Gemini a résumé mes courriels sans que je le demande. Je n’ai jamais donné mon consentement, en tout cas pas consciemment. Ça m’a arrêtée net.
Voici les 5 questions à vous poser pour évaluer vos outils numériques à la lumière de la Loi 25 au Québec. Ce sont les mêmes que je me suis posées sur les miens après cet incident.
Je travaille avec des données sensibles depuis 23 ans, et je viens de réaliser que je ne savais même pas ce que mes propres outils font avec mes informations. Alors mes clients, qui n’ont jamais eu le temps de se poser la question, encore moins.
Ce qui m’a réveillée (le déclic Gemini)
J’ouvre Gmail, un mardi matin comme les autres, et un résumé généré par l’IA de Google m’attend en haut de ma boîte de réception. Le contenu était juste. C’est ce qui m’a le plus troublée.
Je n’avais rien demandé. Je n’avais rien configuré. La fonction s’était activée d’elle-même, quelque part dans une mise à jour. Le consentement, je l’avais probablement donné en cliquant « j’accepte » sur des conditions d’utilisation, il y a des mois ou des années.
Google a fini par en faire un bouton optionnel, sans que j’intervienne. Depuis, je me demande combien d’autres outils font exactement la même chose, sans que je le sache.
Les 5 questions que je me suis posées sur mes outils
1. Où sont hébergées mes données ?
La Loi 25 encadre la communication de renseignements personnels hors Québec. Pas juste une question de pays : pour certains usages, la CAI demande une évaluation des facteurs relatifs à la vie privée (ÉFVP) et une entente écrite avec le fournisseur. Un outil américain n’est pas à bannir d’office, ça se regarde au cas par cas. Ce que je fais, concrètement : je vérifie comment mes données y circulent avant de trancher.
2. Qui y a accès ?
La question ne s’arrête pas à l’éditeur du logiciel. Est-ce que des employés de cette entreprise peuvent consulter mes données ? Un sous-traitant ? Un partenaire technique ? Chaque main supplémentaire est un maillon de plus à documenter.
3. Mes données servent-elles à entraîner un modèle ?
C’est la question que je ne m’étais jamais posée avant l’épisode Gemini. Utiliser mes courriels ou mes documents pour améliorer un modèle d’IA, ce n’est plus du traitement, c’est de la réutilisation de mes renseignements personnels. Le niveau de consentement requis n’est pas nécessairement le même.
4. Combien de temps sont-elles conservées ?
La Loi 25 exige de détruire les renseignements personnels une fois la finalité atteinte. Un outil qui garde tout indéfiniment, « au cas où », c’est ce qui m’inquiète le plus dans mes vérifications.
5. L’éditeur accepte-t-il d’être un « tiers » au sens de la Loi 25 ?
C’est la question la plus technique, et probablement la plus négligée. Un encadrement contractuel écrit n’est pas toujours obligatoire. Quand les données sont sensibles, il devrait exister. Beaucoup d’outils grand public n’en offrent tout simplement pas, parce qu’ils ne sont pas construits pour ça.
Envie d’un regard extérieur sur vos propres outils ? Le Diagnostic Express Cap Liberté vous aide à repérer les zones à vérifier en premier, sans appel obligatoire.
Ce que ça révèle sur les PME québécoises (le shadow AI)
Mon histoire avec Gemini n’a rien d’unique. C’est même devenu un phénomène qui porte un nom : le shadow AI, l’usage d’outils d’intelligence artificielle par les employés d’une entreprise, sans validation ni cadre officiel. La Presse rapportait en mai 2026 que ce genre d’usage peut carrément constituer une entorse à la Loi 25.
BlackFog a sondé 2000 employés de grandes organisations américaines et britanniques en 2026. Un tiers avait déjà partagé des données de recherche ou des jeux de données avec des outils IA non approuvés par leur employeur. Ce n’est ni québécois ni spécifique aux PME. Le réflexe existe probablement aussi dans votre équipe.
Pour une PME québécoise, ça veut dire une chose simple. Pendant que le dirigeant se demande s’il devrait investir dans l’IA, ses employés en utilisent probablement déjà. Souvent sans lui en parler, sur des courriels ou des dossiers clients. Ça s’ajoute à toutes les autres heures qui filent déjà dans l’administratif, voir Combien d’heures perd votre PME en administratif. La Loi 25 s’applique à cette utilisation-là, qu’elle ait été autorisée ou non.
Où j’en suis, honnêtement
Je ne vais pas prétendre avoir toutes les réponses. Depuis mon épisode Gemini, j’ai commencé à passer mes propres outils en revue, un à la fois, avec ces 5 questions. Certains m’ont donné des réponses claires. Pour d’autres, je suis encore en train de creuser, notamment sur la conservation des données et le statut de « tiers » au sens de la Loi 25.
Ce que je peux dire, c’est que l’exercice change ma façon de choisir un outil. Avant, je regardais surtout ce qu’il pouvait faire. Maintenant, je regarde aussi ce qu’il fait de mes informations pendant qu’il le fait.
Les questions à vous poser sur vos propres outils
Si vous voulez refaire l’exercice, voici la même liste, version courte, à garder sous la main :
- Où sont hébergées les données que j’entre dans cet outil ?
- Qui, chez l’éditeur ou ses partenaires, peut y accéder ?
- Est-ce que mes données servent à entraîner un modèle d’IA ?
- Combien de temps l’outil les conserve-t-il ?
- Est-ce que l’éditeur accepte, par écrit, un encadrement contractuel comme « tiers » au sens de la Loi 25 ?
Inutile de tout faire d’un coup. Commencez par l’outil que vous ouvrez le plus souvent, probablement votre boîte courriel.
Conclusion
Le problème n’est pas nécessairement la technologie. Je n’avais simplement jamais pris le temps de me poser ces 5 questions sur des outils que j’utilise depuis des années, à la lumière de la Loi 25. Si moi, qui manipule des données sensibles depuis 23 ans, j’ai pu manquer ça, la plupart des PME québécoises le manquent probablement aussi.
Ça rejoint une question plus large : combien de choses, dans votre entreprise, reposent sur des habitudes jamais vérifiées ? Voir Votre entreprise peut-elle rouler sans vous pendant une semaine ?
Vous voulez passer vos outils en revue avec les mêmes questions ? Téléchargez la checklist gratuite en bas de cet article.
Cet article est informatif et ne remplace pas un avis juridique. Ces 5 questions aident à repérer des zones à vérifier, elles ne constituent pas une évaluation de conformité. Pour votre situation précise, consultez un professionnel ou la Commission d’accès à l’information du Québec.
Questions fréquentes
La Loi 25 s’applique-t-elle si je n’utilise pas l’IA « officiellement » dans mon entreprise ? Oui. La loi encadre le traitement des renseignements personnels, peu importe l’intention derrière. Un employé qui colle un courriel client dans ChatGPT sans en parler à personne engage quand même l’entreprise.
Qu’est-ce qu’une ÉFVP ? Une évaluation des facteurs relatifs à la vie privée. C’est l’analyse à faire avant de mettre en place un projet qui touche des renseignements personnels, pour identifier les risques et les mesures pour les réduire.
Qui doit être désigné responsable de la protection des renseignements personnels ? Dans une petite entreprise, c’est souvent le dirigeant lui-même, par défaut, tant qu’un autre poste n’est pas formellement désigné.
