La soberanía digital pasó del discurso a la orden ministerial

Avant de communiquer à l'extérieur du Québec un renseignement personnel, un organisme public doit procéder à une évaluation des facteurs relatifs à la vie privée. Il doit notamment tenir compte des éléments suivants: 1° la sensibilité du renseignement; 2° la finalité de son utilisation;

Qué significa

Estructura idéntica a la del artículo 17 de la Ley 25: evaluación, protección adecuada, acuerdo escrito. El segundo párrafo la convierte en una condición de licitud y no en una formalidad documental: la comunicación SOLO puede efectuarse si la evaluación demuestra que la información gozaría de una protección adecuada, y el acuerdo escrito debe tener en cuenta los resultados de esa evaluación. Es el TERCER párrafo, y no el último, el que extiende el mismo régimen al hecho de encargar a una persona o a un organismo situado fuera de Quebec la tarea de recoger, utilizar, comunicar o conservar información por cuenta de usted, que es exactamente lo que es una plataforma alojada. El cuarto párrafo, por su parte, solo contiene exclusiones. El umbral es Quebec, no Canadá.

Qué respondemos

Su instancia está alojada en Canadá, en la región Canada Central (Toronto) de forma predeterminada, es decir fuera de Quebec a efectos de este artículo. El compromiso de residencia de Microsoft se refiere a Canadá, no a la provincia de Quebec: se reserva expresamente copiar datos entre regiones canadienses y prevé que personal situado fuera de Canadá pueda acceder a ellos en remoto. Un alojamiento en una región quebequesa, únicamente en alojamiento privado (la nube compartida solo tiene una región canadiense), acerca por tanto el tratamiento a Quebec sin garantizarlo contractualmente. Y el contenido de una petición al modelo sí sale de Canadá: eso debe constar en su evaluación, y le damos los elementos para ello.

derecho vinculante·En vigor desde el 22 de septiembre de 2023; versión consultada actualizada al 1 de abril de 2026·Fuente oficial

Dans ce cas, l'organisme public doit: 1° confier le mandat ou le contrat par écrit; 2° indiquer, dans le mandat ou le contrat, les dispositions de la présente loi qui s'appliquent au renseignement communiqué au mandataire ou à l'exécutant du contrat

Qué significa

El contrato debe nombrar las disposiciones aplicables de la Loi sur l'accès, prever las medidas de confidencialidad, limitar el uso al mandato y prohibir la conservación después de su expiración, con compromiso de confidencialidad, aviso sin demora de toda violación y derecho de verificación.

Qué respondemos

Nuestro contrato cubre la estructura: uso limitado, medidas de seguridad, aviso de incidente, derecho de verificación, supresión después de la transición. Lo que no hace: nombrar las disposiciones de la Loi sur l'accès que se aplican, ya que fue redactado para el sector privado. Un anexo es necesario para un organismo público, y se lo proporcionaremos en lugar de pretender que el contrato estándar basta.

derecho vinculante·Modificado por la Ley 25; versión consultada actualizada al 1 de abril de 2026·Fuente oficial

Un organisme public doit procéder à une évaluation des facteurs relatifs à la vie privée de tout projet d'acquisition, de développement et de refonte de système d'information ou de prestation électronique de services impliquant la collecte […] de renseignements personnels.

Qué significa

Dos evaluaciones se acumulan, como en el sector privado: la de la adquisición y la de la transferencia fuera de Quebec. El comité de acceso a la información y de protección de la información personal debe ser consultado desde el inicio del proyecto.

Qué respondemos

Nosotros proporcionamos los insumos: descripción del flujo de datos, categorías transmitidas fuera de Quebec, regiones, subcontratistas por función, políticas publicadas de los proveedores de modelos, medidas de seguridad y compromisos contractuales. La evaluación en sí y su conclusión le corresponden a usted: la ley las pone a cargo del organismo.

derecho vinculante·En vigor desde el 22 de septiembre de 2023; versión consultada actualizada al 1 de abril de 2026·Fuente oficial

Le choix d'un système d'IA par un organisme public doit s'inscrire dans la recherche de la souveraineté numérique. Plus particulièrement, les organismes publics doivent tendre à diminuer leur dépendance technologique envers des fournisseurs étrangers et à conserver le plus possible un contrôle sur les modèles d'IA, leurs données et les infrastructures qui les hébergent. Ils doivent donc favoriser, lorsque possible, des fournisseurs québécois ou autrement canadien offrant des solutions hébergées au Québec.

Qué significa

Se trata de una orientación ministerial adoptada en virtud del segundo párrafo del artículo 21 de la Loi sur la gouvernance et la gestion des ressources informationnelles (capítulo G-1.03). Lo que la vuelve obligatoria es el artículo 5.1 de esa ley, y no el artículo 12.2, que se encuentra en el capítulo de la seguridad de la información y solo se refiere a ella. La responsabilidad del cumplimiento recae en el dirigente del organismo, que en un centro de servicios escolares, un cégep o una universidad es el CONSEJO DE ADMINISTRACIÓN, y el ministro puede verificar la conformidad (art. 22.2). Alcance: los organismos públicos previstos en el artículo 2 de G-1.03, es decir los ministerios, los organismos presupuestarios y no presupuestarios, los centros de servicios escolares y las comisiones escolares, los cégeps y las universidades de los párrafos 1° a 11° del artículo 1 de la Ley E-14.1, Santé Québec y los establecimientos del anexo II de G-1.021. Los municipios y los organismos municipales NO ESTÁN incluidos: la orden no los alcanza. No es una prohibición de comprar en el extranjero, pero el estándar escrito es «alojadas en Quebec», acompañado de la exigencia de conservar el control sobre los modelos mismos.

Qué respondemos

Hilo Tech es una empresa quebequesa, el contrato se rige por el derecho de Quebec con competencia de los tribunales de Montreal, y el alojamiento predeterminado está en la región Canada Central, en Toronto: en Canadá, por tanto, y no en Quebec, mientras que la orden escribe «alojadas en Quebec». Una región quebequesa solo está disponible en alojamiento privado (la nube compartida solo tiene una región canadiense), y es lo que recomendamos a un organismo público. En el resto de la frase no cumplimos nada: los modelos provienen de proveedores extranjeros, varios en Estados Unidos, la inferencia se ejecuta en su infraestructura, y no conservamos ningún control sobre esos modelos ni sobre las infraestructuras que los alojan. No tenemos ninguna calificación de nube gubernamental y no figuramos en ningún registro provincial de proveedores. No presentaremos eso como soberanía.

derecho vinculante·Publicada en la Gazette officielle du Québec el 17 de diciembre de 2025; sustituye el anexo de la orden 2024-02·Fuente oficial

Lorsque les DNG utilisées comprennent des renseignements confidentiels, un tel organisme doit également favoriser, lorsque possible, des fournisseurs québécois ou d'ailleurs au Canada offrant des solutions hébergées au Québec ou au Canada.

Qué significa

Su fuerza vinculante no proviene de un estatus de ley sino del párrafo 1.1° del artículo 7 de G-1.03 —el director principal de información formula indicaciones de aplicación «auxquelles ces derniers doivent se conformer», a las que estos deben conformarse— combinado con el artículo 5.1. El artículo 4 va más lejos que la Loi sur l'accès: se exige una EFVP desde la fase de diseño para TODO sistema de IA generativa, incluidos los que, a primera vista, no parecen implicar información personal. A ello se suman la clasificación previa de los datos (art. 8 y 9) y la regulación estricta de los sistemas de IAG públicos, en los que la información de naturaleza confidencial está prohibida (art. 18 a 20). Alcance: los mismos organismos que en el artículo 2 de G-1.03; los municipios no están incluidos. El plazo escalonado de seis meses previsto en el artículo 23 venció el 5 de junio de 2026, y el artículo 24 permite al director principal de información eximir a un organismo, total o parcialmente.

Qué respondemos

Proveedor quebequés: sí. Solución alojada en Canadá de forma predeterminada y, únicamente en alojamiento privado, una región quebequesa: sí, con esa reserva. Modelos alojados en Quebec o en Canadá: no; la inferencia se ejecuta en la infraestructura de proveedores extranjeros, varios en Estados Unidos. Esa es la parte de la frase que no cumplimos, y «cuando sea posible» no nos exime de decírselo con claridad para que su justificación sea honesta.

derecho vinculante·En vigor el 5 de diciembre de 2025; plena conformidad esperada el 5 de junio de 2026·Fuente oficial

Un organisme public qui utilise des renseignements personnels afin que soit rendue une décision fondée exclusivement sur un traitement automatisé de ceux-ci doit en informer la personne concernée au plus tard au moment où il l'informe de cette décision.

Qué significa

La palabra «exclusivement» es el detonante, y hay que tomarla al pie de la letra: la ley se refiere a una decisión basada EXCLUSIVAMENTE en un tratamiento automatizado. Una admisión, una detección de abandono escolar, una corrección automatizada o una decisión de ayuda financiera dictada de esa manera obliga a informar a la persona a más tardar en el momento en que se le comunica la decisión (primer párrafo, de oficio). El segundo párrafo añade, SOLO A PETICIÓN, la información utilizada, las razones y los principales factores y parámetros, así como el derecho a que se rectifique. El tercer párrafo da la oportunidad de presentar observaciones a un miembro del personal en condiciones de revisar la decisión: un derecho a ser oído, no un derecho a la revisión.

Qué respondemos

La plataforma redacta, resume y propone; no toma decisiones. Pero sabe automatizar, y es usted quien construye esas automatizaciones. El contrato recuerda expresamente que ningún resultado generado debe hacer las veces de decisión automatizada final sin una validación humana apropiada.

derecho vinculante·En vigor desde el 22 de septiembre de 2023; versión consultada actualizada al 1 de abril de 2026·Fuente oficial

Lorsque les fins pour lesquelles un renseignement personnel a été recueilli ou utilisé sont accomplies, l'organisme public doit le détruire, ou l'anonymiser pour l'utiliser à des fins d'intérêt public, sous réserve de la Loi sur les archives (chapitre A-21.1) ou du Code des professions (chapitre C-26).

Qué significa

El artículo 73 impone una OBLIGACIÓN de destruir o anonimizar una vez cumplidas las finalidades: conservar indefinidamente es un incumplimiento, no una prudencia. Pero la subordina a la Loi sur les archives (Ley de archivos, capítulo A-21.1), que le impone un calendario de conservación aprobado por Bibliothèque et Archives nationales: es ese calendario, y solo él, el que fija el momento. Destruir demasiado pronto es una falta igual que conservar demasiado tiempo. La indicación IA-SI-2023-001-OP, art. 5, párr. 1, ap. 1° c), va en el mismo sentido al exigir una reducción al mínimo del tiempo de conservación.

Qué respondemos

Seamos exactos: la plataforma no aplica su calendario de conservación, ni en un sentido ni en el otro. Ninguna purga configurable se aplica en ella, lo que le expone al incumplimiento inverso: la conservación más allá de las finalidades, que el artículo 73 prohíbe. Ninguna retención es configurable y no emitimos ningún certificado de destrucción. Tres temporizadores codificados de forma fija afectan directamente a un expediente y no se pueden desactivar: transcripciones a 30 días, archivos producidos por una herramienta a 7 días, adjuntos nunca enviados a 48 horas. La exportación completa existe precisamente para que el documento maestro permanezca en su sistema de gestión documental, donde se aplica su calendario. Son los temporizadores que afectan a un expediente; existen otros relojes en otros puntos del producto, y la página Confidencialidad y cumplimiento publica el inventario completo.

derecho vinculante·Versión consultada actualizada al 1 de abril de 2026·Fuente oficial

Il ne faut pas utiliser de renseignements personnels dans un système d'IAG à moins qu'une utilisation particulière ne soit approuvée par le responsable de la sécurité de l'information de l'organisme.

Qué significa

La posición predeterminada del Ministerio para la red escolar es la prohibición, con una excepción que exige una aprobación nominal: la del RESPONSABLE DE LA SEGURIDAD DE LA INFORMACIÓN del organismo. No es el responsable de la protección de la información personal: la guía solo remite a este último para una cuestión distinta y puramente consultiva, la de determinar si una información ES información personal, cuando el riesgo de reidentificación dificulta esa calificación. En el apartado 3.1, el uso de información sensible o confidencial con una IA generativa exige del mismo modo que el sistema sea analizado y aprobado por el encargado de la seguridad de la información del organismo escolar. La guía recuerda además que la selección de las herramientas y los usos permitidos corresponden a cada organismo escolar.

Qué respondemos

La aprobación viene de su responsable de la seguridad de la información, y es una decisión de gobernanza que le corresponde enteramente a usted. Lo que la plataforma aporta es volverla ejecutable en lugar de declarativa: el catálogo de modelos se restringe por grupo y por usuario nombrado, el acceso se gestiona por usuario y por grupo, el análisis de conformidad detecta la información personal en un mensaje y propone el modo confidencialidad — opción de pago, desactivada por defecto, y en sí misma una llamada saliente hacia un modelo, lo que su responsable deberá sopesar —, y el registro de auditoría conserva la traza de los accesos. No sustituye ni el análisis ni la aprobación.

expectativa del regulador·Edición 2026 («© Gouvernement du Québec, 2026»; cita oficial: Ministère de l'Éducation, 2026, 22 p.)·Fuente oficial

Un organisme public doit appliquer les orientations, les stratégies, les politiques, les standards, les directives, les règles ou les indications d'application pris en vertu de la présente loi.

Qué significa

Es la disposición que vuelve obligatorias la orden 2025-02 y las indicaciones de aplicación del director principal de información. El segundo párrafo pone la responsabilidad del cumplimiento en el dirigente del organismo; el tercero precisa que, para un centro de servicios escolares, una comisión escolar, un cégep o una universidad, ese dirigente es el CONSEJO DE ADMINISTRACIÓN: adoptar una plataforma de IA compromete por tanto al consejo, y no solo a la dirección de TI. El artículo 22.2 permite al ministro verificar la conformidad. Sobre todo, el artículo 2 fija el perímetro: ministerios, organismos presupuestarios y no presupuestarios, centros de servicios escolares y comisiones escolares, cégeps y universidades (párr. 1° a 11° del art. 1 de la Ley E-14.1), Santé Québec y los establecimientos del anexo II de G-1.021. Los municipios y los organismos municipales no figuran en él: siguen sujetos a la Loi sur l'accès (art. 3 y 5) y a su propio régimen contractual, pero ni la orden ni las indicaciones los alcanzan.

Qué respondemos

Aquí nada se delega a un proveedor: es su organismo, y nominalmente su dirigente, quien responde de la aplicación. Lo que nosotros aportamos es la materia del expediente —descripción del flujo de datos, regiones de alojamiento, subcontratistas por función, medidas de seguridad, compromisos contractuales— para que la decisión llegue al nivel correcto con los hechos correctos. Si usted es un municipio, díganoslo: la orden y las indicaciones no le alcanzan, y una justificación de soberanía calcada de la de un ministerio le haría cargar con una restricción que no es la suya.

derecho vinculante·Actualizada al 1 de abril de 2026·Fuente oficial

Il doit prioriser, selon le contexte, le traitement et l'hébergement des données numériques gouvernementales dans les centres de traitement informatique sous le contrôle de l'État, notamment lorsque le niveau de sensibilité des données utilisées par le système le requiert et, à défaut, justifier pourquoi il ne peut s'y conformer.

Qué significa

La opción predeterminada no es, por tanto, «una región canadiense de un hiperescalador»: es la infraestructura bajo el control del Estado, con Infrastructures technologiques Québec actuando como corredor de nube de los organismos públicos y elaborando a tal efecto un catálogo de ofertas (Loi sur Infrastructures technologiques Québec, RLRQ c I-8.4, art. 5). La cuestión del alojamiento gubernamental se plantea ANTES que la de la elección de una región en un proveedor comercial, la exigencia se endurece a medida que los datos son sensibles, y toda desviación debe justificarse por escrito. Esta ilustración de implicación acompaña al principio de soberanía digital del mismo §12.

Qué respondemos

No tenemos nada que ofrecer en este frente y más vale decirlo de entrada: la plataforma se ejecuta en Azure, en la región Canada Central (Toronto) de forma predeterminada y una región quebequesa solo en alojamiento privado, nunca en un centro de tratamiento bajo el control del Estado. No poseemos ninguna calificación de nube gubernamental y no figuramos en el catálogo de ningún corredor de nube público. Si el nivel de sensibilidad de sus datos exige la infraestructura del Estado, la respuesta honesta es que no podemos proporcionarla. Si usted concluye otra cosa, será su justificación escrita la que deba sostenerlo, y le proporcionaremos los insumos técnicos.

derecho vinculante·Publicada en la Gazette officielle du Québec el 17 de diciembre de 2025, Parte 2, n.º 51, p. 7092·Fuente oficial

L'encadrement visé à l'article 18 doit interdire au personnel d'utiliser des renseignements de nature confidentielle dans un système d'IAG public. […] Un organisme public doit, afin de protéger la confidentialité et l'intégrité de ses données, prioriser l'utilisation des systèmes d'IAG privés sécurisés plutôt que des systèmes d'IAG publics.

Qué significa

La elisión anterior marca el paso del artículo 19 al artículo 20. Todo depende de una palabra definida en una nota a pie de página: un sistema de IAG público se define allí como toda versión «gran público», gratuita o no, de sistemas de IAG, como las versiones en línea de Copilot (incluido Copilot Chat) y ChatGPT, accesible por la Web desde fuera de la organización. En un sistema así, la información de naturaleza confidencial está pura y simplemente prohibida, y el artículo 18 limita el uso únicamente a los casos de uso autorizados e identificados por el organismo. El artículo 20 plantea la prioridad inversa: primero los sistemas de IAG privados seguros. La indicación no define, sin embargo, «privado seguro», y ninguna autoridad lo certifica: es una calificación que su propio organismo debe formular, con las pruebas en la mano.

Qué respondemos

Digámoslo por ambos lados. Una instancia dedicada, aislada, instalada y operada para usted por Hilo Tech —acceso por usuario y por grupo, cifrado en tránsito y en reposo, registro de auditoría, exportación completa y un contrato cuyo artículo 14 cubre la confidencialidad, las finalidades, los subcontratistas, el aviso de incidente y un derecho de verificación anual— no es una versión gran público accesible por la Web desde fuera de su organización: no entra en la definición de «sistema de IAG público». En cambio, una inscripción de autoservicio a nuestra oferta de nube multiinquilino desde la Web presenta esos rasgos, y no se la recomendamos a un organismo público. Lo que no haremos: declararnos «sistema de IAG privado seguro» en el sentido de la indicación. Nadie expide esa calificación, la inferencia se ejecuta en proveedores extranjeros, varios de ellos en Estados Unidos, y la conclusión corresponde a su dirigente de la información.

derecho vinculante·En vigor el 5 de diciembre de 2025; escalonamiento máximo de seis meses vencido el 5 de junio de 2026·Fuente oficial

L'organisme public doit privilégier un modèle d'IAG ouvert […] lorsque le contexte nécessite une traçabilité complète et une reproductibilité des résultats notamment s'il touche des services destinés aux citoyens ou aux entreprises quand les cas d'usage impliquent des données confidentielles.

Qué significa

La elisión anterior es una llamada de nota, que define el modelo abierto como un modelo del que al menos algunos componentes (código, parámetros finales, documentación) se hacen públicamente accesibles bajo una licencia que permite su uso, su estudio, su modificación o su redistribución. El artículo 15 repite esa preferencia para los sistemas que tienen un impacto en decisiones, predicciones o acciones relativas a los ciudadanos o a las empresas, y el artículo 16 añade que se privilegie un modelo especializado cuando esté disponible y sea económicamente viable. Es una exigencia directamente desfavorable a un catálogo compuesto de modelos propietarios extranjeros, y juega con independencia de la soberanía.

Qué respondemos

Nuestro catálogo está compuesto mayoritariamente por modelos propietarios extranjeros, varios alojados en Estados Unidos: es una debilidad frente a este artículo, y no solo frente a la soberanía. Lo que ofrecemos: el catálogo se restringe por grupo y por usuario nombrado, lo que le permite exponer únicamente modelos abiertos a sus usuarios para los casos de uso que exigen trazabilidad y reproducibilidad, y el registro de auditoría conserva qué modelo respondió. Una reserva que cuenta aquí más que en otros sitios: esta restricción vincula lo que elige el usuario, no los modelos que el servidor reserva para ciertos pasos internos. Varios de ellos transportan contenido real: la extracción del texto de un documento añadido a una base de conocimiento, que pasa por un modelo propietario fijado en el código, y la detección Ley 25 son dos; la página Confidencialidad y cumplimiento los enumera todos. Restringir el catálogo a modelos abiertos no vuelve abierto, por tanto, el camino de extracción, y es exactamente la trazabilidad que el artículo le exige. Lo que no ofrecemos: una garantía de reproducibilidad de los resultados, ya que las versiones de los modelos evolucionan en los proveedores. La elección de los modelos admitidos sigue siendo suya, y deberá justificarse con el artículo en la mano.

derecho vinculante·En vigor el 5 de diciembre de 2025·Fuente oficial

indiquer les configurations de sécurité à être appliquées à de telles données, notamment les chiffrer avec un algorithme de chiffrement répondant à une norme reconnue et adéquate considérant leur degré de sensibilité;

Qué significa

Esta indicación se refiere a TODA solución tecnológica, no solo a la IA, y la indicación sobre la IA generativa la nombra expresamente como indicación vinculada. El mismo artículo 5 exige la minimización de la recogida y una reducción al mínimo del tiempo de conservación (ap. 1° c)), el registro de los accesos y de su utilización, incluidas las descargas (ap. 2°), la anonimización privilegiada (ap. 4°) y procedimientos de destrucción y de borrado completo y permanente (ap. 8°). El artículo 4 impone previamente una revisión al menos anual de los derechos y privilegios de acceso, la verificación de la probidad de los titulares de privilegios y una rendición de cuentas al jefe delegado y al jefe gubernamental de la seguridad de la información. Es la cuadrícula con la que un dirigente de la información evaluará la plataforma.

Qué respondemos

Lo que cumplimos: cifrado en tránsito y en reposo, acceso por usuario y por grupo, exportación completa y un contrato (artículo 14) que cubre la confidencialidad, las finalidades, los subcontratistas, el aviso de incidente y un derecho de verificación anual. El registro del párrafo 2.º solo se cumple a medias: el registro guarda las modificaciones, los usos compartidos, los accesos de administrador, la suplantación, las consultas externas y la recuperación en una base de conocimiento, pero no la lectura de un documento por un miembro que ya tiene derecho a él, ni su descarga, y el párrafo nombra expresamente las descargas. Lo que no cumplimos, y conviene saberlo antes de firmar: la reducción del tiempo de conservación, porque ninguna retención es configurable —tres temporizadores no desactivables (30 días, 7 días, 48 horas) y no son los únicos relojes del producto— y el borrado completo y permanente, para el que no emitimos ningún certificado de destrucción. La revisión anual de los derechos, la verificación de probidad y la rendición de cuentas quedan enteramente de su lado. Son los temporizadores que afectan a un expediente; existen otros relojes en otros puntos del producto, y la página Confidencialidad y cumplimiento publica el inventario completo.

derecho vinculante·Formulada y en vigor el 1 de febrero de 2023; estado «En vigor», difusión no restringida·Fuente oficial

Un organisme public doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits et qui sont raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support.

Qué significa

Es la obligación de seguridad de fondo del sector público, el equivalente del artículo 10 de la Ley del sector privado, y es frente a ella que la Commission d'accès à l'information evaluará un incidente. El estándar es la razonabilidad ponderada por la sensibilidad, la finalidad, la cantidad, la distribución y el soporte, no una lista cerrada de controles. La indicación IA-SI-2023-001-OP se presenta además a sí misma como una contribución al cumplimiento de este artículo, y la Directive gouvernementale sur la sécurité de l'information (decreto 1514-2021) recuerda que la asunción de la seguridad sigue siendo la del organismo «même lorsque la conservation de l'information est assurée par un tiers», incluso cuando la conservación de la información está a cargo de un tercero.

Qué respondemos

Confiar sus datos a un proveedor no desplaza esta obligación: sigue siendo suya. Lo que ponemos enfrente: instancia dedicada, cifrado en tránsito y en reposo, acceso por usuario y por grupo, registro de auditoría, exportación completa y los compromisos contractuales del artículo 14 —confidencialidad, finalidades, subcontratistas, aviso de incidente, derecho de verificación anual—. Lo que falta en el inventario: ninguna retención configurable, ningún certificado de destrucción y una inferencia que se ejecuta en proveedores extranjeros, varios en Estados Unidos. Esos tres puntos deben figurar en su análisis de razonabilidad, no en un anexo.

derecho vinculante·Actualizada al 1 de abril de 2026·Fuente oficial

Un renseignement personnel ne peut être utilisé au sein d'un organisme public qu'aux fins pour lesquelles il a été recueilli, à moins du consentement de la personne concernée. Ce consentement doit être manifesté de façon expresse dès qu'il s'agit d'un renseignement personnel sensible.

Qué significa

El uso típico de una plataforma de IA en un organismo público consiste en volcar documentos existentes en una base de conocimiento para interrogarlos. Eso es una REUTILIZACIÓN, y el artículo 65.1 la limita a las finalidades de la recogida inicial, salvo consentimiento —expreso si se trata de información sensible— o alguno de los casos de excepción que la ley enumera, cuyo uso debe entonces inscribirse en el registro del artículo 67.3. Es la cuestión que con más frecuencia bloquea un proyecto en el comité de acceso, incluso antes que la del alojamiento.

Qué respondemos

La finalidad no podemos verificarla por usted: la plataforma ignora por qué se recogió un documento. Lo que sí permite es compartimentar —bases de conocimiento distintas, acceso por usuario y por grupo, registro de auditoría— para que un corpus recogido con una finalidad no se vuelva interrogable por todo el organismo. El arbitraje sobre las finalidades, el consentimiento en su caso y la inscripción en el registro siguen siendo suyos.

derecho vinculante·Actualizada al 1 de abril de 2026·Fuente oficial

Sous réserve de ce que prévoit le calendrier de conservation, nul ne peut aliéner ou éliminer un document actif ou semi-actif d'un organisme public.

Qué significa

El artículo 7 obliga a todo organismo público a establecer y mantener actualizado un calendario de conservación. El artículo 8 modula la aprobación de Bibliothèque et Archives nationales según el párrafo del anexo en el que usted se encuadre: un ministerio (párr. 1°) somete su calendario y cada una de sus modificaciones; un municipio (párr. 4°) o un organismo escolar (párr. 6°) lo somete conforme al reglamento. La prohibición del artículo 13 es después absoluta fuera del calendario, y alcanza tanto a la eliminación como a la enajenación, incluso para un documento volcado en una herramienta de IA. Es la excepción a la que remite el artículo 73 de la Loi sur l'accès.

Qué respondemos

La plataforma no es un sistema de archivo y no pretenderemos lo contrario: no aplica ningún calendario de conservación, no ofrece ninguna retención configurable y no emite ningún certificado de destrucción. Incluso hay que darle la vuelta a la advertencia: sus tres de los temporizadores del producto no desactivables —transcripciones a 30 días, archivos producidos por una herramienta a 7 días, adjuntos nunca enviados a 48 horas— eliminan contenido sin atender a su calendario, que es exactamente lo que el artículo 13 prohíbe si ese contenido constituye un documento activo o semiactivo. La exportación completa está ahí para que el documento maestro viva en su sistema de gestión documental, y no en el nuestro. Son los temporizadores que afectan a un expediente; existen otros relojes en otros puntos del producto, y la página Confidencialidad y cumplimiento publica el inventario completo.

derecho vinculante·Actualizada al 1 de abril de 2026·Fuente oficial

Un organisme public doit recourir à la procédure d'appel d'offres public pour la conclusion des contrats suivants: […] tout contrat d'approvisionnement, de services ou de travaux de construction comportant une dépense […] égale ou supérieure au seuil minimal prévu dans tout accord intergouvernemental applicable

Qué significa

Un ministerio, un centro de servicios escolares, un cégep, una universidad o un establecimiento de salud contemplado en el artículo 4 no puede simplemente negociar: por encima del umbral de los acuerdos intergubernamentales, la adquisición pasa por una licitación pública. Sus exigencias de residencia de los datos, de soberanía y de conformidad con la Loi sur l'accès deben, por tanto, estar escritas en los documentos de licitación, y no obtenerse después mediante anexo o en la orden de compra. Los municipios no están contemplados por esta ley: dependen de la Loi sur les cités et villes (Ley de ciudades y villas) y del Code municipal (Código municipal). La primera elisión anterior es el número de párrafo, la segunda una precisión sobre el cálculo del gasto.

Qué respondemos

Es una restricción que pesa sobre usted, y cambia la conversación. Por debajo del umbral, una orden de compra y un anexo bastan. Por encima, todo aquello a lo que nos comprometemos debe figurar primero en su pliego: región de alojamiento, cifrado, acceso por usuario y por grupo, registro de auditoría, exportación completa, cláusulas de confidencialidad, de finalidades, de subcontratistas, de aviso de incidente y de verificación anual. Por eso preferimos darle pronto la materia técnica para que sus exigencias sean redactables y verificables por todos los licitadores, en lugar de estar talladas a nuestra medida.

derecho vinculante·Actualizada al 1 de abril de 2026·Fuente oficial

Une entreprise qui souhaite conclure avec un organisme public tout contrat comportant une dépense, incluant la dépense découlant de toute option prévue au contrat, qui est égale ou supérieure au montant déterminé par le gouvernement doit obtenir à cet effet une autorisation de l'Autorité des marchés publics.

Qué significa

Esta exigencia pesa sobre el PROVEEDOR, no sobre usted, y por eso se olvida. Por encima del importe determinado por el Gobierno, una empresa sin autorización para contratar de la Autorité des marchés publics no puede celebrar ni el contrato ni un subcontrato vinculado a él; el artículo 21.18 exige además que la autorización exista desde la fecha de presentación de la oferta y se mantenga durante toda la ejecución. Es la pregunta que hay que hacer al proveedor antes que todas las demás, porque una respuesta negativa deja sin objeto lo que sigue.

Qué respondemos

Respuesta directa: Hilo Tech no posee autorización para contratar de la Autorité des marchés publics, y no figura en ningún registro provincial de proveedores. Por debajo del importe determinado por el Gobierno, eso no bloquea nada. Por encima, nos vuelve inadmisibles mientras no se obtenga la autorización, un trámite que hay que emprender antes de su licitación, no durante. Verifique el importe vigente en el momento de su proyecto en lugar de creernos bajo palabra, y descártenos si el calendario no cuadra.

derecho vinculante·Actualizada al 1 de abril de 2026·Fuente oficial

Les contrats conclus par l'Administration, y compris ceux qui s'y rattachent en sous-traitance, sont rédigés exclusivement dans la langue officielle. Les contrats d'emprunt peuvent néanmoins être rédigés à la fois en français et dans une autre langue.

Qué significa

La Administración, en el sentido de la Carta, comprende los ministerios y organismos gubernamentales, los organismos municipales, los organismos escolares y los establecimientos de salud y de servicios sociales; ese perímetro, a diferencia del de la orden, sí incluye a los municipios. La regla alcanza al contrato Y a los subcontratos vinculados a él, que es exactamente el punto de fricción de una plataforma de IA alojada: las condiciones del proveedor de nube, los anexos de protección de datos y las condiciones de los proveedores de modelos suelen estar redactados en inglés e incorporados por remisión.

Qué respondemos

Nuestro contrato marco existe en francés y el derecho aplicable es el de Quebec. Lo que no controlamos: las condiciones de Azure y las de los proveedores de modelos, que hacen fe en inglés y que nuestro contrato incorpora por remisión. Antes de firmar, exija la lista completa de esos documentos y una versión francesa de cada uno; le diremos cuáles existen ya en francés y cuáles no, en lugar de dejarle descubrir la cadena en inglés después de la adjudicación.

derecho vinculante·Actualizada al 1 de abril de 2026 (modificada por 2022, c. 14)·Fuente oficial

Un organisme public qui a des motifs de croire que s'est produit un incident de confidentialité impliquant un renseignement personnel qu'il détient doit prendre les mesures raisonnables pour diminuer les risques qu'un préjudice soit causé et éviter que de nouveaux incidents de même nature ne se produisent. Si l'incident présente un risque qu'un préjudice sérieux soit causé, l'organisme doit, avec diligence, aviser la Commission. Il doit également aviser toute personne dont un renseignement personnel est concerné par l'incident, à défaut de quoi la Commission peut lui ordonner de le faire.

Qué significa

El detonante es la SOSPECHA razonable, no la certeza: bastan «motivos para creer», y la obligación de mitigación nace en ese momento. Si el riesgo de perjuicio es serio, se deben DOS avisos, no uno: a la Commission d'accès à l'information y a cada persona cuya información esté afectada por el incidente — y si omite el segundo, la Commission puede ordenarle darlo. El aviso a las personas puede diferirse mientras obstaculice una investigación, pero diferido no es dispensado. El artículo 63.11 añade un registro de incidentes, cuyo contenido fija el reglamento y del que la Commission puede exigir copia a petición.

Qué respondemos

Lo que le debemos está aguas arriba de sus dos avisos: el contrato prevé un aviso sin demora a su responsable, con la naturaleza del incidente, las personas afectadas, el periodo y las medidas adoptadas, de modo que usted pueda decidir rápido si el perjuicio es serio e identificar a quién hay que avisar. Lo que no hacemos: no avisamos ni a la Commission ni a sus usuarios en su lugar — ambas obligaciones son suyas — y no llevamos su registro. Tampoco tenemos un plazo cifrado en horas en el contrato, una carencia que nombramos en otras partes de este sitio y que pesa más aquí, puesto que su propia obligación es «con diligencia».

derecho vinculante·2021, c. 25, art. 15; actualizado al 1 de abril de 2026·Fuente oficial

Indications d'application liées (s'il y a lieu) : − IA-SI-2025-001-OP « Interdictions d'utilisation au regard des assistants virtuels DeepSeek »; − IA-SI-2023-001-OP « Mesures minimales de sécurité au regard des données lors de l'utilisation de solutions technologiques »; − IA-RI-2025-002-OP « Interdiction d'utilisation de la fonctionnalité « Inscription vocale et faciale » de l'application Microsoft Teams ».

Qué significa

El director principal de información no se limita a regular: prohíbe nominalmente. La indicación de diciembre de 2025 enumera tres indicaciones vinculadas, y dos son prohibiciones puras: los asistentes virtuales DeepSeek y la funcionalidad «Inscription vocale et faciale» de Microsoft Teams. Debe leerse junto con el artículo 25 de la misma indicación, que deroga la indicación IA-RI-2025-001-OP: la suspensión general de los asistentes virtuales de IA generativa ya no está, por tanto, en vigor; ha sido reemplazada por este régimen de condiciones y de prohibiciones dirigidas. Citamos esta lista desde la indicación misma, único documento del corpus que el editor publica en una dirección estable; el texto íntegro de IA-SI-2025-001-OP no está indexado públicamente.

Qué respondemos

Lo que le concierne directamente de nuestro lado: DeepSeek figura entre los laboratorios cuyos modelos pueden aparecer en el catálogo. Si usted es un organismo público incluido, esos modelos deben excluirse, y el catálogo se restringe por grupo, por usuario nombrado, solo para los administradores o globalmente, con un interruptor de apagado que vincula también a los administradores. Dos precisiones honestas. Primero, la reserva que vale en toda esta página: ese interruptor vincula los modelos que elige un usuario, no las llamadas que el propio servidor emite. Después, un matiz de lectura que juega a su favor: ningún proveedor de ejecución DeepSeek figura en nuestra lista blanca, de modo que un modelo DeepSeek del catálogo sería servido por otro proveedor, y no por DeepSeek. La prohibición apunta al asistente virtual; la lectura prudente, para un organismo público, sigue siendo desactivar esos modelos y dejarlo por escrito. En cuanto a la funcionalidad de Teams contemplada por IA-RI-2025-002-OP, es de Microsoft y no nuestra: nuestra grabación de reuniones no se apoya en ella.

droit dur·Indication datée du 2025-12-05, signée par le sous-ministre et dirigeant principal de l'information ; texte lu le 12 août 2026·Fuente oficial