IA et Loi 25 au Québec : ce que les entreprises doivent savoir en 2026

La catégorie IA et RGPD documente les cadres réglementaires des pays francophones. Au Québec, la Loi 25 est le texte central — et elle est souvent qualifiée de « RGPD québécois » malgré des différences importantes.

La Loi 25 a été adoptée par l'Assemblée nationale du Québec en 2021, sous le gouvernement Legault. Elle a été mise en vigueur progressivement en trois phases : septembre 2022, septembre 2023, et septembre 2024 pour les dernières dispositions. Depuis septembre 2024, toutes les obligations sont applicables à l'ensemble des organisations du secteur privé québécois.

La Commission d'accès à l'information du Québec (CAI) est l'autorité de contrôle. Elle peut émettre des recommandations, mener des enquêtes et imposer des sanctions administratives pouvant atteindre 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial de l'organisation — un niveau de pénalités comparable au RGPD.

L'un des apports essentiels de la Loi 25 pour l'IA est l'obligation d'Évaluation des facteurs relatifs à la vie privée (EFVP) avant tout déploiement d'un système impliquant des renseignements personnels. Cette EFVP est l'équivalent fonctionnel de l'AIPD du RGPD : elle force l'organisation à documenter les risques du projet sur la vie privée des personnes avant de le lancer.

L'article pilier IA et RGPD dans la francophonie compare les cinq territoires. En voici les implications québécoises spécifiques pour les déployeurs d'IA.

• L'EFVP — obligatoire avant tout projet IA. La Loi 25 impose de conduire une EFVP pour tout projet impliquant des renseignements personnels présentant un niveau de risque élevé. Les systèmes d'IA qui traitent des données comportementales, des données de santé, des profils de personnes ou qui prennent des décisions automatisées sont systématiquement dans ce champ. Contrairement à l'AIPD du RGPD, la Loi 25 est explicite : pas d'EFVP documentée, pas de déploiement conforme.
• La transparence envers les personnes concernées. La Loi 25 exige que les personnes soient informées de façon claire et accessible lorsque des décisions automatisées les concernent, ou lorsque leurs données sont traitées à des fins de profilage. Cette information doit mentionner les paramètres pris en compte et les moyens d'exercer leurs droits, notamment le droit de demander une révision humaine d'une décision automatisée.
• L'anonymisation — une définition exigeante. La Loi 25 permet de traiter des données anonymisées sans les restrictions applicables aux renseignements personnels. Mais elle définit l'anonymisation de façon stricte : les données doivent être anonymisées de sorte que la ré-identification soit « raisonnablement impossible » dans les circonstances. Pour les modèles d'IA entraînés sur des données clients, cette condition est difficile à satisfaire formellement — et l'organisation en porte la charge de la preuve.
• La portabilité des données. Les personnes ont le droit d'obtenir leurs données dans un format technologique structuré — une obligation qui s'applique aux profils construits par les systèmes IA.

Le secteur public et la directive IA — deadline 5 juin 2026. La Directive sur l'utilisation de l'intelligence artificielle dans l'administration publique québécoise impose aux organismes publics de se mettre en conformité avant le 5 juin 2026. Cette directive encadre l'utilisation des systèmes IA dans les décisions administratives, les services aux citoyens et les processus de gestion interne. Elle exige notamment la documentation des systèmes IA en production, une évaluation des risques, et des mesures de surveillance humaine.

Pour les entreprises privées qui fournissent des solutions IA aux organismes publics québécois, cette deadline a des implications contractuelles directes : les acheteurs publics peuvent exiger la conformité à la directive de leurs fournisseurs.

Le projet de loi PL24 sur les deepfakes. Le projet de loi 24 sur l'hypertrucage (deepfakes) a été soumis à l'Assemblée nationale en 2025-2026. Il vise à encadrer la création et la diffusion de contenus synthétiques générés par IA qui reproduisent l'image, la voix ou les paroles d'une personne sans son consentement. Ce projet a des implications directes pour les équipes marketing qui utilisent l'IA générative pour créer du contenu vidéo, des avatars ou des voix synthétiques.

Le projet de loi fédéral C-27 (LIAD). Au niveau fédéral canadien, la Loi sur l'intelligence artificielle et les données (LIAD), portée par le projet de loi C-27, est encore en discussion au Parlement en 2026. Si elle est adoptée, elle introduirait un cadre national sur les systèmes d'IA à impact élevé, distinct de la Loi 25 québécoise et applicable à l'ensemble du Canada.

Pour comparer avec le cadre suisse (autre territoire non-UE avec son propre cadre), voir l'article IA et protection des données en Suisse. Pour le contexte UE complet, voir IA et RGPD dans l'Union européenne.

La Loi 25 québécoise est pleinement en vigueur depuis septembre 2024 et ne souffre plus d'ambiguïté sur son application. Les organisations du secteur privé qui n'ont pas encore conduit leurs EFVP pour les systèmes IA en production sont en retard — et la CAI a les moyens d'instruire des plaintes.

Les spécificités 2026 à surveiller : la deadline du secteur public IA (5 juin 2026) qui peut avoir des effets indirects sur les fournisseurs privés, l'avancée du PL24 sur les deepfakes qui touche directement les outils d'IA générative en marketing, et l'évolution du projet de loi C-27 au fédéral.

Pour les directions marketing qui utilisent l'IA pour personnaliser leurs contenus, scorer leurs prospects ou automatiser leur production éditoriale, la conformité Loi 25 n'est pas optionnelle. Elle est aussi un avantage concurrentiel : les organisations qui la maîtrisent construisent une relation de confiance avec leurs clients. Voir comment l'Agence Blue Sky accompagne les directions marketing vers un marketing IA performant et conforme.