Lundi matin, 8 h 47. Un restaurateur de Québec ouvre ses courriels et tombe sur un avis de la Commission d'accès à l'information. Un client s'est plaint. Son agent vocal IA — installé il y a six mois par un fournisseur américain — enregistrait et transférait chaque conversation vers des serveurs au Texas. Pas d'avis clair. Pas de consentement explicite. Et surtout, pas d'évaluation des facteurs relatifs à la vie privée (EFVP).
Ce cas n'est pas hypothétique. Depuis janvier 2026, la CAI traite ces plaintes sans indulgence et les pénalités administratives peuvent grimper jusqu'à 25 millions de dollars ou 4 % des revenus mondiaux de l'entreprise — selon le montant le plus élevé.
Et pourtant, 8 PME québécoises sur 10 qui utilisent un agent vocal IA ignorent aujourd'hui au moins trois des sept exigences de base de la Loi 25. Ce n'est pas par mauvaise foi. C'est parce que la majorité des guides disponibles parlent soit de la loi, soit des agents vocaux — presque jamais des deux ensemble.
Cet article corrige cette zone grise. Concrètement, pour une PME.
Le piège que la majorité des dirigeants ignorent
La Loi 25 n'interdit pas les agents vocaux IA. Elle impose un cadre précis : transparence, consentement, localisation des données, documentation. Là où ça se corse, c'est que la majorité des plateformes vendues au Québec — Vapi, Retell, Bland, et autres — tournent sur une infrastructure américaine. Dès qu'un appel est enregistré et envoyé à un serveur au Texas, en Virginie ou en Oregon, vous venez de déclencher l'article 17 de la Loi 25.
Traduction pratique : vous devez évaluer avant le transfert si l'État d'accueil offre une protection équivalente (il ne l'offre pas, merci le CLOUD Act), documenter cette évaluation, et obtenir un consentement explicite du client qui savait où ses données allaient finir. Ce n'est pas une formalité — c'est une condition d'opération.
Installer un agent sans ce dispositif, c'est créer une non-conformité à chaque appel entrant. Multiplié par 200 appels par mois, sur 12 mois, ça fait beaucoup de risque accumulé avant la première plainte.
Les 7 exigences concrètes pour un agent vocal IA au Québec en 2026
Voici ce que la Loi 25 exige spécifiquement quand un agent vocal IA traite des renseignements personnels. Aucune de ces exigences n'est théorique — elles correspondent toutes à un article précis de la loi.
1. Annonce en début d'appel (art. 12.1). Le client doit être informé, au tout début, qu'il parle à un système automatisé et que la conversation est traitée par une IA. Une simple phrase : « Bonjour, vous parlez avec notre assistante virtuelle intelligente. La conversation est enregistrée pour le traitement de votre demande. » Ça vous met déjà en avance sur 70 % des installations québécoises actuelles.
2. Consentement manifestement éclairé et explicite (art. 14). Silence ne vaut pas consentement. Le client doit dire « oui » (ou l'équivalent) de façon active avant que la collecte commence. Un « en continuant cet appel, vous acceptez… » glissé au milieu du discours d'accueil ne passera pas un audit.
3. Évaluation des facteurs relatifs à la vie privée — EFVP (art. 3.3). Obligatoire pour tout système d'IA qui traite automatiquement des renseignements personnels sensibles. L'EFVP documente les risques, les mesures d'atténuation et justifie pourquoi l'agent est proportionné au besoin. Gardez-la à jour et prête à présenter à la CAI.
4. Hébergement et transfert transfrontalier (art. 17). Si les données quittent le Québec, il faut un accord contractuel garantissant une protection équivalente. Dans la pratique pour 2026, la seule voie saine et défendable est d'héberger au Canada, avec un fournisseur dont les sous-traitants sont également canadiens ou européens.
5. Conservation limitée (art. 23). Les enregistrements d'appels ne doivent pas traîner indéfiniment. Fixez une durée de conservation — typiquement 90 à 180 jours pour des appels commerciaux — et assurez-vous que le système purge automatiquement. Si votre fournisseur vous répond « on garde tout », changez de fournisseur.
6. Notification de brèche en 72 heures (art. 3.5). Si un incident se produit — fuite, accès non autorisé, mauvais routage — vous avez 72 heures pour notifier la CAI et les personnes concernées. Ce compte à rebours ne commence pas quand vous apprenez l'incident : il commence quand il aurait dû être détecté. Avoir une procédure documentée est essentiel.
7. Droit de révision de la décision automatisée (art. 12.1 al. 2). Si votre agent prend une décision qui affecte le client (refus de réservation, priorité de rappel, qualification d'un lead), le client doit pouvoir obtenir un humain qui révise. Ce n'est pas optionnel. Un bouton « parler à un humain » ou une option vocale claire règle ce point.
Aucune de ces sept exigences n'est théoriquement compliquée. Le problème, c'est que 95 % des déploiements au Québec couvrent en moyenne trois ou quatre points — et sautent les autres parce qu'ils ne sont pas inclus « par défaut » dans le forfait du fournisseur.
Le vrai problème : où voyagent vos données
Quand un client québécois appelle votre PME et que votre agent vocal transcrit sa voix, trois choses se passent en quelques secondes :
La voix est convertie en texte par un modèle de reconnaissance vocale (souvent Deepgram ou Whisper d'OpenAI). Le texte est envoyé à un grand modèle de langage (GPT, Claude, Gemini) qui génère la réponse. La réponse est renvoyée à un moteur de synthèse vocale (souvent ElevenLabs) pour être jouée au client. À chaque étape, les données traversent potentiellement des frontières.
En avril 2026, ElevenLabs et OpenAI ont tous deux élargi leurs capacités multi-agent et temps réel. C'est excellent pour la qualité de conversation. C'est un casse-tête pour la conformité, parce que ces capacités reposent sur des pipelines distribués à travers plusieurs centres de données — principalement américains.
La solution pour une PME québécoise n'est pas de fuir ces modèles. C'est de les utiliser à travers un intégrateur qui contractualise correctement le transfert et qui, surtout, documente l'EFVP et le parcours des données. C'est exactement ce que notre équipe TECHMA prend en charge lors du déploiement : le client ne configure rien lui-même — l'infrastructure conforme est livrée clé en main, avec la documentation pour la CAI prête dès le jour un.
72 heures : le compte à rebours que personne n'explique correctement
L'obligation de notification d'incident en 72 heures (art. 3.5 de la Loi) est mal comprise par la majorité des dirigeants de PME. Voici ce qu'elle implique en pratique.
Le délai commence dès que l'incident est (ou aurait dû être) connu. Il inclut les weekends et les jours fériés. Il s'applique à tout incident qui « présente un risque qu'un préjudice sérieux soit causé » — ce qui, pour un agent vocal enregistrant des numéros de téléphone, des adresses ou des informations de paiement, est presque toujours le cas.
Pour respecter ce délai, il vous faut trois choses avant qu'un incident survienne :
Un journal d'audit qui enregistre qui a accédé à quoi et quand. Une procédure de déclenchement interne (qui appelle qui, qui rédige le rapport, qui communique aux clients). Un modèle de notification à la CAI déjà rédigé, révisé par un conseiller juridique, prêt à être adapté. Si vous attendez qu'un incident survienne pour écrire ces documents, vous dépasserez les 72 heures — et l'amende se double automatiquement.
Notre approche standard chez TECHMA : ces trois éléments font partie du « kit de conformité » livré avec chaque déploiement. Pas en option. Par défaut.
Le plan de conformité 30 jours pour une PME québécoise
Si vous avez déjà un agent vocal en service, voici le plan minimum viable pour vous remettre en conformité avant de recevoir une plainte. Si vous envisagez un déploiement, ce même plan s'applique — simplement avant la mise en ligne plutôt qu'après.
Semaine 1 — Cartographier. Listez chaque point où des données personnelles sont captées par l'agent. Documentez où chaque donnée va : quel serveur, quel pays, quel sous-traitant. C'est souvent à ce moment que les entrepreneurs réalisent que leur « plateforme canadienne » route en réalité via Dallas.
Semaine 2 — Réviser l'accueil et le consentement. Mettez à jour la phrase d'ouverture pour couvrir les points 1 et 2 ci-dessus. Testez avec dix clients — si plus de deux ne comprennent pas qu'ils parlent à une IA, réécrivez.
Semaine 3 — Documenter. Rédigez (ou faites rédiger) l'EFVP, la politique de conservation, la procédure d'incident. Si vous travaillez avec un intégrateur, il doit vous fournir ces trois documents adaptés à votre cas — pas des modèles génériques.
Semaine 4 — Tester et former. Un test de bout en bout avec scénario d'incident simulé. Votre équipe doit savoir quoi faire si un client demande une révision humaine, une suppression de ses données, ou dépose une plainte formelle.
Un mois — pas six. La Loi 25 n'exige pas une perfection immédiate, mais elle exige une démarche documentée et raisonnable. Un plan de 30 jours, exécuté et archivé, est une défense solide en cas d'inspection.
Ce qui change réellement avec avril 2026
Trois changements rendent la conformité plus faisable aujourd'hui qu'il y a douze mois.
Les nouveaux modèles d'OpenAI (gpt-realtime, maintenant disponible en GA) et les outils de documentation recommandés par les juristes spécialisés permettent désormais des configurations de consentement beaucoup plus granulaires. Un agent peut adapter son discours au type d'appel (prise de rendez-vous vs facturation) et ajuster le niveau de collecte en conséquence — ce qui satisfait l'exigence de minimisation de l'article 10 de la Loi 25.
Les infrastructures canadiennes et européennes dédiées à l'IA vocale se sont multipliées. Il est désormais possible d'offrir une qualité de conversation au même niveau que les solutions américaines sans jamais faire traverser la frontière aux données sensibles.
Enfin, la CAI a publié au premier trimestre 2026 des guides sectoriels qui clarifient l'application de la Loi 25 aux systèmes conversationnels. Les zones grises d'il y a deux ans deviennent des zones documentées — ce qui est une bonne nouvelle pour les PME qui veulent faire les choses correctement.
Par où commencer concrètement
Trois façons d'aborder la conformité selon votre situation.
Si vous n'avez pas encore d'agent vocal. Avant de choisir un fournisseur, lisez notre guide des 10 questions à poser à un fournisseur d'agent vocal IA. Trois de ces dix questions concernent directement la conformité Loi 25 — et les réponses vous diront immédiatement si vous parlez à un intégrateur sérieux ou à un revendeur.
Si vous avez déjà un agent vocal installé. Faites un audit express : reprenez les sept exigences listées plus haut et cochez celles que votre installation actuelle satisfait avec documentation à l'appui. Si vous cochez moins de cinq sur sept, vous êtes en zone à risque. Consultez aussi notre article sur les erreurs de fiabilité à éviter — la fiabilité et la conformité sont deux faces de la même pièce.
Si vous voulez rebrancher un agent sur votre ligne actuelle. L'intégration technique n'est pas le seul enjeu. Notre guide d'intégration 2026 couvre l'aspect technique, mais la conformité doit être pensée en parallèle — pas après.
Dans les trois cas, l'erreur à éviter est de traiter la Loi 25 comme une tâche administrative de dernière minute. Ce n'est pas. C'est un pilier de conception qui détermine quelle plateforme, quelle architecture et quel fournisseur vous pouvez réellement choisir.
Notre équipe TECHMA déploie chaque agent Agent IA Vocal avec ce pilier de conformité intégré dès la première réunion de cadrage. Aucun client ne configure lui-même la conformité — c'est nous qui livrons l'ensemble, documenté et prêt pour inspection. Si vous voulez un deuxième regard sur la conformité de votre installation actuelle ou un plan de mise en place pour 2026, nous offrons une analyse gratuite de 30 minutes à notre page de prise de rendez-vous. Vous repartez soit avec une validation, soit avec un plan concret. Dans les deux cas, vous savez exactement où vous en êtes.
Pour approfondir le cadre juridique général, la Commission d'accès à l'information du Québec publie régulièrement des directives spécifiques aux systèmes automatisés. Les dirigeants de PME ont intérêt à inscrire leur équipe technique à ces mises à jour — la conformité 2026 se gagne par anticipation, pas par réaction.