Agents IA et Loi 25 : la régulation automatisée de l'intelligence artificielle

Le problème : l'IA est partout (et personne ne la documente)

En 2026, l'intelligence artificielle n'est plus une promesse — c'est une réalité opérationnelle dans presque toutes les PME québécoises. Un chatbot répond à vos clients. Un assistant IA rédige vos courriels. Un script trie les CV reçus. Un algorithme de scoring évalue la solvabilité. La Loi 25 est claire : tout cela est un traitement automatisé qui doit être documenté, évalué et encadré.

Mais la réalité est que la quasi-totalité des PME n'ont aucune idée qu'elles utilisent de l'IA au sens de la loi. Le propriétaire installe un chatbot sur son site — souvent un simple copier-coller d'un snippet fourni par un fournisseur américain — sans savoir que cela déclenche une obligation légale. La technique est invisible. La loi, elle, ne l'est pas.

C'est précisément ce problème que l'outil Veridy adresse. Notre plateforme ne se contente pas de scanner votre site pour détecter l'IA — elle pré-remplit automatiquement un questionnaire structuré d'AI-PIA à partir des signaux détectés. Sur les cas standards, l'AI-PIA peut être générée quasi-complète. Votre équipe (employé désigné, généralement le RPRP) valide, complète les blancs et signe. L'AI-PIA est générée à partir des réponses, pas à votre place : la décision, la signature et la mise à jour restent humaines. C'est la distinction entre un outil et un cabinet-conseil.

La loi : article 12.1 — décisions automatisées

L'article 12.1 de la Loi 25 dispose qu'une entreprise qui utilise un traitement automatisé de renseignements personnels qui prend une décision basée entièrement ou partiellement sur un algorithme doit :

• Informer la personne qu'une décision est prise à son sujet de manière automatisée
• Offrir la possibilité de soumettre ses observations ou de demander une révision par un humain
• Évaluer les risques que ce traitement pose à ses droits (c'est l'AI-PIA)
• Documenter le tout dans un registre de gouvernance

La sanction en cas d'absence : jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial (article 90.12). Ce n'est pas théorique — les sanctions de la CAI sont en vigueur depuis septembre 2024.

La nouvelle vague : agents IA autonomes

La situation se complique rapidement. Nous passons des chatbots réactifs — qui répondent aux questions — aux agents IA autonomes qui prennent des initiatives. Des plateformes comme Hermes Agent, Claude Code, OpenAI Codex, OpenCode et les frameworks d'orchestration agentique permettent désormais de déployer des systèmes IA qui naviguent le web, envoient des courriels, remplissent des formulaires et prennent des décisions en séquence — sans intervention humaine à chaque étape.

Des outils commerciaux émergent rapidement. Ces agents peuvent analyser des documents, contacter des clients, classer des demandes, trier des réclamations d'assurance. Un cabinet d'avocats qui utilise un agent IA pour trier les dossiers de clients. Une clinique qui laisse un agent IA répondre aux demandes de rendez-vous et orienter les patients. Un commerce en ligne dont l'agent IA décide quels produits recommander à quel utilisateur.

Tous ces cas déclenchent l'article 12.1. Et presque personne ne s'en occupe.

Ce que ça change pour votre entreprise

Si vous utilisez — ou prévoyez utiliser — un agent IA pour traiter des données personnelles de vos clients, employés ou candidats, vous devez :

1. Détecter où et comment l'IA intervient dans vos processus
2. Documenter le type d'IA, les données utilisées, les décisions prises
3. Évaluer les risques (biais, discrimination, confidentialité, sécurité)
4. Mettre en place un mécanisme de révision humaine
5. Informer les personnes concernées
6. Maintenir le tout à jour dans le temps

C'est exactement ce que l'AI-PIA — l'Artificial Intelligence Privacy Impact Assessment — permet : un outil disponible dans la plateforme Veridy, dont le questionnaire est pré-rempli automatiquement à partir des signaux détectés par le scanner. La complétion humaine reste nécessaire sur quelques champs que seul votre contexte métier peut renseigner ; la décision, la signature et l'archivage restent humains.

L'innovation Veridy : l'AI-PIA pré-remplie — complétée et signée par votre équipe

Voici ce qui distingue Veridy d'un cabinet-conseil classique. Là où un cabinet vous facture une AI-PIA comme une prestation intellectuelle — plusieurs jours d'atelier, des entrevues, des milliers de dollars — Veridy met à votre disposition un questionnaire structuré pré-rempli automatiquement à partir des signaux détectés par le scanner. Sur les cas standards, l'AI-PIA peut être quasi-complète sans intervention humaine. Pour le reste, votre équipe valide, complète les champs qu'elle seule connaît, signe et archive. Le pré-remplissage et la génération du document sont automatisés ; le jugement, la signature et la mise à jour restent humains.

Comment ça marche — 4 étapes

1. Détection automatique (par le scanner Veridy). Le scanner analyse votre site public et identifie les technologies IA présentes : chatbots (Intercom, Drift, Tidio), widgets OpenAI, API Claude/Gemini, scripts de scoring, pixels de retargeting algorithmique, formulaires intelligents. Le scanner utilise une bibliothèque de plus de 110 empreintes technologiques pour identifier précisément quel outil IA est déployé, où, et quelles données il traite.

2. Pré-remplissage automatique (par la plateforme). Pour chaque IA détectée, Veridy exploite les signaux récupérés par le scanner et pré-remplit le questionnaire d'AI-PIA : nom du fournisseur, juridiction (américain ou canadien selon les indices publics — article 17), présence ou absence de politique de confidentialité, type de traceurs associés, sous-traitants connus. Sur les cas standards (chatbot Intercom, Meta Pixel, etc.), la plateforme peut proposer une AI-PIA quasi-complète sans aucune intervention humaine — la génération directe est possible, et c'est l'un des différenciateurs de Veridy.

3. Validation et complétion (par votre équipe, sur les blancs restants). Certaines questions ne peuvent être répondues que par un humain : quels types de données personnelles l'IA traite-t-elle chez votre organisation ? L'IA prend-elle des décisions finales ou seulement des recommandations ? Un humain peut-il passer en revue chaque décision dans votre contexte métier ? Votre RPRP ou la personne désignée valide le pré-rempli, corrige les approximations, et complète ces champs. L'AI-PIA est un outil, pas un substitut à votre jugement : la décision, la signature et l'archivage restent humaines.

4. Rapport généré (par la plateforme). À partir des réponses validées par votre équipe, la plateforme génère un document AI-PIA complet : analyse des risques (biais, discrimination, confidentialité, transferts), identification des articles de loi applicables, plan de correction priorisé, recommandations de mesures d'atténuation. La structure et les libellés sont automatisés ; la validation finale, la signature et l'archivage restent à votre charge. Le document est prêt à être présenté à un inspecteur de la CAI.

Les agents IA et la communication A2A

Une dimension nouvelle et complexe émerge : les agents IA ne fonctionnent plus de façon isolée. Ils communiquent entre eux. Un agent peut en appeler un autre pour accomplir une sous-tâche. Un chatbot client transfère un dossier complexe à un agent d'analyse juridique. Un agent de collecte de données alimente un agent de scoring. Cette communication inter-agents — souvent appelée « agent-to-agent » ou A2A — multiplie les risques pour la vie privée : chaque transfert entre agents est potentiellement un transfert de données personnelles.

La Loi 25 exige de documenter chaque maillon de cette chaîne. Pour chaque agent impliqué : qui est le fournisseur, où sont traitées les données, quelles décisions sont prises, et par qui ces décisions peuvent-elles être révisées. La complexité augmente de façon exponentielle avec le nombre d'agents en jeu.

La plateforme Veridy intègre une approche structurée pour cartographier ces flux inter-agents. Chaque IA détectée est positionnée dans une chaîne de traitement, et chaque lien entre agents est documenté comme un transfert potentiel de données. Vous obtenez une vue d'ensemble claire de l'architecture d'IA de votre organisation — ce qu'aucun consultant ne peut produire en quelques heures de atelier.

Comparaison : Veridy vs cabinet traditionnel

Checklist : êtes-vous en conformité article 12.1 ?

Vérifiez rapidement si votre organisation respecte l'article 12.1. Pour chaque point, si la réponse est « non » ou « je ne sais pas », vous avez un risque Loi 25.

• □ Avez-vous identifié tous les systèmes IA ou algorithmiques qui traitent des données personnelles ?
• □ Pour chacun, savez-vous où vont les données (fournisseur, pays d'hébergement) ?
• □ Avez-vous une évaluation d'impact (AI-PIA) documentée pour chaque système ?
• □ Les personnes concernées sont-elles informées qu'une décision automatisée est prise à leur sujet ?
• □ Offrez-vous un mécanisme de révision humaine sur demande ?
• □ Si vous utilisez plusieurs agents IA, avez-vous cartographié les flux de données entre eux ?
• □ Votre documentation est-elle à jour (pas plus de 12 mois) ?
• □ Si vous ajoutez un nouvel outil IA demain, avez-vous un processus pour l'évaluer avant déploiement ?

Si vous avez répondu « non » ou « je ne sais pas » à au moins une de ces questions, votre entreprise présente un risque au regard de l'article 12.1. La bonne nouvelle : la plateforme Veridy peut détecter ces manquements sur votre site et outiller la production de l'AI-PIA — il restera ensuite à votre équipe à valider, signer et publier le document.

Pourquoi c'est urgent maintenant

Plusieurs facteurs convergent pour faire de la conformité IA une priorité immédiate :

1. Les sanctions sont actives. Depuis septembre 2024, la CAI peut imposer des sanctions administratives pécuniaires. Le cadre d'application a été publié. Les premières enquêtes ciblées commencent. Une PME qui attend « de voir » prend un risque juridique réel.

2. Les outils IA explosent. L'adoption de chatbots et d'agents IA a connu une croissance fulgurante en 2025-2026. Des outils comme Hermes, Claude Code ou Codex permettent à n'importe quel développeur de déployer un agent IA autonome en quelques minutes. Chaque déploiement non documenté est une vulnérabilité juridique.

3. Les inspecteurs le savent. La CAI est parfaitement au courant de l'adoption massive de l'IA. Les premières enquêtes thématiques ciblent précisément les entreprises qui utilisent des décisions automatisées sans documentation. Avoir une AI-PIA à jour est votre meilleure défense.

4. Vos clients vous le demanderont. Les clients enterprise, les partenaires institutionnels et les investisseurs commencent à exiger des preuves de conformité IA. Une AI-PIA à jour est un avantage commercial — pas seulement une contrainte.

Conclusion : l'IA encadrée, pas l'IA interdite

La Loi 25 ne vise pas à interdire l'IA. Elle vise à s'assurer que l'IA est utilisée de façon transparente, responsable et révisable. C'est une bonne chose pour vos clients, pour la société, et ultimement pour votre entreprise — une IA bien documentée est une IA que vous pouvez déployer en confiance.

La plateforme pré-remplit automatiquement le questionnaire d'AI-PIA à partir des signaux détectés, puis votre équipe responsable intervient sur les blancs (analyse de risque final, signature, publication, mise à jour). Pour les cas complexes, un expert Veridy en backup intervient sur les 20 % restants (analyse de biais approfondie, modèles propriétaires, litiges). Vous obtenez la rigueur d'un cabinet à la vitesse et au prix de l'automatisation — sans déléguer la décision à un outil externe.

Si votre site utilise un chatbot, un script de tri, ou n'importe quel traitement automatisé — et statistiquement, c'est le cas — le moment de documenter tout ça, c'est maintenant. Avant que la CAI ne vienne vous le demander.

Note : Cet article traite de conformité à la Loi 25 et ne constitue pas un avis juridique. Pour une analyse approfondie de votre situation, consultez un avocat ou demandez l'activation de la plateforme Veridy, dont l'installation est accompagnée par notre équipe technique.