Il faut un cadre simple : quoi coller, quoi garder à l’interne, qui valide, comment on documente. Assez clair pour que les gens s’en servent.
Cette page vous donne une liste de vérification, puis ce qu’on livre si vous voulez l’écrire avec nous. Ce n’est pas un avis juridique. Pour une opinion sur votre situation, parlez à votre conseiller. Nous, on écrit la version qu’on peut afficher près de l’écran.
Le constat
L’outil n’est presque jamais le problème. Ce qui manque, c’est la décision. Sans cadre, les plus prudents n’utilisent rien ; les plus pressés collent un dossier client dans le ChatGPT gratuit.
Loi 25 n’exige pas que vous interdisiez l’IA. Elle exige que vous sachiez ce que vous faites avec les renseignements personnels, y compris quand un outil tiers les lit. Un consultant IA au Québec sert aussi à ranger l’usage. La formation ChatGPT intègre le cadre dans l’atelier, pas six mois plus tard.
Cinq questions à vous poser avant d’ouvrir l’outil
Imprimez-les. Collez-les près de l’écran. Si une équipe ne peut pas y répondre, elle n’est pas prête à coller un dossier.
1. Qui voit les données, concrètement ?
Avant de coller quoi que ce soit, faites une simple liste des gens qui voient les données. Pas besoin d'un diagramme.
- La personne qui tape. Est-elle la bonne personne pour ce dossier ?
- Les collègues du même espace. Dans un ChatGPT Team, un Copilot ou un GPT interne, d’autres peuvent-ils relire l’historique ?
- Les administrateurs. Journaux, archives, conservation.
- Le fournisseur. OpenAI, Microsoft, Google, Anthropic, et leurs sous-traitants. Vos textes sortent de votre poste.
- Personne d’autre. Pas un compte perso, pas un fil Slack avec le nom du client encore dedans.
Si vous ne savez pas qui voit quoi, vous ne savez pas ce que vous communiquez. Nommez un responsable interne : qui décide, qui valide, qui forme les nouveaux.
2. ChatGPT gratuit ou ChatGPT entreprise. Ce n’est pas le même produit
L'écran se ressemble, mais le contrat est différent.
Le ChatGPT gratuit, ou un compte Plus personnel, est un produit grand public, sans espace d’administration pour l’entreprise. L’historique reste dans un compte personnel, souvent sur un cellulaire. Pour des dossiers clients ou de la propriété intellectuelle, ce n’est pas un outil d’entreprise. C’est un raccourci.
ChatGPT Team ou Enterprise, l’API, Copilot dans votre espace Microsoft ou Gemini dans Google Workspace vous donnent un espace d’entreprise, des rôles, des règles de conservation, et souvent une clause « on n’entraîne pas sur vos données d’entreprise ». Ça ne rend pas l’outil « conforme ». Ça vous permet de gérer l’usage. On sait qui a un siège, et on peut couper un accès.
La règle est simple. Les dossiers de l’entreprise ne vont pas dans un compte personnel. Si quelqu’un s’en sert déjà comme ça, on le dit tout de suite et on change de compte avant de « former tout le monde ».
Même chose pour Claude, Gemini et Copilot. La marque compte moins que ces questions : compte personnel ou espace d'entreprise, où vont les données, et qui gère l'outil.
3. Quoi ne pas coller. Une liste que les gens retiennent
Personne ne retient une politique de 18 pages. Une classification en quatre cases, oui.
Public. Déjà en ligne, déjà dit au marché. On peut s’en servir comme contexte.
Interne. Méthodes, modèles, ton de l’entreprise, processus. OK dans l’espace entreprise, pas dans un compte perso.
Confidentiel. Dossiers clients, conditions commerciales, secrets d’affaires, états financiers non publics. Pas dans un outil grand public. Dans un espace d’entreprise, seulement si la tâche le justifie, et souvent anonymisé (initiales, numéros de dossier internes, faits sans identifiants).
Interdit. Renseignements personnels sensibles, numéros d’assurance sociale, données de santé, mots de passe, secrets d’authentification, contenu qu’un client vous a confié sous entente stricte, tout ce que vous n’enverriez pas à un fournisseur sans contrat. On ne colle pas. Point.
Exemples que les équipes reconnaissent : un fil de courriels nominatif (on retire les identifiants, ou on ne colle pas) ; un CV complet « pour préparer l’entrevue » (non, pas tel quel) ; « résume ce dossier patient / cet élève / ce bénéficiaire » (interdit, sauf cadre prévu ailleurs que sur cette page).
Pendant la formation, les gens prennent l'habitude de se demander dans quelle case ils sont avant de coller. Voir Formation ChatGPT entreprise.
4. Évaluation vie privée. Quand la faire
Évaluation des facteurs relatifs à la vie privée. Le nom fait peur, mais la question de départ est simple.
Demandez-vous : est-ce qu’on s’apprête à envoyer des renseignements personnels dans un nouvel outil, surtout un outil hors Québec, dans le nuage, chez un fournisseur américain ? Avec ChatGPT, Copilot, un agent ou un « GPT interne » branché sur des dossiers, la réponse est souvent oui.
Si oui, faites cette évaluation avant d’ouvrir l’outil à toute l’équipe, pas après le midi-conférence ou quand un client pose la question.
On ne rédige pas l’avis. On vous aide à voir le déclencheur, à poser les questions que l’équipe juridique (interne ou externe) attend : quelles données, quelle finalité, où ça voyage, qui a accès, combien de temps on conserve, comment on coupe l’accès.
Si aucune donnée personnelle ne sort, le chantier est plus léger, et on le dit. Si des dossiers clients nourrissent un outil d’IA, on ne fait pas semblant que « c’est juste un assistant de rédaction ».
5. Article 12.1. Ce que ça change concrètement pour l’équipe
Sans interpréter la loi à la place de votre avocat, voici l’idée. Quand une décision concernant une personne part uniquement d’un traitement automatisé de ses renseignements (sans qu’un humain ait vraiment tranché), l’entreprise a des devoirs de transparence et de révision humaine.
Ce que ça change dans le quotidien, pas dans un mémoire :
- ChatGPT qui rédige un courriel, relu et envoyé par un humain, ce n’est pas « une machine qui décide ». C’est un brouillon. Un humain reste responsable.
- Un outil qui classe tout seul un candidat, refuse un crédit, priorise un dossier, fixe un tarif personnalisé, sans relais humain nommé et capable de réviser. Là, vous n’êtes plus dans le brouillon. L’équipe doit pouvoir : le dire à la personne, expliquer sur demande ce qui a servi, et offrir qu’un humain réécoute.
- « Relu par un humain » veut dire relu. Pas un tampon automatique à 17 h le vendredi. Quelqu’un de l’entreprise, en mesure de changer la décision.
On écrit souvent cette consigne d’équipe. On n’automatise pas une décision RH, de crédit, d’admission, de tarif ou de traitement de dossier sans un relais humain nommé. Si un projet s’en approche, on arrête le sprint et on en parle avec vous et votre conseiller avant d’aller plus loin.
C’est une règle de travail. Ce n’est pas une opinion sur la portée exacte de l’article dans votre cas.
Un cadre trop lourd ne sert pas. Un cadre trop lâche non plus.
On écrit la version affichable près de l’écran : politique en langage clair, classification (public / interne / confidentiel / interdit), rôles, réglages d’espace de travail. On reprend le même cadre dans les ateliers et les guides de travail, pour qu’il ne reste pas dans un tiroir.
Le service est sur Services. La méthode, sur Approche. On n’est lié à aucune plateforme. On évite d’empiler les abonnements, et surtout le compte personnel « en attendant ».
Comment ça entre dans un mandat
Souvent, le cadre fait partie d’un sprint de 30 jours, d’un programme de 90 jours ou d’un suivi à l’année. Le niveau de sensibilité n’est pas le même pour une PME, un OBNL ou un cabinet. On l’écrit pour vous, pas pour « le Québec en général ».
Cette page ne dit pas que vous êtes conforme, ni que ChatGPT entreprise « règle Loi 25 ». Elle ne chiffre pas une amende. Elle vous donne de quoi cesser d’improviser. Ensuite, une personne chez vous, ou votre conseiller juridique, tranche le reste.