La Loi 25 et l’IA vocale forment un couple que toute organisation québécoise doit maîtriser avant de déployer un voicebot, d’enregistrer ses appels ou de les transcrire automatiquement. Une voix, un numéro de téléphone, un motif d’appel, un numéro de dossier : tout cela constitue des renseignements personnels. Et une transcription automatique en produit beaucoup, souvent plus que ce que l’on imagine.
Cet article fait le tour des obligations à anticiper, de façon générale.
Avertissement : cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Les obligations dépendent de votre secteur, de votre statut (entreprise privée ou organisme public), des données traitées et de votre architecture. Consultez un conseiller juridique pour votre situation.
La Loi 25 en quelques mots
La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) a profondément modifié la loi québécoise sur la protection des renseignements personnels dans le secteur privé, ainsi que la loi applicable aux organismes publics. Ses dispositions sont entrées en vigueur par étapes entre 2022 et 2024. Elle est supervisée par la Commission d’accès à l’information (CAI), qui dispose de pouvoirs de sanction importants.
Pour un projet téléphonique, elle touche à la fois la gouvernance (qui est responsable, quelles politiques), la conception (évaluations, protection par défaut) et l’exploitation (conservation, incidents, droits des personnes).
Loi 25 et IA vocale : quels traitements sont concernés ?
Dans un centre d’appels ou un projet de voicebot, on retrouve typiquement :
- l’enregistrement audio des appels (qualité, formation, preuve) ;
- la transcription automatique (STT), en temps réel ou après l’appel ;
- l’analyse : détection d’intention, sentiment, mots-clés, résumés générés par IA ;
- le voicebot lui-même, qui collecte des informations, consulte et met à jour des dossiers ;
- l’authentification de l’appelant, parfois par la voix ;
- la journalisation : métadonnées d’appel, numéros, horodatages, journaux techniques.
Chacun de ces traitements doit avoir une finalité claire, et ne collecter que ce qui est nécessaire.
Consentement et transparence
Informer au moment de la collecte
La Loi 25 exige d’informer la personne, au moment de la collecte, notamment des fins de la collecte, des moyens utilisés, de ses droits d’accès et de rectification, et de la possibilité que les renseignements soient communiqués à l’extérieur du Québec. Concrètement, pour un appel :
- un message d’accueil court et clair : appel enregistré ou transcrit, à quelles fins ;
- l’indication qu’il s’agit d’un système automatisé lorsque c’est le cas ;
- un renvoi vers votre politique de confidentialité (site web, courriel, message sur demande) pour le détail.
Un consentement valable
Lorsque le consentement est requis, il doit être manifeste, libre, éclairé et donné à des fins spécifiques. Pour des renseignements sensibles (santé, données financières, biométrie), il doit être exprès. Réutiliser des enregistrements pour une autre finalité, comme entraîner un modèle d’IA, peut exiger un nouveau consentement ou une base légale spécifique.
Technologies d’identification ou de profilage
Si votre système utilise une technologie permettant d’identifier, de localiser ou de profiler une personne (par exemple l’analyse comportementale ou la reconnaissance de la voix), la loi impose d’en informer la personne au préalable et, selon le cas, de lui indiquer comment activer ces fonctions. La biométrie vocale fait en outre l’objet d’un encadrement spécifique au Québec, incluant une déclaration à la CAI avant la mise en service d’une banque de caractéristiques biométriques.
Le responsable de la protection des renseignements personnels
Chaque organisation doit avoir une personne responsable de la protection des renseignements personnels. Par défaut, il s’agit de la personne ayant la plus haute autorité, qui peut déléguer cette fonction par écrit. Son titre et ses coordonnées doivent être publiés sur le site web.
Pour un projet d’IA vocale, cette personne doit être impliquée dès le début : elle valide les évaluations, les politiques de conservation et le traitement des incidents.
L’évaluation des facteurs relatifs à la vie privée (EFVP)
Pour tout nouveau système
La Loi 25 impose une évaluation des facteurs relatifs à la vie privée (EFVP, ou PIA en anglais) pour tout projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique de services impliquant des renseignements personnels. Un nouveau voicebot, une plateforme de transcription ou une refonte du SVI connectée au CRM entrent généralement dans cette catégorie.
L’EFVP doit être proportionnée à la sensibilité des renseignements, à la finalité, à la quantité, à la répartition et au support des données. Elle décrit les flux, évalue les risques et documente les mesures retenues.
Pour les transferts hors Québec
Avant de communiquer des renseignements personnels à l’extérieur du Québec, une EFVP spécifique est requise. Elle tient compte notamment de la sensibilité des renseignements, de la finalité, des mesures de protection (y compris contractuelles) et du régime juridique de l’État de destination. La communication doit être encadrée par une entente écrite.
En IA vocale, c’est un point clé : de nombreux moteurs de STT, de TTS ou de modèles de langage sont hébergés hors du Québec, parfois hors du Canada. Il faut savoir précisément où transitent l’audio, les transcriptions et les journaux, y compris chez les sous-traitants. Notre page sur les moteurs STT, TTS et NLP aborde les options d’hébergement.
Décisions automatisées
Si une décision concernant une personne est fondée exclusivement sur un traitement automatisé, la Loi 25 exige de l’en informer au plus tard au moment où la décision lui est communiquée. Sur demande, la personne doit pouvoir connaître les renseignements utilisés, les raisons et principaux facteurs ayant mené à la décision, et faire valoir ses observations auprès d’un membre du personnel en mesure de réviser la décision.
Exemples de situations à analyser dans un voicebot :
- refus automatique d’un arrangement de paiement ;
- priorisation ou refus d’un rendez-vous selon des règles automatisées ;
- blocage d’un compte après un échec d’authentification.
Bonne pratique : prévoir systématiquement une voie vers un humain et documenter la logique de décision.
Protection par défaut et minimisation
- Paramètres les plus protecteurs par défaut pour les produits ou services technologiques offerts au public.
- Minimisation : ne transcrire que ce qui est utile, masquer les données sensibles (numéros de carte, NIP) dans les transcriptions et les journaux, et privilégier la saisie DTMF hors enregistrement pour les paiements.
- Sécurité : chiffrement des flux (TLS, SRTP) et du stockage, contrôle d’accès, journalisation des consultations. Voir notre expertise en sécurité VoIP.
Conservation et destruction
Les renseignements doivent être détruits ou anonymisés lorsque la finalité est atteinte, sous réserve des délais de conservation prévus par d’autres lois. Pour la téléphonie, définissez des durées distinctes pour :
- les enregistrements audio ;
- les transcriptions et résumés ;
- les métadonnées d’appel ;
- les journaux techniques et ceux des fournisseurs de moteurs IA.
Vérifiez aussi les conditions de vos fournisseurs : certains conservent les données pour améliorer leurs modèles, ce qui doit être désactivé ou encadré.
Incidents de confidentialité
Un accès non autorisé, une perte ou une communication non autorisée de renseignements personnels constitue un incident de confidentialité. L’organisation doit prendre des mesures pour réduire le risque, tenir un registre des incidents et, lorsque l’incident présente un risque de préjudice sérieux, aviser la CAI et les personnes concernées.
Pour une plateforme d’IA vocale, préparez à l’avance : la détection (alertes, journaux), la procédure d’évaluation du risque, les responsabilités de chaque sous-traitant et les modèles d’avis.
Et la LPRPDE, le RGPD ?
- LPRPDE (PIPEDA) : la loi fédérale s’applique notamment aux entreprises sous compétence fédérale et aux communications de renseignements entre provinces ou à l’international. Une même organisation peut donc devoir tenir compte des deux régimes.
- RGPD : si vous traitez des appels de personnes situées dans l’Union européenne, par exemple pour une clientèle en France ou en Belgique, le RGPD peut s’appliquer, avec ses propres exigences (base légale, analyse d’impact, transferts).
Une architecture conçue pour la Loi 25 (minimisation, transparence, maîtrise des transferts) facilite généralement la conformité aux autres régimes, sans la garantir.
Liste de vérification pour un projet d’IA vocale
- Désigner et impliquer le responsable de la protection des renseignements personnels.
- Cartographier les données : audio, transcriptions, métadonnées, journaux, et leurs lieux d’hébergement.
- Réaliser l’EFVP du projet, et celle des transferts hors Québec le cas échéant.
- Rédiger les messages d’information aux appelants et mettre à jour la politique de confidentialité.
- Identifier les décisions exclusivement automatisées et prévoir la révision humaine.
- Définir les durées de conservation et automatiser la destruction.
- Encadrer contractuellement chaque fournisseur (STT, TTS, LLM, hébergement).
- Préparer la gestion des incidents et le registre.
En résumé
La Loi 25 ne s’oppose pas à l’IA vocale ; elle impose de la concevoir avec transparence, minimisation et maîtrise des flux. Les projets qui intègrent ces exigences dès la conception évitent des refontes coûteuses. Si vous préparez un voicebot ou un projet d’analyse des appels par IA, nous pouvons vous aider à concevoir une architecture technique qui facilite ces obligations, en complément de l’avis de vos conseillers juridiques.