Utiliser ChatGPT pour les mandats clients au Québec : guide de la Loi 25

Sommaire

Les travailleurs autonomes et les petits studios de Montréal qui collent du contenu de leurs clients dans ChatGPT, Claude ou Copilot doivent répondre à trois questions distinctes, chacune reposant sur une référence officielle différente. Ce rapport, à jour en novembre 2026, les présente comme trois points de contrôle. Le point de contrôle A consiste à déterminer si le contenu renferme des renseignements personnels. La loi québécoise sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25, définit un renseignement personnel comme tout renseignement concernant une personne physique et permettant, directement ou indirectement, de l’identifier ^[1]. Avant de communiquer de tels renseignements à l’extérieur du Québec, l’entreprise doit réaliser une évaluation des facteurs relatifs à la vie privée ^[1]; le transfert ne peut avoir lieu que si l’évaluation conclut à une protection adéquate ^[1], et une entente écrite doit suivre ^[1]. La Commission d’accès à l’information (CAI) donne le stockage infonuagique de renseignements personnels à l’extérieur du Québec comme exemple de projet nécessitant une telle évaluation ^[2]. Les orientations de l’organisme de réglementation citées ici ne précisent pas expressément qu’une requête adressée à un robot conversationnel constitue une « communication » au sens de cet article; la lecture prudente demeure donc une interprétation, que ce rapport présente comme telle.

Le point de contrôle B consiste à déterminer quoi dire au client. Aucune loi canadienne générale sur l’IA n’impose d’obligation de divulgation ^[3]. Cette obligation découle des propres obligations du client en matière de protection des renseignements personnels, du contrat, de la bonne foi prévue au Code civil ^[4] et des principes des organismes de réglementation qui préconisent la transparence ^[5] et le signalement des contenus ou des décisions réalisés avec l’aide de l’IA ^[6]. Le point de contrôle C porte sur la propriété du résultat. La pratique canadienne rattache la qualité d’auteur à un être humain qui exerce son talent et son jugement ^[7]; les participants à la consultation se sont opposés à la protection des contenus produits par l’IA sans contribution humaine suffisante ^[7], et une cession n’est valide que si elle est écrite et signée ^[8]. Un travailleur autonome devrait donc céder uniquement les droits qui existent.

Les enjeux sont concrets. Au cours des 12 mois précédant l’enquête du deuxième trimestre de 2026, 19,2 % des entreprises canadiennes ont déclaré utiliser l’IA pour produire des biens ou fournir des services ^[9], et 26 % des travailleurs autonomes avaient utilisé l’IA générative au travail durant la période d’enquête de 2024 à 2025 ^[10]. Les sanctions sont bien réelles, mais leur ampleur varie : les personnes physiques s’exposent à des amendes pénales de 5 000 $ à 100 000 $ ^[1], et les autres entreprises s’exposent à des sanctions administratives pouvant atteindre le plus élevé de 10 000 000 $ ou de 2 % du chiffre d’affaires mondial ^[11].

La démarche recommandée est simple : classer les données d’entrée, choisir une formule d’outil dont les conditions documentées excluent l’entraînement et offrent un avenant relatif au traitement des données, consigner une évaluation proportionnée, inscrire l’autorisation dans le contrat et céder uniquement les droits susceptibles de protection. Il s’agit de renseignements généraux, et non de conseils juridiques; un avocat du Québec devrait adapter les clauses ci-dessous.

Introduction et contexte

En deux ans, l’IA générative est passée de nouveauté à outil courant. Le supplément de mars 2026 à l’Enquête sur la population active de Statistique Canada a révélé que les outils d’IA générative étaient de loin la technologie d’IA ou d’automatisation la plus souvent déclarée par les travailleurs ^[12]. Pour un travailleur autonome, cet usage courant se heurte désormais à une loi québécoise sur la protection des renseignements personnels conçue pour viser toute personne qui exploite une entreprise ^[1]. La CAI indique que la définition s’étend à l’entreprise individuelle (travailleur autonome), sous réserve d’une analyse au cas par cas ^[13]; une entreprise ayant un seul propriétaire n’échappe donc pas automatiquement à la Loi.

Trois éléments encadrent la suite. Premièrement, la Loi s’applique que l’entreprise conserve elle-même les renseignements ou qu’elle les confie à un tiers ^[1], ce qui décrit le parcours d’une requête envoyée à un fournisseur d’IA. Deuxièmement, la personne ayant la plus haute autorité est, par défaut, responsable de la conformité et demeure imputable même après une délégation ^[14]; dans une entreprise individuelle, il s’agit du propriétaire unique. Troisièmement, les organismes de réglementation indiquent que leurs principes relatifs à l’IA générative s’appliquent aux « individuals acting on behalf of an organization » qui utilisent un système d’IA générative ^[15].

Deux rôles se confondent souvent dans le travail autonome. Lorsqu’une organisation cliente remet des renseignements personnels à un travailleur autonome, celui-ci agit comme prestataire de services et le client demeure responsable des renseignements ^[16]. Lorsque le travailleur autonome envoie ensuite le contenu à un fournisseur d’IA, un deuxième maillon s’ajoute à la chaîne : il faut alors déterminer si le contrat initial et la Loi le permettent. Ce rapport examine uniquement les conditions documentées des fournisseurs en matière de données en date de novembre 2026, indique « vérifier les conditions actuelles du fournisseur » chaque fois qu’une page ne se prononce pas sur un point et ne traite pas des règles fiscales, du droit du travail ni des règles des ordres professionnels.

Principaux changements : les trois points de contrôle pour les mandats clients

Le triage en 60 secondes

Pour chaque nouveau dossier client, passez les trois points de contrôle dans l’ordre.

• Point de contrôle A (renseignements personnels) : Le contenu identifie-t-il ou pourrait-il permettre d’identifier une personne physique, comme un client, un membre du personnel, un patient ou un élève? Si oui, arrêtez et appliquez la matrice ci-dessous avant de coller quoi que ce soit.
• Point de contrôle B (divulgation) : Le contrat ou la politique du client prévoit-il quelque chose au sujet des sous-traitants, des outils ou de l’IA? Sinon, ajoutez une disposition et informez le client avant la première utilisation.
• Point de contrôle C (propriété) : Le client s’attendra-t-il à détenir des droits exclusifs et enregistrables sur le livrable? Si oui, documentez la contribution humaine et évitez de promettre davantage que ce que la loi prévoit.

Le tableau 1 ci-dessous transforme le point de contrôle A en matrice de décision. Les formules d’outils sont décrites selon leurs conditions documentées, jamais selon des suppositions. Le critère déclencheur prévu par la loi est un emplacement à l’extérieur du Québec, et non à l’extérieur du Canada : la Loi parle de communications « outside Québec » ^[1]; un serveur situé dans une autre province se trouve donc tout de même à l’extérieur du Québec à cette fin.

La matrice sert à filtrer les risques; elle ne constitue pas un avis juridique : plus les renseignements permettent d’identifier des personnes et moins les pratiques du fournisseur sont documentées, plus il faut travailler sur la documentation et le contrat. Les formules se distinguent surtout par leur utilisation par défaut des données pour l’entraînement et par la disponibilité d’un avenant relatif au traitement des données (DPA, le contrat qui encadre la manière dont un fournisseur traite les données de ses clients), comme le montre plus loin le tableau 3. Lorsqu’une ligne indique « autorisé », le contrat client doit tout de même le permettre.

(Exemple hypothétique) Un teneur de livres travaillant seul reçoit un fichier de paie exporté par un client, contenant les noms et les salaires des employés, et souhaite utiliser un outil d’IA pour résumer les écarts. Selon la matrice, il s’agit de renseignements personnels identifiants : le teneur de livres devrait soit retirer les noms et les numéros d’employé avant de coller les données, soit passer à un outil d’entreprise après avoir obtenu l’autorisation du client et consigné une courte évaluation.

Point de contrôle A : renseignements personnels, transferts hors Québec et contrats avec les fournisseurs

Ce qui constitue un renseignement personnel dans les dossiers de travailleurs autonomes

Le critère légal est fonctionnel. Un renseignement est personnel s’il concerne une personne physique et permet, directement ou indirectement, de l’identifier. Parmi les dossiers courants de travailleurs autonomes qui franchissent ce seuil figurent les listes de clients, les dossiers du personnel, les exportations de billets de soutien, les dossiers de patients ou d’élèves et les fils de courriels comportant des personnes nommées. Le contenu d’affaires ordinaire, comme un rapport publié, ne franchit pas ce seuil. La Loi module les obligations de sécurité selon la sensibilité : la personne doit prendre les mesures de sécurité nécessaires pour protéger les renseignements ^[1], et les évaluations devraient être proportionnées à leur sensibilité ^[1].

Ce que la Loi 25 exige avant le transfert

Trois dispositions légales se complètent. Premièrement, l’article 17 exige que l’entreprise réalise une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels à l’extérieur du Québec, et il applique les mêmes règles lorsque l’entreprise confie à une personne ou à un organisme à l’extérieur du Québec la tâche de recueillir, d’utiliser ou de conserver des renseignements pour son compte ^[1]. Selon la CAI, l’obligation de réaliser une EFVP avant un transfert date de septembre 2023 ^[19]. Deuxièmement, le transfert ne peut avoir lieu que si l’évaluation établit que la protection est adéquate. Le guide de la CAI en précise le corollaire : si la protection n’est pas adéquate, l’organisation doit refuser de communiquer les renseignements ou s’abstenir de les confier à un tiers à l’extérieur du Québec ^[2]. Troisièmement, la communication doit faire l’objet d’une entente écrite tenant compte des résultats de l’évaluation. Une analyse de BLG souligne que le législateur québécois a choisi de s’appuyer principalement sur des garanties contractuelles pour ces transferts ^[20].

Pour la relation avec un prestataire de services, l’article 18.3 permet à une entreprise de lui communiquer des renseignements dans le cadre d’un mandat ou d’un contrat de service si celui-ci lui est confié par écrit ^[1]. Le contrat doit couvrir quatre points :

• Limitation de l’utilisation : les renseignements servent uniquement à l’exécution du mandat ^[1].
• Aucune conservation : le prestataire ne conserve pas les renseignements après la fin du contrat ^[1].
• Avis d’incident : le prestataire avise sans délai le responsable ^[1].
• Vérification : l’entreprise peut effectuer des vérifications ^[1].

Pour un travailleur autonome, ce sont les clauses que le client devrait déjà lui avoir remises; elles servent aussi de liste de vérification pour un fournisseur d’IA.

Une requête à un robot conversationnel déclenche-t-elle l’application de l’article 17?

Aucune loi, page de la CAI ni synthèse de cabinet d’avocats consultée pour ce rapport ne traite précisément des requêtes aux robots conversationnels; le raisonnement se fait donc par analogie. Le guide de la CAI cite le stockage infonuagique de renseignements personnels à l’extérieur du Québec comme exemple de projet exigeant une évaluation ^[2] et désigne l’intelligence artificielle, notamment générative, comme une technologie soulevant des enjeux particuliers ^[2]. Le mémoire de janvier 2025 de la CAI sur l’IA au travail présente lui aussi l’opacité entourant les systèmes d’IA comme l’un des problèmes majeurs à corriger ^[21]. Puisqu’un fournisseur qui stocke ou traite des requêtes à l’extérieur du Québec correspond au libellé « keeps information through a third person », la lecture prudente consiste à considérer qu’une requête contenant des renseignements personnels constitue un transfert.

Ce qu’une courte évaluation devrait consigner

La CAI indique qu’une évaluation des facteurs relatifs à la vie privée doit être proportionnée à la sensibilité des renseignements ^[22], et Norton Rose Fulbright rapporte que la CAI insiste à plusieurs reprises sur la proportionnalité ^[23]. McCarthy Tétrault rapporte que le modèle de la CAI est facultatif ^[24] et que cette obligation ne peut être déléguée aux fournisseurs ^[24]; la page d’un fournisseur consacrée à la confiance ne remplace donc pas le propre dossier du travailleur autonome. Un dossier proportionné pour un travailleur autonome peut tenir sur une page :

• Finalité et nécessité : pourquoi l’IA est nécessaire pour cette tâche et si des données dépersonnalisées suffiraient. Les organismes de réglementation demandent aux utilisateurs de déterminer si l’utilisation est nécessaire et proportionnée ^[15].
• Inventaire des données : catégories de renseignements personnels, nombre de personnes, sensibilité et client d’origine.
• Destinataire et emplacement : fournisseur, formule du forfait, hébergement documenté, sous-traitants ultérieurs et présence ou non du fournisseur à l’extérieur du Québec.
• Protections : exclusion de l’entraînement, durée de conservation, déclarations sur le chiffrement, conditions de l’avenant relatif au traitement des données et contrôles d’accès de votre propre compte.
• Décision : procéder, procéder avec dépersonnalisation ou ne pas utiliser. Le guide de la CAI précise que si la nécessité et la proportionnalité ne peuvent être justifiées, le projet doit être modifié substantiellement ou abandonné ^[2].
• Date de révision : l’évaluation devrait être refaite lorsque les conditions du fournisseur ou votre utilisation changent de façon importante.

Point de contrôle B : quoi dire aux clients et à quel moment

Aucune loi imposant une divulgation propre à l’IA

Osler indique qu’aucune loi au Canada n’établit de cadre général de réglementation de l’IA ^[3] et que les lois canadiennes sur la protection des renseignements personnels reposent sur le consentement, sous réserve d’exceptions limitées ^[25]. Le Code civil du Québec offre des fondements indirects. Un prestataire de services a le libre choix des moyens d’exécution ^[4], ce qui signifie que le Code n’interdit pas les outils d’IA, mais il doit agir au mieux des intérêts du client, avec prudence et diligence ^[4], et fournir au client, dans la mesure où les circonstances le permettent, toute information utile concernant la tâche ^[4]. Les parties doivent aussi agir de bonne foi tant à la naissance de l’obligation qu’au moment de son exécution. Appliquer ces articles aux outils d’IA relève de l’interprétation : ce rapport ne cite aucune autorité québécoise qui le fasse.

Ce qu’ajoutent les principes des organismes de réglementation

Les principes communs des autorités fédérale, provinciales et territoriales de protection de la vie privée, lancés le 7 décembre 2023, comprennent la transparence quant à l’utilisation des renseignements et aux risques pour la vie privée ^[5], l’explicabilité des outils d’IA pour les utilisateurs ^[5] et la limitation du partage de renseignements personnels, sensibles ou confidentiels ^[5]. Le document énonçant ces principes ajoute que les résultats ayant une incidence importante devraient être clairement identifiés comme créés par l’IA ^[15], que les requêtes ne devraient pas être conservées, utilisées à des fins secondaires ou communiquées, sauf si cela est requis ^[15], et que la responsabilité des décisions incombe à l’organisation et non à un système automatisé ^[15]. Il s’agit de principes, et non d’une loi rédigée pour les travailleurs autonomes.

Les situations qui appellent une divulgation en pratique

C’est au contrat d’encadrer la divulgation au client. Trois situations méritent d’y être prévues :

• Avant la première utilisation de renseignements personnels : indiquez au client quel outil et quelle formule recevront les données, car ses propres obligations d’entente écrite et d’évaluation en dépendent.
• Lorsque le livrable est principalement généré par l’IA : les principes préconisent de le signaler lorsqu’il y a une incidence importante ^[15], et Story Board, de la Canadian Freelance Guild, conseille aux rédacteurs pigistes d’indiquer clairement quand et comment ils utilisent l’IA ^[26].
• Lorsque les clients du client sont touchés par des décisions automatisées : l’article 12.1 exige d’aviser la personne lorsqu’une décision repose exclusivement sur un traitement automatisé ^[1], et la personne doit pouvoir présenter ses observations à quelqu’un en mesure de réviser la décision ^[1]. Cette obligation incombe à l’entreprise qui prend la décision; un travailleur autonome qui met en place un tel processus devrait donc le signaler au client par écrit.
• Lorsque le client pose la question : répondez avec exactitude; la règle de bonne foi s’applique.

Une profession réglementée illustre les attentes les plus élevées. Le guide du Barreau du Québec destiné aux avocats précise que le professionnel du droit doit obtenir le consentement libre et éclairé du client avant d’utiliser l’IA générative dans un dossier ^[27]. Il s’impose aux avocats, et non aux travailleurs autonomes, mais montre comment un ordre professionnel québécois aborde le consentement du client. Le guide du ministère du Travail du Québec sur l’IA au travail se présente comme non prescriptif ^[28].

Point de contrôle C : à qui appartient le résultat

Ce que dit la doctrine canadienne sur la qualité d’auteur

La Loi sur le droit d’auteur fait de l’auteur d’une œuvre le premier titulaire du droit d’auteur ^[8], et l’employeur est le premier titulaire des œuvres créées par un employé dans l’exercice de son emploi, sauf convention contraire ^[8]. Un travailleur autonome n’est pas un employé : il est donc le premier titulaire des œuvres dont il est l’auteur, et un article de RGD rédigé par un avocat rappelle aux designers que le paiement, à lui seul, ne transfère pas la propriété ^[29]. Éducaloi, l’organisme québécois sans but lucratif d’information juridique, fait le même constat pour les pigistes : sans clause de cession, le pigiste demeure propriétaire ^[30].

La difficulté réside dans la qualité d’auteur elle-même. Le document de consultation d’ISDE indique que la jurisprudence tend à attribuer la qualité d’auteur à une personne physique qui exerce son talent et son jugement dans la création de l’œuvre ^[31] et que, lorsque le résultat repose uniquement sur de brèves instructions de l’utilisateur, il est beaucoup moins probable que ce critère soit rempli ^[31]. Le rapport « Ce que nous avons entendu » (page modifiée le 11 février 2025) indique que la jurisprudence actuelle tend à attribuer la qualité d’auteur à un être humain qui exerce son talent et son jugement ^[7], que les intervenants appuyaient largement le maintien de la contribution d’un auteur humain au cœur de la protection du droit d’auteur ^[7] et qu’il y avait une opposition à la protection des contenus générés par l’IA sans contributions humaines suffisantes ^[7]. Il relève aussi un appui à la souplesse permettant aux auteurs humains d’utiliser l’IA comme outil ^[7].

Ce que le rapport d’ISDE ne dit pas

Le rapport est un compte rendu de consultation, et non une règle. Sa conclusion indique seulement qu’un point d’accord notable concernait la nécessité d’une contribution substantielle d’un auteur humain ^[7]. Il ne répartit pas la propriété des résultats de l’IA entre le travailleur autonome et le client, ne définit pas l’ampleur de la contribution humaine suffisante et ne modifie pas la Loi. Certains participants ont proposé que l’Office de la propriété intellectuelle du Canada (OPIC) exige la divulgation des éléments générés par l’IA lors de l’enregistrement ^[7], et certains ont appuyé l’étiquetage du contenu produit principalement ou entièrement par l’IA ^[7]; aucune de ces mesures n’a force de loi. Les propres lignes directrices de l’OPIC précisent que l’enregistrement est volontaire ^[32] et que l’Office ne vérifie ni n’examine les déclarations faites dans les demandes ^[32]; un certificat ne tranche donc pas la question de l’admissibilité à la protection. Une page de l’OPIC relaie la position du US Copyright Office selon laquelle la transformation substantiellement créative de contenu produit par l’IA peut être admissible ^[33]; il s’agit d’une position américaine, et non d’une décision canadienne.

L’échelle des risques liés à la propriété

Trois niveaux résument la situation pratique; cette échelle est un outil d’analyse, et non une classification officielle.

• Travail entièrement humain, l’IA servant seulement à la recherche ou à la correction : les règles habituelles sur la qualité d’auteur s’appliquent, et une cession écrite transfère les droits qui existent.
• Travail assisté par l’IA comportant un travail substantiel de sélection, d’agencement et de révision par un humain : la contribution humaine pourrait vraisemblablement être protégée, mais elle doit être documentée. Fasken recommande de bien documenter le processus créatif humain ^[34] et de garder la créativité humaine au cœur du travail menant aux produits finaux ^[34].
• Résultat de l’IA largement laissé tel quel : un travailleur autonome ne peut présumer que le client détiendra des droits susceptibles de protection. Lexpert rappelle que les dispositions de cession ne peuvent créer un droit d’auteur là où il n’en existe pas ^[35].

Le droit des marques de commerce est différent : Fasken souligne qu’il n’exige pas de contribution d’un auteur humain ^[34]; un nom ou un logo conçu avec l’aide de l’IA pourrait donc tout de même être protégé comme marque. Les droits moraux ajoutent une deuxième dimension. Ils sont incessibles, mais peuvent faire l’objet d’une renonciation totale ou partielle ^[36], et la cession du droit d’auteur n’emporte pas, à elle seule, renonciation à ces droits ^[36]. RGD conseille d’obtenir des renonciations écrites explicites pour les modifications ^[29].

Considérations de mise en œuvre et changements aux processus

Le choix de clauses

Les commentaires des cabinets d’avocats vont dans le même sens. Lexpert recommande de mettre à jour les contrats des prestataires pour couvrir les produits du travail assisté par l’IA ^[35], et Bennett Jones conseille de négocier des protections adaptées concernant l’utilisation, la résidence, la conservation, la sécurité et la confidentialité des données dans les conditions des fournisseurs d’IA ^[37]. Le tableau 2 transforme ces orientations en choix de clauses. Les formulations proposées ont été rédigées à titre illustratif par les auteurs de ce rapport pour qu’un avocat du Québec les adapte; elles ne sont tirées d’aucune source. La colonne des sources présente le fondement juridique de chaque clause.

Le tableau constitue un point de départ. Les trois clauses ayant le plus de poids juridique sont la règle sur les données d’entrée interdites, la liste des outils et l’avis d’incident, parce qu’elles correspondent aux exigences de la Loi pour le contrat entre le client et un prestataire. Les clauses de propriété et de garantie ont une importance commerciale : plus un travailleur autonome promet en matière d’originalité ou d’exclusivité, plus le contrat présume l’existence de droits susceptibles de protection qui, selon le dossier d’ISDE, ne peuvent être présumés pour un résultat d’IA laissé tel quel. Un client peut proposer en retour une interdiction totale de l’IA, et le travailleur autonome devrait être prêt à en établir le prix, puisque le Code civil laisse au prestataire le choix des moyens, sauf disposition contraire au contrat.

Liste de vérification par outil

Les conditions des fournisseurs changent et les pages consultées pour ce rapport portent des dates différentes; la liste de vérification consigne donc ce que chaque fournisseur a documenté sur sa propre page et indique, pour le reste, « vérifier les conditions actuelles du fournisseur ». Le tableau 3 résume les positions documentées en date de novembre 2026 et laisse une ligne pour tout outil non répertorié. Il ne s’agit aucunement d’un classement.

La lecture des lignes fait ressortir trois tendances, toutes documentées plutôt que déduites. Les formules entreprise, grandes entreprises et API examinées ici excluent l’entraînement par défaut, tandis que les formules individuelles diffèrent selon que l’entraînement est activé par défaut ou laissé au choix de l’utilisateur. Les options de résidence au Canada sont inégales : OpenAI mentionne le Canada pour le stockage au repos des clients admissibles ^[40], Microsoft prévoit le traitement au Canada en 2027 ^[52], et les pages d’Anthropic et de Google consultées ici ne mentionnent aucune option canadienne. Enfin, plusieurs formules d’entreprise offrent un DPA, mais celui-ci constitue un élément de l’évaluation prévue à l’article 17, et non un substitut à celle-ci.

Gestion des incidents

Lorsqu’un incident de confidentialité présente un risque de préjudice sérieux, l’entreprise doit aviser avec diligence la CAI et les personnes concernées ^[1]. Toute entreprise doit tenir un registre des incidents, que le règlement exige de conserver pendant au moins cinq ans après que l’organisme a pris connaissance de l’incident ^[57], et la CAI inclut un incident chez un tiers détenant des renseignements pour le compte de l’entreprise parmi les circonstances à documenter ^[58]. Deux habitudes en découlent pour un travailleur autonome : consigner toute fuite soupçonnée touchant les données d’un client, y compris un collage par erreur, et en informer rapidement le client, puisque celui-ci assume l’obligation envers l’organisme de réglementation et que le contrat transmet cette obligation au prestataire.

Quand consulter un avocat

Les honoraires d’un avocat québécois spécialisé en protection des renseignements personnels ou en technologies en valent la peine dans cinq situations :

• Dossiers sensibles : des renseignements sur la santé, les finances ou les enfants sont en cause.
• Clients réglementés : le client est un organisme public ou un professionnel réglementé.
• Décisions automatisées : le travail a une incidence sur des personnes par l’entremise de décisions automatisées.
• Garanties lourdes : le client exige une indemnisation sans plafond ou une garantie d’originalité sans réserve.
• Protection inadéquate : une évaluation conclut que la protection à l’étranger n’est pas adéquate.

La CAI elle-même invite les organisations qui ne peuvent évaluer adéquatement une technologie à solliciter l’aide de spécialistes pour les enjeux d’intelligence artificielle ^[2].

Analyse des données et éléments probants

Adoption : combien de travailleurs autonomes et d’entreprises sont touchés

Les statistiques officielles montrent que la question est désormais courante. L’Enquête canadienne sur la situation des entreprises de Statistique Canada a révélé que 12,2 % des entreprises canadiennes utilisaient l’IA au deuxième trimestre de 2025 ^[59], et 19,2 % au cours des 12 mois précédant l’enquête du deuxième trimestre de 2026 ^[9]. Parmi les entreprises comptant de un à quatre employés, le groupe qui se rapproche le plus des entreprises exploitées en solo, 19,9 % ont déclaré utiliser l’IA ^[9]. L’Institut de la statistique du Québec, qui adapte la même enquête, rapporte que 12,7 % des entreprises québécoises ont utilisé des applications d’IA à des fins de production durant la période de référence de 2025 ^[60]. Un quart des entreprises (25,2 %) prévoyaient utiliser l’IA au troisième trimestre de 2026 ^[61].

Du côté des travailleurs, l’Enquête canadienne sur les conditions de travail a révélé que plus d’un travailleur canadien sur cinq (22 %) avait utilisé l’IA générative ^[62], l’utilisation étant plus élevée chez les travailleurs autonomes, à 26 % ^[10], et atteignant 21 % au Québec ^[10]. L’Enquête sur la population active a constaté que 93,4 % des travailleurs connaissaient les outils d’IA générative en mars 2026 ^[12]. Les travailleurs autonomes représentaient 13,1 % de l’ensemble des travailleurs canadiens en mars 2025 ^[63].

L’enquête NETendances 2025 de l’Université Laval (octobre 2025, 993 internautes québécois) a révélé que 52 % des internautes québécois avaient utilisé un outil d’IA générative ^[64], que 46 % des utilisateurs s’en servaient pour leur travail ^[64] et que 63 % des utilisateurs étaient très ou assez préoccupés par la sécurité et la confidentialité des données personnelles ^[64].

Perceptions de la vie privée et connaissance des exigences de conformité

La population se montre très préoccupée. Dans un sondage mené de février à mars 2025 auprès de 1 500 Canadiens, le Commissariat à la protection de la vie privée du Canada (CPVP) a constaté que 88 % étaient préoccupés à divers degrés par l’utilisation de leurs renseignements personnels pour entraîner des systèmes d’IA ^[65]. Dans son sondage de janvier à février 2026 auprès de 800 entreprises en contact avec les consommateurs, la proportion utilisant l’IA dans leurs activités est passée de 6 % en 2023 à 16 % ^[66], tandis que seulement 2 % utilisaient les renseignements des clients pour entraîner un système d’IA ^[67]. Les données du T2 2026 de Statistique Canada montrent que 13,4 % des entreprises citaient des préoccupations de cybersécurité ou de protection de la vie privée comme obstacle à l’utilisation de l’IA ^[68]. Ces enquêtes diffèrent par leur population et la formulation de leurs questions; il ne faut pas les regrouper en un taux unique.

Calendrier réglementaire et ampleur des sanctions

Le gouvernement du Québec décrit l’entrée en vigueur de la Loi 25 comme graduelle sur trois ans ^[69]. Voici les étapes importantes dans le présent contexte :

• Septembre 2022 : premières règles sur la communication sans consentement ^[19].
• Septembre 2023 : évaluation des facteurs relatifs à la vie privée avant une communication à l’extérieur du Québec ^[19].
• 22 septembre 2024 : portabilité des données ^[19].

L’échelle des sanctions distingue les personnes physiques des autres personnes :

• Sanctions administratives : plafonnées à 50 000 $ pour une personne physique et à 10 000 000 $ (ou 2 % du chiffre d’affaires mondial) dans les autres cas ^[1].
• Amendes pénales : de 5 000 $ à 100 000 $ pour une personne physique et, dans les autres cas, de 15 000 $ à 25 000 000 $ ou, si ce montant est plus élevé, 4 % du chiffre d’affaires mondial ^[1].
• Dommages-intérêts punitifs : lorsqu’une atteinte est intentionnelle ou résulte d’une faute lourde, le juge accorde un montant au moins égal au minimum prévu par la loi ^[1].

Aucun de ces chiffres ne vise précisément l’IA.

Répercussions et perspectives

Pour les travailleurs autonomes. La mesure de conformité la moins coûteuse consiste à classer les données dès leur réception. Une matrice d’une page appliquée à chaque dossier, accompagnée d’une évaluation consignée pour tout dossier contenant des renseignements personnels identifiants, répond de façon proportionnée aux principales attentes de la Loi. Choisir un outil d’entreprise dont l’exclusion de l’entraînement par défaut est documentée et qui offre un DPA réduit le travail, mais ne remplace pas l’évaluation.

Pour les organismes de réglementation et les législateurs. Torys présente les recommandations de la CAI pour le milieu de travail comme non contraignantes ^[70], notamment l’analyse d’impact algorithmique pour les activités d’IA à haut risque, en plus de l’évaluation exigée par la loi ^[70]. Au fédéral, le projet de loi C-36 a été présenté le 15 juin 2026 ^[71]; son texte de première lecture abrogerait la partie 1 de la loi fédérale sur la protection des renseignements personnels dans le secteur privé ^[72] et exigerait une description générale de l’utilisation de systèmes décisionnels automatisés par une organisation ^[72]. Il faut vérifier l’état du projet de loi sur LEGISinfo, puisqu’il n’avait pas encore force de loi au moment de la consultation et que la loi québécoise sur le secteur privé continue de régir les entreprises québécoises.

Pour le droit d’auteur. Le compte rendu de consultation désigne la contribution substantielle d’un auteur humain comme le seul point d’accord notable ^[7]. Jusqu’à ce que la loi change, la position contractuelle prudente consiste à céder les droits qui existent et à ne rien promettre quant aux éléments générés par l’IA.

Ce qui modifierait cette analyse. Vérifiez les développements suivants avant de vous appuyer sur ce guide :

• Prise de position de la CAI : les requêtes adressées à des services d’IA externes constituent-elles des communications au sens de l’article 17?
• Autorité relative au Code civil : toute autorité québécoise appliquant les articles 2100 à 2102 aux outils d’IA.
• Position de l’OPIC : un avis officiel sur l’enregistrement des œuvres créées avec l’aide de l’IA.
• Résidence : de nouvelles options de résidence des données au Canada offertes par les fournisseurs.

2727 Coworking, le fournisseur d’espaces de travail montréalais qui publie ce guide, n’agit pas comme conseiller juridique et ne fournit aucun outil d’IA; les mesures de conformité ci-dessus relèvent du travailleur autonome et de son conseiller juridique.

Foire aux questions (FAQ)

Puis-je utiliser ChatGPT avec les données de mes clients au Québec?

Seulement après avoir classé les données. En l’absence de renseignements personnels et si le contrat client autorise les outils de sous-traitants, la prudence habituelle s’applique. En présence de renseignements personnels identifiants, la Loi exige une évaluation des facteurs relatifs à la vie privée avant toute communication à l’extérieur du Québec ainsi qu’une entente écrite, et les organismes de réglementation déconseillent de communiquer des renseignements personnels sensibles ou identifiants aux robots conversationnels ^[18]. Le CPVP précise aussi que les renseignements saisis peuvent servir à poursuivre l’entraînement du système ^[18].

La Loi 25 s’applique-t-elle aux travailleurs autonomes?

La CAI indique que la notion d’entreprise s’étend aux travailleurs autonomes, au cas par cas ^[13]. Un travailleur autonome qui constitue une entreprise doit répondre des renseignements personnels qu’il détient.

Dois-je dire à mes clients que j’utilise l’IA?

Aucune source consultée pour ce rapport n’établit d’obligation légale générale pour les travailleurs autonomes. La divulgation découle du contrat, des propres obligations du client, du principe de transparence et des obligations de bonne foi et d’information utile prévues au Code civil (voir le point de contrôle B). L’inscrire dans le contrat est la voie la plus prudente.

À qui appartient le travail généré par l’IA pour des clients au Canada?

Un travailleur autonome est le premier titulaire des œuvres dont il est l’auteur ^[8], mais la qualité d’auteur est liée à un être humain qui exerce son talent et son jugement. La propriété se transfère uniquement par une cession écrite et signée ^[8], qui ne peut créer des droits inexistants.

Ai-je besoin d’une évaluation des facteurs relatifs à la vie privée comme travailleur autonome?

Lorsque des renseignements personnels identifiants quittent le Québec, la Loi en exige une. La CAI précise que son degré d’approfondissement est proportionné à la sensibilité ^[22] et que son modèle est facultatif ^[24]; un dossier succinct constitue donc une forme proportionnée pour les dossiers à faible risque.

Claude ou ChatGPT protège-t-il mieux la confidentialité des clients?

Aucun des deux ensembles de pages ne permet d’établir un classement. Les deux fournisseurs documentent l’exclusion de l’entraînement par défaut pour les formules entreprise et API. Pour les formules grand public, OpenAI indique pouvoir utiliser le contenu pour entraîner les modèles, sauf si l’utilisateur s’y oppose ^[17], tandis qu’Anthropic décrit un choix de l’utilisateur ^[49]. La conservation et la résidence diffèrent; consultez donc le tableau 3 et lisez les conditions actuelles.

Que dit la Loi 25 au sujet des décisions automatisées?

L’article 12.1 exige un avis lorsqu’une décision concernant une personne repose exclusivement sur le traitement automatisé de ses renseignements personnels. Sa portée est restreinte : il ne vise pas la rédaction assistée par l’IA.

Que devrait prévoir une clause sur l’IA dans un contrat de pigiste?

Voir le tableau 2 : utilisation autorisée, données d’entrée interdites, annexe des outils, divulgation, originalité, cession limitée, renonciation aux droits moraux et avis d’incident.

L’envoi de données à ChatGPT constitue-t-il un transfert transfrontalier?

Le critère déclencheur prévu par la loi est une communication à l’extérieur du Québec, et la CAI considère le stockage infonuagique à l’extérieur du Québec comme un projet nécessitant une évaluation ^[2]. Aucune source consultée ne se prononce sur ce point pour les robots conversationnels; traitez-le donc comme un transfert, sauf avis contraire d’un avocat.

Conclusion

Les trois points de contrôle donnent au travailleur autonome une méthode courante défendable. Au point de contrôle A, repérez les renseignements personnels, effectuez une évaluation proportionnée et mettez en place l’entente écrite avant que des données identifiantes quittent le Québec. Au point de contrôle B, dites au client quels outils reçoivent ses données et tenez à jour l’annexe des outils du contrat. Au point de contrôle C, cédez uniquement les droits qui existent, documentez la contribution humaine et évitez les garanties qui présument l’existence de droits susceptibles de protection dans un résultat d’IA laissé tel quel. Les références officielles sont les articles 17 et 18.3 de la Loi, les principes des organismes de réglementation sur l’IA générative et le compte rendu de consultation d’ISDE. Aucun de ces documents n’est un recueil de règles propre aux travailleurs autonomes, et c’est dans les zones qu’ils laissent ouvertes que la rédaction contractuelle et les conseils professionnels jouent leur rôle.

La leçon pratique est modeste et reproductible : classez chaque dossier, choisissez une formule d’outil dont les conditions documentées conviennent au dossier, conservez une courte trace écrite et inscrivez l’autorisation dans le contrat. Un travailleur autonome qui fait ces quatre choses peut expliquer, sur demande, ce qui a été envoyé, où et pourquoi; c’est la question qu’un client, un comptable ou un organisme de réglementation est le plus susceptible de poser. Puisque les conditions des fournisseurs et les orientations officielles continuent de changer, le dossier devrait comporter une date de révision, et la première étape de tout nouveau mandat devrait consister à vérifier si un élément de ce guide a évolué.

Références et note de vérification

Ce rapport reflète les sources telles qu’elles ont été consultées en novembre 2026, ainsi que le texte de la Loi tel qu’il était à jour sur le site de l’Éditeur officiel du Québec ce mois-là. Questions ouvertes : toute prise de position d’un organisme de réglementation québécois sur les requêtes aux robots conversationnels au regard de l’article 17, la liste des sous-traitants ultérieurs d’Anthropic et les options de résidence au Canada de plusieurs fournisseurs. Lorsqu’une page d’un fournisseur ne se prononçait pas sur un point, ce rapport indique « vérifier les conditions actuelles du fournisseur ».