Décisions automatisées et IA : obligations de transparence en vertu de la Loi 25 (art. 12.1) et propositions du projet de loi C-36

Les outils automatisés aident désormais à décider qui obtient un crédit, quels candidats à l’emploi progressent, quelles demandes d’assurance sont signalées et quels clients voient quels prix. La Loi 25 du Québec établit déjà des règles de transparence pour certaines de ces décisions, et le nouveau projet de loi fédéral sur la protection de la vie privée, le projet de loi C-36, propose les siennes. Voici ce qui s’applique aujourd’hui et ce qui pourrait advenir.

Loi 25 : article 12.1

L’article 12.1 de la loi québécoise sur le secteur privé s’applique à toute entreprise qui utilise des renseignements personnels pour rendre une décision fondée exclusivement sur un traitement automatisé de ces renseignements (art. 12.1). Il est en vigueur depuis le 22/09/2023 (CAI).

L’entreprise doit informer la personne concernée de cette situation au plus tard au moment où elle l’informe de la décision. Sur demande, elle doit également indiquer à la personne (art. 12.1) :

1. quels renseignements personnels ont été utilisés pour rendre la décision ;
2. les raisons, ainsi que les principaux facteurs et paramètres, qui ont mené à la décision ; et
3. son droit de faire rectifier les renseignements personnels utilisés.

La personne doit également avoir la possibilité de présenter des observations à un membre du personnel de l’entreprise qui est en mesure de réviser la décision.

Ce que signifie « exclusivement » en pratique

L’obligation vise les décisions sans intervention humaine significative. Un membre du personnel qui se contente de cliquer sur « approuver » pour chaque recommandation du système ne changera probablement rien. Si vous comptez sur un examen humain pour rester en dehors de l’article 12.1, assurez-vous que l’examinateur a l’autorité, les informations et le temps de contester le système, et documentez-le.

Obligations connexes

• Profilage. Si le système profile des personnes, l’article 8.1 vous oblige à les en informer au préalable et à expliquer comment activer les fonctions de profilage (art. 8.1).
• Évaluation des facteurs relatifs à la vie privée. L’acquisition ou le développement d’un système qui traite des renseignements personnels déclenche une EFVP (art. 3.3), qui est l’endroit naturel pour analyser les risques liés aux décisions automatisées.
• Exactitude. Le droit de rectification n’est utile que si vous pouvez retracer les données qui ont alimenté la décision.

Projet de loi C-36 : la proposition fédérale

Le projet de loi C-36, la Loi sur la protection de la vie privée et des données des consommateurs, a été déposé le 15/06/2026 par le ministre de l’Intelligence artificielle et de l’Innovation numérique et a franchi la première lecture à la Chambre des communes (LEGISinfo). Il n’est pas encore loi. Tel que décrit dans l’analyse d’un cabinet d’avocats :

• Les organisations devraient rendre compte de leur utilisation de systèmes de décision automatisée susceptibles d’avoir un effet juridique ou un effet significatif similaire sur les individus, un seuil plus étroit que dans le projet de loi fédéral précédent et plus proche de l’approche du RGPD (DLA Piper).
• Sur demande, les individus pourraient obtenir une explication incluant le type de renseignements personnels utilisés, leur source et les principaux facteurs ayant mené à la décision, et pourraient faire des représentations à une personne capable de la réviser (Gowling WLG).
• Les pénalités en vertu du projet de loi pourraient atteindre le plus élevé de 10 millions de dollars ou 3 % des revenus mondiaux pour les pénalités administratives, avec des maximums plus élevés pour les infractions (DLA Piper).

Le document d’information du gouvernement présente le projet de loi comme faisant partie d’une mise à jour plus large des protections de la vie privée pour l’ère numérique.

Comparaison des deux

• Déclencheur. La Loi 25 s’applique aux décisions fondées exclusivement sur un traitement automatisé ; le projet de loi C-36, tel que décrit, se concentre sur les systèmes ayant des effets juridiques ou significatifs similaires.
• Délai. La Loi 25 exige un avis au plus tard au moment où la décision est communiquée ; les deux régimes prévoient des explications sur demande.
• Examen humain. Les deux donnent aux individus un moyen d’être entendus par une personne capable de réviser la décision.

Pour les entreprises déjà conformes à l’article 12.1, une grande partie du travail, comme les inventaires de décisions, les modèles d’explication et les procédures d’examen, serait transférée si le projet de loi C-36 était adopté.

Mesures pratiques dès maintenant

1. Inventoriez les décisions automatisées. Incluez les outils des fournisseurs : notation de crédit, détection de fraude, sélection de candidats, chatbots dotés d’un pouvoir de décision.
2. Classez-les. Entièrement automatisées ou avec intervention humaine ? Quel effet sur la personne ?
3. Préparez des explications. Pour chaque type de décision, documentez les données utilisées et les principaux facteurs en langage clair. Demandez aux fournisseurs ce dont vous avez besoin ; « propriétaire » n’est pas une réponse que la personne concernée acceptera.
4. Mettez en place un canal d’examen. Nommez qui examine les décisions contestées et à quelle vitesse.
5. Mettez à jour les avis. Ajoutez l’avis de l’article 12.1 aux lettres de décision, courriels ou écrans.

Accel GRC vous aide à tenir un inventaire des décisions automatisées et des EFVP connexes, et KW Consulting peut examiner les projets d’IA et d’analyse. Consultez nos pages Loi 25 et Projet de loi C-36, explorez Accel GRC et KW Consulting, ou contactez-nous.

Sources

• Loi sur la protection des renseignements personnels dans le secteur privé (anglais)
• Loi sur la protection des renseignements personnels dans le secteur privé, art. 12.1 (français)
• CAI – Principaux changements de la Loi 25
• LEGISinfo – Projet de loi C-36 (45-1)
• ISDE – Document d’information : Le gouvernement du Canada présente une loi pour protéger la vie privée des Canadiens à l’ère numérique
• DLA Piper – Le Canada dépose le projet de loi C-36
• Gowling WLG – Comprendre le projet de loi C-36