- Courriel: Info@IntelTek.net
- Téléphone: 1-514-291-7800
Pascale Fournier tient un cabinet de tenue de livres à Longueuil. Quatre employés, une soixantaine de clients PME, vingt-deux ans de métier. Elle est bonne, elle est rigoureuse, pis elle a une réputation qui lui amène des clients sans qu’elle ait jamais fait de publicité.
En février, elle a engagé Mégane, une technicienne comptable de 26 ans. Vive, efficace, débrouillarde. Le genre d’employée qui trouve des raccourcis.
Un mardi de juin, Pascale passe derrière le bureau de Mégane pis elle voit ChatGPT ouvert à l’écran. Dans la fenêtre : un tableau collé au complet. Noms, adresses, numéros d’assurance sociale, montants. Les données d’un client. Mégane avait demandé à l’IA de reformater la colonne des dates.
« Ça m’a sauvé vingt minutes », qu’elle lui dit, fière de son coup.
Pascale n’a pas su quoi répondre sur le coup. Elle sentait que c’était pas correct, mais elle aurait été incapable d’expliquer pourquoi. Pis surtout : elle s’est demandé combien de fois ça s’était produit avant qu’elle passe derrière ce bureau-là.
Le cas de Pascale est une mise en situation, inspirée de scénarios réels observés chez des PME québécoises.
Ce que Mégane a fait a un nom légal au Québec. Ça s’appelle une communication de renseignements personnels à un tiers situé à l’extérieur du Québec. Et depuis septembre 2023, c’est encadré.
Note : cet article est un cadrage pratique, pas un avis juridique. Pour une situation précise, consultez un conseiller juridique.
La plupart des entrepreneurs se représentent ChatGPT comme une calculatrice. Un outil sur ton bureau, qui roule dans ta fenêtre, qui te répond. On y met de l’information comme on la mettrait dans Word.
Ce n’est pas ça qui se passe. Quand tu colles un texte dans une IA générative grand public, ce texte quitte ton ordinateur, traverse la frontière, et se retrouve sur les serveurs d’une entreprise américaine. Ce n’est pas un outil que tu utilises. C’est un fournisseur à qui tu envoies quelque chose.
Selon les orientations de la Commission d’accès à l’information, transmettre un document contenant des renseignements personnels à un outil d’IA conversationnel équivaut, au sens de la Loi 25, à une communication de renseignements personnels. Légalement, ce n’est pas différent de les transmettre à un sous-traitant externe.
C’est là que le raisonnement bascule. Personne ne penserait envoyer par courriel le fichier de paie d’un client à une compagnie américaine inconnue sans contrat. Mais on le fait sans y penser dès qu’il y a un champ de texte pis un curseur qui clignote.
La Loi 25 ne contient pas le mot « intelligence artificielle ». Elle n’en a pas besoin. Elle encadre ce que tu fais avec des renseignements personnels, peu importe l’outil. Quatre dispositions couvrent la situation de Pascale.
L’article 17 — le traitement à l’extérieur du Québec. Avant de communiquer des renseignements personnels hors Québec, tu dois évaluer si l’information bénéficiera d’une protection adéquate. Ça implique une évaluation des facteurs relatifs à la vie privée, une ÉFVP. Pas un formulaire de dix pages pour une PME, mais un exercice documenté quand même.
L’article 12 — les fins de l’utilisation. Tu as collecté les données de ton client pour faire sa comptabilité. Les envoyer à un outil tiers pour reformater un tableau, c’est une utilisation qui n’était pas prévue au moment de la collecte.
L’article 12.1 — les décisions automatisées. Si une IA participe à une décision qui concerne une personne — embauche, crédit, sélection de dossier — la personne doit en être informée et pouvoir demander une révision humaine.
L’article 10 — les mesures de sécurité raisonnables. C’est le filet. Tu dois protéger les renseignements que tu détiens par des mesures proportionnées à leur sensibilité. Un employé qui colle des NAS dans un compte gratuit, ce n’est pas une mesure raisonnable.
À noter aussi : la Loi 25 s’applique à toute entreprise qui collecte, utilise ou communique des renseignements personnels au Québec, sans seuil d’effectif ni de chiffre d’affaires. Un cabinet de quatre personnes est visé exactement comme une multinationale.
Les chiffres qui circulent sont impressionnants. Les sanctions administratives pécuniaires, imposées directement par la CAI sans passer par les tribunaux, peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial. Les sanctions pénales montent à 25 millions ou 4 %, et ces montants peuvent être doublés en cas de récidive.
Maintenant, je vais être franc avec toi, parce que je ne vends pas de la peur.
La Commission d’accès à l’information, chargée de faire respecter la Loi 25, n’a imposé aucune sanction. Elle dit vouloir plutôt agir en collaboration avec les entreprises pour assurer la conformité.
— La Presse, 1er mai 2026
Autrement dit : le risque immédiat qu’une PME de Longueuil reçoive une amende de la CAI demain matin est mince. Si quelqu’un te dit le contraire pour te vendre quelque chose, il exagère.
Mais l’amende n’est pas le vrai risque, pis c’est ça que les entrepreneurs manquent. Le vrai risque, c’est le client qui découvre que ses données sont passées par un outil américain pis qui part. C’est le contrat institutionnel que tu perds parce que leur questionnaire de fournisseur te demande de documenter tes transferts hors Québec pis que tu n’as rien à montrer. C’est l’ordre professionnel qui pose des questions. C’est ta réputation dans un marché où tout le monde se connaît.
Pis c’est le fait que l’application « en collaboration » d’aujourd’hui n’est pas une garantie pour demain. Une plainte, un incident médiatisé, un changement de posture à la CAI, pis le terrain change.
C’est ici que la conversation devient pratique, parce que la solution n’est pas d’interdire l’IA. Interdire, ça ne fonctionne pas — tes employés vont l’utiliser sur leur téléphone personnel, pis là tu perds toute visibilité.
La différence tient au contrat. Un compte gratuit grand public n’offre aucune garantie contractuelle sur ce qui arrive à tes données. Une offre entreprise avec engagement de non-réutilisation des données pour l’entraînement, et une entente de traitement signée, répond beaucoup mieux aux exigences de la loi.
Ça change quoi concrètement? Ça te donne quelque chose à documenter. Quand un client institutionnel te demande où passent ses données, tu as une réponse écrite au lieu d’un haussement d’épaules. Et si tu veux comparer les options qui existent, on a fait le tour dans les outils IA que les PME québécoises ignorent — plusieurs offrent des conditions d’entreprise abordables pour une équipe de quatre ou cinq personnes.
L’autre couche, c’est l’anonymisation. Dans le cas de Mégane, elle n’avait aucun besoin d’envoyer les vrais noms. Reformater une colonne de dates fonctionne exactement pareil avec « Client A, Client B, Client C ». La question à se poser avant chaque prompt tient en une phrase : est-ce que l’outil a besoin de cette information-là pour faire la job? Neuf fois sur dix, la réponse est non.
Rien de tout ça n’exige un budget de grande entreprise ni un consultant à 300 $ de l’heure. Voici l’ordre qui donne le plus de résultat pour le moins d’effort.
Si tu pars de zéro sur la conformité générale, commence par notre guide de conformité à la Loi 25 pour les PME québécoises. Il couvre les obligations de base — politique, registre d’incidents, consentement — qui existent indépendamment de l’IA.
Ce qui rend la situation de Pascale inconfortable, ce n’est pas que Mégane ait mal agi. Mégane essayait de bien faire sa job, avec un outil que personne ne lui avait expliqué. Elle n’a reçu aucune formation, aucune politique, aucune balise.
Le problème, c’est l’angle mort. Pascale ne savait pas ce qui se passait sur les postes de travail de son cabinet. Et ce genre d’angle mort là ne concerne pas juste l’IA — c’est le même mécanisme qui explique pourquoi les cyberattaques contre les PME québécoises explosent. Ce n’est presque jamais un pirate génial. C’est un employé qui ne savait pas.
D’ailleurs, l’IA arrive maintenant dans les outils sans qu’on la demande. On a documenté le cas de Chrome qui installe une IA sur les ordinateurs sans le dire aux utilisateurs. La surface d’exposition grandit toute seule, pendant que la plupart des PME regardent ailleurs.
La bonne nouvelle, c’est que l’IA reste un levier énorme quand elle est encadrée. On a listé dix usages concrets de ChatGPT pour une PME qui ne touchent à aucune donnée client. Et si tu veux voir jusqu’où ça peut aller quand c’est bien fait, regarde comment un agent IA peut répondre à tes leads en dehors des heures. Le but n’a jamais été de reculer. C’est de savoir où on met les pieds.
Pour un portrait plus large de ce que l’IA peut faire pour une PME du Québec cette année, notre guide pour démarrer avec l’intelligence artificielle couvre le terrain. Et du côté technique, la sécurité de tes applications web reste la fondation sur laquelle tout le reste repose.
Le sujet a été traité dans les médias québécois : La Presse a publié le 1er mai 2026 un dossier sur le recours à l’IA au travail et la Loi 25.
C’est le cas de la majorité des PME québécoises, pis ça n’a rien à voir avec la compétence. L’IA s’est installée dans les habitudes de travail plus vite que les politiques internes. Chaque semaine où l’angle mort reste ouvert, c’est du risque qui s’accumule — pis contrairement à une amende, un client perdu ne t’envoie pas d’avertissement.
On offre un diagnostic gratuit de 30 minutes. On fait l’inventaire de tes outils, on regarde où passent tes données, pis on te dit franchement où tu es exposé et où tu ne l’es pas. Sans engagement, sans langue de bois.
Réserver mon diagnostic gratuit de 30 min
IntelTek — Montréal · Laval · Rive-Sud · Québec
Marc Perreault — fondateur d’IntelTek
Informaticien à Montréal depuis 2013, Marc a livré 48 projets sous IntelTek. Il dirige IntelRank AI, la première offre de référencement IA en français au Québec, et accompagne les PME de Montréal, Laval, la Rive-Sud et Québec dans leur visibilité auprès de ChatGPT, Gemini et Perplexity.
IntelTek — Montréal · Laval · Rive-Sud · Québec