L’ÉFVP démystifiée : comment évaluer un projet d’IA avant de le déployer

Vous prévoyez déployer un assistant IA qui lira vos courriels, vos soumissions ou vos dossiers d’employés? La Loi 25 vous demande de faire vos devoirs avant, pas après. Depuis le 22 septembre 2023, l’article 3.3 de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1) impose une évaluation des facteurs relatifs à la vie privée, l’ÉFVP, à toute entreprise qui lance un projet d’acquisition, de développement ou de refonte d’un système d’information traitant des renseignements personnels.

Cette obligation s’applique à toutes les entreprises, sans aucun seuil de taille ni de chiffre d’affaires. La PME de 12 employés y est soumise au même titre que la multinationale. Et le risque n’est plus théorique : la Commission d’accès à l’information (CAI) peut imposer directement des sanctions administratives pécuniaires allant jusqu’à 10 M$ ou 2 % du chiffre d’affaires mondial, et ses premières sanctions ont été rendues publiques en 2026.

La bonne nouvelle : une ÉFVP n’est pas une étude de 200 pages. La loi précise qu’elle doit être proportionnée à la sensibilité des renseignements, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support. Pour un projet d’IA bien cadré, c’est un exercice structuré de quelques jours, pas de quelques mois.

L’article 3.3 vise trois déclencheurs : l’acquisition, le développement et la refonte d’un système d’information ou de prestation électronique de services impliquant des renseignements personnels. En pratique, un projet d’IA coche presque toujours au moins une case.

Prenez un manufacturier de Granby qui veut un assistant de soumissions : les projets passés contiennent des noms de clients, des courriels, des signatures, parfois des données d’employés. Dès qu’un système touche un renseignement qui permet d’identifier une personne, directement ou indirectement, l’ÉFVP s’impose avant le déploiement. Et les données de vos employés comptent autant que celles de vos clients.

La loi désigne un chef d’orchestre : le responsable de la protection des renseignements personnels, qui doit être consulté dès le début du projet. Par défaut, ce rôle revient à la personne ayant la plus haute autorité dans l’entreprise, souvent sans qu’elle le sache. Si vous n’avez jamais délégué formellement cette fonction, c’est votre président ou votre présidente qui la porte aujourd’hui.

Autour de cette personne, une petite équipe suffit : le responsable du projet côté métier (celui qui sait quelles données circulent réellement), un représentant des TI et, si un fournisseur externe intervient, une personne chargée de recueillir ses réponses écrites sur l’hébergement, la sous-traitance et l’utilisation des données. Il demeure prudent d’obtenir un avis juridique pour les cas complexes, notamment les transferts hors Québec. Mais la majorité des ÉFVP de projets internes se mènent à l’interne, avec une grille rigoureuse et un peu de méthode.

Première étape : cartographier les flux. Quels renseignements personnels entrent dans le système, d’où viennent-ils, où sont-ils stockés, qui y accède, vers quels tiers circulent-ils et combien de temps sont-ils conservés? Si vous tenez déjà le registre des renseignements personnels exigé par la Loi 25, vous avez une longueur d’avance : l’ÉFVP en est le prolongement naturel, projet par projet.

Deuxième étape : évaluer les risques. Pour chaque flux, on estime la probabilité et la gravité d’une atteinte à la vie privée. Les risques typiques d’un projet d’IA : une fuite de renseignements par les requêtes envoyées à un fournisseur, la réidentification de personnes à partir de données mal dépersonnalisées, un assistant qui révèle des informations RH à un employé qui ne devrait pas les voir, ou la réutilisation de vos données pour entraîner le modèle d’un tiers. Ce dernier point mérite une attention particulière : réutiliser des renseignements personnels pour entraîner un modèle constitue une nouvelle finalité, qui exige sa propre base légale.

Troisième étape : choisir les mesures d’atténuation. Minimisation de la collecte, caviardage des renseignements personnels avant traitement, contrôle des accès par rôle, chiffrement au repos et en transit, journalisation des requêtes, validation humaine avant toute action qui touche une personne. Chaque risque identifié à l’étape précédente doit trouver sa réponse, ou être explicitement accepté par la direction.

Quatrième étape : documenter. Un rapport daté qui consigne le périmètre, les flux, les risques, les mesures retenues, les risques résiduels et la décision finale. Ce document se révise à chaque changement significatif du système : nouveau fournisseur, nouvelle source de données, nouvelle fonctionnalité. C’est lui que vous produirez si la CAI vérifie vos pratiques.

Voici la grille de départ que nous utilisons pour cadrer un premier échange. Elle ne remplace pas une ÉFVP complète, mais elle a une vertu : si vous ne pouvez pas répondre à l’une de ces huit questions, vous n’êtes pas prêt à déployer.

L’article 17 ajoute une exigence distincte : avant de communiquer des renseignements personnels à l’extérieur du Québec, l’entreprise doit procéder à une évaluation qui tient compte notamment de la sensibilité des renseignements, de la finalité de leur utilisation, des mesures de protection et du régime juridique applicable dans l’État de destination. La communication ne peut avoir lieu que si l’évaluation démontre une protection adéquate, et elle doit faire l’objet d’une entente écrite.

C’est ici que beaucoup de projets d’IA trébuchent. Envoyer des extraits de dossiers clients à une API d’IA hébergée aux États-Unis, c’est une communication hors Québec. Utiliser un SaaS américain sans évaluation préalable figure parmi les non-conformités les plus fréquentes relevées dans les entreprises québécoises. Et la localisation physique ne règle pas tout : en vertu du CLOUD Act, une loi américaine de 2018, un fournisseur de propriété américaine peut être contraint de remettre des données même stockées au Canada. C’est la juridiction du propriétaire qui compte, pas l’adresse du centre de données.

Chaque flux qui sort de votre périmètre ajoute une couche à l’ÉFVP : un sous-traitant à encadrer par contrat (art. 18.3), un régime juridique étranger à analyser, une entente écrite à négocier. À l’inverse, quand le modèle d’IA tourne sur un serveur dans vos locaux ou chez un hébergeur québécois sous votre contrôle, des sections entières de l’évaluation tombent d’elles-mêmes : aucun transfert hors Québec, donc pas d’analyse au titre de l’article 17; aucun fournisseur de modèle qui reçoit vos données; et la garantie vérifiable que vos renseignements ne servent jamais à entraîner un modèle tiers.

Soyons clairs : l’ÉFVP reste obligatoire, héberger chez soi ne dispense de rien. Mais l’exercice change de nature. On documente des mesures qu’on contrôle (caviardage des renseignements personnels avant traitement, accès par rôle, journal d’audit des requêtes) plutôt que d’évaluer les promesses contractuelles d’un fournisseur qu’on ne peut pas vérifier. Pour une PME sans juriste à l’interne, c’est souvent la différence entre quelques jours de travail structuré et des semaines d’allers-retours contractuels.

Trois gestes concrets pour lancer la démarche. D’abord, confirmez qui est votre responsable de la protection des renseignements personnels et publiez son titre et ses coordonnées sur votre site : cette obligation est en vigueur depuis septembre 2022, et c’est cette personne qui portera l’ÉFVP. Ensuite, inventoriez les projets d’IA en cours, y compris les outils que vos employés utilisent sans approbation : chacun est un déclencheur potentiel de l’article 3.3. Enfin, prenez le projet le plus avancé et passez-le dans la grille de huit questions ci-dessus; les trous que vous découvrirez forment votre plan de travail.

Pour situer l’ÉFVP dans la démarche globale, consultez notre guide complet de conformité à la Loi 25 et notre liste de contrôle en 12 étapes. Et si vous préférez être accompagné, notre démarche commence toujours par un audit qui inclut la cartographie des flux de renseignements personnels : exactement la première étape d’une ÉFVP.