagent pas. Mais comme dirigeants de PME/organisation, on ne fait pas toujours les efforts chez soi. Quand on se met à la place de nos clients, ça motive un peu plus.

Le 1er mai 2026, La Presse Affaires publiait un article au titre direct : « Votre recours à l’IA au boulot pourrait être illégal ». Ce que l’article remet en lumière, peu de dirigeants de PME/organisation l’avaient sur leur écran. L’usage quotidien d’outils d’intelligence artificielle, sans cadre, expose déjà l’entreprise à des manquements à la Loi 25.

Ce billet propose une voie d’entrée pratique. Et pour vous aider à passer à l’action, j’ai préparé deux ressources gratuites que vous pouvez télécharger en bas de cet article : un Starter Pack d’une page (sept questions à trancher en une heure avec votre équipe) et un Guide pratique de 18 pages (quatorze sections détaillées avec modèle EFVP, grille de classification 4 niveaux, registre des cas d’usage, 9 questions à poser aux fournisseurs IA, références juridiques précises et Pack à 3 niveaux).

Deux portes d’entrée. Une pour démarrer immédiatement. L’autre pour aller à la profondeur, maintenant ou le jour où votre organisation l’exigera. Aucun cabinet juridique externe à mandater, aucun classeur de quarante pages à digérer. Un point de départ accessible que vos spécialistes en cybersécurité ou en protection des renseignements personnels pourront ensuite enrichir là où la complexité de votre organisation le demande.

Le signal qui change tout

L’article de La Presse n’est pas un coup isolé. Il arrive après deux ans d’usage massif de ChatGPT, Copilot et Gemini dans les organisations québécoises, et il signale que la phase de tolérance se referme.

Trois zones sont touchées en même temps. Les données personnelles qui transitent dans des outils tiers. Les décisions assistées par IA qui devraient être encadrées. L’usage en parallèle dans les équipes sans politique claire, ce que les spécialistes appellent le « shadow AI ».

La Commission d’accès à l’information du Québec rappelle de son côté que la gouvernance des renseignements personnels doit englober l’usage des outils d’intelligence artificielle. Les sanctions administratives pécuniaires qu’elle peut imposer atteignent 2 % du chiffre d’affaires mondial ou 10 millions de dollars, selon le plus élevé. Et en cas de poursuite pénale devant les tribunaux, l’amende pour une entreprise peut grimper de 15 000 dollars à 25 millions de dollars, ou 4 % du chiffre d’affaires mondial.

Ce qui était toléré comme une zone grise depuis l’arrivée de ChatGPT en 2023 est devenu un risque chiffrable en 2026 pour la PME/organisation québécoise.

Pourquoi le Starter Pack d’une page suffit pour démarrer

Quand on parle de gouvernance, beaucoup de dirigeants visualisent un classeur épais, un avocat à 400 dollars l’heure, et trois mois de réunions pour accoucher d’un PDF que personne ne lira.

Pour démarrer, pas besoin de tout ça.

Sept questions opérationnelles

Le Starter Pack 1 page (oui, une page) répond à sept questions :

1. Quels outils d’IA sont autorisés dans l’organisation ?
2. Pour quels cas d’usage ?
3. Quelles données ne doivent jamais y entrer ?
4. Quand un humain doit-il toujours valider ?
5. Qui consent à quoi, et comment c’est documenté ?
6. Quel est notre principe directeur ?
7. Qui est responsable de valider, de réviser, et de mettre à jour le guide ?

Sept questions. Une page. Un dirigeant qui s’assied une heure avec sa personne TI ou son responsable opérations.

Pourquoi ce format fonctionne

Une page est lue tout de suite. Un manuel juridique de quarante pages dort dans un dossier partagé.

Vos employés ne demandent pas la permission de la loi. Ils demandent à savoir ce qu’ils peuvent faire et ne pas faire. Une page leur répond.

Et l’IA évolue tous les trois mois. Le Starter Pack 1 page se révise en trente minutes. Un manuel juridique externe se révise jamais.

Ce que ce Starter Pack vous donne, c’est un point de départ accessible. Vos spécialistes en cybersécurité ou en protection des renseignements personnels pourront ensuite l’enrichir, à partir de quelque chose qui existe déjà dans votre organisation, plutôt qu’à partir de rien.

Et pour celles et ceux qui veulent aller plus loin dès aujourd’hui, j’ai aussi préparé un Guide pratique 18 pages qui détaille chacune des sept questions avec un modèle d’EFVP simplifié pour PME, une grille de classification 4 niveaux, un registre des cas d’usage prêt à remplir, neuf questions précises à poser à vos fournisseurs IA et un Pack structurel à trois niveaux. La version courte sert à démarrer cette semaine. La version longue sert quand vous voudrez la profondeur.

Le coût caché du gratuit

Voici un schéma que j’ai observé chez plusieurs PME/organisations récemment accompagnées.

Le contexte avant

Une équipe commence à utiliser un outil d’IA en version gratuite. Personne n’interdit, personne n’encadre. Reformuler un courriel, résumer un dossier client, préparer une analyse financière. C’est utile, ça gagne du temps.

Ce qui change

Ailleurs, quelqu’un retrouve un fragment de cette information dans une réponse générée pour une autre personne. Pas la donnée brute, mais assez pour reconnaître un contexte, une logique de tarification, une formulation interne.

Ce qui en résulte

Voici la mécanique simple, et c’est la phrase à retenir : les versions gratuites ne sont pas gratuites. Le prix, ce sont vos données. Ce que vos employés y entrent peut servir à entraîner le modèle. C’est écrit dans les conditions d’utilisation, et la plupart des dirigeants ne le savent pas.

La nuance Plus vs Business qui change tout

Payer ChatGPT Plus à 20 dollars par mois ne suffit pas. Plus reste sur le régime « entraînement par défaut » et exige un opt-out manuel par utilisateur. Ce qui exclut contractuellement l’entraînement, ce sont les plans Business, Enterprise, Edu ou les API officielles d’OpenAI. Même logique chez Microsoft 365 Copilot, Google Workspace avec Gemini, et chez les API officielles des autres fournisseurs.

Voici la table de vérité pour ChatGPT en 2026 :

Le premier geste à poser est mécanique. Faites la liste des outils d’IA que votre équipe utilise. Identifiez ceux en version gratuite ou en version personnelle payante. Basculez en plan Business ou retirez-les de l’usage organisationnel.

C’est la première brique du cadre que vous montez.

Trois zones où votre usage actuel touche déjà la Loi 25

Au-delà des versions gratuites, votre usage actuel d’IA touche probablement trois zones que la Loi 25 encadre directement. Peu de dirigeants de PME/organisation les ont cartographiées.

Zone 1 : les données personnelles qui transitent hors de votre contrôle

Quand votre équipe colle un dossier client, un CV ou un fichier RH dans un outil d’IA hébergé aux États-Unis, vous communiquez de l’information personnelle à un tiers situé hors du Québec.

La Loi sur la protection des renseignements personnels dans le secteur privé (chapitre P-39.1 du Recueil des lois du Québec), modifiée par la Loi 25, exige à son article 17 qu’une évaluation des facteurs relatifs à la vie privée (EFVP) soit effectuée avant toute communication de renseignements personnels hors du Québec, incluant vers une autre province canadienne. Cette EFVP doit examiner les protections (incluant contractuelles) en place et le cadre juridique applicable dans l’État destinataire.

Cette obligation s’applique depuis le 22 septembre 2023.

Zone 2 : les décisions automatisées sans transparence

Si l’IA prend une décision fondée exclusivement sur un traitement automatisé (par exemple : filtrer automatiquement des candidatures sans intervention humaine, refuser une demande de crédit de façon automatique, scorer et trier des dossiers sans qu’un membre du personnel les revoie), vous êtes dans le territoire de l’article 12.1 de la même loi.

L’article 12.1 prévoit trois obligations :

1. Informer la personne concernée au plus tard au moment où elle est informée de la décision.
2. Sur demande, lui communiquer les renseignements personnels utilisés, les raisons ainsi que les principaux facteurs et paramètres ayant mené à la décision, et son droit de faire rectifier les renseignements utilisés.
3. Lui donner l’occasion de présenter ses observations à un membre de votre personnel en mesure de réviser la décision.

À noter : si un humain intervient réellement dans la décision finale, l’article 12.1 ne s’applique pas. Le mot clé est exclusivement. La nuance compte, et beaucoup de dirigeants la manquent.

Zone 3 : l’usage en parallèle, sans politique

C’est le shadow AI. Personne n’a interdit, personne n’a encadré, alors chacun utilise ce qu’il veut. Pas de politique signifie pas de consentement explicite des employés sur l’usage de leurs données (incluant les contenus qu’ils produisent), pas de cadre clair pour les clients dont les dossiers sont traités, et aucune trace en cas d’incident.

C’est l’angle mort le plus large et le plus invisible. Et c’est aussi celui qui se règle le plus vite avec le Starter Pack 1 page.

Trois gestes pour démarrer rapidement

Ces trois zones ne se règlent pas avec un avocat en premier lieu. Elles se règlent avec trois gestes pratiques que vous pouvez poser rapidement, et qui posent les fondations sur lesquelles vos spécialistes pourront ensuite bâtir.

Geste 1 · Choisissez vos outils, fermez la porte aux autres. Sélectionnez un ou deux outils d’IA officiels pour l’organisation, en plan Business ou Enterprise. Bannissez explicitement les versions gratuites et les versions personnelles payantes dans l’usage organisationnel. Ce n’est pas de l’autoritarisme, c’est de la réduction de surface à protéger.

Geste 2 · Documentez une grille minimale de protection des renseignements personnels. L’EFVP est obligatoire dans deux cas précis selon la LPRPSP : pour tout projet d’acquisition, de développement ou de refonte d’un système d’information impliquant des renseignements personnels (article 3.3), et avant toute communication de renseignements personnels hors du Québec (article 17). Pour une PME/organisation, une grille de 10 à 15 questions documentées suffit dans la majorité des cas : quelles données sont traitées, par qui, pour quel usage, où elles transitent, qui y a accès, combien de temps elles sont conservées, comment elles sont supprimées.

Geste 3 · Adoptez le Starter Pack 1 page. Le squelette des sept sections est juste en dessous. Vous pouvez aussi le télécharger prérempli en bas de cet article, accompagné du Guide pratique 18 pages.

Trois gestes. Une charge de travail répartie sur deux ou trois séances. Et un cadre qui peut ensuite être validé ou bonifié par un spécialiste, plutôt que d’être attendu de lui de zéro.

Le squelette du Starter Pack en sept sections

Voici les sept sections à remplir, avec leur intention et leur format.

1. Les outils autorisés

Nommez explicitement les deux ou trois outils officiels, avec la version précise. Pas « ChatGPT » seul, mais « ChatGPT Business ». Pas « Copilot » seul, mais « Microsoft 365 Copilot intégré à votre tenant ». Cette précision change tout : elle éclôt la confusion entre les plans qui entraînent par défaut et ceux qui ne le font pas.

Ajoutez ensuite : tout autre outil d’IA est interdit pour l’usage organisationnel sans validation préalable par le responsable désigné.

2. Les cas d’usage permis

Trois à cinq cas concrets que vous encouragez. Reformuler un courriel sortant, résumer un document interne non confidentiel, brouillonner une présentation, structurer une analyse, générer un plan de projet.

L’objectif n’est pas l’exhaustivité, c’est de donner à votre équipe la permission claire d’utiliser l’IA pour ces gestes-là, sans hésitation et sans demander à la direction à chaque fois.

3. Les données interdites

La section la plus importante pour une PME/organisation. Une grille à quatre ou cinq niveaux suffit.

Le travail clé : adapter ces catégories au vocabulaire et aux réalités de votre organisation. Une fondation n’a pas les mêmes données qu’un cabinet professionnel ou qu’un manufacturier.

4. La validation humaine obligatoire

Listez explicitement les décisions où un humain doit toujours valider, peu importe la performance de l’IA. Six catégories typiques pour une PME/organisation :

• Décisions touchant un client (acceptation, refus, conditions particulières)
• Décisions RH (sélection de candidats, évaluations, mesures disciplinaires)
• Communications publiques (avis officiels, communiqués, prises de position)
• Contrats, offres et soumissions envoyés à l’externe
• Données financières (résultats, prévisions, déclarations)
• Recommandations stratégiques aux instances décisionnelles

La formulation utile dans le guide : « L’IA peut recommander, structurer, résumer ou automatiser une partie du travail. Mais la responsabilité finale, dans ces domaines, appartient à l’humain désigné. »

C’est aussi la clé pour rester hors du territoire strict de l’article 12.1 LPRPSP. Dès qu’un humain intervient réellement dans la décision finale, le régime des décisions fondées exclusivement sur un traitement automatisé ne s’applique pas.

5. Le mécanisme de consentement et de transparence

Pour tout cas d’usage qui touche à des données personnelles (client, employé, fournisseur), rappelez l’obligation : informer la personne concernée, recueillir un consentement éclairé, documenter.

Trois formulations types à adapter selon le contexte :

• « Certaines réponses peuvent être assistées par un outil d’intelligence artificielle. »
• « Vos données peuvent être traitées à l’aide d’outils numériques pour améliorer le service. »
• « Toute décision importante demeure révisée par une personne autorisée. »

Plus l’IA influence une décision importante, plus la transparence doit être forte.

6. Le principe directeur

Une phrase courte qui sert d’ancre quand un cas nouveau apparaît et qu’aucune règle ne le couvre directement. C’est la boussole éditoriale du guide.

Par défaut, je recommande cette formulation, à personnaliser à votre culture organisationnelle :

“

« L’IA peut recommander, structurer, résumer ou automatiser une partie du travail. Mais la responsabilité finale appartient toujours à l’humain désigné. » – Steve Johnston

D’autres organisations préfèrent une ligne rouge claire : « Aucune décision finale sur un employé, un client ou un fournisseur n’est prise par une IA seule. » Ou un principe d’utilité : « Chaque usage d’IA doit résoudre un problème d’affaires concret. »

Choisissez celle qui résonne avec la voix de votre organisation. C’est ce principe qui guidera vos employés quand un cas inédit arrivera entre deux révisions du guide.

7. Les personnes responsables

Trois noms suffisent : qui approuve un nouvel outil, qui tient à jour le registre des cas d’usage, qui révise le guide tous les six mois. Souvent dans une PME/organisation, ces trois rôles sont assumés par deux personnes, parfois une seule. Ce n’est pas un problème, tant que les responsabilités sont nommées et que la direction est dans la boucle.

Au-delà du Starter Pack : le Guide pratique 18 pages

Pour les organisations plus complexes ou pour celles qui veulent aller plus loin dès le premier exercice, trois outils complémentaires méritent d’être bâtis à côté du Starter Pack. Ils ne tiennent pas sur la même page, mais ils s’y rattachent directement. Ces trois outils, plus un modèle d’EFVP simplifié pour PME, les références juridiques précises (articles 12.1, 17 et 3.3 de la LPRPSP), une grille de classification des données à quatre niveaux et un Pack à trois niveaux Starter / Sécurisé / Audit-ready, je les ai regroupés dans le Guide pratique 18 pages téléchargeable en bas de cet article. La suite de cette section vous en donne l’aperçu, et la version complète vous attend au téléchargement.

Le registre des cas d’usage IA

Un tableau vivant, pas un document figé. Une ligne par cas d’usage important dans l’organisation, avec les colonnes : nom du cas, département, responsable, outil utilisé, données utilisées, présence de données personnelles oui ou non, niveau de risque (faible, moyen, élevé), validation humaine présente, bénéfice attendu, statut (test, approuvé, retiré).

Ce registre devient l’inventaire opérationnel de l’IA dans votre organisation. Il révèle aussi rapidement les cas qui auraient dû passer par le processus d’approbation et qui ne l’ont pas fait.

La grille d’évaluation des risques

Sept ou huit lignes, pas trente. Un tableau qui croise les risques typiques avec leur mesure de contrôle.

Les questions à poser à vos fournisseurs IA

Avant d’adopter un nouvel outil, neuf questions valent la peine d’être posées en écrit au fournisseur :

1. Utilisez-vous nos données pour entraîner vos modèles ?
2. Où les données sont-elles stockées géographiquement ?
3. Qui peut accéder aux données chez vous ?
4. Avez-vous un journal d’activité accessible ?
5. Peut-on supprimer nos données sur demande ?
6. Avez-vous des sous-traitants qui traitent nos données ?
7. Les données sortent-elles du Canada ?
8. Quelles mesures de sécurité sont en place ?
9. Que se passe-t-il en cas d’incident, et comment êtes-vous tenu de nous informer ?

Conservez les réponses écrites. Elles font partie de votre dossier de conformité.

Pack de gouvernance IA en 3 niveaux

Pour les organisations qui veulent structurer leur démarche dans le temps plutôt que tout faire d’un coup, un pack en trois niveaux fonctionne bien.

Niveau 1 · Starter Pack 1 page. La charte IA courte décrite dans cet article. Adoptée rapidement par la direction. Présentée à toute l’équipe en quinze minutes.

Niveau 2 · Registre des cas d’usage. Le tableau vivant décrit plus haut. Revu trimestriellement. Tenu par un responsable nommé dans la charte.

Niveau 3 · Fiches de contrôle par cas d’usage important. Une fiche par cas significatif : CRM, RH, marketing, service client, finances, opérations. Chaque fiche détaille les données concernées, le contrôle humain, la mesure du gain, et la procédure de révision.

La majorité des PME/organisations peuvent vivre solidement avec les niveaux 1 et 2. Le niveau 3 devient utile quand l’usage d’IA touche des dizaines de processus différents et que la complexité dépasse la capacité de mémoire d’une seule personne.

Validation macro

Au-delà du cas observé sur le terrain, les autorités convergent. L’article publié dans La Presse Affaires le 1er mai 2026 a placé le sujet sur les écrans des dirigeants québécois. La Commission d’accès à l’information du Québec rappelle régulièrement que la gouvernance des renseignements personnels doit englober l’usage des outils d’intelligence artificielle. Et les acteurs en cybersécurité observent une accélération des incidents liés à l’usage non encadré d’IA générative dans les organisations.

Le constat est partagé. Et il est partagé sans alarmisme : le Starter Pack 1 page suffit pour démarrer et régulariser la majorité des situations cette semaine. Le Guide pratique 18 pages prend le relais pour celles et ceux qui veulent la profondeur tout de suite, en attendant d’aller plus loin avec les spécialistes là où le contexte le demande.

Source du signal : La Presse, Affaires, « Votre recours à l’IA au boulot pourrait être illégal », 1er mai 2026.

Texte officiel de la loi : LégisQuébec, Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1.

Référence officielle sur les sanctions : Commission d’accès à l’information du Québec, Sanctions.

Mon ancrage personnel

Je travaille en architecture d’exécution numérique et en transformation opérationnelle. Dans cette pratique, la cybersécurité, la protection des données et la conformité sont transversales : elles font partie intégrante de chaque architecture que je dessine. Ce n’est pas un domaine externe à mon travail, c’est un réflexe inclusif, nécessaire et protecteur ancré dans la conception même de mes solutions.

Je collabore avec des spécialistes pointus en cybersécurité, en protection des renseignements personnels et en droit pour la conformité finale, parce que ces domaines exigent une expertise spécifique qu’ils maîtrisent mieux que moi. Mon rôle en amont : poser un cadre architectural solide qui rend leur travail plus rapide, plus précis et mieux ancré à votre réalité.

Ce que je vois le plus chez mes clients, c’est l’écart entre l’envie de bien faire et l’absence d’un point de départ accessible. Beaucoup de dirigeants de PME/organisation me disent : « Je sais qu’il faudrait encadrer, mais par où commencer ? ». Le Starter Pack 1 page est ma première réponse, pour démarrer rapidement. Le Guide pratique 18 pages est la seconde, pour celles et ceux qui veulent la profondeur tout de suite ou qui anticipent un audit. Pas pour remplacer le travail des spécialistes, mais pour donner aux dirigeants des objets concrets à produire, qui se bonifient ensuite avec les experts.

Si vous voulez en discuter, je suis très heureux de le faire avec vous : stevejohnston.co/contact/.

Édition du 28 mai 2026 de L’Architecte, l’infolettre de Steve Johnston pour PME/organisations qui veulent faire de l’IA sérieusement.

Suite éditoriale au billet du 21 mai 2026 sur Avant de magasiner l’IA, formulez votre demande.