Introduction
Le jour ou vous branchez un agent vocal IA sur votre ligne d'affaires, quelque chose change discretement : une machine se met a ecouter, comprendre et parfois enregistrer ce que vos clients racontent au telephone. Un nom, un numero, l'adresse d'une propriete, la raison d'un rendez-vous medical. Rien de tout cela n'est anodin au Quebec.
Depuis l'entree en vigueur complete de la Loi 25, la protection des renseignements personnels n'est plus une affaire de grandes entreprises avec un service juridique. Elle s'applique au garage de quartier, a la clinique de trois employes, au courtier qui travaille de sa voiture. Et des qu'une IA repond a vos appels, elle traite des renseignements personnels en votre nom.
La bonne nouvelle : rester conforme n'a rien de sorcier. La mauvaise : quelques reflexes hérites de l'IA grand public peuvent vous mettre en infraction sans que vous vous en rendiez compte. Voici ce que la Loi 25 exige vraiment quand un agent vocal IA prend vos appels, et comment eviter les pieges les plus courants.
Ce que la Loi 25 exige quand une IA repond au telephone
Commencons par la base. La Loi 25 encadre la collecte, l'utilisation, la communication et la conservation des renseignements personnels par les entreprises privees du Quebec. Un renseignement personnel, c'est toute information qui permet d'identifier une personne : nom, numero de telephone, courriel, mais aussi la raison d'un appel ou l'historique d'un client.
Quand votre agent vocal IA demande a un appelant son nom pour prendre un rendez-vous, il collecte un renseignement personnel. Quand il note qu'un client rappelle au sujet d'une facture impayee, il en cree un nouveau. Vous demeurez responsable de ces donnees, peu importe que ce soit un humain ou une IA qui les recueille.
La loi impose trois principes que tout dirigeant devrait connaitre par coeur : la transparence (dire aux gens ce que vous faites de leurs donnees), la minimisation (ne collecter que le necessaire) et la protection (securiser ce que vous gardez). Un agent vocal IA bien configure respecte ces trois principes. Un agent mal configure les enfreint des le premier appel.
La Commission d'acces a l'information du Quebec, qui veille a l'application de la loi, peut imposer des sanctions administratives pecuniaires importantes. Ce n'est pas theorique : le regime de la Loi 25 prevoit des amendes qui grimpent selon la gravite. Mieux vaut batir la conformite des le depart que corriger apres une plainte.
Le consentement : votre client doit savoir qu'il parle a une machine
C'est le point le plus souvent neglige. La Loi 25 exige un consentement libre et eclaire avant de collecter des renseignements personnels. Or, un appelant ne peut pas consentir de facon eclairee s'il ignore qu'il parle a une intelligence artificielle plutot qu'a une receptionniste.
La regle pratique est simple : votre agent doit se presenter comme un assistant virtuel dans les premieres secondes. Quelque chose comme "Bonjour, vous parlez a l'assistant virtuel de [entreprise], comment puis-je vous aider ?" suffit. Ce n'est pas seulement une exigence legale, c'est aussi une question de confiance. Nous en parlons en detail dans notre texte sur la confiance envers les agents vocaux IA.
Si vous enregistrez les appels, dites-le. Une mention claire au debut de l'appel, indiquant que la conversation peut etre enregistree aux fins de suivi, coche la case du consentement et de la transparence d'un seul coup. Le silence n'est jamais du consentement au Quebec.
Pour les secteurs sensibles, la barre monte. Un cabinet qui recueille des details sur un litige, une clinique qui note un motif de consultation : ces renseignements meritent une prudence accrue. C'est d'ailleurs pourquoi les cabinets d'avocats qui deploient un agent vocal IA doivent soigner leur script de prise en charge des le premier mot.
Ou vivent vraiment les donnees de vos appels
Voici la question que trop peu d'entreprises posent a leur fournisseur : ou sont hebergees les donnees de mes appels ? La Loi 25 impose une evaluation des risques lorsque des renseignements personnels sont communiques a l'exterieur du Quebec, notamment vers des serveurs situes aux Etats-Unis ou ailleurs.
Beaucoup de plateformes d'IA grand public acheminent les donnees vers des serveurs americains par defaut. Des qu'un renseignement personnel d'un client quebecois transite hors du Quebec, vous devez pouvoir demontrer que vous avez evalue le risque et mis en place des protections adequates. Ce n'est pas interdit, mais ce n'est pas automatique non plus.
La voie la plus simple reste de choisir une solution dont les donnees sont hebergees au Canada et dont le fournisseur documente clairement sa chaine de traitement. Vous evitez ainsi une bonne partie de l'analyse de risque, et vous repondez d'avance a la question que vos clients les plus soucieux finiront par poser.
Demandez toujours un contrat ecrit qui precise ou les donnees sont stockees, qui y a acces, et ce qui se passe si vous cessez d'utiliser le service. Un fournisseur serieux repond a ces questions sans hesiter.
Un dernier reflexe utile : posez la question du chiffrement. Les donnees de vos appels devraient etre chiffrees en transit comme au repos, et seuls les employes qui en ont reellement besoin devraient pouvoir y acceder. Ce sont des mesures de base, mais leur absence en dit long sur le serieux d'un fournisseur.
Les donnees d'appels acheminees vers un coffre chiffre, illustration de la confidentialite
Combien de temps garder les enregistrements
La minimisation est un principe que l'IA rend paradoxalement plus difficile a respecter. Parce qu'il est trivial de tout enregistrer, la tentation est de tout garder : chaque appel, chaque transcription, indefiniment. C'est exactement ce qu'il ne faut pas faire.
La Loi 25 demande de ne conserver les renseignements que le temps necessaire aux fins pour lesquelles ils ont ete recueillis. Concretement : gardez le detail d'un rendez-vous jusqu'a ce qu'il soit honore, gardez une preuve de consentement le temps requis, puis effacez ou anonymisez le reste selon un calendrier fixe.
Etablissez une politique de conservation ecrite, meme courte. Par exemple : transcriptions supprimees apres 90 jours, enregistrements audio conserves seulement si un litige l'exige. Un calendrier clair vous protege et force votre fournisseur a vous donner les outils pour l'appliquer.
Evitez le reflexe du "on garde tout au cas ou". Chaque enregistrement conserve est une donnee de plus a proteger, a declarer en cas d'incident, et a justifier si la Commission vient frapper a la porte.
Le vrai risque : l'IA fantome et les plateformes publiques
Le danger le plus concret pour une PME quebecoise n'est pas un agent vocal bien configure. C'est l'IA fantome : un employe qui copie-colle les notes d'un appel client dans un ChatGPT public pour rediger un courriel, ou qui utilise un outil gratuit non approuve pour transcrire une conversation.
Un rappel qui derange : les echanges avec une plateforme d'IA grand public ne beneficient d'aucune confidentialite juridique, et les donnees que vous y versez peuvent servir a d'autres fins. Transmettre les renseignements d'un client vers un tel service, sans encadrement, peut constituer une communication non autorisee au sens de la Loi 25.
La parade est double. D'abord, offrez a votre equipe un outil approuve et conforme, pour qu'elle n'ait aucune raison d'aller ailleurs. Ensuite, encadrez par ecrit ce qui peut et ne peut pas etre verse dans un outil externe. Un agent vocal IA bien choisi remplace justement la dizaine de petits outils bricoles qui, eux, echappent a tout controle.
Autrement dit : le probleme n'est presque jamais l'IA elle-meme, mais l'IA non encadree. La conformite consiste a canaliser l'usage vers des outils que vous maitrisez.
Une courte liste pour rester conforme
Pas besoin d'un cabinet d'avocats pour partir du bon pied. Voici les gestes qui couvrent l'essentiel de vos obligations sous la Loi 25 lorsque vous deployez un agent vocal IA.
Faites en sorte que l'agent se presente comme un assistant virtuel des le debut de l'appel, et annonce tout enregistrement. Choisissez un fournisseur qui heberge les donnees au Canada et documente sa chaine de traitement. Fixez par ecrit combien de temps vous conservez transcriptions et enregistrements, puis appliquez ce calendrier. Limitez les acces aux seules personnes qui en ont besoin. Et designez quelqu'un dans l'entreprise comme responsable de la protection des renseignements personnels, comme la loi l'exige.
Ajoutez a cela une mise a jour de votre politique de confidentialite pour mentionner l'usage d'un agent vocal IA, et vous avez couvert la grande majorite des attentes. Ces reflexes s'integrent naturellement au reste de votre installation : voyez notre guide pour configurer un agent vocal IA bilingue conforme aux realites quebecoises.
Enfin, gardez une trace ecrite de vos decisions. En matiere de conformite, pouvoir montrer que vous avez reflechi et documente vos choix vaut souvent autant que la mesure elle-meme.
Une proprietaire d'entreprise passe en revue une liste de conformite sur une tablette
Conclusion
Un agent vocal IA n'est ni un risque juridique en soi, ni un laissez-passer. C'est un outil qui traite des renseignements personnels, et la Loi 25 vous demande simplement de le faire avec soin : prevenir vos clients, limiter ce que vous collectez, savoir ou vivent les donnees, et ne garder que le necessaire.
Les entreprises qui abordent la conformite comme un fardeau la vivent mal. Celles qui la voient comme une facon de meriter la confiance de leur clientele en tirent un avantage. Au Quebec, dire a un client que ses donnees restent au Canada et ne servent qu'a le servir, c'est devenu un argument de vente.
Si vous hesitez encore sur un point precis, la reference officielle demeure la Commission d'acces a l'information du Quebec, et le portail gouvernemental sur la protection des renseignements personnels resume vos obligations. Un bon fournisseur, lui, devrait pouvoir repondre a chacune des questions de cet article sans detour.