Votre agent IA roule sur des serveurs américains : ce qu'exige la Loi 25

La grande majorité des agents IA déployés en 2026 envoient des renseignements personnels à un modèle qui roule sur des serveurs aux États-Unis. OpenAI, Anthropic et Google opèrent leurs modèles principaux depuis des infrastructures américaines, et c'est une réalité d'infrastructure, pas un choix de configuration que vous pouvez décocher quelque part. Si votre agent prend une commande client, lit un courriel ou consulte un dossier employé pour générer une réponse, ces données franchissent une frontière.

Est-ce illégal ? Pas automatiquement. Mais c'est encadré, et les exigences sont précises. C'est exactement le genre de détail que votre fournisseur de solution IA devrait connaître avant d'écrire la première ligne de code. S'il ne peut pas vous répondre clairement là-dessus, vous avez déjà votre réponse sur sa compétence.

Ce texte est le complément technique du guide général Loi 25 pour les PME. On y couvrait quatre obligations en survol. Ici, on creuse la plus sournoise.

La réponse courte, pour les pressés

L'article 17 de la Loi modernisant P-39.1 (la Loi sur la protection des renseignements personnels dans le secteur privé, communément appelée « Loi 25 ») oblige toute entreprise québécoise à faire une ÉFVP (évaluation des facteurs relatifs à la vie privée) avant de communiquer des renseignements personnels à l'extérieur du Québec. Le transfert est permis à condition que l'évaluation démontre une protection adéquate, compte tenu du régime juridique du pays ou de la province destinataire et des mesures contractuelles en place. La communication doit être couverte par un accord écrit. Ces obligations s'appliquent même si les données vont en Ontario plutôt qu'aux États-Unis : le seuil est « hors Québec », pas « hors Canada ». Or la plupart des grands modèles d'IA roulent par défaut sur des serveurs américains, donc un agent qui leur envoie un dossier client déclenche l'article 17. Ça doit être évalué, documenté, et la collecte doit être réduite au minimum nécessaire. Des solutions conformes existent dès aujourd'hui.

Le piège du seuil « hors Québec »

C'est là que presque tout le monde se trompe. On entend souvent « nos données restent au Canada, on est correct ». Non, pas nécessairement.

La Loi 25 ne fixe pas la frontière au Canada. Elle la fixe au Québec. Dès qu'un renseignement personnel quitte la province, peu importe la destination (Toronto, Seattle, Dublin), l'obligation de l'article 17 s'active. Un entrepôt de données en Ontario déclenche les mêmes exigences qu'un serveur à San Francisco.

Pourquoi ce détail change tout pour les agents IA ? Parce que les modèles de langage utilisés en production ne sont pas hébergés au Québec. Quand votre agent envoie une requête à GPT ou à Claude via les API (interfaces de programmation, application programming interfaces) publiques d'OpenAI ou d'Anthropic, cette requête voyage vers des centres de données situés en dehors du Québec. Le renseignement personnel qui se trouve dans la requête, le numéro de client, le contenu du courriel, le nom sur une commande, vient de franchir la frontière légale de la Loi 25.

La bonne nouvelle : savoir ça vous donne une longueur d'avance sur la majorité des déploiements improvisés.

Article 17 : les trois exigences

L'article 17 de P-39.1 est en vigueur depuis le 22 septembre 2023. Il s'applique à toute entreprise qui détient des renseignements personnels, sans seuil de taille. Une PME de quinze personnes a les mêmes obligations qu'une grande entreprise.

Trois exigences concrètes en découlent.

Première exigence : l'ÉFVP

Avant de communiquer des renseignements personnels hors Québec, vous devez faire une ÉFVP. Cette évaluation documente quelles données partent, vers quel pays ou province, sous quel régime juridique, et quelles mesures protègent l'information en transit et au repos. L'article 17 prévoit que la communication est permise si l'évaluation conclut à une protection adéquate.

Beaucoup de dirigeants imaginent une ÉFVP comme un rapport de cabinet-conseil à 15 000 $. La Commission d'accès à l'information (la CAI, l'organisme chargé d'appliquer la loi) publie un guide et un modèle générique disponibles gratuitement sur son site. Pour un cas de transfert vers un fournisseur d'IA établi, avec une politique de confidentialité publique et des certifications de sécurité connues, l'exercice se fait en quelques heures. Ce qui compte, c'est qu'il soit fait et documenté.

Un transfert peut aussi exiger une ÉFVP même en dehors du contexte d'un agent IA. Toute externalisation de collecte, d'utilisation, de communication ou de conservation à un tiers hors Québec (un fournisseur infonuagique, par exemple) entre dans le même cadre. On développe ça dans l'article dédié à l'ÉFVP pour les agents IA.

Deuxième exigence : la protection adéquate

L'évaluation doit démontrer que les renseignements bénéficieront d'une protection adéquate, compte tenu du régime juridique de l'endroit où ils vont et des mesures contractuelles convenues.

Pour un transfert vers les États-Unis, ça veut dire examiner les clauses de traitement des données dans le contrat avec votre fournisseur d'IA, vérifier s'il s'engage à ne pas utiliser vos données pour entraîner ses modèles sans consentement, et noter les certifications de sécurité applicables (SOC 2, ISO 27001, etc.). Personne ne vous garantit l'imperméabilité absolue. La loi demande une démonstration de diligence raisonnable, documentée, pas une promesse d'infaillibilité.

Troisième exigence : l'accord écrit

La communication de renseignements personnels hors Québec doit être couverte par un accord écrit. En pratique, cela signifie que le contrat avec votre fournisseur d'IA (souvent les conditions générales d'utilisation de l'API, combinées à un Data Processing Agreement ou DPA) doit exister, être signé, et couvrir les obligations de protection.

La plupart des grands fournisseurs proposent un DPA sur demande ou automatiquement pour les comptes professionnels. Le vérifier fait partie du travail de déploiement responsable.

La solution pratique : résidence canadienne et minimisation

L'obligation ne disparaît pas, mais elle peut être largement simplifiée si les données ne quittent jamais le Québec, ou du moins le Canada. Et contrairement à ce qu'on entend parfois, c'est faisable dès maintenant, pas dans deux ans.

La résidence canadienne des données, concrètement. Les modèles Claude d'Anthropic (dont Sonnet 4.5 et Haiku 4.5) sont disponibles via Amazon Bedrock avec résidence canadienne des données : les données au repos restent dans la région Canada (Centre) de l'infrastructure AWS (ca-central-1), et les requêtes d'inférence transitent sur le réseau privé d'Amazon plutôt que sur l'internet public, avec des réponses chiffrées retournées au Canada. Ça ne règle pas complètement l'enjeu de l'article 17 (les données restent hors Québec), mais ça simplifie considérablement l'ÉFVP et renforce la démonstration de protection adéquate.

Un agent conçu avec cette architecture a une documentation de conformité beaucoup plus solide qu'un agent qui envoie des requêtes aux API publiques sans réfléchir à l'infrastructure sous-jacente.

La minimisation des données, l'autre levier. Le principe de minimisation est au cœur de la Loi 25 : vous ne devez collecter et communiquer que les renseignements personnels nécessaires à la finalité poursuivie. Appliqué à un agent IA, ça veut dire une chose simple : n'envoyez au modèle que ce dont il a besoin pour la tâche.

Si l'agent doit qualifier une demande de service, envoyez la description du problème, pas le dossier complet du client. Si l'agent traite une commande, envoyez l'identifiant interne, pas le numéro d'assurance sociale. C'est à la fois une exigence légale et une décision d'architecture sensée : une requête plus courte coûte moins cher, expose moins de surface, et se débogue plus facilement.

Ce que ça change pour vos employés

L'article 17 encadre les transferts organisés, ceux que vous concevez et documentez. Mais il y a un autre vecteur de fuite de données hors Québec que la Loi 25 cible indirectement : les usages non encadrés par les employés.

Quand un membre de votre équipe copie un contrat client dans ChatGPT pour aller plus vite, des renseignements personnels quittent le Québec sans ÉFVP, sans accord écrit, et sans minimisation. C'est l'IA fantôme, et c'est le scénario le plus courant dans les PME en 2026. On y consacre un article complet : Employés et IA fantôme : le risque que la Loi 25 n'excuse pas.

Un agent encadré réduit ce risque à la source. Il offre à vos équipes une voie rapide et conforme, au lieu de les laisser improviser avec des outils grand public.

Ce que vous pouvez faire cette semaine

Trois gestes, dans l'ordre.

Identifiez quels renseignements personnels votre agent envoie au modèle, et vers quelle infrastructure. Si vous ne le savez pas, posez la question à votre fournisseur. S'il ne sait pas non plus, vous avez besoin d'un autre fournisseur.

Vérifiez si votre contrat avec le fournisseur d'IA inclut un DPA. Chez les grands acteurs (Anthropic, OpenAI, Google), c'est disponible. Si ce n'est pas signé, ça se règle en quelques minutes.

Démarrez une ÉFVP même légère pour le transfert. La CAI publie un modèle gratuit. Le fait de l'avoir documenté vous protège si une plainte survient. Le fait de ne pas l'avoir fait, en cas d'incident, est beaucoup plus difficile à défendre.

Quelques heures au total. La plainte d'un seul client en prend beaucoup plus.

Si vous voulez vérifier si votre agent actuel, ou celui que vous planifiez, est conforme à l'article 17, la première conversation est gratuite. 30 minutes, sans engagement, pour examiner l'architecture de données et nommer les ajustements nécessaires avant que ça devienne un problème.

→ Première conversation, 30 minutes, gratuite

Ce texte est une vulgarisation à des fins d'information générale, pas un avis juridique. Pour tout cas impliquant des renseignements sensibles ou une décision à conséquences importantes, consultez un conseiller juridique qualifié. Les sources qui prévalent sont la Commission d'accès à l'information et les textes de loi disponibles sur LégisQuébec.