Loi 25
Ce que dit la loi, article par article
La Loi 25 a modernisé la loi québécoise sur la protection des renseignements personnels dans le secteur privé. Voici les articles qui comptent quand un cabinet ou une clinique envoie des documents à une IA, cités mot pour mot, et ce que hide4ai y change, et n’y change pas.
Mot pour mot
Les articles qui comptent
Art. 12, Loi sur la protection des renseignements personnels dans le secteur privé « dépersonnalisé lorsque ce renseignement ne permet plus d’identifier directement la personne concernée »
C’est ce que fait hide4ai : les noms, numéros et adresses sont remplacés par des jetons. Un renseignement dépersonnalisé reste un renseignement personnel au sens de la loi, et le même article demande de limiter les risques qu’on l’identifie de nouveau.
Art. 12, dernier alinéa, Loi sur la protection des renseignements personnels dans le secteur privé « Toute personne qui exploite une entreprise et qui utilise des renseignements dépersonnalisés doit prendre les mesures raisonnables afin de limiter les risques que quiconque procède à l’identification d’une personne physique à partir de renseignements dépersonnalisés. »
La correspondance entre jetons et valeurs reste dans un coffre chiffré, sur votre serveur ou, dans l’offre hébergée, sur celui de l’éditeur ; le fournisseur d’IA ne la reçoit jamais. La relecture sert à retirer ce qui, dans le texte restant, permettrait encore de reconnaître quelqu’un.
Art. 23, Loi sur la protection des renseignements personnels dans le secteur privé « est anonymisé lorsqu’il est, en tout temps, raisonnable de prévoir dans les circonstances qu’il ne permet plus, de façon irréversible, d’identifier directement ou indirectement cette personne. »
hide4ai n’anonymise pas : ses jetons sont réversibles, c’est ce qui permet de remettre les vraies valeurs dans la réponse. Nous ne prétendons jamais le contraire.
Art. 17, Loi sur la protection des renseignements personnels dans le secteur privé « Avant de communiquer à l’extérieur du Québec un renseignement personnel, la personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. »
La plupart des fournisseurs d’IA traitent les données hors du Québec. La sensibilité du renseignement est un des éléments à évaluer : hide4ai réduit ce qui part, mais il ne vous dispense pas de l’évaluation. Avec une IA installée chez vous, rien ne part.
Art. 3.3, Loi sur la protection des renseignements personnels dans le secteur privé « doit procéder à une évaluation des facteurs relatifs à la vie privée de tout projet d’acquisition, de développement et de refonte de système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels. »
Adopter un outil d’IA, ou hide4ai lui-même, peut constituer un tel projet. Nous fournissons un modèle d’évaluation pré-rempli pour la partie qui décrit le logiciel ; le reste est propre à votre organisation.
Trois choses différentes
Caviarder, dépersonnaliser, anonymiser
| Critère | Caviardage | Dépersonnalisation | Anonymisation |
|---|---|---|---|
| Ce qui est fait | La valeur est effacée ou masquée | La valeur est remplacée par un jeton, la correspondance est gardée à part | Le renseignement est transformé pour qu’on ne puisse plus jamais identifier la personne |
| Réversible | Non | Oui, avec le coffre | Non |
| L’IA garde le sens | Mal : elle ne sait plus qui fait quoi | Oui : [PERSONNE_1] reste la même personne d’un bout à l’autre | Souvent mal, selon la méthode |
| Réponse avec les vraies valeurs | Non | Oui | Non |
| Dans la Loi 25 | Pas de définition propre | Défini à l’art. 12 | Défini à l’art. 23, selon des critères et modalités fixés par règlement |
hide4ai fait de la dépersonnalisation : c’est ce qui permet à l’IA de garder le sens du document, et à vous de récupérer une réponse avec les vraies valeurs.
Pour votre dossier
Ce que nous vous fournissons
Fiche de traitement
Ce que le logiciel fait des renseignements personnels, ligne par ligne.
Engagements de l’éditeur
Quand l’éditeur héberge votre instance ou accède à vos données pour vous aider : ce qu’il peut en faire, et ne pas en faire.
Modèle d’évaluation des facteurs relatifs à la vie privée
Pré-rempli pour la partie qui décrit hide4ai. Fourni sur demande.
Le demander : Modèle d’évaluation des facteurs relatifs à la vie privée
Réserves
À savoir avant de vous y fier
- Les articles sont cités tels qu’édictés en 2021 (Loi 25, 2021, chapitre 25). Comparez-les avec la version à jour sur LégisQuébec avant de vous y fier.
- Cette page explique comment hide4ai s’inscrit dans la loi. Ce n’est pas un avis juridique et elle ne remplace pas celui de votre conseil ou de votre responsable de la protection des renseignements personnels.
- Dans le secteur de la santé, une autre loi peut s’appliquer à votre organisation à la place de la loi sur le secteur privé : vérifiez-le avec votre conseil.
- Les obligations propres à votre ordre professionnel (secret professionnel, lignes directrices sur l’IA) s’ajoutent à la loi. Elles ne sont pas décrites ici.