IA générative dans une clinique au Québec : ce que la Loi 25 et les principes du Commissariat exigent avant de déléguer

Avant de confier des tâches administratives à une IA générative dans ma clinique au Québec, qu'est-ce que la Loi 25 et les principes du Commissariat exigent ?

Point clé à retenir. Une IA générative qui touche des renseignements de patients est un traitement par un tiers. La Loi sur la protection des renseignements personnels dans le secteur privé vous oblige à confier le mandat par écrit, à y inscrire les mesures de confidentialité, à faire une évaluation des facteurs relatifs à la vie privée avant toute communication hors Québec, et à nommer un responsable. Le Commissariat ajoute : limitez ce que vous entrez dans une requête, traitez les inférences comme des renseignements personnels, et gardez la décision humaine. Validez votre cas avec votre Ordre ou un conseiller.

Pourquoi maintenant

Le 7 décembre 2023, le Commissariat à la protection de la vie privée du Canada publiait ses Principes pour des technologies de l'intelligence artificielle (IA) générative responsables, dignes de confiance et respectueuses de la vie privée. Le document ne crée pas un nouveau régime : il explique comment les principes existants s'appliquent déjà. Du côté québécois, la Loi sur la protection des renseignements personnels dans le secteur privé (chapitre P-39.1) est à jour au 15 octobre 2026 et contient les articles ajoutés en 2021 sur la gouvernance, les mandats confiés à des tiers et les décisions automatisées.

Entre les deux, le message est le même : brancher un outil d'IA sur votre boîte de courriels, vos rappels de rendez-vous ou vos réponses aux patients n'est pas une décision purement technique. C'est une décision de conformité, et elle se documente.

Ce que la règle dit vraiment

Le point de départ, c'est que vous restez responsable, peu importe qui héberge quoi. L'article 3.1 de la loi québécoise est net : « Toute personne qui exploite une entreprise est responsable de la protection des renseignements personnels qu'elle détient. » Et la fonction de responsable appartient d'office au sommet : « Au sein de l'entreprise, la personne ayant la plus haute autorité veille à assurer le respect et la mise en oeuvre de la présente loi. »

Quand vous confiez une tâche à un fournisseur, l'article 18.3 impose une forme précise. Vous devez « confier le mandat ou le contrat par écrit » et « indiquer, dans le mandat ou le contrat, les mesures que le mandataire ou l'exécutant du contrat doit prendre pour assurer la protection du caractère confidentiel du renseignement personnel communiqué, pour que ce renseignement ne soit utilisé que dans l'exercice de son mandat ou l'exécution de son contrat et pour qu'il ne le conserve pas après son expiration ».

Si le traitement sort du Québec, l'article 17 ajoute une étape avant, pas après : « Avant de communiquer à l'extérieur du Québec un renseignement personnel, la personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. » Le même article précise que cette obligation vaut aussi quand vous sous-traitez : « Il en est de même lorsque la personne qui exploite une entreprise confie à une personne ou à un organisme à l'extérieur du Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver pour son compte un tel renseignement. »

Sur la nature des données d'une clinique, l'article 12 définit le renseignement sensible comme celui qui, « de par sa nature notamment médicale, biométrique ou autrement intime, ou en raison du contexte de son utilisation ou de sa communication, il suscite un haut degré d'attente raisonnable en matière de vie privée ». Et pour ce type de renseignement, l'article 13 est explicite : « Le consentement doit être manifesté de façon expresse dès qu'il s'agit d'un renseignement personnel sensible. »

Du côté fédéral, le Commissariat place une limite claire sur ce que vous tapez dans une fenêtre de requête. Les organisations qui utilisent des systèmes d'IA générative devraient, selon le principe 7 (Limitation de la collecte, de l'utilisation et de la communication des renseignements), « lorsque des renseignements personnels (et, en particulier, des renseignements sensibles ou confidentiels) doivent être entrés dans une requête, ne le faire que si cela est autorisé; sauf indication contraire, les requêtes ne doivent pas être conservées et utilisées à des fins secondaires ni communiquées ».

Le même document rappelle que ce que l'IA déduit compte aussi. Toujours au principe 7, les organisations utilisant ces systèmes devraient « traiter les inférences générées au sujet d'une personne identifiable comme des renseignements personnels ». Et au principe 5 (Responsabilité) : « savoir que la responsabilité des décisions incombe à l'organisation et non à tout type de système automatisé utilisé pour appuyer le processus décisionnel ».

Enfin, si une décision touchant un patient est prise sans intervention humaine, l'article 12.1 s'applique : vous devez en informer la personne « au plus tard au moment où elle l'informe de cette décision », et il doit lui être donné « l'occasion de présenter ses observations à un membre du personnel de l'entreprise en mesure de réviser la décision ».

La méthode

1. Cartographier les tâches, pas les outils

Avant de regarder un logiciel, écrivez la liste des tâches que vous voulez déléguer et, pour chacune, les renseignements qui circulent. Répondre au téléphone après les heures : nom, numéro, motif d'appel. Rédiger une réponse à un avis Google : nom affiché, contenu de l'avis. Trier des courriels : tout ce que le patient a écrit.

Une clinique de physiothérapie de Laval pourrait découvrir que trois tâches sur cinq ne nécessitent aucun détail clinique, et qu'une seule (le triage des demandes par courriel) expose un motif de consultation. C'est celle-là qui exige l'encadrement le plus serré. Le principe 3 du Commissariat demande d'évaluer si l'usage est nécessaire et proportionnel, et de vérifier s'il existe une solution moins intrusive.

2. Écrire le mandat et y mettre les trois clauses de l'article 18.3

Pas de poignée de main. Le contrat doit être écrit et nommer les mesures de confidentialité, l'usage limité au mandat, et la non-conservation après expiration. Ajoutez l'obligation du fournisseur d'aviser sans délai votre responsable en cas de violation, comme le prévoit le deuxième alinéa du même article.

Un cabinet dentaire de Québec qui installe une réceptionniste IA demanderait au fournisseur, par écrit : où sont stockées les transcriptions d'appel, combien de temps, qui y a accès, et si les requêtes servent à entraîner un modèle. Le principe 4 du Commissariat prévoit justement que les développeurs informent les organisations des objectifs secondaires, par exemple quand les renseignements tirés des requêtes servent à perfectionner un modèle.

3. Faire l'évaluation des facteurs relatifs à la vie privée avant de brancher

L'article 3.3 l'exige pour tout projet d'acquisition, de développement ou de refonte de système d'information impliquant des renseignements personnels, et l'article 17 l'exige avant toute communication hors Québec. Les quatre éléments de l'article 17 vous donnent le gabarit : sensibilité, finalité, mesures de protection (y compris contractuelles), régime juridique de l'État destinataire.

Une clinique d'esthétique médicale d'Ottawa qui dessert aussi Gatineau ferait cette évaluation une fois, la daterait, et la rangerait avec le contrat. L'article 3.3 précise que l'évaluation doit être proportionnée : une IA qui rédige des réponses publiques à des avis ne demande pas le même niveau qu'un outil branché sur le dossier.

4. Réduire ce qui entre dans la requête

C'est l'étape la plus concrète et la plus souvent sautée. Formez l'équipe à ne pas coller de notes cliniques, de numéros d'assurance ou de dates de naissance dans un outil d'IA. Le principe 7 recommande d'utiliser des renseignements anonymisés ou dépersonnalisés dans les requêtes lorsque c'est possible et raisonnable.

Une clinique de Sherbrooke qui veut faire rédiger des réponses aux avis Google peut travailler uniquement à partir du texte public de l'avis, sans jamais confirmer si la personne est patiente. Sur ce point précis, notre article sur comment répondre à un avis négatif Google quand on est dentiste au Québec détaille la formulation.

5. Garder un humain sur les décisions et publier ce qu'il faut publier

L'article 3.1 demande que le titre et les coordonnées du responsable soient publiés sur le site Internet de l'entreprise, ou rendus accessibles autrement. L'article 3.2 demande la même chose pour vos politiques et pratiques de gouvernance, « en termes simples et clairs ». L'article 8.2 vise la politique de confidentialité quand vous recueillez par un moyen technologique.

Un cabinet à Trois-Rivières nommerait sa gestionnaire comme responsable déléguée par écrit, publierait son titre et un courriel de contact, et garderait la règle suivante : l'IA propose, un humain approuve avant l'envoi dans tout cas qui touche un rendez-vous, un refus ou un suivi.

Modèles

Clause à insérer dans un contrat de fournisseur (à faire valider par votre conseiller) :

Le fournisseur traite les renseignements personnels uniquement aux fins décrites au présent mandat. Il met en place les mesures de sécurité suivantes : chiffrement en transit et au repos, accès restreint au personnel dont la fonction l'exige, journalisation des accès. Il ne conserve aucun renseignement personnel après l'expiration ou la résiliation du mandat et confirme la destruction par écrit dans les trente jours. Il n'utilise pas les requêtes, transcriptions ou extrants aux fins d'entraînement d'un modèle. Il avise sans délai le responsable de la protection des renseignements personnels de la clinique de toute violation ou tentative de violation, et permet toute vérification relative à cette confidentialité.

Avis à afficher quand un patient interagit avec un outil d'IA :

Vous échangez avec un assistant automatisé. Il peut prendre votre nom, votre numéro de téléphone et le motif de votre appel pour transmettre votre demande à notre équipe. N'indiquez pas de renseignements médicaux détaillés dans ce canal. Un membre du personnel révise les demandes et vous rappelle. Pour toute question sur vos renseignements personnels, écrivez à notre responsable de la protection des renseignements personnels à l'adresse indiquée sur notre site.

Règle interne à afficher au poste d'accueil :

Ce qu'on ne colle jamais dans un outil d'IA : notes cliniques, photos de patients, numéro d'assurance maladie, date de naissance complète, diagnostic, nom de famille associé à un motif de consultation. Ce qu'on peut utiliser : le texte public d'un avis, un gabarit de réponse, un horaire, une description de service. En cas de doute, on demande au responsable avant d'envoyer.

Ce qu'il ne faut jamais faire

Coller une note clinique ou une photo de patient dans un outil grand public : le principe 7 limite l'entrée de renseignements sensibles aux cas autorisés, et l'article 13 exige un consentement exprès pour communiquer un renseignement sensible à un tiers.
Laisser l'IA envoyer seule une décision qui touche un patient : l'article 12.1 impose d'informer la personne et de lui donner l'occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision.
Signer un fournisseur sans contrat écrit : l'article 18.3 exige que le mandat soit confié par écrit avec les mesures de confidentialité nommées.
Supposer qu'un outil hébergé aux États-Unis est couvert parce que le fournisseur est canadien : l'article 17 exige l'évaluation avant toute communication hors Québec, y compris quand vous confiez la tâche de conserver pour votre compte.
Confirmer publiquement qu'une personne est votre patiente dans une réponse générée : le lien entre un nom et un service de santé est un renseignement de nature médicale au sens de l'article 12.
Réutiliser les enregistrements d'appels pour du marketing : l'article 12 réserve l'usage aux fins de la collecte, et précise que la prospection commerciale ne peut pas être considérée comme une fin compatible.
Croire qu'un extrant d'IA sur une personne n'est pas une donnée : le Commissariat demande de traiter les inférences générées au sujet d'une personne identifiable comme des renseignements personnels.

Quand confier la tâche

Si vous êtes à l'étape où l'outil est choisi mais où personne dans la clinique n'a le temps d'écrire le mandat, de faire l'évaluation des facteurs relatifs à la vie privée et de former l'équipe sur ce qui entre ou n'entre pas dans une requête, c'est exactement ce que fait notre équipe de spécialistes IA : cartographier les tâches, documenter le flux de données, configurer l'outil pour limiter ce qui circule, et laisser à la clinique un dossier daté qu'elle peut montrer. Nous ne donnons pas d'avis juridique et nous vous recommandons de faire valider votre cas précis par votre Ordre ou par un conseiller. Commencez par un audit gratuit : on regarde ce qui est déjà branché, ce qui sort du Québec et ce qui manque au dossier.

FAQ

Est-ce que la Loi 25 interdit l'IA générative dans une clinique ? Non. Le Commissariat écrit que les outils d'IA générative n'échappent pas aux cadres législatifs actuels, ce qui suppose qu'ils peuvent être utilisés dans ce cadre. La question n'est pas l'interdiction, c'est la documentation, la limitation des données et la responsabilité.

Est-ce que je dois demander le consentement du patient pour une réceptionniste IA ? L'article 8 exige d'informer la personne des fins, des moyens, de ses droits et de la possibilité que les renseignements soient communiqués à l'extérieur du Québec. Pour un renseignement sensible, l'article 13 exige un consentement exprès avant de le communiquer à un tiers. La réponse dépend de ce qui circule réellement, et mérite une validation.

Mon fournisseur est au Québec, est-ce que l'évaluation des facteurs relatifs à la vie privée s'applique quand même ? L'article 3.3 vise tout projet d'acquisition, de développement ou de refonte de système d'information impliquant des renseignements personnels, peu importe où est le fournisseur. L'article 17 ajoute une évaluation spécifique dès qu'un renseignement est communiqué ou conservé hors Québec.

Qui est le responsable de la protection des renseignements personnels dans une petite clinique ? Par défaut, la personne ayant la plus haute autorité. L'article 3.1 permet de déléguer cette fonction par écrit, en tout ou en partie, à toute personne. Le titre et les coordonnées doivent être publiés sur le site ou rendus accessibles autrement.

Qu'est-ce qui compte comme renseignement sensible dans une clinique ? L'article 12 vise ce qui est de nature notamment médicale, biométrique ou autrement intime, ou qui suscite un haut degré d'attente raisonnable en matière de vie privée en raison du contexte. Un motif de consultation associé à un nom tombe facilement dans cette catégorie.

Que faire si l'outil d'IA produit une information fausse sur un patient ? L'article 11 exige que les renseignements soient à jour et exacts au moment où vous les utilisez pour prendre une décision. Le Commissariat demande de prendre des mesures raisonnables pour s'assurer que les extrants sont de l'exactitude requise, surtout s'ils servent à décider ou s'ils sont rendus publics. Corrigez, documentez, et gardez un humain en révision.

Darly Robert Cham, fondateur d'IntelliAIScale. Ancien coordonnateur de recherche clinique à l'Hôpital Maisonneuve-Rosemont, certifié CCRP, CCRC et CCRA (CRA School). IntelliAIScale aide les cliniques de l'Ontario et du Québec à répondre à chaque appel et à chaque avis.

Sources

https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1 (lue le 2026-11-11)
https://www.priv.gc.ca/fr/sujets-lies-a-la-protection-de-la-vie-privee/technologie/intelligence-artificielle/gd_principes_ia/ (lue le 2026-11-11)