La Loi 25 (protection des renseignements personnels, Québec) s'applique aussi quand vous confiez votre documentation à un fournisseur d'IA. La surprise pour la plupart des PME : le risque n'est pas dans les manuels de machines — il est dans ce qui s'y glisse. Voici les questions concrètes à poser, et les réponses qu'un fournisseur sérieux doit pouvoir donner.
Un dossier technique typique en contient plus qu'on pense : notes de service avec téléphones de techniciens, courriels de clients dans des historiques de SAV, noms dans des rapports d'incident. Exigez que le fournisseur les détecte automatiquement au dépôt et vous laisse décider — document par document, AVANT tout traitement — de les inclure ou de les écarter. La décision vous appartient; elle doit être tracée.
La réponse acceptable est non, jamais — vos documents servent à répondre à VOS équipes, point. Demandez-le par écrit, et demandez aussi ce qu'il en est des sous-traitants IA du fournisseur (les grands fournisseurs d'API sérieux s'engagent contractuellement à ne pas entraîner sur les données clients).
Personne : chaque client doit vivre dans un espace strictement isolé. Le niveau au-dessus de la promesse contractuelle, c'est l'isolation vérifiée par le logiciel lui-même — le système refuse mécaniquement de croiser deux clients, plutôt que de compter sur la discipline des employés.
La Loi 25 donne des droits d'accès et de rectification aux personnes. Si un ancien employé demande ce que vos systèmes savent de lui, votre fournisseur doit pouvoir chercher et effacer ses renseignements partout — y compris dans les journaux d'interactions et les sauvegardes — et vous fournir la trace de l'opération.
Chaque accès administratif, chaque décision et chaque dépense doit être journalisé. En cas d'incident, c'est ce journal qui vous permet de répondre aux obligations de notification — sans lui, vous ne pouvez ni évaluer l'ampleur, ni prouver votre diligence.
Vos documents et les données produites vous sont remis, puis supprimés des systèmes du fournisseur. Si le contrat est muet là-dessus, faites-le préciser avant de signer, pas après.
Ces six questions sont exactement celles pour lesquelles Manent a été conçu avec les bonnes réponses par défaut — détection PII au dépôt, décision client tracée, isolation vérifiée par le moteur, effacement par personne, journal complet.
Lire notre politique de confidentialité