Le 1er mai 2026, La Presse a publié un titre que beaucoup de propriétaires de PME au Québec ont préféré ne pas lire : « Votre recours à l'IA au boulot pourrait être illégal. » L'article visait surtout l'IA en milieu de travail, mais il a fait sursauter une autre catégorie d'utilisateurs : les centaines de PME québécoises qui ont branché un agent IA vocal sur leur ligne téléphonique depuis 18 mois sans jamais ouvrir le texte de la Loi 25.
Mauvaise nouvelle : si votre agent IA vocal prend des appels au Québec, la Commission d'accès à l'information (CAI) considère que vous traitez des renseignements personnels par décision automatisée. Et l'amende maximale prévue à l'article 91 de la Loi 25 monte à 25 millions de dollars ou 4 % du chiffre d'affaires mondial — le plus élevé des deux.
Bonne nouvelle : la conformité, ce n'est pas un projet de 6 mois. Pour la majorité des PME, c'est une mise à jour du system prompt de l'agent, deux ou trois ajustements opérationnels, et un courriel à votre conseiller juridique. Une semaine de travail bien fait.
Voici le test en 12 questions que nous faisons passer à chaque agent IA vocal qu'on déploie chez TECHMA depuis que la CAI a annoncé sa vague d'audits 2026.
Les 3 articles de la Loi 25 qui mordent un agent IA vocal
Avant le test, il faut comprendre ce qui s'applique. Trois articles font le gros du travail :
Article 12.1 — Décisions automatisées. Si votre agent prend une décision sur un appelant (le router vers un humain ou non, lui offrir un rendez-vous ou non, qualifier sa demande), c'est une décision basée exclusivement sur traitement automatisé. Vous devez l'informer, lui expliquer la logique et lui dire les conséquences. Pas un avis générique. La logique réelle.
Article 14 — Consentement éclairé. Le consentement pour le traitement par IA doit être « manifestement éclairé et explicite ». Le piège classique : « cet appel pourrait être enregistré pour assurer la qualité du service. » Cette phrase ne vaut plus rien quand l'IA est dans la boucle. La CAI veut que l'appelant comprenne qu'une IA traite ses données et comment.
Article 17 — Transferts hors Québec. Si votre agent IA vocal tourne sur des serveurs ElevenLabs, OpenAI ou Microsoft Azure US, il y a transfert transfrontalier. Vous devez informer l'appelant et obtenir son consentement, point. La plupart des PME que nous auditons ratent celui-là.
Le test en 12 questions
Prenez 10 minutes. Notez votre score. À la fin, on vous donne le seuil au-delà duquel il faut ouvrir le téléphone.
1. Au début de chaque appel, l'agent dit-il explicitement qu'il s'agit d'une intelligence artificielle ? Pas « assistant virtuel » ou « réceptionniste 24/7 ». Le mot « intelligence artificielle » ou « agent IA » doit y être. La CAI a été claire en 2025 : la transparence fonctionnelle bat l'avis générique.
2. L'agent annonce-t-il que l'appel est enregistré ET que l'enregistrement sera traité par une IA ? Les deux. Beaucoup de scripts ne mentionnent que l'enregistrement, pas le traitement IA. Article 12.1.
3. L'appelant peut-il, à tout moment, demander à parler à un humain ? Et l'agent obéit-il sans friction ? La CAI considère le verrouillage dans une boucle IA comme un défaut de consentement révocable.
4. Avez-vous un script de divulgation FR et EN ? Si l'appelant bascule en anglais, le consentement bascule aussi. Une PME que nous avons auditée en mars avait un script FR impeccable et un script EN qui ne mentionnait l'IA nulle part. Risque immédiat.
5. Conservez-vous l'historique des appels ? Combien de temps ? Et où ? L'article 3 exige une politique de conservation. « Indéfiniment » n'est pas une politique.
6. Les enregistrements sont-ils stockés au Canada ? Si non, divulgation transfrontalière obligatoire à l'article 17. La majorité des intégrateurs utilisent l'infrastructure US par défaut. À auditer absolument.
7. Avez-vous fait une évaluation des facteurs relatifs à la vie privée (EFVP) ? Article 3.3. Pour un agent IA vocal, c'est environ 8 à 12 pages. La CAI peut la demander avec 48 h de préavis.
8. Votre agent traite-t-il des renseignements de santé, de finances ou d'enfants ? Si oui, le seuil de consentement explicite monte d'un cran. Pour les cliniques et cabinets juridiques, c'est non négociable.
9. Avez-vous nommé un responsable de la protection des renseignements personnels ? Article 3.1. Pour une PME, ce peut être le président ou la DG. Mais le nom doit être public et joignable.
10. Avez-vous documenté la logique de décision de votre agent ? Quand router à un humain, quand offrir un rendez-vous, quand fermer l'appel. Si vous ne pouvez pas l'expliquer en français de tous les jours, vous ne pouvez pas le divulguer aux appelants.
11. Pouvez-vous supprimer les données d'un appelant qui le demande ? Et en combien de temps ? Le droit à l'effacement (article 28.1) est appliqué. 30 jours est la norme.
12. Avez-vous un plan de réponse aux incidents pour une fuite vocale ? Article 3.5. Ce qu'on appelle une « atteinte à la vie privée » déclenche une notification obligatoire à la CAI dans les 72 h.
Score : 0 à 4 oui : vous êtes en zone rouge, débranchez ou réparez vite. 5 à 8 : zone jaune, à corriger en 30 jours. 9 à 12 : zone verte, audit annuel suffit.
Cas réel : un cabinet d'audioprothésistes à Laval
En février 2026, on nous a appelés pour une mise aux normes. Le cabinet utilisait un agent IA vocal depuis 14 mois : prise de rendez-vous, qualification des nouveaux patients, suivis post-essai. Excellents résultats côté ROI. Score Loi 25 : 3 sur 12.
Les trous ? L'agent se présentait comme « Maria, votre assistante ». Aucune mention d'IA. Les enregistrements vivaient sur ElevenLabs (US) sans divulgation transfrontalière. Aucune EFVP. Aucun responsable nommé. Et le cabinet recueillait des renseignements de santé.
Mise aux normes en 6 jours. Réécriture du script d'ouverture (8 secondes ajoutées, taux de conversion identique). Migration des enregistrements vers une infrastructure canadienne. EFVP rédigée par un avocat partenaire (1 800 $). Désignation du dr-propriétaire comme responsable. Politique de conservation à 90 jours. Score final : 11 sur 12.
Coût total de la mise aux normes : 4 100 $. À comparer aux amendes minimales de 15 000 $ par infraction que la CAI peut imposer même à une petite structure.
Le plan de mise aux normes en 1 semaine
Jour 1 — Audit. Faites passer le test en 12 questions. Notez les 3 trous les plus risqués (zone rouge en priorité).
Jour 2 — Script d'ouverture. Réécrivez le bloc d'introduction de votre agent. Voici notre modèle FR de 18 secondes : « Bonjour, vous parlez avec [nom], l'agent intelligence artificielle de [entreprise]. Cet appel est enregistré et traité par une IA pour [finalités]. Vos renseignements peuvent être stockés sur des serveurs aux États-Unis. Vous pouvez à tout moment demander à parler à un humain ou refuser de continuer. Êtes-vous d'accord pour poursuivre ? » Doublez en EN.
Jour 3 — Infrastructure et conservation. Vérifiez où vivent vos enregistrements. Si possible, basculez vers une option canadienne (ElevenLabs offre un déploiement CA depuis février 2026). Définissez une durée de conservation : 30, 60 ou 90 jours selon votre secteur.
Jour 4 — EFVP. Rédigez ou faites rédiger l'évaluation des facteurs relatifs à la vie privée. Pour une PME standard, c'est 4 à 8 heures de travail avec un avocat ou un consultant en conformité.
Jour 5 — Nomination et politique. Désignez le responsable. Publiez la politique de confidentialité mise à jour sur votre site. Ajoutez une section « Comment nous utilisons l'IA ».
Jour 6 — Tests. Faites les 7 tests opérationnels habituels en plus des 12 questions de conformité. Documentez les résultats.
Jour 7 — Documentation. Classez tout dans un dossier conformité : scripts, EFVP, politique, registre des consentements, plan d'incident. Si la CAI cogne, vous ouvrez le classeur en 2 minutes.
Ce qui a vraiment changé en 2026
Trois choses concrètes :
D'abord, la CAI a publié en janvier ses priorités d'audit pour l'année. Les agents IA vocaux et les chatbots sont nommément ciblés. Ce n'est plus théorique.
Ensuite, l'article de La Presse du 1er mai a fait basculer le sujet du juridique vers le comptoir des PME. Les conseils d'administration commencent à poser des questions à leurs DG.
Finalement, les pénalités. La fourchette administrative monte de 15 000 $ à 25 000 000 $. Pour les PME, l'enjeu n'est pas l'amende maximale — c'est l'ordonnance de publication prévue à l'article 90. La CAI peut vous obliger à publier publiquement votre infraction. Pour un cabinet qui dépend de la confiance, c'est plus dommageable que le chèque.
Le compromis honnête : conformité vs. ROI
On nous demande souvent si la conformité Loi 25 tue le ROI d'un agent IA vocal. Réponse courte : non, mais elle ajoute 8 à 15 secondes au début de chaque appel. Sur des appels de 90 secondes, c'est environ 10 %.
Notre constat après 30 PME mises aux normes : le taux de conversion ne bouge quasiment pas. Les appelants apprécient la transparence. Certains raccrochent — mais c'étaient des appelants qui n'auraient probablement jamais converti de toute façon. Le ROI net descend de 5 à 8 % en moyenne. C'est le coût de dormir tranquille.
L'erreur que font certaines PME : cacher l'IA pour préserver une conversation « naturelle ». À court terme, ça marche. À moyen terme, c'est exactement ce que la CAI cible. Et si un appelant porte plainte, vous payez à la fois l'amende et la mauvaise presse.
Et maintenant ?
Si vous avez un agent IA vocal en production au Québec, faites le test en 12 questions cette semaine. Pas le mois prochain. Cette semaine.
Si votre score est en zone rouge ou jaune, on peut vous aider à fermer les trous. C'est l'équipe TECHMA qui réécrit les scripts, migre l'infrastructure, rédige l'EFVP avec notre avocat partenaire et configure votre politique de conservation. Vous, vous gardez votre agent en marche pendant la transition.
La Loi 25 n'a pas été écrite pour tuer l'IA vocale. Elle a été écrite pour qu'on ne puisse plus se cacher derrière elle. Pour les PME du Québec qui font les choses proprement, c'est une excellente nouvelle : vos compétiteurs qui prennent des raccourcis vont se faire pincer en premier.