La Loi 25 nous empêche-t-elle d'utiliser l'IA en municipalité ?

Non. La Loi 25 n'interdit pas l'IA; elle encadre le traitement des renseignements personnels. Vous pouvez utiliser un outil d'IA dès lors que vous respectez les principes de finalité, de minimisation, de sécurité et de transparence, que vous réalisez une évaluation des facteurs relatifs à la vie privée (EFVP) au besoin, et que l'humain demeure responsable des décisions. Le moyen technologique change, pas vos obligations.

Devons-nous obtenir le consentement des citoyens pour qu'un outil d'IA traite leurs données ?

Pas nécessairement. Un organisme public peut souvent traiter des renseignements personnels sur la base de la nécessité à l'exercice de ses attributions, sans consentement individuel, à condition de respecter la finalité et la minimisation. Le consentement devient pertinent pour des usages secondaires ou hors mandat. Votre responsable de la protection des renseignements personnels devrait valider la base légale de chaque traitement.

Où sont traitées les données quand on utilise Eva ?

Les fonctions d'Eva sont opérées depuis le Canada (Montréal), et Eva est conçue pour la Loi 25. Les renseignements traités ne servent pas à entraîner des modèles tiers. Ce sont des affirmations défendables que vous pouvez documenter dans votre EFVP et présenter au conseil; nous ne prétendons pas à une certification ni à une garantie de conformité absolue, qui relève de votre propre analyse.

Un outil d'IA peut-il garantir notre conformité à la Loi 25 ou un résultat au TAQ ?

Non, et méfiez-vous de quiconque le promet. Aucun outil ne garantit la conformité : la conformité est une responsabilité de l'organisme, appuyée sur une EFVP, des ententes et de la gouvernance. De même, Eva ne garantit pas un résultat devant le Tribunal administratif du Québec en matière d'évaluation foncière. Elle mesure, documente et prépare; l'évaluateur agréé décide et demeure responsable.

Que devons-nous exiger par écrit d'un fournisseur d'IA ?

Au minimum : le lieu de traitement et d'hébergement, l'engagement que vos renseignements ne servent pas à entraîner de modèle tiers, la liste et la révocabilité des accès, une entente de confidentialité et de sécurité conforme à la Loi sur l'accès, et les éléments nécessaires à votre EFVP. Exigez aussi un mécanisme d'approbation humaine et un processus clair de notification en cas d'incident de confidentialité.

Gouvernance & conformité

Loi 25 et intelligence artificielle en municipalité : ce qu'un outil d'IA doit respecter

8 min de lecture

Un assistant d'intelligence artificielle peut aujourd'hui rédiger un projet de résolution, préparer un procès-verbal, classer des courriels du 311 ou soutenir un mandat d'évaluation foncière. Mais dès qu'un de ces traitements touche un nom de citoyen, une adresse, un dossier de plainte ou un avis de cotisation, vous quittez le terrain de la productivité pour entrer dans celui de la protection des renseignements personnels. Pour un organisme public québécois, ce terrain a un nom précis : la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels).

La question que se posent les directions générales, les greffiers et les trésoriers n'est donc pas « est-ce que l'IA est permise en municipalité ? », mais « à quelles conditions un outil d'IA peut-il traiter des renseignements personnels du secteur public sans nous exposer ? ». Cet article fait le tour des obligations clés, des questions à poser à un fournisseur avant de signer, et de la façon de défendre votre choix devant le conseil. Eva a été conçue pour répondre à ce cadre : préparer le travail, garder l'humain aux commandes, et documenter ce qui est fait.

Pourquoi la Loi 25 vise directement vos outils d'IA

La Loi 25 s'applique aux organismes publics, dont les municipalités et les MRC, à travers la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels (la « Loi sur l'accès »). Dès qu'un système traite un renseignement qui permet d'identifier une personne — un contribuable, un plaignant, un employé, un signataire d'acte — il est assujetti. Un assistant d'IA n'échappe pas à cette logique : il n'est qu'un nouveau moyen technologique de traiter de l'information, et le moyen ne change rien à la responsabilité.

Deux notions structurent l'analyse. D'abord, l'évaluation des facteurs relatifs à la vie privée (EFVP), que l'organisme doit réaliser avant tout projet d'acquisition, de développement ou de refonte d'un système qui implique des renseignements personnels — un déploiement d'IA en fait typiquement partie. Ensuite, la responsable de la protection des renseignements personnels (souvent la personne la plus haut placée, qui peut déléguer ce rôle), qui doit pouvoir expliquer ce que fait l'outil et où vont les données.

Concrètement, avant d'introduire un copilote comme Eva dans un flux qui touche des dossiers citoyens, vous devez pouvoir décrire la finalité du traitement, les renseignements concernés, leur cheminement et les mesures de protection. Un bon fournisseur vous fournit la matière pour remplir cette analyse plutôt que de la rendre opaque.

Renseignement personnel : toute information permettant d'identifier une personne, directement ou indirectement.
EFVP requise avant un projet de système impliquant des renseignements personnels.
Le recours à un sous-traitant ou à un service infonuagique ne transfère pas votre responsabilité d'organisme public.

Les obligations clés qu'un outil d'IA doit pouvoir satisfaire

Au-delà de l'analyse préalable, plusieurs principes de la Loi 25 se traduisent directement en exigences techniques et contractuelles pour un outil d'IA. Ils forment la grille de lecture à appliquer à tout produit, qu'il s'agisse d'un copilote de rédaction, d'un assistant de réunion ou d'un module d'évaluation foncière.

L'enjeu central pour l'IA générative est le sort des données soumises au modèle. Un renseignement personnel d'un organisme public ne doit pas servir à entraîner un modèle tiers ni alimenter un apprentissage hors de votre contrôle. C'est un point que vous devez exiger par écrit. Eva est conçue dans cette logique : les renseignements traités ne sont pas utilisés pour entraîner des modèles tiers, et l'humain approuve avant toute action.

Finalité et minimisation : ne traiter que les renseignements nécessaires à la tâche, et rien de plus.
Consentement et base légale : s'appuyer sur un fondement valide, souvent la nécessité à l'exercice des attributions de l'organisme.
Hébergement et traitement : savoir où les fonctions sont opérées; les fonctions d'Eva sont opérées depuis le Canada (Montréal).
Non-entraînement : les renseignements ne servent pas à entraîner des modèles tiers.
Droit d'accès et de rectification : pouvoir retrouver, corriger et, le cas échéant, supprimer un renseignement.
Journalisation et gouvernance : tracer qui a fait quoi, et garder une supervision humaine.
Mesures de sécurité raisonnables : chiffrement, contrôle des accès, accès révocables.

Les bonnes questions à poser à un fournisseur d'IA

La meilleure protection contre un mauvais achat, c'est une courte liste de questions précises posées avant la signature. Un fournisseur sérieux y répond clairement et par écrit; les réponses floues ou marketing sont en soi un signal. L'objectif n'est pas de piéger le fournisseur, mais d'obtenir la matière dont votre responsable de la protection des renseignements personnels a besoin pour son EFVP.

Eva est pensée pour qu'on puisse répondre franchement à ces questions : fonctions opérées au Canada, données non utilisées pour entraîner des modèles tiers, approbation humaine systématique et accès révocables. Vous restez l'organisme responsable; l'outil fournit la transparence.

Où mes données sont-elles traitées et hébergées ? Les fonctions sont-elles opérées au Canada ?
Mes renseignements servent-ils, à quelque étape que ce soit, à entraîner un modèle ? Pouvez-vous l'exclure contractuellement ?
Qui, chez vous et chez vos sous-traitants, peut accéder à mes données, et comment révoque-t-on ces accès ?
Disposez-vous d'une entente écrite couvrant la confidentialité et les mesures de sécurité, conforme aux exigences de la Loi sur l'accès ?
Pouvez-vous me remettre les éléments nécessaires à mon EFVP (finalités, flux de données, mesures de protection) ?
Comment l'outil garde-t-il l'humain dans la boucle avant qu'une action soit posée ?
En cas d'incident de confidentialité, quel est votre processus de notification et de soutien ?

Le rôle de l'humain : Eva prépare, vous décidez

La Loi 25 n'interdit pas l'automatisation, mais elle encadre les décisions fondées exclusivement sur un traitement automatisé : la personne concernée doit pouvoir être informée et présenter ses observations. En contexte municipal, la règle de prudence est simple : un outil d'IA prépare le travail, un humain compétent décide et demeure responsable. C'est vrai pour une résolution comme pour une valeur au rôle.

C'est exactement le modèle d'Eva. Elle rédige des projets de courriels, de résolutions ou de procès-verbaux, structure une recherche documentaire, soutient un mandat d'évaluation foncière en mesurant et en documentant — puis demande une approbation avant d'agir. L'évaluateur agréé, le greffier ou la direction générale valide, ajuste et signe. Eva ne garantit pas la conformité ni un résultat devant le Tribunal administratif du Québec : elle mesure, documente et prépare; la responsabilité professionnelle reste humaine.

Ce principe d'approbation humaine n'est pas qu'un argument de confiance. C'est aussi une mesure de gouvernance concrète : la trace de qui a approuvé quoi, et quand, est précisément le genre de documentation qui solidifie une EFVP et rassure une équipe de vérification.

Défendre votre choix devant le conseil

Tôt ou tard, un élu demandera : « Est-ce que c'est sécuritaire ? Où vont nos données ? Est-ce qu'on respecte la Loi 25 ? » Préparer cette réponse à l'avance transforme une question piège en démonstration de rigueur. Le conseil ne cherche pas une certification absolue — il cherche à savoir que la direction a fait ses devoirs.

Construisez un court dossier de défense, factuel et sobre. Évitez les promesses absolues (« aucune erreur », « conformité garantie ») : elles se retournent contre vous. Tenez-vous-en à des affirmations défendables — par exemple que les fonctions d'Eva sont opérées depuis le Canada (Montréal), que les renseignements ne servent pas à entraîner des modèles tiers, que tout passe par une approbation humaine et que les accès sont révocables, et que l'outil a été conçu pour la Loi 25.

Rappelez la finalité : l'outil prépare le travail des employés, il ne remplace pas le jugement.
Présentez l'EFVP ou son état d'avancement, et nommez la personne responsable de la protection des renseignements personnels.
Documentez l'hébergement et le traitement (fonctions opérées au Canada), et le non-entraînement des modèles tiers.
Montrez le mécanisme d'approbation humaine et la journalisation des accès.
Précisez ce que l'outil ne fait pas et ne garantit pas — la transparence inspire plus confiance qu'une promesse parfaite.

Questions fréquentes

La Loi 25 nous empêche-t-elle d'utiliser l'IA en municipalité ?: Non. La Loi 25 n'interdit pas l'IA; elle encadre le traitement des renseignements personnels. Vous pouvez utiliser un outil d'IA dès lors que vous respectez les principes de finalité, de minimisation, de sécurité et de transparence, que vous réalisez une évaluation des facteurs relatifs à la vie privée (EFVP) au besoin, et que l'humain demeure responsable des décisions. Le moyen technologique change, pas vos obligations.
Devons-nous obtenir le consentement des citoyens pour qu'un outil d'IA traite leurs données ?: Pas nécessairement. Un organisme public peut souvent traiter des renseignements personnels sur la base de la nécessité à l'exercice de ses attributions, sans consentement individuel, à condition de respecter la finalité et la minimisation. Le consentement devient pertinent pour des usages secondaires ou hors mandat. Votre responsable de la protection des renseignements personnels devrait valider la base légale de chaque traitement.
Où sont traitées les données quand on utilise Eva ?: Les fonctions d'Eva sont opérées depuis le Canada (Montréal), et Eva est conçue pour la Loi 25. Les renseignements traités ne servent pas à entraîner des modèles tiers. Ce sont des affirmations défendables que vous pouvez documenter dans votre EFVP et présenter au conseil; nous ne prétendons pas à une certification ni à une garantie de conformité absolue, qui relève de votre propre analyse.
Un outil d'IA peut-il garantir notre conformité à la Loi 25 ou un résultat au TAQ ?: Non, et méfiez-vous de quiconque le promet. Aucun outil ne garantit la conformité : la conformité est une responsabilité de l'organisme, appuyée sur une EFVP, des ententes et de la gouvernance. De même, Eva ne garantit pas un résultat devant le Tribunal administratif du Québec en matière d'évaluation foncière. Elle mesure, documente et prépare; l'évaluateur agréé décide et demeure responsable.
Que devons-nous exiger par écrit d'un fournisseur d'IA ?: Au minimum : le lieu de traitement et d'hébergement, l'engagement que vos renseignements ne servent pas à entraîner de modèle tiers, la liste et la révocabilité des accès, une entente de confidentialité et de sécurité conforme à la Loi sur l'accès, et les éléments nécessaires à votre EFVP. Exigez aussi un mécanisme d'approbation humaine et un processus clair de notification en cas d'incident de confidentialité.

Voyez Eva sur un vrai dossier de votre municipalité.

30 minutes, sans engagement — vous repartez avec un plan, pas une brochure.