L’autorisation d’un usage de l’intelligence artificielle définit une tâche, des données et des conditions d’accès permises dans une organisation. L’approbation d’un produit ne décrit pas automatiquement tous les usages qui peuvent en être faits.

Le même logiciel peut traiter un document public ou un dossier contenant des renseignements personnels. Il peut être utilisé par une seule équipe ou partager ses résultats avec d’autres personnes. Ces changements modifient l’usage à examiner sans changer le nom du produit.

La tâche et les données définissent le périmètre

Prenons un assistant autorisé pour résumer des documents publics. Lui confier un dossier de personnel ajoute des renseignements personnels à un usage qui avait été évalué sans eux. La capacité technique de lire le dossier ne constitue pas une permission de le traiter.

Le cadre québécois de décembre 2025 sur l’IA générative distingue les systèmes publics des systèmes en circuit fermé. Son indication d’application exige d’interdire au personnel des organismes visés l’utilisation de renseignements confidentiels dans un système d’IA générative public. Le guide distingue aussi les niveaux de protection des renseignements.

Cette distinction porte sur les données et leur environnement de traitement. Elle ne transforme pas un système fermé en autorisation universelle : le besoin d’accès et les autres règles applicables restent des questions distinctes.

Un environnement interne peut donner trop d’accès

Le cas Desjardins illustre un problème de circulation des renseignements antérieur à l’IA générative. Entre janvier 2016 et juin 2018, des données de l’entrepôt de crédit, dont des renseignements personnels, étaient transférées mensuellement vers un répertoire partagé du service de marketing. Ces transferts ont rendu des données accessibles à l’employé malveillant.

Dans ses conclusions rendues publiques en décembre 2020, la Commission d’accès à l’information a notamment relevé des mesures de sécurité insuffisantes et des manquements à la limitation des accès dans les répertoires partagés. La cause de la fuite ne se réduit pas aux transferts, mais ceux-ci montrent comment un environnement interne peut élargir l’accès aux renseignements.

Ce cas n’est pas un incident d’IA. Le mécanisme pertinent est le déplacement de données vers un espace dont les droits d’accès diffèrent. Ajouter un outil à cet environnement exige de décrire les données qu’il peut consulter et les destinataires de ses résultats.

Le lieu du traitement est une propriété de l’usage

L’article 17 de la loi québécoise sur la protection des renseignements personnels dans le secteur privé prévoit une évaluation des facteurs relatifs à la vie privée avant une communication hors Québec ou le recours à un tiers hors Québec pour les traitements visés. La communication exige une protection adéquate selon l’évaluation et une entente écrite.

Le critère concerne la circulation et le traitement des renseignements, plutôt que la nationalité inscrite au nom du fournisseur. Une marque locale ne donne pas à elle seule le lieu du traitement; une marque étrangère ne décrit pas toutes les configurations offertes.

L’analyse d’un usage relie ainsi la tâche, les données, les accès et les communications. L’approbation du logiciel demeure utile, mais sa portée dépend de ces conditions concrètes.

Questions fréquentes

Un logiciel approuvé autorise-t-il à y déposer n’importe quel renseignement?

Non. L’approbation porte sur un périmètre d’utilisation. Les données, les personnes autorisées et les destinataires doivent correspondre à ce périmètre.

Un système en circuit fermé rend-il tous les accès légitimes?

Non. La fermeture du système ne détermine pas quelles personnes ont besoin de consulter chaque renseignement. Des accès internes trop larges restent possibles.

La nationalité du fournisseur détermine-t-elle si les renseignements sortent du Québec?

Non. Il faut examiner où les renseignements sont communiqués ou traités. L’origine commerciale du fournisseur ne décrit pas, à elle seule, ces opérations.

Sources

  1. Les Publications du Québec (LégisQuébec) — Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), texte à jour au 10 juin 2026.
  2. Commissariat à la protection de la vie privée du Canada — Conclusions en vertu de la LPRPDE no 2020-005 : Enquête sur la conformité à la LPRPDE de Desjardins suite à l’atteinte aux mesures de sécurité des renseignements personnels entre 2017 et 2019.
  3. Commission d’accès à l’information du Québec (communiqué CNW Telbec republié sur Québec.ca) — La Commission d'accès à l'information se prononce sur le plus important incident de sécurité affectant la protection des renseignements personnels jamais survenu au Québec.
  4. Ministère de la Cybersécurité et du Numérique du Québec — Guide d’application des mesures applicables lors de l’utilisation de l’intelligence artificielle générative.
  5. Ministère de la Cybersécurité et du Numérique du Québec (dirigeant principal de l’information) — IA-RI-2025-003-OP — Mesures applicables lors de l’utilisation de l’intelligence artificielle générative.