Votre équipe veut utiliser l'IA, et une grande partie de ce qu'elle lui demanderait touche des renseignements personnels : dossiers de clients, dossiers d'employés, factures nominatives. Si votre entreprise fait affaire au Québec, la Loi 25 fixe des attentes claires pour ces renseignements, peu importe l'outil qui les traite. Cette liste de vérification passe en revue ce qu'il faut vérifier avant et après l'adoption de l'IA. Ce n'est pas un avis juridique; votre responsable de la protection des renseignements personnels ou votre avocat a le dernier mot.
Pourquoi la Loi 25 compte pour l'IA
La Loi 25 a modernisé la loi québécoise sur la protection des renseignements personnels dans le secteur privé, et la plupart de ses règles sont en vigueur depuis septembre 2023. Elle ne nomme pas les robots conversationnels, mais elle s'applique à tout outil qui recueille, utilise ou communique des renseignements personnels. Les sanctions administratives peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, alors il vaut la peine de bien faire les choses de base.
1. Nommez la personne responsable
- Par défaut, la personne ayant la plus haute autorité dans votre entreprise est responsable de la protection des renseignements personnels. Ce rôle peut être délégué par écrit.
- Le titre et les coordonnées de cette personne doivent être publiés sur votre site Web.
- Assurez-vous que cette personne sait quels outils d'IA votre équipe utilise et a son mot à dire sur les nouveaux.
2. Faites le portrait de l'usage actuel de l'IA
- Quels outils d'IA votre équipe utilise-t-elle, et avec des comptes d'entreprise ou personnels?
- Qu'est-ce qui y entre : renseignements sur des clients, des employés, des finances ou la santé?
- Où vont ces renseignements, et le fournisseur les conserve-t-il ou s'en sert-il pour entraîner ses modèles?
3. Évaluez les facteurs relatifs à la vie privée
- La Loi 25 exige une évaluation des facteurs relatifs à la vie privée (ÉFVP) pour tout projet d'acquisition, de développement ou de refonte d'un système d'information qui comporte des renseignements personnels. L'adoption d'un outil d'IA en fait généralement partie.
- Avant de communiquer des renseignements personnels à l'extérieur du Québec, y compris quand un fournisseur d'IA les traite sur des serveurs situés ailleurs, l'évaluation doit tenir compte de leur sensibilité, de la raison de l'envoi, des mesures de protection (y compris contractuelles) et du régime juridique de l'endroit où ils vont. Ils ne peuvent y aller que s'ils bénéficieront d'une protection adéquate, et l'entente doit être consignée par écrit.
- Un renseignement dépersonnalisé demeure un renseignement personnel au sens de la loi. Seul un renseignement anonymisé de façon irréversible en sort.
4. Soyez transparent sur les décisions automatisées
- Si vous utilisez des renseignements personnels pour prendre une décision au sujet d'une personne fondée uniquement sur un traitement automatisé, vous devez l'en informer, au plus tard au moment où vous l'informez de la décision.
- Sur demande, vous devez aussi lui indiquer les renseignements personnels utilisés, les raisons et les principaux facteurs qui ont mené à la décision, et son droit de faire rectifier ces renseignements. Elle peut présenter ses observations à un membre de votre personnel en mesure de réviser la décision.
- La façon la plus simple de respecter cette règle est de garder une personne qui révise et approuve réellement ce que l'IA suggère, et de documenter cette révision.
5. Contrôlez ce qui sort de votre entreprise
- Décidez par sujet ce qui peut aller à un service d'IA externe. La paie, les renseignements de santé et la stratégie juridique ne se traitent pas comme un texte marketing.
- Dans le doute, l'information devrait rester à l'interne.
- Donnez à votre équipe un seul outil autorisé pour que ces règles s'appliquent automatiquement, plutôt que de compter sur des comptes personnels.
6. Tenez des registres et préparez-vous aux incidents
- Gardez une trace de qui a demandé quoi, et de ce qui est sorti de votre entreprise. Elle appuie votre évaluation et vous permet de répondre aux questions des clients ou des employés.
- La Loi 25 exige un registre des incidents de confidentialité. Si un incident présente un risque de préjudice sérieux, vous devez aviser la Commission d'accès à l'information et les personnes concernées.
7. Formez votre équipe
- Expliquez en mots simples ce qui peut et ne peut pas être partagé avec l'IA, et pourquoi.
- Montrez aux gens l'outil autorisé et à qui s'adresser en cas de doute.
La place de l'IA privée hybride Zero-Trust
L'IA privée hybride Zero-Trust est la plateforme d'IA privée de BADEP. Elle est conçue pour soutenir vos obligations en matière de protection des renseignements personnels, y compris la Loi 25, et elle aide pour plusieurs points de cette liste.
- Points 2 et 5 : chaque requête reçoit l'un de trois niveaux. Le travail Scellé ne sort jamais de votre environnement, qui fonctionne dans une infrastructure qui vous appartient, dans la région de votre choix. Le travail Substitué ne sort qu'après le retrait des détails identifiants. Le travail Standard se limite à l'information non sensible. Scellé est le niveau par défaut.
- Point 3 : vous obtenez une documentation claire de quelles données vont où et sous quelle forme, ce qui alimente votre évaluation des facteurs relatifs à la vie privée. Comme le contenu Substitué est désidentifié et non anonymisé, il fait toujours partie de cette évaluation.
- Point 4 : les agents préparent le travail, et des personnes l'approuvent.
- Point 6 : chaque requête est consignée dans votre environnement : qui a demandé, le niveau, quel modèle a répondu et, quand quelque chose est sorti, la version exacte qui est sortie. Votre responsable de la protection des renseignements personnels peut la consulter en tout temps.
Une bonne première étape est l'évaluation de la confidentialité des connaissances. Elle fait le portrait de vos connaissances, les classe selon les trois niveaux et repère les usages de l'IA que vous pouvez commencer en toute sécurité. Le respect de la loi demeure votre responsabilité.
Parlons-en
Lors d'un appel découverte gratuit, nous pouvons parcourir cette liste avec vous et vous dire ce que nous ferions en premier. Pour en savoir plus : nos services d'IA et l'IA privée hybride Zero-Trust.