Loi 25 et chatbot : ce qu’un établissement touristique doit savoir avant d’en installer un

Cet article informe ; il ne remplace pas un avis juridique.

La conclusion d’abord

Un chatbot bien conçu ne vous met pas en infraction. Ce qui vous y met, c’est de collecter sans le dire, d’envoyer des données hors du Québec sans l’avoir évalué, ou de laisser une machine prendre seule une décision sur une personne. Cinq obligations couvrent l’essentiel, et la plupart se règlent en une page de politique de confidentialité et en trois questions au fournisseur.

Ce que la loi exige, en cinq points

La Loi 25 modernise la protection des renseignements personnels au Québec. Ses dispositions sont entrées en vigueur par étapes, en septembre 2022, septembre 2023 et septembre 2024. La Commission d’accès à l’information (CAI) en résume les changements (CAI, principaux changements).

1. Un responsable. La personne ayant la plus haute autorité dans l’entreprise est responsable de la protection des renseignements personnels ; elle peut déléguer par écrit. Pour une auberge, c’est le propriétaire, et il doit être nommé.
2. Une politique de confidentialité. Toute entreprise qui recueille des renseignements par un moyen technologique publie une politique rédigée « en termes simples et clairs » sur son site. Un chatbot est un moyen technologique : la politique doit dire qu’il existe, ce qu’il recueille et pourquoi.
3. Un consentement clair. Le consentement doit être « manifeste, libre, éclairé et donné à des fins spécifiques », demandé pour chaque finalité, en termes simples. Si le chatbot demande un courriel pour transmettre une demande de réservation, la finalité se dit à ce moment-là.
4. La décision automatisée. Si une décision fondée exclusivement sur un traitement automatisé est prise à propos d’une personne, celle-ci doit en être informée et pouvoir présenter ses observations à un membre du personnel capable de réviser la décision. La CAI et des cabinets comme Grant Thornton le détaillent. Un chatbot qui répond à des questions et transmet une demande ne décide rien ; un chatbot qui refuserait seul une réservation, oui.
5. L’évaluation des facteurs relatifs à la vie privée (EFVP). Elle est requise pour tout projet de système d’information mettant en jeu des renseignements personnels, et avant de communiquer des renseignements hors du Québec. Si le modèle de langage de votre fournisseur tourne sur des serveurs hors province, la question se pose et doit être documentée.

À cela s’ajoute la gestion des incidents : tout incident de confidentialité présentant un risque sérieux de préjudice doit être déclaré à la CAI et aux personnes concernées, et un registre des incidents doit être tenu.

Les montants

La CAI peut imposer des sanctions administratives pécuniaires allant jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial. Des poursuites pénales peuvent porter les amendes jusqu’à 25 millions de dollars ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé (Technologia, 5 novembre 2024). Pour un établissement de vingt chambres, le risque réel n’est pas le plafond ; c’est le recours d’un client, et la réputation.

Ce qui relève de vous, ce qui relève du fournisseur

De vous : nommer le responsable, publier la politique, dire dans la politique qu’un agent conversationnel est en service et à quelles fins, et tenir le registre des incidents.

Du fournisseur : vous dire d’où viennent les réponses de l’agent et si vous pouvez en voir la source ; vous dire où les conversations sont hébergées et si des données quittent le Québec ; vous garantir que l’agent ne prend aucune décision seul sur une personne ; vous aider à écrire la mention dans votre politique.

Voici comment nous y répondons, pour que vous puissiez comparer. Notre concierge ne connaît que votre établissement et ne cherche pas sur le web ; chaque réponse est rattachée à un document de votre établissement, que vous pouvez consulter après coup. Il ne prend aucune décision : il répond et transmet une demande écrite à votre équipe, qui décide. Il répond en français à qui écrit en français, en anglais à qui écrit en anglais. Et nous vous disons par écrit ce qu’il recueille et à quelle fin, pour que votre politique de confidentialité puisse le reprendre. Ce que nous ne faisons pas : un avis juridique. Pour l’EFVP, un conseiller ou votre association sectorielle peut vous accompagner.

Trois questions à poser à n’importe quel fournisseur

Où sont hébergées les conversations, et quelles données sortent du Québec ? Puis-je voir la source de chaque réponse donnée en mon nom ? L’agent prend-il une décision seul, et laquelle ? Un fournisseur qui hésite sur l’une des trois n’a pas fini son travail.

Nos trois réponses, puisque nous posons les questions

• Où sont hébergées les conversations. Dans une base PostgreSQL hébergée à Montréal, région ca-central-1. Les conversations et les documents de votre base de connaissances y restent. Le modèle de langue qui rédige les réponses est appelé chez son fournisseur : c’est un transfert, il est couvert par notre politique, et il porte la question de votre visiteur sans votre fichier client.
• La source de chaque réponse. Oui. Chaque réponse du concierge est rattachée au passage du document qui l’a produite, et vous le voyez dans votre tableau de bord. Une réponse qui vous surprend se retrace jusqu’à sa phrase d’origine.
• Ce que le concierge décide seul. Rien. Le concierge répond, il oriente dans la visite, et il recueille une demande que votre équipe traite. Il ne confirme aucune réservation et il n’accorde ni ne refuse rien, donc il ne prend pas de décision automatisée au sens de la Loi 25.

Sources

• Commission d’accès à l’information du Québec, « Principaux changements apportés par la Loi 25 » : cai.gouv.qc.ca/protection-renseignements-personnels/sujets-et-domaines-dinteret/principaux-changements-loi-25
• Grant Thornton (RCGT), « Loi 25 : l’enjeu des décisions automatisées » : rcgt.com/fr/conseils/avis-d-experts/loi-25-enjeu-decisions-automatisees/
• Technologia, « La Loi 25 à l’épreuve de l’intelligence artificielle », 5 novembre 2024 : technologia.com/blogue/articles/la-loi-25-a-l-epreuve-de-l-intelligence-artificielle
• La Presse, « Votre recours à l’IA au boulot pourrait être illégal », 1^er mai 2026 : lapresse.ca/affaires/2026-05-01/entorse-possible-a-la-loi-25/votre-recours-a-l-ia-au-boulot-pourrait-etre-illegal.php

Article rédigé par Virtuo360, Montréal. Il informe et ne remplace pas un avis juridique.