Réglementations IA › Loi 25
Loi 25 : la loi québécoise sur la protection des renseignements personnels
Obligations, calendrier, sanctions : l’essentiel pour structurer et prouver votre conformité à la Loi 25.
- LoiLoi 25 (ex-projet de loi 64)
- Sanctionnée22 septembre 2021
- ApplicationPar phases, de 2022 à 2024
- SanctionsJusqu’à 25 M$ CA ou 4 % du chiffre d’affaires mondial
La Loi 25 en bref : une loi de responsabilité pour les entreprises
Adoptée en 2021, la Loi 25 modernise la loi québécoise sur la protection des renseignements personnels dans le secteur privé. Elle s’adresse à toute entreprise qui collecte, utilise, communique ou conserve des renseignements personnels au Québec.
Une loi du secteur privé
Elle modifie la loi applicable aux entreprises. Les organismes publics relèvent d’une loi distincte.
Pour toutes les entreprises
Les obligations ne dépendent ni de l’effectif ni du chiffre d’affaires : une PME est concernée comme une grande entreprise.
Fondée sur la responsabilité
L’entreprise doit pouvoir démontrer ses pratiques : politiques, registres, évaluations et preuves de consentement.
Contrôlée par la CAI
La Commission d’accès à l’information enquête, ordonne des mesures correctives et peut imposer des sanctions.
Source : Légis Québec, Loi sur la protection des renseignements personnels dans le secteur privé.
Calendrier : trois phases, aujourd’hui toutes en vigueur
La loi s’applique en totalité depuis le 22 septembre 2024. Il n’y a plus de période transitoire : la conformité est une obligation continue.
Désignation d’un responsable de la protection des renseignements personnels, gestion des incidents de confidentialité et registre des incidents.
Politiques de gouvernance, consentement renforcé, EFVP, règles sur les transferts hors Québec, transparence sur le profilage et les décisions automatisées, pouvoirs de sanction de la CAI.
Droit à la portabilité des renseignements personnels : dernière phase de la loi.
Calendrier établi d’après le gouvernement du Québec. Vérifié le 3 novembre 2026. Informations données à titre indicatif.
Les obligations clés : neuf points à piloter
Ces obligations forment le socle de la conformité. Leur portée dépend de vos traitements de renseignements personnels : l’entreprise les adapte à ses usages.
Responsable de la protection
Une personne désignée, dont le titre et les coordonnées sont publiés.
Politique de gouvernance
Rôles, conservation, traitement des plaintes : des règles écrites et publiées.
Consentement
Manifeste, libre, éclairé et donné à des fins précises.
Incidents de confidentialité
Un registre, et un avis à la CAI et aux personnes en cas de risque de préjudice sérieux.
Évaluation des facteurs relatifs à la vie privée
L’EFVP s’applique aux projets de système d’information qui touchent des renseignements personnels.
Transferts hors Québec
Une évaluation préalable de la protection offerte avant toute communication.
Transparence technologique
Profilage, localisation, identification, décisions automatisées : informer les personnes.
Droits des personnes
Accès, rectification, désindexation et portabilité des renseignements.
Conservation et destruction
Détruire ou anonymiser les renseignements une fois la finalité atteinte.
Résumé à titre indicatif : le texte de loi et ses règlements font foi.
Loi 25 et IA : trois points de vigilance
La Loi 25 ne vise pas l’IA en tant que telle. Elle s’applique dès qu’un système d’IA traite des renseignements personnels.
Décisions automatisées
Il faut informer la personne lorsqu’une décision est fondée exclusivement sur un traitement automatisé de ses renseignements personnels.
- Indiquer, à sa demande, les renseignements utilisés et les principaux facteurs
- Lui permettre de présenter ses observations à une personne en mesure de réviser la décision
- Lui permettre de faire rectifier ses renseignements
Profilage et paramètres par défaut
Les technologies de profilage, de localisation ou d’identification doivent être annoncées aux personnes.
- Informer des moyens offerts pour activer ces fonctions
- Offrir par défaut les paramètres de confidentialité les plus protecteurs
- Limiter la collecte à ce qui est nécessaire
EFVP avant tout projet
Un projet de système d’information ou de prestation électronique de services qui touche des renseignements personnels appelle une évaluation préalable.
- Évaluer la nécessité, la proportionnalité et les risques
- Évaluer avant toute communication hors du Québec
- Proportionner la démarche à la sensibilité des renseignements
Loi 25 et RGPD : proches, pas équivalents
Un programme RGPD solide facilite la conformité à la Loi 25, sans s’y substituer.
Ce qui se rapproche
- Un consentement clair et spécifique
- Des droits d’accès, de rectification et de portabilité
- La notification des incidents de sécurité
- Des analyses d’impact (EFVP au Québec, AIPD en Europe)
- Des sanctions calculées sur le chiffre d’affaires mondial
Ce qu’elle ne remplace pas
La Loi 25 relève du droit québécois, avec la CAI pour autorité de contrôle. Les seuils, les délais et les formalités ne sont pas identiques à ceux du RGPD : par exemple, l’avis d’incident repose sur un risque de préjudice sérieux.
Les écarts se traitent point par point avec vos équipes juridiques.
Réglementations : vue d’ensemble →
Sanctions : jusqu’à 25 M$ ou 4 % du chiffre d’affaires mondial
Deux régimes coexistent. Dans chaque cas, le montant le plus élevé s’applique. Les montants sont en dollars canadiens.
Sources : Commission d’accès à l’information du Québec et cadre général d’application des sanctions administratives pécuniaires.
Comment Fruggr vous aide à vous préparer à la Loi 25
Fruggr relie la protection des renseignements personnels au pilotage de vos usages, de vos coûts et du ROI de l’IA.
Recenser les systèmes
Un registre vivant des systèmes d’IA, y compris le Shadow AI, avec ceux qui traitent des renseignements personnels.
Suivre les obligations
EFVP, décisions automatisées, transferts hors Québec : un suivi système par système, avec leurs responsables.
Contrôler et corriger
Des contrôles et des actions correctives pour savoir où vous en êtes à tout moment.
Constituer les preuves
Des preuves à jour et des rapports prêts pour un audit ou une demande de la CAI.
de réduction des risques liés à l’IA, selon Fruggr. Voir comment Fruggr pilote la conformité →
Textes officiels et pour aller plus loin
Les informations de cette page s’appuient sur les publications officielles du Québec.
Textes et sources officielles
- Loi sur la protection des renseignements personnels dans le secteur privé, Légis Québec
- Commission d’accès à l’information, autorité de contrôle
- Loi 25 : entrée en vigueur des dispositions, Gouvernement du Québec
Voir aussi
- Réglementations : vue d’ensemble
- AI Act, le règlement européen sur l’IA
- ISO/IEC 42001, la norme de management de l’IA
- Conformité IA avec Fruggr
Questions fréquentes sur la Loi 25
Qu’est-ce que la Loi 25 ?
La Loi 25, ex-projet de loi 64, a été sanctionnée le 22 septembre 2021. Elle modernise la loi québécoise sur la protection des renseignements personnels dans le secteur privé et s’applique en totalité depuis le 22 septembre 2024.
La Loi 25 s’applique-t-elle aux entreprises hors du Québec ?
Elle peut s’appliquer aux organisations établies ailleurs qui traitent des renseignements personnels dans le cadre d’activités au Québec. Votre situation précise mérite d’être confirmée avec vos équipes juridiques.
La Loi 25 concerne-t-elle les PME ?
Oui. Les obligations ne dépendent ni de l’effectif ni du chiffre d’affaires de l’entreprise.
Quelles sont les sanctions prévues par la Loi 25 ?
Les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars canadiens ou 2 % du chiffre d’affaires mondial, et les amendes pénales 25 millions ou 4 %. Le montant le plus élevé s’applique.
La Loi 25 s’applique-t-elle à l’intelligence artificielle ?
Elle s’applique dès qu’un système d’IA traite des renseignements personnels : information sur les décisions automatisées, EFVP avant un projet, transparence sur le profilage.
Comment se préparer à la Loi 25 ?
Commencez par recenser les traitements et les systèmes qui touchent des renseignements personnels, y compris les outils d’IA adoptés sans validation de la DSI. Désignez un responsable, publiez votre politique, tenez votre registre des incidents et conservez les preuves. Une plateforme comme Fruggr aide à structurer cette démarche, sans se substituer à un avis juridique.
Préparer la Loi 25 : faites le point sur vos usages IA
En une démo, voyez comment Fruggr recense vos systèmes d’IA, suit vos obligations et constitue vos preuves.