Loi 25 du Québec, IA et LLM sur site

Orientation, et non avis juridique. Cet article explique la stratégie derrière l’IA sur site et la façon dont elle s’harmonise avec l’esprit de la Loi 25. Il ne s’agit pas d’une opinion juridique. Validez tout élément propre à votre entreprise auprès de votre propre conseiller juridique ou de la Commission d’accès à l’information (CAI).

Chaque fois que vous collez un dossier client dans un modèle infonuagique, vous l’exportez. Habituellement vers des serveurs américains, sous le régime du droit américain, assujettis à des directives qui peuvent changer entre le dîner et le souper. La Loi 25 du Québec vous demande déjà de savoir où vont les renseignements personnels et qui peut y toucher. Un LLM sur site offre la seule réponse pleinement honnête à cette question : ils ne vont nulle part, et vous seul pouvez y toucher.

Ce n’est pas un argument de vente. C’est simplement là où la logique aboutit une fois qu’on prend au sérieux à la fois la loi et la technologie. Voici la démonstration, présentée clairement, y compris les parties qui vont à l’encontre de la commodité.

Points essentiels à retenir

• Une requête contenant des renseignements personnels est un transfert de données. Si elle franchit vos murs, les questions de la Loi 25 sur l’endroit où elle va et sur qui peut y accéder deviennent désormais vos questions auxquelles répondre.
• « Le fournisseur dit que c’est sécuritaire » n’équivaut pas à « ça n’est jamais sorti ». Le chiffrement et les bonnes intentions ne changent rien au territoire juridique qui peut contraindre à produire les données.
• Les modèles sur site et locaux réduisent le risque de transfert à presque zéro : aucun tiers, résidence des données par construction, vérifiabilité complète. C’est la posture la plus nette possible au regard de la Loi 25.
• Le contrôle s’accompagne de responsabilités. Exploitez-le vous-même et vous assumez désormais les correctifs, le contrôle des accès et la sécurité. Rien n’est gratuit ; c’est simplement une autre facture.
• L’IA infonuagique n’est pas interdite. C’est une décision que vous devriez être en mesure de défendre sur papier.

La Loi 25, en langage clair (et dans son champ d’application)

La Loi 25 du Québec (anciennement le projet de loi 64) a modernisé le régime de protection des renseignements personnels du secteur privé de la province, et elle s’appuie fortement sur quelques idées qui deviennent importantes dès l’instant où vous introduisez l’IA dans un flux de travail.

D’abord, la responsabilité. Votre organisation est responsable des renseignements personnels qu’elle détient, y compris lorsque vous confiez ces renseignements à un prestataire de services pour qu’il les traite en votre nom. Externaliser le travail n’externalise pas la responsabilité.

Ensuite, la communication à l’extérieur du Québec. Lorsque des renseignements personnels sont transférés à l’extérieur de la province, la Loi 25 s’attend à ce que vous évaluiez ce transfert, y compris le cadre juridique qui s’applique là où les données aboutissent. L’idée n’est pas que les transferts soient interdits. L’idée est que vous êtes censé savoir et avoir soupesé l’exposition.

Enfin, la transparence et la gouvernance. Les personnes ont le droit de comprendre comment leurs renseignements sont utilisés, et votre organisation est censée avoir des politiques, un responsable de la protection des renseignements personnels et une trace documentaire montrant que vous y avez réfléchi avant qu’un problème ne survienne, et non après.

Les sanctions sont réelles. En vertu de la Loi 25 et de la CAI, la non-conformité peut entraîner des sanctions administratives pécuniaires et des amendes pénales pouvant atteindre les millions, ou un pourcentage du chiffre d’affaires mondial, selon le manquement et l’entité. Nous gardons volontairement les chiffres généraux, parce que l’exposition exacte dépend des faits et de dispositions que vous devriez lire avec un conseiller juridique, et non à partir d’un blogue. Le résumé honnête : ce n’est plus un régime de simples tapes sur les doigts, et « nous ne réalisions pas que l’outil envoyait des données à l’étranger » est une position bien fragile.

L’exportation cachée : votre requête est un transfert de données

Voici la partie que la plupart des flux de travail escamotent discrètement. Une requête, c’est des données. Une requête contenant le nom d’un client, l’historique d’un patient, un contrat, un état financier ou un dossier de cause, ce sont des renseignements personnels en mouvement. Lorsque cette requête est envoyée à un modèle infonuagique, elle a quitté vos locaux et, dans la plupart des cas, le pays.

Alors la question à laquelle la Loi 25 veut que vous répondiez devient très concrète. Où ont-ils abouti ? Qui, dans ce territoire, peut légalement contraindre le fournisseur à les produire ?

Cette seconde question a une portée plus tranchante que bien des gens ne le supposent. Le CLOUD Act de 2018 des États-Unis permet aux autorités américaines, avec la procédure légale appropriée, de contraindre un fournisseur établi aux États-Unis à remettre des données sous sa garde ou son contrôle, même lorsque ces données se trouvent physiquement dans un centre de données canadien. Relisez cela. Le serveur peut être à Montréal ou à Beauharnois, et un fournisseur américain peut tout de même être l’entité légalement tenue de les produire. L’emplacement physique n’est pas la même chose que le contrôle juridique.

C’est pourquoi « notre fournisseur chiffre tout » et « notre fournisseur est certifié SOC 2 » sont rassurants mais à côté de la question. Ces affirmations parlent de sécurité. Elles ne changent rien à qui peut recevoir l’ordre de produire les données, ni au droit sous lequel. Un transfert que vous ne pouvez pas pleinement voir, vérifier ou renverser demeure un transfert dont vous êtes responsable.

Le 12 juin a rendu l’abstrait concret

Si le risque de gouvernance a déjà semblé théorique, la mi-juin 2026 en a fourni un exemple pratique. Comme il a été rapporté, le 12 juin, le gouvernement américain a exigé qu’Anthropic désactive ses modèles Claude Fable 5 et Mythos 5 pour les ressortissants étrangers. Nous le présentons tel qu’il a été rapporté, en date de la mi-juin 2026, et laissons les commentaires éditoriaux à d’autres.

Ce qui importe pour une entreprise québécoise, ce n’est pas la politique. C’est la forme du risque. Une capacité dont votre équipe dépend peut changer, ou disparaître, par directive, du jour au lendemain, pour des raisons qui n’ont rien à voir avec vous et sur lesquelles vous ne pouvez rien négocier. C’est un problème de continuité et de gouvernance autant que de vie privée. Si une partie centrale de votre flux de travail peut être coupée par l’instruction d’un gouvernement étranger à un fournisseur étranger, vous ne contrôlez pas réellement ce flux de travail. Vous le louez, à des conditions qui peuvent être réécrites entre le dîner et le souper.

La Loi 25 vous pousse à comprendre le cadre sous lequel vivent vos données. Le 12 juin est un rappel que le cadre n’est pas un document statique. Il bouge.

Pourquoi le sur site est la réponse la plus nette

Exécutez le modèle sur du matériel que vous possédez, à l’intérieur de votre propre réseau, et la plupart des questions difficiles cessent d’être des questions.

• Aucun transfert. La requête et les documents ne quittent jamais vos locaux. Il n’y a aucune communication transfrontalière à évaluer parce qu’il n’y a aucune communication transfrontalière.
• Aucun accès par un tiers. Aucun fournisseur ne détient vos données, donc aucun fournisseur ne peut être contraint à les produire. Il n’y a personne dans la chaîne à assigner, sauf vous.
• Résidence des données par construction. La résidence n’est pas une clause que vous avez négociée en espérant qu’elle tienne. C’est un fait physique concernant une boîte dans votre bureau.
• Vérifiabilité complète. Vous pouvez journaliser chaque requête, chaque accès, chaque version de modèle, parce que tout se passe sur une infrastructure que vous administrez. Cette trace documentaire est exactement le genre de preuve qu’un régime de responsabilité récompense.

Maintenant, les mises en garde honnêtes, parce que prétendre qu’elles n’existent pas serait sa propre forme de malhonnêteté. Lorsque vous ramenez le modèle à l’interne, vous ramenez aussi à l’interne les correctifs, le contrôle des accès, les sauvegardes, la sécurité physique et la discipline de base qu’exige la bonne exploitation d’une infrastructure. Le risque ne disparaît pas, il change de mains, passant de « un territoire étranger pourrait contraindre mon fournisseur » à « je suis responsable de sécuriser ceci ». Pour la plupart des entreprises québécoises réglementées, c’est un bien meilleur échange, parce que c’est un risque que vous pouvez réellement voir, gérer et gouverner. Mais c’est une responsabilité réelle, et quiconque vous dit que le sur site est sans effort est en train de vendre, pas de conseiller.

À quoi cela ressemble pour une entreprise québécoise

Vous n’avez pas besoin d’un laboratoire de recherche. Vous avez besoin d’une forme de déploiement qui correspond à la sensibilité de vos données. Pour un cabinet d’avocats, un cabinet comptable, une clinique, un notaire ou une agence, trois formes couvrent presque tout.

Un poste de travail performant. Une seule machine bien configurée dotée d’un bon GPU peut exécuter de solides modèles ouverts pour une petite équipe. Bon choix pour la rédaction, la synthèse et la recherche, là où la matière est sensible mais le volume, modeste.

Un serveur sur site. Une seule boîte partagée sur votre réseau dessert tout le bureau, avec un contrôle des accès utilisateurs et une journalisation appropriés. C’est le point idéal pour la plupart des cabinets professionnels : central, gouvernable et hors de l’infonuagique.

Isolé du réseau (air-gapped). Pour les dossiers les plus sensibles, une machine sans aucune connexion Internet. Rien n’entre, rien ne sort. Les données ne peuvent physiquement pas sortir. Plus lent à mettre à jour et à utiliser, mais absolu quant à la résidence.

Les modèles eux-mêmes ont rattrapé leur retard au point que c’est vraiment pratique. Des familles à poids ouverts comme Qwen, Mistral, Gemma, DeepSeek et gpt-oss offrent une capacité sérieuse que vous pouvez exécuter localement, et nous devons à ces projets le crédit d’avoir rendu l’IA souveraine viable pour les entreprises ordinaires plutôt que pour les seuls hyperscalers. Servis au moyen d’outils comme Ollama ou vLLM, et jumelés à une configuration RAG privée sur vos propres documents, vous obtenez un système qui raisonne sur vos contrats, vos dossiers et votre base de connaissances sans que rien de tout cela ne touche jamais au serveur de quelqu’un d’autre. Nous détaillons la construction dans comment remplacer l’IA infonuagique par un LLM local, et la pile complète dans possédez votre puissance de calcul : la pile d’IA locale autosouveraine.

L’infonuagique n’est pas interdit. C’est une décision.

Rien de tout cela ne signifie que vous ne pouvez jamais utiliser un modèle infonuagique. Cela signifie que le recours à l’infonuagique devrait être un choix délibéré et documenté plutôt qu’un réglage par défaut que personne n’a examiné.

Il y a des cas légitimes. Un travail non sensible sans aucun renseignement personnel dans la requête. Un fournisseur vérifié avec des conditions contractuelles et une évaluation de transfert que vous avez réellement effectuée. Des tâches où les données ont été correctement dépersonnalisées avant même de sortir. Le geste décisif est de documenter le choix : quelles données sont en cause, pourquoi ce fournisseur, quel territoire s’applique, ce qu’a conclu votre évaluation. Ce dossier est ce qui transforme « nous avons utilisé un outil infonuagique » en « nous avons pris une décision défendable », ce qui est la différence à laquelle tient la Loi 25. Nous exposons les compromis en détail dans IA locale contre IA infonuagique.

Le fil conducteur de la souveraineté

Si vous avez passé du temps dans l’univers Bitcoin, cette logique est déjà dans vos tripes. Pas vos clés, pas vos bitcoins. Exploitez votre propre nœud, vérifiez, ne faites pas confiance. La raison est toujours la même : garder le dernier mot à l’interne, pour qu’aucun tiers ne se tienne entre vous et ce dont vous dépendez.

L’IA est la prochaine couche de la même idée. Le savoir de votre entreprise, les renseignements de vos clients, votre capacité à continuer de travailler demain, rien de tout cela ne devrait être à la merci des conditions d’un fournisseur ou d’une directive étrangère. L’IA sur site n’est tout simplement que de l’autogarde pour vos données et votre capacité. Une couche de plus ramenée sous votre propre toit. C’est tout l’argument derrière l’IA souveraine au Canada et le travail plus large sur la souveraineté que nous menons.

Foire aux questions

Utiliser ChatGPT ou Claude avec des données de clients enfreint-il la Loi 25 ?

Pas automatiquement, mais cela vous place carrément dans son champ d’application. Envoyer des renseignements personnels à un modèle infonuagique est un transfert, souvent à l’extérieur du Québec, et la Loi 25 s’attend à ce que vous ayez évalué ce transfert et le cadre juridique étranger dont il relève. Le faire sans cette évaluation, ou sans informer et protéger les personnes concernées, c’est là que les entreprises s’exposent. Ceci est une orientation, et non un avis juridique ; validez votre situation particulière auprès d’un conseiller juridique ou de la CAI.

Un centre de données canadien règle-t-il la question ?

Cela aide pour la résidence, mais ça ne clôt pas la question. En vertu du CLOUD Act de 2018 des États-Unis, un fournisseur établi aux États-Unis peut être légalement contraint de produire des données sous son contrôle même lorsque ces données se trouvent physiquement dans une installation canadienne. L’emplacement physique et le contrôle juridique sont deux choses différentes, et la Loi 25 se soucie des deux.

L’IA sur site est-elle conforme à la Loi 25 ?

L’IA sur site élimine par conception les problèmes de transfert transfrontalier et d’accès par un tiers, ce qui en fait la posture la plus nette possible. Mais « conforme » est un statut que gagne l’ensemble de votre organisation, et non une propriété d’un seul outil. Vous avez encore besoin d’un contrôle des accès, d’une journalisation, d’une sécurité et d’une gouvernance appropriés autour du système. Le sur site rend la conformité bien plus atteignable ; il ne l’accorde pas automatiquement.

Combien coûte l’IA sur site pour une petite entreprise ?

Moins que la plupart des gens ne s’y attendent. Un seul poste de travail performant convenant à une petite équipe est un achat de matériel ponctuel, de l’ordre d’un bon ordinateur de bureau, et non d’un centre de données d’entreprise. Un serveur sur site partagé pour tout un bureau coûte plus cher mais remplace les frais infonuagiques récurrents par siège. Le véritable rendement, c’est ce que vous cessez de payer : le risque de transfert, la dépendance au fournisseur et la possibilité qu’une capacité disparaisse par directive. Nous cadrons la bonne forme pour chaque entreprise dans le cadre de nos mandats de consultation.

Ramenez-la à l’interne, comme il faut

Si votre entreprise traite des renseignements personnels et que vous voulez de l’IA sans l’exposition transfrontalière, la voie la plus nette est de bien faire le sur site du premier coup. Notre service de consultation en souveraineté de l’IA est conçu exactement pour cela : des organisations québécoises réglementées qui ont besoin d’une IA locale performante déployée avec le contrôle des accès, la vérifiabilité et la gouvernance que la loi récompense. Nous nous occupons de l’architecture pour que vous conserviez les données, le contrôle et la trace documentaire.

Vous préférez la construire vous-même ? Commencez par notre guide sur le remplacement de l’IA infonuagique par un LLM local, ou parcourez les boîtes d’IA souveraine clés en main que nous livrons prêtes à fonctionner. Dans tous les cas, les données restent là où elles doivent être : chez vous.