Il faut un cadre simple : quoi coller, quoi garder à l’interne, qui valide, comment on documente. Assez clair pour que les gens s’en servent.
Cette page, c’est une checklist opérationnelle — puis ce qu’on livre si vous voulez qu’on l’écrive avec vous. Ce n’est pas un avis juridique. Pour une opinion sur votre situation, parlez à votre conseiller. Notre travail : la version affichable près de l’écran.
Le constat
L’outil n’est presque jamais le problème. Ce qui manque, c’est la décision. Sans cadre, les plus prudents n’utilisent rien ; les plus pressés collent un dossier client dans le ChatGPT gratuit.
Loi 25 n’exige pas que vous interdisiez l’IA. Elle exige que vous sachiez ce que vous faites avec les renseignements personnels — y compris quand un outil tiers les lit. Un consultant IA au Québec sert aussi à ranger l’usage. La formation ChatGPT intègre le cadre dans l’atelier, pas six mois plus tard.
Checklist opérationnelle — cinq questions avant d’ouvrir l’outil
Imprimez-les. Collez-les près de l’écran. Si une équipe ne peut pas y répondre, elle n’est pas prête à coller un dossier.
1. Qui voit les données, concrètement ?
Avant le prompt, dressez la liste. Pas le diagramme de 40 cases. La liste.
- La personne qui tape — est-elle la bonne personne pour ce dossier ?
- Les collègues du même espace — un ChatGPT Team, un Copilot, un GPT interne : d’autres peuvent-ils relire l’historique ?
- Les administrateurs — journaux, archives, conservation.
- Le fournisseur — OpenAI, Microsoft, Google, Anthropic, et leurs sous-traitants. Vos textes sortent de votre poste.
- Personne d’autre — pas un compte perso, pas un fil Slack avec le nom du client encore dedans.
Si vous ne savez pas qui voit quoi, vous ne savez pas ce que vous communiquez. Nommez un responsable interne : qui décide, qui valide, qui forme les nouveaux.
2. ChatGPT gratuit ou ChatGPT entreprise — ce n’est pas le même produit
Le bouton ressemble au même. Le contrat, non.
Le ChatGPT gratuit (ou un compte Plus personnel). Produit grand public. Pas d’espace admin d’entreprise. L’historique vit dans un compte perso, souvent sur un cellulaire. Pour des dossiers clients ou de la propriété intellectuelle : ce n’est pas un outil d’entreprise. C’est un raccourci.
ChatGPT Team / Enterprise (ou l’API, Copilot sur votre tenant Microsoft, Gemini dans Google Workspace). Espace, rôles, conservation, souvent une clause « on n’entraîne pas sur vos données d’entreprise ». Ça ne rend pas l’outil « conforme ». Ça rend l’usage gouvernable : on sait qui a un siège, on peut couper un accès.
Règle pratique, pas un slogan : les dossiers de l’entreprise ne vont pas dans un compte personnel. Si quelqu’un s’en sert déjà comme ça, on le dit tout de suite, sans théâtre, et on bascule avant de « former tout le monde ».
Même chose pour Claude, Gemini, Copilot. Le nom de la marque compte moins que : compte perso ou espace entreprise, où les données voyagent, qui administre.
3. Quoi ne pas coller — une liste que les gens retiennent
Les politiques de 18 pages ne se retiennent pas. Une classification à quatre cases, oui.
Public. Déjà en ligne, déjà dit au marché. On peut s’en servir comme contexte.
Interne. Méthodes, gabarits, ton de l’entreprise, processus. OK dans l’espace entreprise, pas dans un compte perso.
Confidentiel. Dossiers clients, conditions commerciales, secrets d’affaires, états financiers non publics. Pas dans un outil grand public. Dans un espace entreprise : seulement si la tâche le justifie, et souvent anonymisé (initiales, numéros de dossier internes, faits sans identifiants).
Interdit. Renseignements personnels sensibles, numéros d’assurance sociale, données de santé, mots de passe, secrets d’authentification, contenu qu’un client vous a confié sous entente stricte, tout ce que vous n’enverriez pas à un fournisseur sans contrat. On ne colle pas. Point.
Exemples que les équipes reconnaissent : un fil de courriels nominatif (on retire les identifiants, ou on ne colle pas) ; un CV complet « pour préparer l’entrevue » (non, pas tel quel) ; « résume ce dossier patient / cet élève / ce bénéficiaire » (interdit, sauf cadre prévu ailleurs que sur cette page).
La formation sert à faire le geste : avant de coller, on se demande dans quelle case on est. Voir Formation ChatGPT entreprise.
4. EFVP : le déclencheur pratique, pas le cours
Évaluation des facteurs relatifs à la vie privée. Le nom fait peur. Le déclencheur, lui, est simple.
Demandez-vous : est-ce qu’on s’apprête à envoyer des renseignements personnels dans un nouvel outil — surtout un outil hors Québec, dans le nuage, chez un fournisseur américain ? ChatGPT, Copilot, un agent, un « GPT interne » branché sur des dossiers : dans la vraie vie, c’est souvent oui.
Si oui, une EFVP est le bon réflexe avant de déployer à toute l’équipe. Pas après le midi-conférence. Pas quand un client pose la question.
On ne rédige pas l’avis. On vous aide à voir le déclencheur, à poser les questions que l’équipe juridique (interne ou externe) attend : quelles données, quelle finalité, où ça voyage, qui a accès, combien de temps on conserve, comment on coupe l’accès.
Si aucune donnée personnelle ne sort, le chantier est plus léger — et on le dit. Si des dossiers clients nourrissent un outil d’IA, on ne fait pas semblant que « c’est juste un assistant de rédaction ».
5. Article 12.1 — ce que ça change concrètement pour l’équipe
Sans jouer à l’interprète de la loi : quand une décision concernant une personne part uniquement d’un traitement automatisé de ses renseignements (sans qu’un humain ait vraiment tranché), l’entreprise a des devoirs de transparence et de révision humaine.
Ce que ça change dans le quotidien, pas dans un mémoire :
- ChatGPT qui rédige un courriel, relu et envoyé par un humain, ce n’est pas « une machine qui décide ». C’est un brouillon. Un humain reste responsable.
- Un outil qui classe tout seul un candidat, refuse un crédit, priorise un dossier, fixe un tarif personnalisé, sans relais humain nommé et capable de réviser — là, vous n’êtes plus dans le brouillon. L’équipe doit pouvoir : le dire à la personne, expliquer sur demande ce qui a servi, et offrir qu’un humain réécoute.
- « Relu par un humain » veut dire relu. Pas un tampon automatique à 17 h le vendredi. Quelqu’un de l’entreprise, en mesure de changer la décision.
Consigne d’équipe qu’on écrit souvent : on n’automatise pas une décision RH, crédit, admission, tarif ou traitement de dossier sans un relais humain nommé. Si un projet s’en approche, on arrête le sprint et on en parle — avec vous, et avec votre conseiller — avant d’enchaîner.
C’est une règle de travail. Ce n’est pas une opinion sur la portée exacte de l’article dans votre cas.
Un cadre trop lourd meurt. Un cadre trop lâche aussi.
On écrit la version affichable près de l’écran : politique en langage clair, classification (public / interne / confidentiel / interdit), rôles, réglages d’espace de travail. Le même cadre, repris dans les ateliers et les playbooks — pour que ça ne reste pas dans un tiroir.
Le service est sur Services. La méthode, sur Approche. On n’a pas d’allégeance à une plateforme. On évite d’empiler les abonnements — et surtout le compte personnel « en attendant ».
Comment ça entre dans un mandat
Souvent, le cadre n’est pas un chantier isolé. Il voyage avec un sprint 30 jours, un programme 90 jours ou un accompagnement annuel — le même cadre, repris dans les ateliers et les playbooks. PME, OBNL, cabinets : le niveau de sensibilité n’est pas le même. On l’écrit pour vous, pas pour « le Québec en général ».
Cette page ne dit pas que vous êtes conforme, ni que ChatGPT entreprise « règle Loi 25 ». Elle ne chiffre pas une amende. Elle vous donne de quoi cesser d’improviser. Ensuite, un humain — chez vous, en mandat, chez votre juridique — tranche ce qui reste.