Le 1er mai 2026, La Presse a publié un titre qui devrait faire réfléchir tout dirigeant de PME au Québec : « Votre recours à l'IA au boulot pourrait être illégal ». L'article rappelle ce que la Commission d'accès à l'information (CAI) répète depuis 18 mois : utiliser un outil d'IA — vocal ou textuel — qui transmet des renseignements personnels de Québécois hors de la province sans évaluation des facteurs relatifs à la vie privée (ÉFVP), c'est s'exposer à des amendes pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial.
Pour un agent IA vocal, le risque est encore plus élevé que pour un chatbot texte. Pourquoi ? Parce que la voix, c'est de la donnée biométrique. Et la Loi 25 traite la biométrie comme une catégorie sensible, au même titre qu'un dossier médical. Bonne nouvelle : depuis avril 2026, ElevenLabs offre un déploiement on-premise et on-device qui change radicalement la donne pour les PME québécoises.
Voici le guide pratique — sans jargon, sans scaring — pour rester conforme tout en automatisant vos appels.
Pourquoi la voix est plus risquée que le texte sous la Loi 25
La majorité des PME pensent que la Loi 25 ne concerne que les courriels, les CRM et les bases de données clients. Erreur. Trois éléments propres à un agent vocal le placent dans la zone rouge :
- L'empreinte vocale est un identifiant biométrique. Même si vous ne faites pas d'authentification par la voix, l'enregistrement contient une empreinte unique qui, selon la CAI, doit être protégée comme un numéro d'assurance sociale.
- Les transcriptions contiennent des « renseignements sensibles » par défaut. Un client appelle une clinique pour parler de symptômes ? C'est de l'information de santé. Un client appelle un cabinet juridique ? C'est protégé par le secret professionnel.
- L'IA vocale transmet souvent les données vers les États-Unis sans que personne ne le réalise. Les modèles GPT-Realtime, ElevenLabs Cloud, et la plupart des fournisseurs hébergent par défaut sur AWS US-East-1 ou US-West-2.
Concrètement : si vous tournez un agent IA vocal sans avoir documenté l'ÉFVP, sans avoir nommé un responsable de la protection des renseignements personnels, et sans avoir vérifié où vos audios sont stockés, vous êtes en infraction. Pas demain — aujourd'hui.
Les 5 points de contrôle pratiques
Avant de paniquer ou d'arracher votre agent vocal, faites ce checklist minimal. Si vous cochez les cinq, vous êtes dans une zone défendable.
1. Évaluation des facteurs relatifs à la vie privée (ÉFVP)
Obligatoire pour tout projet impliquant un traitement de renseignements personnels par une technologie nouvelle. L'ÉFVP n'a pas besoin d'être un document de 80 pages : un tableau d'une page identifiant les flux de données, les risques, et les mesures de mitigation suffit pour une PME. La CAI a publié un gabarit gratuit en 2025 qui prend deux heures à remplir. Le gabarit officiel est disponible sur le site de la CAI.
2. Mention au début de chaque appel
Le consentement implicite n'existe plus depuis septembre 2023. Votre agent IA vocal doit annoncer, dans la première phrase, qu'il s'agit d'un assistant automatisé et que la conversation peut être enregistrée à des fins d'amélioration et de conformité. Une formulation type qui passe : « Bonjour, vous parlez avec l'assistant vocal automatisé de [Entreprise]. L'appel peut être enregistré. Comment puis-je vous aider ? »
3. Résidence des données au Canada
C'est ici que ça se complique avec la majorité des solutions du marché. Les options conformes en 2026 sont, dans l'ordre :
- Cloud canadien d'ElevenLabs (région ca-central-1) — disponible depuis novembre 2025, suffisant pour 80 % des cas.
- VPC privé sur AWS Canada — pour les organisations qui veulent un contrôle réseau plus fin.
- Déploiement on-premise — la nouveauté d'avril 2026, et le seul choix pour la santé, le juridique, le notariat et la finance réglementée.
4. Politique de rétention courte et écrite
La Loi 25 exige que vous gardiez les renseignements « uniquement le temps nécessaire ». Pour un agent vocal, ça veut dire : transcription anonymisée gardée 90 jours pour fins d'amélioration, audio brut purgé après 30 jours sauf si rattaché à un dossier client justifié. Notez la politique noir sur blanc, signez-la, datez-la.
5. Responsable nommé et joignable
Vous devez désigner une personne responsable de la protection des renseignements personnels. Pour une PME de 5 à 50 employés, c'est typiquement le propriétaire, la DG, ou la personne aux RH. Son nom et un courriel doivent figurer en pied de site web, point.
Pourquoi le déploiement on-premise d'ElevenLabs change la donne (avril 2026)
Avant avril 2026, un cabinet juridique au Québec qui voulait un agent vocal IA performant avait deux choix : (1) accepter que les audios passent par les États-Unis et vivre avec le risque, ou (2) bricoler une solution open-source moins capable. Pas glamour.
Le 9 avril 2026, ElevenLabs a annoncé deux nouvelles options de déploiement : on-premise (sur vos propres serveurs ou data centre) et on-device (sur du matériel embarqué). Selon la page officielle d'ElevenLabs On-Prem, « aucune donnée client ni aucun audio ne quitte votre infrastructure ; toute l'inférence et le traitement se font localement, sous votre contrôle ».
Concrètement pour une PME québécoise, ça veut dire trois choses :
- L'ÉFVP devient nettement plus simple. Pas de transfert hors Québec à documenter, pas de clauses contractuelles transfrontalières à négocier.
- Le secret professionnel est préservé par défaut. Pour un cabinet d'avocats ou un notaire, c'est la différence entre « on n'utilise pas l'IA » et « on l'utilise sereinement ».
- La performance reste celle d'ElevenLabs. Pas de compromis sur la qualité de la voix, le turn-taking, ou la latence — ce sont les mêmes modèles que dans le cloud, juste hébergés chez vous.
L'envers de la médaille : un déploiement on-prem demande une infrastructure GPU (typiquement un serveur avec une A100 ou L40S pour 30 appels simultanés), un budget mensuel licence qui n'est plus à l'usage, et un partenaire d'implémentation. Ce n'est pas du self-service.
On-prem ou cloud canadien : comment trancher
Pour la grande majorité des PME — restaurants, salons, concessionnaires, cliniques vétérinaires, e-commerce — le cloud canadien d'ElevenLabs avec une bonne ÉFVP suffit largement. C'est ce que nous recommandons par défaut chez TECHMA pour 80 % des dossiers.
Le on-prem devient obligatoire ou hautement recommandé dans quatre cas :
- Santé — cliniques médicales, dentistes, psychologues, services de santé mentale. La RAMQ et l'OPQ exigent un contrôle strict.
- Juridique et notariat — secret professionnel oblige, le on-prem est devenu la norme défendable depuis l'avis de l'OPC de février 2026.
- Finance réglementée — courtiers en assurance, conseillers en placement, comptables CPA traitant des dossiers fiscaux nominatifs.
- Secteur public et OBNL avec mandat gouvernemental — les contrats avec le gouvernement du Québec exigent maintenant la résidence des données au Québec ou au Canada.
Si vous êtes hors de ces quatre cas, ne dépensez pas le budget on-prem. Le cloud canadien fait le travail et vous garde conforme. Si vous y êtes, ne bricolez pas une solution US — la facture d'amende est plus chère que le bon déploiement.
Comment TECHMA opère le déploiement (et pourquoi c'est important)
Soyons directs : la conformité Loi 25 sur un agent IA vocal n'est pas un projet à essayer en mode do-it-yourself un samedi soir. Nous avons documenté ailleurs les cinq erreurs classiques du DIY, et la conformité juridique en est une qui peut coûter des centaines de milliers de dollars en pénalités.
Chez TECHMA, l'équipe prend en charge l'intégralité du déploiement, que ce soit en cloud canadien ou on-premise :
- Rédaction de l'ÉFVP signée et datée, prête à présenter à la CAI en cas d'inspection.
- Configuration de l'agent ElevenLabs avec la bonne région (ca-central-1 ou votre serveur).
- Mise en place de la rétention 30/90 jours et du scrubbing automatique des audios après expiration.
- Mention d'ouverture conforme dans les deux langues officielles.
- Documentation de la architecture multi-agent avec routage des appels et transferts humains conformes.
- Formation du responsable désigné chez vous, pour qu'il puisse répondre à une plainte CAI sans paniquer.
Vous n'avez aucune intégration à faire vous-même. Vous nous donnez le contexte métier, on revient deux semaines plus tard avec un agent vocal en production, conforme, et un dossier de conformité prêt.
Le « shadow AI » : le danger silencieux que personne ne voit
Voici un risque dont personne ne parle assez : vos employés utilisent déjà ChatGPT, Gemini ou Claude pour rédiger des courriels clients, sans aucun encadrement. C'est ce qu'on appelle le shadow AI, et la CAI a indiqué dans son rapport 2025 que c'est devenu la première source d'incidents de confidentialité signalés au Québec.
Un agent IA vocal bien déployé règle paradoxalement une partie du problème : si vos employés ont un outil officiel et conforme pour gérer les appels et certains courriels (transcription, résumé, suivi), ils ont moins besoin d'aller chercher des outils non conformes en parallèle. La conformité, ce n'est pas « moins d'IA » — c'est « la bonne IA, au bon endroit ».
Conclusion : la conformité, c'est un avantage compétitif en 2026
En 2024, la conformité Loi 25 était vue comme un coût. En 2026, c'est devenu un argument de vente. Vos clients, vos partenaires et vos assureurs cyber vous demandent de plus en plus à voir votre dossier de conformité avant de signer. Un agent IA vocal déployé proprement — ÉFVP signée, résidence canadienne ou on-prem, rétention courte, responsable nommé — est un checkmark sur leur questionnaire d'audit fournisseur.
Et avec l'arrivée du déploiement on-premise d'ElevenLabs en avril 2026, l'excuse « on aimerait, mais c'est trop risqué pour notre secteur » ne tient plus. Si vous êtes en santé, en juridique, en finance ou au secteur public, le bon outil existe. Si vous êtes ailleurs, le cloud canadien suffit et vous garde tranquille.
La seule mauvaise option, c'est de ne rien faire — et de regarder votre concurrent vous prendre les appels que vous manquez parce que vous n'avez pas voulu vous mettre à jour.
Vous voulez savoir si votre situation actuelle est conforme ? Écrivez-nous à contact@agentiavocal.ca — nous vous offrons une revue de 30 minutes pour identifier où vous en êtes et ce qu'il faut ajuster avant la prochaine inspection.