Loi 25 : la décision automatisée vous vise
même si vous n'avez pas d'IA.
L'article 12.1 ne mentionne nulle part l'intelligence artificielle. Il vise la décision prise sans intervention humaine — ce que fait déjà, chez vous, une règle écrite il y a six ans dans un tableur.
Dans presque chaque conversation sur la Loi 25 et l'intelligence artificielle, la même phrase revient : « on regardera quand on aura de l'IA ». Elle est prononcée de bonne foi. Elle est fondée sur une lecture erronée du texte.
La Loi 25 n'encadre pas l'intelligence artificielle. Elle encadre la décision fondée exclusivement sur un traitement automatisé de renseignements personnels. Le mot « intelligence » n'apparaît pas dans l'obligation. Le mot qui compte, c'est « exclusivement ».
Ce que dit réellement l'obligation
Quand une organisation prend une décision à propos d'une personne sans qu'aucun être humain n'intervienne, elle doit en informer la personne au moment de la décision. Et si celle-ci le demande, elle doit lui expliquer les renseignements utilisés, les principales raisons du refus, et lui permettre de faire rectifier ce qui est inexact — auprès de quelqu'un qui peut réviser la décision.
Rien là-dedans ne suppose un modèle. Un arbre de règles écrit à la main déclenche exactement les mêmes obligations qu'un réseau de neurones, du moment que personne ne regarde avant que la décision parte.
Le test tient en une question : entre la donnée qui entre et la décision qui sort, est-ce qu'un être humain a exercé un jugement ?
Pas « est-ce qu'un humain aurait pu regarder ». Pas « est-ce qu'un humain a approuvé la règle il y a trois ans ». Un jugement, sur ce dossier-là.
Ce qui est déjà chez vous
L'exercice le plus utile n'est pas de lire le texte. C'est de lister ce qui, dans vos systèmes, décide seul aujourd'hui. La liste est presque toujours plus longue que prévu, et l'essentiel n'a rien à voir avec l'IA.
- Une règle de tarification qui applique une majoration selon le code postal.
- Un filtre de candidatures qui écarte les dossiers sous un seuil d'expérience.
- Un moteur anti-fraude qui bloque une transaction et suspend un compte.
- Un renouvellement automatique refusé quand un compteur dépasse une valeur.
- Une file de service qui priorise ou déprioriser un client selon un score interne.
Aucun de ces cinq exemples n'exige de l'IA. Les cinq produisent une décision sur une personne identifiable. Les cinq relèvent de l'obligation.
Les trois réflexes qui ne tiennent pas
| Ce qu'on entend | Pourquoi ça ne suffit pas |
|---|---|
| « Un humain valide toujours à la fin. » | S'il valide quatre cents dossiers à l'heure sans pouvoir les ouvrir, il ne valide pas — il signe. L'intervention doit être réelle et documentée. |
| « C'est écrit dans notre politique de confidentialité. » | L'information est due au moment de la décision, pas enfouie dans un document que personne ne lit avant. |
| « Notre fournisseur est conforme. » | L'obligation d'informer et d'expliquer pèse sur l'organisation qui décide, pas sur celle qui fournit l'outil. Un contrat ne la déplace pas. |
Où tombe la ligne, dans les 3 Zones
Le Modèle des 3 Zones et l'article 12.1 posent la même question sous deux angles. Le modèle demande qui décide, et pourquoi celui-là. Le texte demande quelqu'un a-t-il décidé. Les deux se rejoignent sur un point : la frontière ne dépend pas de la technologie employée.
- Zone Automatisée — la machine décide seule. C'est précisément le périmètre de l'article 12.1 : ces décisions sont permises, à condition d'être annoncées, explicables et révisables.
- Zone Augmentée — un humain exerce un jugement sur le dossier. L'obligation ne se déclenche pas, mais seulement si la validation est réelle : une file d'attente, un délai, un responsable nommé.
- Zone Sanctuaire — la décision n'est jamais automatisée. Aucune obligation de transparence algorithmique, pour la raison simple qu'il n'y a pas d'algorithme.
Beaucoup d'organisations croient opérer en Zone Augmentée et opèrent en réalité en Zone Automatisée, parce que leur validation humaine n'en est pas une. C'est l'écart le plus coûteux, et il se mesure en une après-midi.
Une décision automatisée n'est pas un problème. Une décision automatisée que personne ne sait expliquer en est un. La loi n'interdit pas l'automatisation ; elle interdit l'opacité.
Le protocole, en quatre questions
Prenez vos dix décisions les plus fréquentes qui portent sur une personne, et répondez pour chacune. L'exercice ne demande pas d'avocat pour être mené ; il en demandera peut-être un pour être tranché.
- Un être humain exerce-t-il un jugement sur ce dossier avant que la décision parte ?
- Si non, la personne est-elle informée au moment où la décision est rendue ?
- Saurions-nous lister les renseignements utilisés et les principales raisons, si on nous le demandait demain ?
- Qui, nommément, peut réviser cette décision quand la personne conteste ?
La quatrième est celle qui reste sans réponse le plus souvent. Elle est aussi la seule qui ne se règle pas avec un document.
Le coût de l'écart, et pourquoi il se creuse
L'obligation existe depuis l'entrée en vigueur complète de la loi. Ce qui change en 2026, c'est la quantité de décisions automatisées par organisation. Chaque outil ajouté — un assistant branché sur le service client, un module de scoring dans le CRM, une automatisation de relance — élargit le périmètre sans que personne ne prenne la décision de l'élargir.
Les sanctions administratives prévues par le régime québécois se comptent en pourcentage du chiffre d'affaires mondial. Mais le coût le plus probable n'est pas l'amende : c'est la demande d'un client, d'un syndicat ou d'un candidat qui veut savoir pourquoi il a été refusé, et l'incapacité d'y répondre dans les délais.
Une organisation qui sait répondre à cette question traite l'incident en une heure. Une organisation qui ne sait pas y répondre découvre en même temps l'existence du système, l'absence de documentation, et le fait que la personne qui l'avait paramétré est partie.
Ce qu'il faut pouvoir montrer
Trois pièces suffisent à transformer une situation ingérable en dossier ordinaire. Aucune ne demande d'outil particulier.
- L'inventaire des décisions automatisées — un tableau, une ligne par décision, avec ce qui entre et ce qui sort.
- Les raisons principales, en langage clair — écrites une fois, réutilisables à chaque demande. Pas le code : les raisons.
- Le nom du réviseur — la personne qui reprend le dossier quand quelqu'un conteste, et qui a le pouvoir d'aboutir à une autre décision.
La troisième pièce est celle qui manque presque partout, et c'est la seule que la loi exige explicitement d'être une personne.
Ce que ce cadrage ne résout pas
- Il ne remplace pas un avis juridique. L'évaluation des facteurs relatifs à la vie privée, la qualification exacte d'un traitement et l'articulation avec le consentement demandent une lecture par un professionnel du droit.
- Il ne dit pas si votre décision est juste. Une décision automatisée parfaitement conforme peut être mauvaise. La conformité borne le risque, elle ne fabrique pas le jugement.
- Il ne couvre pas les autres régimes. Si vos données concernent des personnes hors du Québec, d'autres textes s'ajoutent — et ils ne posent pas tous la frontière au même endroit.
La Loi 25 s'applique-t-elle si nous n'utilisons pas d'intelligence artificielle ?
Oui. L'obligation vise la décision fondée exclusivement sur un traitement automatisé de renseignements personnels, sans distinction de technologie. Un arbre de règles écrit à la main déclenche les mêmes devoirs qu'un modèle d'apprentissage, dès lors qu'aucun humain n'exerce de jugement sur le dossier.
Qu'est-ce qui compte comme une intervention humaine réelle ?
Un jugement exercé sur ce dossier précis, par une personne qui dispose de l'information et du temps nécessaires, et qui peut décider autrement. Approuver en série sans pouvoir ouvrir les dossiers ne constitue pas une intervention : c'est une signature, et elle ne déplace pas l'obligation.
Que doit-on dire à la personne concernée, et quand ?
Qu'une décision la concernant a été prise de façon automatisée, au moment où cette décision est rendue. Et sur demande : les renseignements utilisés, les principales raisons, et la possibilité de faire corriger ce qui est inexact auprès de quelqu'un qui peut réviser la décision.
Notre fournisseur affirme être conforme. Est-ce suffisant ?
Non. L'obligation d'informer, d'expliquer et de permettre la révision pèse sur l'organisation qui prend la décision. Un fournisseur peut vous donner les moyens de la remplir ; il ne peut pas la porter à votre place, et aucun contrat ne la transfère.
Par où commencer quand rien n'est formalisé ?
Par l'inventaire des décisions, pas par la lecture des textes. Listez ce que vos systèmes peuvent décider seuls à propos d'une personne, puis pour chacune : qui exerce un jugement, qui peut réviser, et ce qu'on saurait expliquer si on le demandait demain.
Le Modèle des 3 Zones, en entier
Cet article applique à une obligation légale québécoise un cadre développé dans L'Architecte Numérique : décider ce qui doit être automatisé, augmenté, ou sanctuarisé.