Loi 25 et intelligence artificielle
Dernière mise à jour : 9 novembre 2026
Les systèmes que nous concevons touchent souvent des renseignements personnels : ceux de vos clients, de vos employés, de vos partenaires. Au Québec, la Loi 25 encadre la façon de les recueillir, de les utiliser et de les protéger. Chez Umbral, ces règles font partie de la conception dès le départ, pas d’une vérification à la fin.
Vos données restent sous votre contrôle
Les automatisations lisent et écrivent dans vos outils : votre messagerie, votre CRM, votre stockage. Par défaut, elles fonctionnent dans le compte d’Umbral sur une plateforme d’automatisation configurée pour ne pas conserver le contenu des exécutions. Si vos renseignements doivent demeurer au Canada, elles peuvent fonctionner sur un serveur dédié hébergé au Canada, dans un compte à votre nom ou sur votre propre serveur. Umbral ne garde pas de copie de vos données; si vous choisissez Vigie, seuls l’état des automatisations et les éléments qui attendent votre approbation y sont conservés, pour la durée prévue au contrat.
Des accès minimaux et révocables
Nous demandons seulement les accès nécessaires au projet. Ils sont documentés, vous pouvez les retirer en tout temps, et nous les retirons à la fin du mandat si aucun suivi n’est prévu.
Une personne approuve les étapes sensibles
L’IA classe l’information et propose la prochaine action. Une personne de votre équipe valide chaque étape sensible avant que le système l’exécute. Ainsi, aucune décision qui touche une personne ne repose uniquement sur un traitement automatisé, une situation que la Loi 25 encadre de près.
Tout est traçable
Chaque action du système est consignée : ce qui a été fait, quand, et qui l’a approuvé. Vous pouvez répondre à une question d’un client ou d’un auditeur sans reconstituer l’historique à la main.
Une évaluation avant la mise en place
La Loi 25 exige une évaluation des facteurs relatifs à la vie privée avant d’acquérir ou de développer un système qui traite des renseignements personnels, et avant de les communiquer à l’extérieur du Québec. Le diagnostic identifie les renseignements touchés et où ils circulent; nous documentons ces éléments pour appuyer votre évaluation.
Des fournisseurs d’IA choisis avec soin
Nous privilégions des fournisseurs dont les conditions d’entreprise excluent l’utilisation de vos données pour entraîner leurs modèles, et nous vous indiquons où vos données sont traitées.
Ce qui reste de votre côté
Votre entreprise demeure responsable des renseignements personnels qu’elle détient : désigner un responsable de leur protection, publier une politique de confidentialité et tenir un registre des incidents. Nous concevons les systèmes pour vous faciliter ces obligations, et nous pouvons vous indiquer par où commencer.
Réserver un appel de 20 minutesCette page décrit notre approche de conception. Elle ne constitue pas un avis juridique. Pour une analyse de votre situation, consultez un professionnel du droit.