Vous êtes prêt à brancher un agent IA vocal sur votre ligne d'accueil. Bonne nouvelle pour vos appels manqués, mais il y a un détail que personne n'aborde dans les démos commerciales : à la seconde où votre agent répond à un appel au Québec, il commence à collecter des renseignements personnels. Et au Québec, ça veut dire Loi 25.
La Loi 25 (anciennement projet de loi 64) est en vigueur dans son entièreté depuis septembre 2023. Elle ne fait pas de distinction entre un employé qui prend des notes et un agent IA qui transcrit l'appel — la collecte est la même, les obligations aussi. La sanction maximale grimpe à 25 M$ ou 4 % du chiffre d'affaires mondial, selon la Commission d'accès à l'information.
On ne va pas vous citer 47 articles de loi. Voici les 7 étapes concrètes pour brancher votre agent vocal IA sans passer la nuit à se demander si la CAI va sonner à votre porte. C'est le checklist qu'on déroule pour chaque PME québécoise qu'on accompagne chez TECHMA.
Étape 1 — Désigner un responsable de la protection des renseignements personnels
Première chose, et ça surprend tout le monde : depuis septembre 2022, toute entreprise au Québec doit désigner un responsable de la protection des renseignements personnels. Pas optionnel. Par défaut, c'est le plus haut dirigeant — donc vous, fort probablement, si vous êtes propriétaire d'une PME.
Ce que personne ne vous dit : ce nom doit être publié sur votre site web, avec ses coordonnées (article 8 de la loi). Pas une page bien cachée à 5 clics — accessible. Si quelqu'un appelle votre agent IA et veut exercer un droit, il faut qu'il puisse savoir à qui écrire dans la minute.
Vous pouvez déléguer la fonction à un employé ou à un consultant externe. La fonction se délègue, la responsabilité légale, non.
Étape 2 — Faire l'évaluation des facteurs relatifs à la vie privée (EFVP)
L'article 3.3 exige une évaluation des facteurs relatifs à la vie privée avant tout projet impliquant un système de décision automatisée ou un transfert de données hors Québec. Un agent IA vocal coche les deux cases — il analyse de la voix, prend des décisions de routage automatisées, et la majorité des plateformes (ElevenLabs, OpenAI, VAPI, Retell) traitent la voix sur des serveurs aux États-Unis.
L'EFVP n'est pas un audit de 200 pages. C'est un document structuré qui répond à 4 questions :
- Quels renseignements sont collectés et pourquoi
- Qui y a accès et pendant combien de temps
- Où circulent les données (pays, sous-traitants, fournisseurs)
- Quels sont les risques résiduels et comment ils sont atténués
Pour un agent vocal qui prend des rendez-vous chez un dentiste, on parle réalistement de 6 à 10 pages, livrable en une semaine si vous avez les bonnes infos en main.
Étape 3 — Rédiger une politique de confidentialité qui parle d'IA explicitement
Votre vieille politique de confidentialité qui dit « nous collectons votre nom et votre courriel pour vous offrir nos services » ne tient plus. La loi exige des termes simples et clairs (article 8) et une mention spécifique quand un traitement automatisé est utilisé.
Trois mentions obligatoires à ajouter, en français :
- Le fait qu'un agent IA est utilisé pour traiter l'appel
- Les fins précises de la collecte (prise de rendez-vous, qualification, transfert humain)
- Le droit de demander un transfert vers un humain à tout moment
L'article 12.1 va plus loin : si votre agent prend une décision « fondée exclusivement sur un traitement automatisé » (ex. refuser un rendez-vous le samedi matin parce que les créneaux sont pleins), vous devez en informer la personne et lui offrir une voie pour présenter ses observations à un employé.
Étape 4 — Programmer un consentement explicite dès la première phrase
C'est ici que 80 % des agents IA déployés au Québec en ce moment sont à risque. Le consentement implicite (« vous nous avez appelés, donc vous consentez ») ne tient pas pour les renseignements sensibles (article 14). Et la voix elle-même est considérée comme une donnée biométrique dès qu'elle est analysée.
Le bon réflexe à programmer dans le prompt système de votre agent :
Ça ajoute 8 secondes au début de l'appel. Comparé à 25 M$ d'amende potentielle, on signe tout de suite. C'est aussi pour ça qu'on recommande de comparer rigoureusement votre agent vocal IA à votre réceptionniste humaine avant de basculer 100 % de vos appels — la conformité change le calcul.
Étape 5 — Encadrer le transfert de données hors Québec
L'article 17 est sec : avant de transférer des renseignements personnels hors Québec, vous devez réaliser une analyse pour vous assurer que la juridiction de destination offre une protection « équivalente ». Les États-Unis ne sont pas considérés équivalents par défaut (CLOUD Act, FISA, etc.).
Ce qui veut dire concrètement :
- Identifier où votre fournisseur de plateforme (ElevenLabs, VAPI, etc.) traite la voix
- Documenter les transferts dans une convention écrite
- Informer l'utilisateur du transfert dans la politique de confidentialité
La bonne nouvelle : ElevenLabs a annoncé en avril 2026 le support des MCP servers, du content guardrails et du versioning d'agent (changelog officiel). Ça permet de mieux contrôler ce qui sort, ce qui entre, et comment. Mais ça ne remplace pas l'analyse juridique.
Étape 6 — Limiter la rétention et programmer la suppression automatique
L'article 23 dit que les renseignements doivent être détruits ou anonymisés une fois la finalité atteinte. Pour un agent IA vocal, ça veut dire : vous n'avez aucune raison de garder l'enregistrement audio d'une prise de rendez-vous pendant 5 ans.
La règle pragmatique qu'on applique :
- Audio : 90 jours maximum, idéalement 30 jours (assez pour résoudre une plainte client)
- Transcription : 12 mois si elle alimente une amélioration continue, sinon supprimée à 90 jours
- Métadonnées (numéro, durée, intent détecté) : conservées dans le CRM selon vos politiques internes
Programmez la suppression dans la plateforme — la plupart le permettent maintenant. Ça vous évite aussi de gonfler vos coûts de stockage, qui font partie des frais cachés qui font exploser votre facture mensuelle.
Étape 7 — Documenter, tester, mesurer
La conformité Loi 25 n'est pas un projet, c'est un cycle. Avant de lancer en production, on demande à chaque PME de :
- Tenir un registre des incidents de confidentialité (obligatoire depuis 2022)
- Tester l'agent sur 50 appels en interne avant le go-live
- Mesurer le taux de demandes de transfert humain (un pic = signal de friction)
- Réviser la politique tous les 12 mois ou à chaque changement de fournisseur
C'est aussi le bon moment pour vérifier le ROI réel de votre agent vocal en 14 jours — la conformité est une condition nécessaire, pas une métrique de succès.
Le coût réel de la non-conformité (et pourquoi vous n'êtes probablement pas la cible)
Soyons honnêtes : la CAI n'a pas une armée d'inspecteurs. Les amendes maximales (25 M$ ou 4 % du chiffre d'affaires mondial) sont calibrées pour les Meta, Google, ou les institutions financières qui causent des fuites massives.
Pour une PME québécoise typique avec un agent vocal IA, le risque réaliste est :
- Une plainte client → enquête CAI → mise en demeure → amende de 5 000 à 50 000 $
- Un audit B2B (votre client institutionnel demande votre conformité) → contrat refusé
- Une fuite mineure → publication sur le site de la CAI → choc réputationnel local
C'est pour ça que l'investissement (entre 5 000 et 15 000 $ pour la mise en conformité initiale d'une PME de 5–25 employés) est largement rentable, surtout si vous facturez B2B.
Comment TECHMA vous accompagne
Chez TECHMA, on ne vous laisse pas brancher un agent IA vocal sans avoir réglé la Loi 25 d'abord. Tout est inclus dans la prestation : EFVP, politique de confidentialité, prompt système conforme, configuration de la rétention, et formation de votre responsable. Vous restez focus sur vos clients ; on gère la mécanique.
Si vous lancez votre agent ce trimestre, faites-vous une faveur — déroulez ces 7 étapes avant le go-live. C'est 2 semaines de travail bien investies pour ne pas en perdre 6 à éteindre un feu juridique.