Loi 25 et IA générative : ce que votre cabinet n’a pas encore mesuré

Mise à jour du 15 juin 2026 — Cette version intègre la décision récente de la Cour supérieure du Québec sur l’usage de l’IA, la nouvelle politique de confidentialité d’Anthropic du 8 juin 2026, et les vérifications d’identité biométriques introduites le 15 juin 2026.

Ce qui a changé depuis mai 2026 — et pourquoi ça compte

Cette mise à jour de juin 2026 n’est pas cosmétique. Trois changements significatifs survenus depuis le 1er mai 2026 modifient le calcul de risque pour tout cabinet professionnel québécois utilisant des outils d’IA générative. Je les nomme dans l’ordre d’importance pour vous.

Premièrement, la Cour supérieure du Québec a rendu en juin 2026 sa première décision majeure encadrant l’usage de l’IA dans un contexte professionnel. La Cour a annulé une sentence arbitrale en raison d’un usage problématique de l’IA et a posé un principe directeur qui s’applique très clairement aux cabinets : l’IA peut assister mais jamais se substituer au décideur, et lorsque l’usage incontrôlé de l’IA compromet l’intégrité procédurale ou la confiance du public, la sanction peut aller jusqu’à l’annulation de la décision. Pour un cabinet professionnel, ce précédent juridique est immédiatement transposable : un avis juridique, une opinion comptable, une expertise d’ingénieur ou un certificat de notaire produits avec un usage non encadré de l’IA peuvent voir leur validité juridique contestée. Ce n’est plus de la théorie.

Deuxièmement, Anthropic a modifié sa politique de confidentialité le 8 juin 2026. La nouvelle version, qui prend effet le 8 juillet 2026, permet à Anthropic de partager proactivement des données utilisateurs avec les forces de l’ordre sur la base d’une « croyance de bonne foi » interne, sans nécessiter d’ordonnance judiciaire. La formulation antérieure exigeait un seuil légal externe ; la nouvelle place la décision à l’intérieur de l’entreprise sans standard public attaché. Cette politique s’applique aux comptes Claude Free, Pro et Max, et exclut explicitement les plans Team, Enterprise et l’API. Pour un cabinet professionnel québécois, l’implication est directe : utiliser Claude consommateur avec des renseignements clients devient encore plus incompatible avec le secret professionnel qu’avant. Il ne s’agit plus seulement d’un risque hypothétique de violation par défaut de configuration, mais d’une exposition active à une politique de divulgation discrétionnaire.

Troisièmement, Anthropic a annoncé le 15 juin 2026 l’introduction de vérifications biométriques d’identité via le service tiers Yoti pour les comptes Claude consommateurs. La vérification peut inclure ID gouvernemental, photos et vidéos faciales, et gabarits de géométrie faciale. Ces données sont des renseignements personnels hautement sensibles au sens de la Loi 25, ce qui ajoute une nouvelle couche d’exposition pour tout cabinet dont les associés ou employés utilisent Claude avec un compte personnel — y compris pour des usages qui paraissent inoffensifs.

À ces trois changements s’ajoutent deux signaux contextuels importants. La date butoir du 5 juin 2026 pour la conformité totale de la directive IA générative dans le secteur public québécois est passée, et le marché privé québécois observe désormais avec attention comment ce cadre est appliqué. Et la Commission d’accès à l’information, après plusieurs années de posture éducative, semble entrer dans une phase d’application plus active — les premières sanctions administratives publiques commencent à apparaître, même si aucune n’a encore visé spécifiquement un cabinet professionnel.

L’amorce révisée : du « soufflé dégonflé » à la phase d’application active

Mon ami et mentor Vincent Gautrais, professeur titulaire à la Faculté de droit de l’Université de Montréal et titulaire de la Chaire L.R. Wilson sur le droit des technologies de l’information et du commerce électronique, résumait au 1er mai 2026 la situation dans La Presse avec sa franchise habituelle : « Le soufflé s’est dégonflé. »

Cette phrase parlait de l’application de la Loi 25 par la CAI. Elle décrivait avec justesse l’état de l’application au début mai. Six semaines plus tard, le tableau a partiellement basculé : la décision de la Cour supérieure de juin 2026 a fait évoluer la question d’une simple question administrative (la CAI va-t-elle frapper ?) à une question judiciaire (les décisions et avis produits avec un usage non encadré de l’IA tiennent-ils devant les tribunaux ?). Les conséquences ne passent plus uniquement par la CAI. Elles passent désormais par les tribunaux civils, qui peuvent annuler des décisions, et par les contentieux entre cabinets et leurs propres clients, qui peuvent contester la validité d’un livrable produit avec une IA mal encadrée.

Vincent ajoutait dans le même article, et c’est la phrase qui devrait préoccuper tout associé directeur : « Quand vous mettez des données personnelles dans ChatGPT ou Claude ou autre, ça devient un enjeu pour l’entreprise. Le cadre légal est très contraignant. » Cette analyse reste juste et s’amplifie avec les changements récents. La non-application active par la CAI n’a jamais été l’absence de risque. Elle l’est encore moins aujourd’hui.

Définitions clés

Qu’est-ce que la Loi 25 ?

La Loi 25, officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, est une loi québécoise adoptée en 2021 qui réforme en profondeur le régime de protection des renseignements personnels au Québec. Elle s’applique à tous les organismes publics et à toutes les entreprises qui traitent des renseignements personnels de résidents québécois. Pour comprendre son architecture, le site officiel de la Commission d’accès à l’information fait office de référence.

Qu’est-ce que l’IA générative au sens des obligations légales ?

L’intelligence artificielle générative désigne les systèmes capables de produire du texte, des images, du code ou d’autres contenus à partir d’instructions en langage naturel. ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google), Mistral et Microsoft 365 Copilot en sont les exemples les plus utilisés. Au regard de la Loi 25, ce qui compte n’est pas l’outil mais l’usage : dès qu’un renseignement personnel transite par un outil d’IA générative, le régime légal s’applique intégralement.

Qu’est-ce que le secret professionnel ?

Au Québec, le secret professionnel est garanti par l’article 9 de la Charte des droits et libertés de la personne et précisé dans les codes de déontologie de chaque ordre. Il s’agit d’une obligation absolue de confidentialité couvrant tout ce que le professionnel apprend de son client dans l’exercice de sa pratique. Le Guide pratique du Barreau du Québec sur l’IA générative publié en octobre 2024 rappelle que cette obligation n’est pas atténuée par l’usage de la technologie.

Qu’est-ce que le CLOUD Act ?

Le Clarifying Lawful Overseas Use of Data Act, adopté aux États-Unis en 2018, autorise les autorités fédérales américaines à exiger d’une entreprise américaine la divulgation de données qu’elle détient, peu importe le lieu géographique d’hébergement de ces données. Toute entreprise québécoise utilisant un service hébergé par un fournisseur américain (OpenAI, Anthropic, Google, Microsoft) est concernée.

Qu’est-ce qu’une EFVP ?

L’évaluation des facteurs relatifs à la vie privée est une analyse documentée obligatoire avant tout projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique impliquant des renseignements personnels. Elle est exigée par l’article 3.3 de la Loi 25.

Les quatre articles de la Loi 25 qui s’appliquent directement à l’IA générative

La Loi 25 ne mentionne pas explicitement l’IA. Aucun article ne nomme ChatGPT, Claude ou Copilot. Cette absence est lue par certains comme une faille rassurante. Elle ne l’est pas. Quatre articles structurent le risque :

Article 3.3 — Évaluation des facteurs relatifs à la vie privée (EFVP). Toute organisation doit réaliser une EFVP pour les projets d’acquisition, de développement ou de refonte de systèmes d’information impliquant des renseignements personnels. Déployer Microsoft 365 Copilot dans un cabinet, ou intégrer une fonction IA à un outil de gestion de dossiers, déclenche cette obligation. Très peu de cabinets l’ont réellement faite.

Article 12.1 — Décisions automatisées. Si un système prend une décision exclusivement fondée sur un traitement automatisé affectant significativement une personne — refus de mandat, scoring client, tri de candidatures, priorisation de dossiers — la personne concernée a le droit d’être informée et de demander une intervention humaine. La frontière entre « assister » et « décider » est floue, et plus on délègue à l’IA, plus on s’approche d’une obligation déclenchée.

Article 14 — Consentement. Un consentement explicite et manifestement éclairé est exigé pour le traitement de renseignements personnels par des systèmes automatisés. Aucun client n’a consenti à ce que son dossier passe par un serveur OpenAI à San Francisco. Les mandats standards ne couvrent pas cette autorisation, et le secret professionnel l’interdit même lorsque le client le permettrait.

Articles 17 à 19 — Communications hors Québec. Toute organisation qui transfère des renseignements à l’extérieur du Québec doit s’assurer d’une protection adéquate, prévoir des garanties contractuelles et procéder à une évaluation d’impact du transfert. Les versions consommateur de ChatGPT, Claude ou Gemini ne fournissent aucune de ces garanties. Aucune entente de traitement de données n’est disponible pour les comptes grand public.

La photo du terrain : ce que disent les chiffres publics

Les statistiques disponibles sont parlantes. Le rapport Wolters Kluwer de 2026 indique que 55,2 % des personnes interrogées intègrent des outils d’IA dans leur cabinet d’avocats, et que 89,2 % des répondants disent employer des outils génériques d’IA générative, tels que ChatGPT. Au Québec, où la Loi 25 ajoute un cadre déontologique supplémentaire, ces taux décrivent un marché majoritairement en situation de non-conformité.

Imaginons un cas typique, plausible dans n’importe quel cabinet québécois moyen. Un associé senior, sous pression de calendrier, colle dans la version gratuite de ChatGPT le projet d’entente de confidentialité qu’il négocie pour un client. Il demande à l’outil de reformuler les clauses pour les rendre plus défendables. Le document contient le nom du client, le nom de la partie adverse, et plusieurs renseignements financiers identifiables. En quelques secondes, ces données ont été transmises à un serveur américain, intégrées au journal d’usage du fournisseur, et potentiellement réutilisées pour entraîner les modèles futurs. Aucun consentement client. Aucune EFVP. Aucune entente de traitement de données. Aucune anonymisation préalable.

C’est un scénario que je décris comme hypothétique, mais que tout responsable de la conformité dans un cabinet professionnel reconnaîtra comme parfaitement réaliste. Le cas Metro, où la Commission d’accès à l’information a interdit le recours à la reconnaissance faciale pour traquer le vol à l’étalage, démontre que la CAI ne se prive pas d’intervenir quand elle juge qu’une atteinte à la vie privée est significative. Elle n’a pas encore frappé sur l’IA générative en cabinet. Cela ne signifie pas qu’elle ne le fera pas.

Le double piège : Loi 25 ET déontologie — pour TOUTES les professions réglementées

C’est l’angle que la plupart des analyses contournent. Pour un cabinet professionnel québécois, la Loi 25 n’est qu’une couche du régime applicable. Il faut y ajouter le secret professionnel, garanti par l’article 9 de la Charte des droits et libertés de la personne et précisé dans les codes de déontologie spécifiques à chaque ordre. Et contrairement à ce que beaucoup pensent, ce cumul d’obligations ne concerne pas uniquement les avocats. Il s’applique à toutes les professions réglementées, avec des nuances mais une mécanique commune.

Pour les avocats, le Barreau du Québec a publié en octobre 2024 son Guide pratique pour une utilisation responsable de l’intelligence artificielle générative. Vincent Gautrais en a fait une analyse complète sur son blogue. Le Guide recommande l’anonymisation des renseignements avant toute soumission à un outil d’IA générative.

Pour les comptables professionnels agréés, l’Ordre des CPA du Québec a publié son propre modèle de ligne directrice pour encadrer l’utilisation de l’IA générative. Les obligations de secret professionnel des CPA sont aussi fondées sur le Code des professions et le Code de déontologie des CPA. L’Ordre rappelle explicitement que le secret professionnel des CPA est « un droit quasi constitutionnel » et qu’il comporte deux composantes : l’obligation de ne pas divulguer les renseignements confidentiels du client, et l’obligation de protéger activement ces renseignements. Téléverser un état financier, une déclaration fiscale, un dossier d’audit ou des données d’employés dans ChatGPT gratuit viole structurellement la seconde composante — celle de la protection active.

Une nuance juridique importante toutefois : la Cour d’appel du Québec a confirmé en 2024 que la portée du secret professionnel des CPA est plus restreinte que celle des avocats, notamment face à certains impératifs réglementaires du secteur financier. Cette nuance ne diminue pas l’obligation de protection des renseignements personnels au sens de la Loi 25 — qui, elle, s’applique uniformément. Elle signifie simplement que les CPA ne peuvent pas invoquer le secret professionnel pour se soustraire à certaines obligations spécifiques de transmission d’informations aux autorités financières. Pour la question qui nous occupe — l’usage d’outils d’IA générative — l’analyse reste la même que pour les avocats.

Pour les ingénieurs, l’Ordre des ingénieurs du Québec impose dans son Code de déontologie des obligations de confidentialité comparables, et la responsabilité professionnelle s’étend aux expertises produites avec un usage non maîtrisé d’outils technologiques. Pour les notaires, la Chambre des notaires impose des règles de confidentialité particulièrement strictes étant donné le caractère d’officier public de la profession. Pour les architectes, actuaires, urbanistes, conseillers en gestion de patrimoine et autres professions réglementées : la mécanique est structurellement similaire dans tous les codes de déontologie applicables.

Le cumul des régimes signifie que les sanctions sont elles aussi cumulables. Un seul incident peut déclencher simultanément :

• Une enquête de la CAI avec sanctions administratives pécuniaires jusqu’à 10 millions $ ou 2 % du chiffre d’affaires mondial ;
• Des sanctions pénales jusqu’à 25 millions $ ou 4 % du chiffre d’affaires mondial pour les cas les plus graves ;
• Une plainte déontologique à l’ordre professionnel applicable, pouvant mener à des suspensions ou à la radiation ;
• Une poursuite civile du client lésé ;
• Et — c’est désormais le risque le plus tangible depuis la décision de la Cour supérieure de juin 2026 — l’annulation judiciaire d’une décision, d’un avis ou d’une expertise produits avec un usage non encadré de l’IA, ce qui constitue à la fois un manquement professionnel et une perte commerciale directe pour le cabinet.

Pour citer Geneviève Mottard, présidente et cheffe de la direction de l’Ordre des CPA du Québec : « L’intelligence artificielle automatise certaines tâches de nature administrative, mais elle ne peut remplacer le jugement professionnel, la compréhension nuancée des contextes complexes et la relation de confiance avec la clientèle. » Cette analyse résume exactement la position que la Cour supérieure du Québec vient de consacrer juridiquement.

Le piège du CLOUD Act : un cabinet québécois ne peut pas être conforme par défaut

Voici un point que peu de cabinets ont vraiment intégré. Lorsque vous utilisez une plateforme d’IA américaine — OpenAI, Anthropic, Google, Microsoft — vos données sont soumises au CLOUD Act américain, qui autorise les autorités fédérales américaines à demander la divulgation de ces données, même lorsqu’elles concernent des résidents canadiens et qu’elles sont hébergées en Amérique du Nord. Cette obligation entre en conflit direct avec les articles 17 à 19 de la Loi 25 et avec votre obligation de protection du secret professionnel.

Autrement dit : la simple utilisation d’un outil d’IA américain crée une exposition juridique structurelle. Aucune entente de traitement de données avec OpenAI ne peut faire disparaître le CLOUD Act. Pour échapper à ce conflit, les options réelles sont peu nombreuses : choisir des solutions souveraines ou hébergées en juridiction non-américaine (Mistral en France, déploiements canadiens spécifiquement contractualisés), imposer une dépersonnalisation rigoureuse en amont qui rende les renseignements inutilisables sans la clé de réidentification, ou refuser l’usage pour les dossiers les plus sensibles.

Gratuit, payant, entreprise : les nuances qui changent tout

Voici le malentendu le plus coûteux que j’observe dans les cabinets professionnels en 2026. « J’ai payé pour ChatGPT Plus, donc mes données de clients sont protégées. » C’est faux. La frontière critique pour la protection des renseignements personnels ne se situe pas entre la version gratuite et la version payante, mais entre les comptes individuels (Free, Plus, Pro) et les comptes organisationnels (Team, Business, Enterprise, API commercial).

Chez OpenAI, ChatGPT Plus et ChatGPT Pro partagent la même politique de confidentialité que la version gratuite. Chez Anthropic, depuis septembre 2025, les comptes Claude Free, Pro et Max sont tous assujettis au même régime opt-out d’entraînement, avec rétention jusqu’à cinq ans pour les utilisateurs qui n’ont pas désactivé l’option. Depuis le 8 juin 2026, ces mêmes comptes consommateurs sont en plus assujettis à une politique élargie de partage avec les forces de l’ordre, fondée sur une « croyance de bonne foi » d’Anthropic, sans nécessiter d’ordonnance judiciaire. Cette politique entrera pleinement en vigueur le 8 juillet 2026. Elle s’applique uniquement aux comptes consommateurs (Free, Pro, Max) et n’affecte pas les plans Team, Enterprise et l’API commercial. Pour un cabinet professionnel québécois, cela signifie qu’utiliser Claude consommateur avec des renseignements clients n’est plus seulement une violation par défaut de configuration — c’est désormais une exposition active à une politique de divulgation discrétionnaire.

Chez Google, Gemini Advanced ne change rien à la politique de Gemini Free. Cette uniformité entre paliers consommateur surprend beaucoup d’utilisateurs qui croyaient payer pour de la protection. Les vraies différences contractuelles apparaissent au palier organisationnel.

La règle qui paie le plus, le plus vite, dans un cabinet : interdire le remboursement des abonnements personnels. Si vos associés et stagiaires se font rembourser leur ChatGPT Plus ou Claude Pro personnel sur la carte du cabinet, vous payez littéralement pour exposer vos clients. Le cabinet devrait payer les comptes professionnels ; les comptes personnels ne doivent jamais servir aux dossiers clients, peu importe leur niveau d’abonnement.

Tableau récapitulatif des sanctions cumulables

Les sanctions sont cumulables : un seul incident peut déclencher plusieurs régimes simultanément. C’est ce cumul qui transforme un manquement « théorique » en risque organisationnel majeur.

Le mythe du « ça va passer » et pourquoi attendre est l’erreur stratégique

Je comprends la tentation. La CAI n’a pas frappé. Les sanctions massives annoncées font partie du registre théorique. Pourquoi bouger maintenant ?

Trois raisons, qui n’ont rien à voir avec l’application de la loi par la CAI.

Vos clients commencent à demander. Les grandes entreprises clientes des cabinets professionnels intègrent désormais des clauses contractuelles exigeant que leurs conseillers démontrent leur conformité dans l’usage des outils d’IA. Refuser de répondre, ou répondre vaguement, vous fait perdre des mandats au profit de cabinets qui ont fait le travail. Cette dynamique commerciale est plus rapide que toute action réglementaire.

Le coût d’une mise en conformité tardive sera radicalement supérieur au coût d’une mise en conformité proactive. Le jour où la CAI publiera son premier dossier d’application sur un cabinet québécois — et ce jour viendra, parce que la pression politique monte et que les sources publiques témoignent d’un cadre de plus en plus formalisé, notamment dans le secteur public avec l’Arrêté ministériel québécois de décembre 2025 sur l’IA dans l’administration publique — l’ensemble du marché courra dans la même direction au même moment. Les consultants disponibles seront saturés. Les outils conformes seront en rupture. Les coûts tripleront.

Un incident interne ne se planifie pas. Un seul stagiaire qui colle un mandat sensible dans ChatGPT gratuit, un seul fichier mal anonymisé qui devient public, et le cabinet se retrouve à gérer une crise sans avoir préparé le terrain. La gouvernance se construit avant l’incident, pas pendant.

Ce qu’il faut faire concrètement : la séquence des 90 jours

Voici la séquence minimale qu’un cabinet professionnel québécois devrait mettre en œuvre dans les 90 prochains jours.

1. Audit de l’usage réel, pas de l’usage déclaré. Analyse des journaux réseau, sondage anonyme des professionnels, cartographie des outils utilisés (officiellement et officieusement), identification des comptes payés à titre personnel. Sans cette photo honnête, toute politique sera théorique.
2. Politique d’usage spécifique aux outils IA. Pas un copier-coller de modèle générique. Une politique qui nomme les outils autorisés, les outils interdits, les zones d’usage permis, les obligations de dépersonnalisation, et les procédures d’incident. Cette politique doit être validée par le comité de direction et signée par chaque professionnel et chaque membre du personnel administratif.
3. Choix d’outils conformes. Pour la plupart des cabinets, cela signifie déployer des versions entreprise (Microsoft 365 Copilot avec configuration adéquate, ChatGPT Team ou Enterprise avec entente de traitement de données, Claude pour les organisations avec garanties contractuelles), et bloquer techniquement l’accès aux versions grand public sur les postes de travail. Pour les cabinets traitant des dossiers extrêmement sensibles, envisager des solutions souveraines ou des déploiements locaux.
4. Formation des équipes. Tous les niveaux. Les associés, les juristes salariés, les techniciens, les adjointes, les stagiaires, le personnel administratif. Une formation qui démontre concrètement ce qui se passe quand on colle un document confidentiel dans ChatGPT gratuit. Une fois qu’on l’a vu, on ne le fait plus.
5. Évaluation des facteurs relatifs à la vie privée (EFVP). Pour tout déploiement systématique d’IA dans le cabinet. C’est une obligation légale, pas une bonne pratique. La documenter protège l’organisation en cas de plainte ou d’enquête.
6. Registre des incidents et processus de signalement. La Loi 25 impose le signalement de tout incident de confidentialité présentant un risque sérieux de préjudice. Avoir un processus clair, connu de tous, et documenté.

Mon avis franc, en guise de conclusion

La Loi 25 n’a pas été écrite pour l’IA générative. Mais elle s’y applique pleinement, et les obligations déontologiques l’amplifient pour toutes les professions réglementées — avocats, comptables, notaires, ingénieurs, architectes et autres. Le contexte de juin 2026 a accéléré la pression : la décision de la Cour supérieure ouvre une nouvelle voie de risque (l’annulation judiciaire d’avis ou de décisions produits avec un usage non encadré de l’IA), et la nouvelle politique Anthropic du 8 juin aggrave l’incompatibilité des comptes consommateurs avec le secret professionnel.

Le paradoxe que je trouve gênant, je vais le dire : un cabinet qui conseille ses clients sur leur conformité Loi 25 tout en utilisant lui-même ChatGPT gratuit ou Claude Pro pour rédiger des avis traite ses clients avec un niveau de rigueur qu’il ne s’impose pas à lui-même. Cette asymétrie deviendra publiquement embarrassante avant longtemps. Et avec la décision récente de la Cour supérieure, elle pourrait aussi devenir juridiquement coûteuse.

Citation principale

« La Loi 25 n’a pas été écrite pour l’IA générative, mais elle s’y applique pleinement. Avec la décision de la Cour supérieure du Québec de juin 2026 et la nouvelle politique d’Anthropic du 8 juin, le risque pour les cabinets professionnels ne passe plus seulement par la CAI : il passe désormais par les tribunaux civils et par la divulgation discrétionnaire aux autorités. L’asymétrie entre ce que les cabinets conseillent à leurs clients et ce qu’ils s’appliquent à eux-mêmes deviendra publiquement embarrassante avant longtemps. » — Michelle Blanc, juin 2026

Foire aux questions

La CAI applique-t-elle activement la Loi 25 contre les usages non encadrés d’IA générative en 2026 ?

Non, pas encore frontalement. À la date de publication de ce billet, la Commission d’accès à l’information du Québec n’a pas frappé publiquement contre un cabinet professionnel québécois pour usage non conforme d’outils d’IA générative. Vincent Gautrais, professeur de droit à l’Université de Montréal, parlait au 1er mai 2026 d’un soufflé qui s’était dégonflé. Cependant, depuis le printemps 2026, la CAI montre des signes d’entrée dans une phase d’application plus active, et l’absence d’enquête active n’élimine pas le risque légal, contractuel, déontologique et réputationnel.

Utiliser ChatGPT gratuit dans un cabinet juridique québécois est-il illégal ?

L’usage de versions grand public d’IA générative pour traiter des renseignements personnels de clients constitue une violation probable de la Loi 25 (articles 14, 17, 18, 19) et une violation potentielle des obligations déontologiques de secret professionnel. Le Guide du Barreau du Québec recommande explicitement l’anonymisation des données avant toute soumission à un outil d’IA générative.

Microsoft 365 Copilot est-il conforme à la Loi 25 ?

Pas par défaut. Microsoft 365 Copilot peut être configuré pour respecter les exigences de la Loi 25, mais nécessite une configuration explicite des paramètres de gouvernance, une cartographie des accès, une politique d’usage interne, et idéalement une évaluation des facteurs relatifs à la vie privée. Un déploiement non configuré expose l’organisation à des risques importants.

Qu’est-ce que le CLOUD Act et pourquoi affecte-t-il les cabinets québécois ?

Le CLOUD Act est une loi américaine adoptée en 2018 qui permet aux autorités fédérales américaines de demander la divulgation de données stockées par des entreprises américaines, indépendamment du lieu d’hébergement géographique. Cela crée un conflit structurel avec la Loi 25 dès qu’un cabinet utilise un outil d’IA hébergé chez un fournisseur américain.

Quelles sont les sanctions maximales prévues par la Loi 25 ?

Sanctions administratives pécuniaires jusqu’à 10 millions $ ou 2 % du chiffre d’affaires mondial. Sanctions pénales jusqu’à 25 millions $ ou 4 % du chiffre d’affaires mondial pour les cas les plus graves. Ces sanctions sont cumulables avec les sanctions déontologiques applicables aux professions réglementées, avec d’éventuelles poursuites civiles, et — depuis juin 2026 — avec le risque d’annulation judiciaire de décisions produites avec un usage non encadré de l’IA.

Quelle est la différence entre anonymisation et dépersonnalisation ?

L’anonymisation rend impossible la réidentification d’une personne, même par recoupement. La dépersonnalisation retire les identifiants directs mais permet potentiellement une réidentification par recoupement. Le Guide du Barreau du Québec exige l’anonymisation pour l’usage d’outils d’IA, alors que sa FAQ semble admettre la dépersonnalisation, ce qui crée une zone de flou qu’il faut interpréter avec prudence.

Un cabinet doit-il obtenir le consentement explicite de ses clients pour utiliser l’IA générative dans leurs dossiers ?

Selon le Guide du Barreau du Québec, oui, dans la mesure où l’usage de l’IA pourrait affecter la qualité des conseils ou des services rendus. La transparence et le consentement éclairé sont au cœur de la déontologie applicable. Plusieurs juridictions canadiennes vont dans le même sens.

Que dit le Guide du Barreau du Québec sur l’IA générative ?

Publié en octobre 2024, le Guide encourage l’usage de l’IA générative tout en l’encadrant. Il rappelle les obligations de compétence, de secret professionnel, d’indépendance, de loyauté, de transparence, et de supervision humaine. Il recommande spécifiquement l’anonymisation des données avant soumission à un outil d’IA, et la vérification systématique des résultats produits.

Le secteur public québécois a-t-il un cadre spécifique pour l’IA générative ?

Oui. En décembre 2025, le ministère de la Cybersécurité et du Numérique du Québec a publié un arrêté ministériel et une indication d’application qui encadrent l’usage de l’IA générative dans l’administration publique québécoise. La date butoir de conformité totale était fixée au 5 juin 2026 et est désormais passée. Ce cadre crée un précédent que le secteur privé regarde de près.

Quelle est la première étape concrète pour un cabinet qui souhaite se mettre en conformité ?

Un audit honnête de l’usage réel des outils d’IA générative dans le cabinet. Pas un sondage de bonne foi, mais une analyse des journaux réseau et un inventaire des comptes utilisés (officiellement et personnellement). Sans cette photo factuelle, toute politique sera bâtie sur des suppositions inexactes.

Les obligations s’appliquent-elles aussi aux cabinets de CPA, ou seulement aux cabinets d’avocats ?

Les obligations s’appliquent à toutes les professions réglementées au Québec, avec des nuances mais une mécanique commune. L’Ordre des CPA du Québec a publié dès 2024 son propre modèle de ligne directrice pour encadrer l’utilisation de l’IA générative dans les cabinets comptables. Le secret professionnel des CPA est garanti par la Charte des droits et libertés de la personne, le Code des professions et le Code de déontologie des CPA, et l’Ordre le qualifie de droit quasi constitutionnel. La Cour d’appel a précisé en 2024 que la portée du secret professionnel des CPA est plus restreinte que celle des avocats dans certaines situations spécifiques au secteur financier, mais cette nuance n’affecte pas les obligations Loi 25 sur la protection des renseignements personnels. Pour la question de l’usage d’outils d’IA générative, l’analyse est essentiellement la même que pour les cabinets d’avocats. La même mécanique s’applique aussi aux notaires, ingénieurs, architectes, actuaires, urbanistes et autres professions réglementées.

Que dit la décision de la Cour supérieure du Québec de juin 2026 sur l’usage de l’IA ?

La Cour supérieure du Québec a rendu en juin 2026 sa première décision majeure encadrant l’usage de l’IA dans un contexte professionnel. La Cour a annulé une sentence arbitrale en raison d’un usage problématique de l’IA et a posé un principe directeur : l’IA peut assister mais jamais se substituer au décideur, et lorsque l’usage incontrôlé de l’IA compromet l’intégrité procédurale ou la confiance du public, la sanction peut aller jusqu’à l’annulation de la décision. Pour les cabinets professionnels, cela signifie que les avis, opinions, expertises ou décisions produits avec un usage non encadré de l’IA peuvent voir leur validité juridique contestée. Le risque n’est plus seulement réglementaire ou déontologique : il est désormais civil et judiciaire.

Quel est l’impact de la nouvelle politique de confidentialité d’Anthropic du 8 juin 2026 ?

Anthropic a modifié sa politique de confidentialité le 8 juin 2026 (effet le 8 juillet 2026) pour permettre à l’entreprise de partager proactivement des données utilisateurs avec les forces de l’ordre sur la base d’une « croyance de bonne foi » interne, sans nécessiter d’ordonnance judiciaire. Cette politique s’applique uniquement aux comptes Claude Free, Pro et Max ; les plans Team, Enterprise et l’API en sont explicitement exclus. Pour un cabinet professionnel québécois, l’implication est claire : utiliser Claude consommateur avec des renseignements clients devient encore plus incompatible avec le secret professionnel qu’avant cette modification.