L'IA et la vie privée : ce qu'une entreprise peut confier à l'IA, et ce qu'elle doit protéger

Par l'équipe NRX3 · Mis à jour le 23 octobre 2026

L'IA évolue très vite. Ce guide a été rédigé au meilleur de nos connaissances en date du 23 octobre 2026 ; il se peut qu'une partie soit dépassée ou ne s'applique plus aujourd'hui.

Coller un courriel de client dans un outil d'IA pour préparer une réponse, c'est pratique. Mais ce courriel contient peut-être un nom, une adresse, un numéro de dossier. Ce guide explique, en mots simples, ce qu'on peut confier à l'IA et ce qu'il faut protéger.

Ce guide est un résumé général, pas un avis juridique. Pour une situation précise, consultez la Commission d'accès à l'information du Québec, le Commissariat à la protection de la vie privée du Canada ou un avocat.

En bref

Les lois sur les renseignements personnels s'appliquent aussi quand vous utilisez l'IA.
Avant d'utiliser un outil, sachez où vont vos données et si elles servent à entraîner un modèle.
Retirez ce qui permet d'identifier quelqu'un quand ce n'est pas nécessaire.
Une décision importante sur une personne ne devrait pas être prise par l'IA seule.
Écrivez vos règles et dites à vos clients comment vous utilisez l'IA.

Ce qui compte comme renseignement personnel

Un renseignement personnel, c'est tout ce qui permet d'identifier une personne, directement ou en recoupant des informations : nom, courriel, numéro de téléphone, adresse, numéro de client, mais aussi une photo, un dossier, un historique d'achats. Certains sont plus sensibles que d'autres : santé, finances, numéro d'assurance sociale, renseignements sur des enfants.

Ce que vous pouvez confier à l'IA sans souci

des textes déjà publics : votre site Web, vos dépliants, vos annonces ;
des modèles et des documents internes sans renseignements personnels : procédures, gabarits, notes générales ;
des données vraiment anonymisées, c'est-à-dire qu'on ne peut plus, de façon irréversible, relier à une personne.

Ce qui demande de la prudence

les courriels, les dossiers et les plaintes de vos clients ;
les renseignements sur vos employés : candidatures, évaluations, absences ;
les données sensibles, comme la santé et les finances ;
vos secrets d'affaires : prix, contrats, plans.

Pour ces données, utilisez seulement un outil dont vous connaissez les conditions, idéalement une version « entreprise » qui s'engage à ne pas utiliser vos données pour entraîner ses modèles.

Les questions à poser sur un outil d'IA

Mes données servent-elles à entraîner le modèle ? Puis-je le refuser ?
Où sont-elles conservées, et pendant combien de temps ?
Qui, chez le fournisseur, peut y avoir accès ?
Puis-je les supprimer ?
Le fournisseur a-t-il des engagements écrits sur la protection des données ?

Les grandes règles au Québec

La Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la loi qu'on appelle souvent « Loi 25 », s'applique aux entreprises qui font affaire au Québec. Parmi ses exigences :

une personne responsable de la protection des renseignements personnels, dont le titre et les coordonnées sont publiés sur le site Web de l'entreprise ;
des règles internes sur la conservation, la destruction et le traitement des plaintes, publiées en termes simples ;
une évaluation des facteurs relatifs à la vie privée avant certains projets technologiques et avant de communiquer des renseignements à l'extérieur du Québec, ce qui arrive souvent avec des outils d'IA hébergés ailleurs ;
l'information de la personne lorsqu'une décision la concernant est prise uniquement par un traitement automatisé, et la possibilité pour elle de présenter ses observations à quelqu'un de l'entreprise qui peut réviser la décision ;
des paramètres de confidentialité réglés par défaut au niveau le plus protecteur lorsqu'une entreprise recueille des renseignements personnels en offrant au public un produit ou un service technologique doté de tels paramètres (les témoins de navigation font exception) ;
l'avis des incidents de confidentialité qui présentent un risque de préjudice sérieux, à la Commission d'accès à l'information et aux personnes concernées.

Ailleurs au Canada et dans le monde

Ailleurs au Canada, la loi fédérale sur la protection des renseignements personnels dans le secteur privé s'applique généralement aux entreprises, sauf en Alberta et en Colombie-Britannique, qui ont leurs propres lois semblables. La loi fédérale s'applique aussi, même au Québec, aux entreprises de compétence fédérale (banques, télécommunications, transport) et aux renseignements communiqués d'une province ou d'un pays à l'autre. En décembre 2023, le Commissariat à la protection de la vie privée du Canada et ses homologues provinciaux et territoriaux ont publié des principes pour une utilisation responsable de l'IA générative. Si vous servez des clients en Europe ou ailleurs, d'autres règles peuvent aussi s'appliquer.

Les bons réflexes

Retirez ce qui identifie : remplacez les noms par « client A » quand le nom n'est pas utile à la tâche. Attention : les données ne deviennent pas anonymes pour autant ; elles restent des renseignements personnels si on peut retrouver la personne.
Choisissez vos outils et dites à votre équipe lesquels sont permis.
Gardez une personne dans la boucle pour toute décision qui touche quelqu'un : embauche, crédit, service refusé.
Soyez transparent : mentionnez dans votre politique de confidentialité comment vous utilisez l'IA.
Faites le ménage : supprimez ce que vous n'avez plus besoin de garder.