Mardi matin, 7 mai 2026. Caroline, propriétaire d'une clinique dentaire de Sherbrooke, vient de signer un contrat de 14 mois avec un fournisseur californien d'agent IA vocal. Bilingue, beau site, démo impressionnante. Le lendemain, son avocat l'appelle: « As-tu vu la nouvelle? Le Commissariat à la protection de la vie privée du Canada (OPC) vient de publier ses conclusions sur ChatGPT. Il faut qu'on parle. »
Le 6 mai 2026, l'OPC a publié PIPEDA-2026-002, le rapport conjoint d'une enquête menée avec la Commission d'accès à l'information du Québec (CAI), la Colombie-Britannique et l'Alberta. Verdict: OpenAI a violé la LPRPDE et la Loi 25 dans la conception même de ChatGPT. Surcollecte, absence de consentement valide, manque de transparence, défaut de reddition de comptes.
Pour les agents IA vocaux vendus aux PME du Québec, c'est plus qu'une nouvelle juridique. C'est un signal d'alarme qui fait remonter trois questions que la plupart des fournisseurs préfèrent ne pas voir.
Ce qui s'est passé : PIPEDA-2026-002 en 90 secondes
L'enquête a commencé en avril 2023 après une plainte. L'OPC a élargi le dossier et associé trois commissaires provinciaux — dont la CAI du Québec — vu l'ampleur des risques. Trois ans plus tard, les conclusions tombent.
Le rapport identifie quatre manquements majeurs:
- Surcollecte: OpenAI a aspiré d'énormes volumes de données personnelles depuis le web public — y compris des informations sensibles (santé, opinions politiques, données sur des enfants) — sans mécanismes adéquats pour éviter leur usage dans l'entraînement des modèles.
- Absence de consentement valide: aucune base légale crédible pour utiliser ces données. Pas d'avis aux personnes concernées. Pas d'option de retrait.
- Inexactitudes factuelles: le modèle invente des faits sur des personnes réelles, sans moyen pratique de correction.
- Reddition de comptes insuffisante: les usagers ne peuvent pas exercer les droits d'accès, correction et suppression garantis par la loi.
Pourquoi ça compte ici? Parce que la majorité des agents IA vocaux vendus aux PME du Québec en 2026 reposent sur des modèles entraînés exactement comme ChatGPT. Et plusieurs traitent les enregistrements de vos clients à travers ces mêmes plateformes.
Pourquoi c'est plus grave que ChatGPT (pour les agents vocaux)
Regardez bien — c'est la partie qui surprend le plus les entrepreneurs québécois. Un agent IA vocal ne « lit » pas du texte. Il capte votre voix. Et sous la Loi 25, la voix entre dans une catégorie particulièrement encadrée.
L'article 17 de la Loi 25 exige que tout renseignement personnel transféré hors du Québec bénéficie d'une protection équivalente à ce que la Loi prévoit. Selon plusieurs avis spécialisés publiés en 2026, l'hébergement chez un fournisseur infonuagique américain ne satisfait pas ce critère — même si les serveurs physiques sont au Canada. Le CLOUD Act américain prime, et c'est précisément ce que l'article 17 cherche à bloquer.
Plus problématique encore: l'empreinte vocale est traitée comme une donnée biométrique. L'article 8.1 de la Loi 25 oblige les entreprises à aviser la CAI au moins 60 jours avant la création d'une base de données biométriques. Combien de fournisseurs américains de voice AI ont fait ce dépôt? Posez la question. Vous serez surpris.
Ajoutez à ça les exigences de notification d'incident (72 heures à la CAI) et de consentement granulaire (article 14, qui interdit les clauses fourre-tout), et le portrait devient clair: la vague made in Canada des agents IA vocaux n'est pas une mode marketing. C'est une réponse directe à une obligation légale qui se resserre.
L'audit Loi 25 en 6 points pour votre fournisseur d'agent IA vocal
Voici la grille que TECHMA utilise dans ses appels de découverte avec les PME du Québec. Imprimez-la, faites-la signer par votre fournisseur. Si une seule case reste vide, vous avez un problème.
1. Où sont stockés les enregistrements vocaux?
Pas « dans le cloud ». Demandez la région exacte, le fournisseur (AWS Canada Central? Azure Quebec? OVHcloud Beauharnois?) et la durée de rétention. Si la réponse contient les mots « us-east », « Virginia », ou « Oregon », vous êtes en situation de transfert transfrontalier. Possible — mais documentez la protection équivalente, sinon vous violez l'article 17.
2. Le fournisseur a-t-il avisé la CAI pour le traitement biométrique?
L'article 8.1 est clair: 60 jours d'avis avant la mise en service d'une base biométrique. Demandez la copie du formulaire de divulgation. Un fournisseur qui hésite ici — ou qui répond « on ne fait pas de biométrie, c'est juste de la reconnaissance vocale » — n'a probablement pas fait le dépôt.
3. Où tourne le modèle LLM qui « pense » pour l'agent?
C'est le piège que 80% des PME ratent. Même si l'enregistrement vocal reste au Canada, l'inférence GPT-Realtime-2 ou Claude tourne souvent à partir des États-Unis. À 32 $ USD par million de jetons audio en entrée, OpenAI ne paie pas pour bâtir une infrastructure canadienne dédiée. Demandez le diagramme de flux. Si la voix de votre client passe par un endpoint *.openai.com aux États-Unis pour être analysée, vous transférez. Point.
4. Le consentement est-il granulaire et spécifique?
L'article 14 de la Loi 25 interdit les clauses fourre-tout du type « pour améliorer nos services ». Le message d'accueil doit énumérer: enregistrement, traitement par IA, partage avec tel fournisseur, durée de conservation, droit de retrait. En français, et lu au début de l'appel. Pas dans une politique de confidentialité que personne ne lit.
5. Y a-t-il un processus de notification de bris en 72 heures à la CAI?
Tout incident — y compris une fuite via le modèle LLM — doit être déclaré dans les 72 heures. Demandez le runbook. Qui appelle qui? Qui rédige le rapport? Qui contacte les personnes concernées? Sans procédure écrite, c'est garanti que ça ne se fera pas à temps.
6. Le fournisseur peut-il produire un diagramme de flux spécifique au Québec?
Un schéma qui montre, pour un appel typique d'un client de Sherbrooke: où passe l'audio, où il est stocké, qui peut y accéder, combien de temps il est conservé. Si la réponse est « on vous l'enverra », demandez une date. Si la date glisse trois fois, vous savez ce que ça veut dire.
Ce que TECHMA fait différemment au Québec
Première chose: TECHMA gère la mise en place complète. Pas de configuration en mode libre-service où le client doit cocher des cases qu'il ne comprend pas. Notre équipe fait l'audit Loi 25 du dossier — incluant le dépôt à la CAI quand c'est requis — avant même de connecter le téléphone.
Deuxième chose: choix d'infrastructure. Pour les clients qui veulent zéro transfert transfrontalier, on déploie sur des infrastructures canadiennes avec un fallback documenté. Pour ceux qui acceptent un modèle hybride, on rédige les clauses contractuelles types et le consentement client qui rendent le transfert conforme à l'article 17.
Troisième chose: le script de consentement français est écrit, validé par un avocat, et adapté à votre secteur. Une clinique dentaire de Laval n'a pas les mêmes exigences qu'un concessionnaire automobile de Drummondville. Ça ne se met pas sur pilote automatique. C'est un peu comme le guide de configuration bilingue: les détails comptent.
Le plan d'action 30 jours
Si vous avez déjà un agent IA vocal en place, voici l'ordre des opérations sur les quatre prochaines semaines.
Semaine 1. Envoyez les 6 questions de l'audit à votre fournisseur par courriel. Donnez 7 jours pour répondre. Ne vous contentez pas d'un appel — vous voulez des réponses écrites et signées. Si le fournisseur résiste, c'est déjà votre réponse.
Semaine 2. Faites lire les réponses par un avocat ou un consultant spécialisé Loi 25. Le coût varie de 800 $ à 2 000 $ pour une PME. Comparez ça au plafond de 25 000 000 $ d'amende prévu par la Loi 25. Le calcul se fait tout seul.
Semaine 3. Corrigez le message d'accueil. Mentionnez l'enregistrement, le traitement IA, le droit de retrait. Mettez à jour votre politique de confidentialité. Faites le dépôt à la CAI si votre fournisseur ne l'a pas fait (et si la voix de vos clients est utilisée pour personnalisation ou authentification — c'est-à-dire dans 95% des déploiements modernes).
Semaine 4. Rédigez votre runbook de notification d'incident. Identifiez la personne responsable. Faites un test à blanc avec votre équipe. Documentez. Et si pendant ces 4 semaines, votre fournisseur n'a pas répondu de façon claire à un seul des 6 points — vérifiez les signaux d'alarme Air AI. C'est le genre de précédent qu'on n'a pas envie de revivre au Québec.
FAQ
Est-ce qu'un agent IA vocal est carrément interdit au Québec après PIPEDA-2026-002?
Non. La technologie reste légale. C'est la mise en œuvre qui doit respecter la Loi 25 et la LPRPDE. Les agents conformes existent — il faut juste les configurer correctement et documenter le tout.
Mon agent IA vocal est-il vraiment considéré comme une base biométrique?
Si votre agent utilise l'empreinte vocale pour identifier ou authentifier un appelant — oui, sans ambiguïté. S'il fait uniquement de la transcription en temps réel sans empreinte stockée, c'est plus gris. Demandez un avis juridique. Et même dans le cas « gris », l'article 17 sur le transfert transfrontalier s'applique de toute façon.
Combien de temps faut-il pour devenir conforme?
Pour une PME standard avec un agent déjà en place: 4 à 8 semaines avec un accompagnement. Pour une nouvelle implantation faite par TECHMA dès le départ: la conformité est intégrée au plan de déploiement. Pas d'extra. Pas de rattrapage.
Conclusion : la fenêtre se referme
PIPEDA-2026-002 ne va pas rester un dossier isolé. La CAI a clairement signalé en mai 2026 que les enquêtes sectorielles sur l'IA vocale et la téléphonie automatisée sont sa prochaine priorité. Les premières amendes administratives tombent à l'automne 2026 d'après les sources de l'OPC.
Les PME du Québec qui font l'audit maintenant — pendant que le marché est encore tolérant aux corrections — vont passer la prochaine vague sans dommage. Celles qui attendent vont apprendre la conformité par la facture. C'est rarement la meilleure méthode.
Si vous voulez qu'on revoie ensemble votre déploiement actuel, ou qu'on prépare le bon depuis le départ, l'équipe TECHMA fait l'audit Loi 25 en 30 minutes. Aucun engagement. On vous dit où vous êtes, point.