Une personne responsable, nommée et joignable
La première obligation est aussi la plus simple : désigner une personne responsable de la protection des renseignements personnels. Par défaut, c’est la personne qui a la plus haute autorité dans l’entreprise, souvent le ou la propriétaire. Son titre et ses coordonnées doivent être publiés sur votre site web.
En pratique, cette personne devient aussi votre interlocutrice pour tout projet d’IA. C’est elle qui doit pouvoir répondre à la question : « Où vont nos données quand elles passent dans cet outil ? »
L’évaluation des facteurs relatifs à la vie privée
La Loi exige une évaluation des facteurs relatifs à la vie privée (EFVP) avant tout projet d’acquisition, de développement ou de refonte d’un système qui traite des renseignements personnels. Un projet d’IA entre presque toujours dans cette catégorie.
Il ne s’agit pas d’un rapport de 80 pages. Pour une PME, une EFVP proportionnée tient en quelques pages : quelles données, pour quelle finalité, qui y a accès, où elles sont hébergées, combien de temps elles sont conservées, et quels risques ont été identifiés et atténués.
Hors Québec
Si vos données sont traitées ou hébergées à l’extérieur du Québec, l’EFVP doit expressément évaluer si elles bénéficieront d’une protection adéquate. C’est l’une des raisons pour lesquelles nous hébergeons systématiquement au Canada.
Décisions automatisées : le droit d’être informé
C’est l’article qui vise directement l’IA. Lorsqu’une décision fondée exclusivement sur un traitement automatisé est prise à l’égard d’une personne (accepter ou refuser une demande de crédit, prioriser une candidature), vous devez l’en informer au plus tard au moment de la décision.
Sur demande, la personne a le droit de connaître les renseignements utilisés, les principaux facteurs qui ont mené à la décision, et de faire corriger ces renseignements. Elle peut aussi présenter ses observations à un employé en mesure de réviser la décision.
La portée est précise : il faut que la décision soit fondée exclusivement sur le traitement automatisé. Une automatisation qui prépare un dossier qu’un humain valide ensuite n’est pas visée. C’est exactement l’approche que nous recommandons pour toute décision qui affecte une personne.
Minimisation, consentement et confidentialité par défaut
Trois principes traversent la Loi et s’appliquent à chaque automatisation : ne recueillir que ce qui est nécessaire à la finalité annoncée, obtenir un consentement clair et distinct quand il est requis, et configurer par défaut les paramètres au niveau de confidentialité le plus élevé.
Pour l’IA, cela veut dire : ne pas envoyer tout le dossier client au modèle quand seule la date de livraison est nécessaire, ne jamais utiliser les données de vos clients pour entraîner un modèle sans un consentement explicite, et masquer les renseignements identifiants quand l’automatisation n’en a pas besoin. Quatre gestes rendent tout cela démontrable :
- Cartographier chaque flux : quelle donnée entre, où elle va, ce qui en ressort.
- Documenter la finalité de chaque automatisation.
- Prévoir la suppression des données une fois la finalité atteinte.
- Tenir un registre des incidents de confidentialité, même mineurs.
Les sanctions, et pourquoi ce n’est pas la bonne raison d’agir
Les sanctions administratives peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, et les sanctions pénales 25 millions ou 4 %. Ces chiffres font peur, mais ils visent d’abord les grandes organisations et les manquements graves.
La vraie raison d’agir est ailleurs : vos clients vous confient leurs informations et vos employés veulent travailler avec des outils dont ils n’ont pas à se méfier. Une documentation claire de vos flux de données est aussi un argument commercial, surtout si vous vendez à des entreprises plus grandes ou à des organismes publics qui vous le demanderont.
Et dans votre entreprise ?
Quinze minutes pour voir ce que ça donnerait chez vous.