« Un outil qui ne garantit pas la confidentialité » — le test de votre ordre, mot pour mot

Le comptable professionnel agréé est tenu au secret professionnel et il ne peut divulguer les renseignements de nature confidentielle qui viennent à sa connaissance dans l'exercice de sa profession, à moins qu'il n'y soit autorisé par son client ou par une disposition expresse de la loi.

Ce que ça veut dire

Attention à la version : ce Code a remplacé le précédent le 9 mai 2024 et la renumérotation n'est pas celle qu'on croit — l'ancien article 48 est devenu le 39, l'ancien 49 est devenu le 42, et l'article 40 est une obligation NOUVELLE, sans équivalent avant 2024. L'alinéa 2 ajoute un devoir distinct du secret : faire preuve de discrétion à l'égard de tout renseignement concernant un client, qu'il soit ou non protégé par le secret professionnel.

Ce que nous y répondons

Le contrat protège vos « renseignements confidentiels », terme plus large que « renseignements personnels », avec une obligation mutuelle et un préavis avant toute divulgation légalement contrainte. Nous ne prétendons pas vous relever du secret : nous nous engageons à ne pas y porter atteinte et à vous permettre de le vérifier.

droit dur·En vigueur le 9 mai 2024 (D. 716-2024) ; version lue à jour au 1er avril 2026·Source officielle

À toute étape du processus de préparation, de conservation et de transmission de renseignements, le comptable professionnel agréé prend les mesures raisonnables, notamment à l'égard des personnes qui collaborent avec lui, pour assurer la protection des renseignements de nature confidentielle obtenus ou portés à sa connaissance dans l'exercice de sa profession.

Ce que ça veut dire

Les trois étapes nommées — préparation, conservation, transmission — recouvrent exactement le parcours d'une donnée dans une plateforme d'IA, et l'article vise expressément « les personnes qui collaborent », ce qui inclut un fournisseur. Point de version à vérifier chez vous : cet article n'existait pas avant le 9 mai 2024, donc une politique TI de cabinet antérieure ne l'a jamais prise en compte.

Ce que nous y répondons

Préparation et conservation : instance dédiée au Canada, chiffrement au repos, droits par objet, journal d'audit. Transmission : TLS 1.2 ou supérieur sur chaque segment, et, chez le fournisseur du modèle, un préambule qui identifie l'auteur par son nom, son courriel et les champs d'annuaire renseignés. C'est un dossier de moyens que vous pouvez verser tel quel.

droit dur·En vigueur le 9 mai 2024 ; version lue à jour au 1er avril 2026·Source officielle

Le comptable professionnel agréé doit conserver à son dossier le raisonnement au soutien du document produit ou des recommandations faites au client.

Ce que ça veut dire

L'obligation la plus directement déclenchée par un outil d'IA, et la plus facile à manquer. Ce n'est pas la sortie qui doit finir au dossier, c'est le RAISONNEMENT qui la soutient. Une analyse produite avec l'aide d'un modèle ne devient pas un raisonnement documenté parce qu'elle est bien tournée.

Ce que nous y répondons

La plateforme conserve l'historique complet de chaque échange — invites, sources consultées, versions successives — ce qui vous donne de quoi reconstituer et verser le raisonnement. Elle ne le verse pas à votre place, et elle ne distingue pas ce qui relève du raisonnement de ce qui relève du brouillon. C'est un export à faire, et un jugement à poser.

droit dur·En vigueur le 9 mai 2024 (D. 716-2024) ; texte lu à jour au 1er avril 2026·Source officielle

Lorsqu'il prévoit que certains services liés à l'exécution du contrat seront exécutés, sous des aspects essentiels, par une personne n'exerçant pas au sein du même cabinet, le comptable professionnel agréé en informe son client et obtient son consentement.

Ce que ça veut dire

Plus lourd que l'obligation de moyens de l'article 40 : information ET consentement préalables du client. Que la plateforme soit « une personne » se discute, mais le Guide des TI de l'Ordre tranche dans le même sens en demandant d'informer les clients que des données leur appartenant sont confiées à un tiers.

Ce que nous y répondons

Nous ne pouvons pas informer votre client à votre place, et nous ne pouvons pas décider pour vous si votre usage touche « des aspects essentiels » du mandat. Ce que nous vous donnons pour cette conversation : le trajet d'une requête, les régions d'hébergement, les sous-traitants par rôle et les politiques de conservation de chaque fournisseur.

droit dur·En vigueur le 9 mai 2024 ; texte lu à jour au 1er avril 2026·Source officielle

Il doit, lorsque le client le demande, fournir une copie de ces documents sur un support répondant au mieux des intérêts du client. Des frais raisonnables peuvent être exigés pour la reproduction ou la transmission des documents.

Ce que ça veut dire

L'article 57 borne d'abord la portée : cette section ne joue que lorsque vous rendez des services à des tiers. Cela posé, la demande du client déclenche l'obligation, et c'est l'intérêt du client qui commande le choix du support, pas la commodité du cabinet — des frais raisonnables de reproduction ou de transmission restent permis. L'alinéa 2 réserve deux choses : les techniques, méthodes ou procédés que vous avez développés et traitez de façon confidentielle, et le programme ou les procédures de certification, sauf pour permettre au CPA qui vous succède dans une mission de certification de consulter votre dossier de travail dans une mesure raisonnable. Ce sont les seules réserves : l'export du reste n'est pas une faveur commerciale, c'est un devoir déontologique.

Ce que nous y répondons

Répondre sur la seule rétention — « le dossier s'exporte intégralement » — laisse de côté le devoir qui rend cet export non facultatif. L'export existe et il est complet : conversations, documents et pièces jointes, dans des formats ouverts que vous pouvez remettre tels quels ou reformater. Le choix du support « répondant au mieux des intérêts du client » reste toutefois le vôtre, et l'export ne le fait pas à votre place : il produit ce que la plateforme contient, pas ce qui sert le mieux votre client. Deux écarts à connaître avant qu'une demande arrive. Trois des horloges codées en dur du produit et non désactivables — transcriptions à 30 jours, fichiers produits par un outil à 7 jours, pièces jointes jamais envoyées à 48 heures — peuvent avoir retiré un élément avant la demande ; et la rétention n'est pas configurable, donc vous ne pouvez pas les allonger pour couvrir la durée pendant laquelle un client peut réclamer copie. Ce sont les minuteries qui touchent un dossier ; d'autres horloges existent ailleurs dans le produit, et la page Confidentialité et conformité en publie l'inventaire complet.

droit dur·En vigueur le 9 mai 2024 (D. 716-2024) ; texte lu à jour au 1er avril 2026·Source officielle

Ne jamais saisir de renseignements confidentiels, personnels ou sensibles dans un outil qui ne garantit pas la confidentialité des renseignements.

Ce que ça veut dire

Le test de l'Ordre porte sur la garantie, pas sur l'intention : il ajoute de limiter les données au strict nécessaire et considère toute perte de contrôle comme un risque déontologique. Il faut dire aussi ce que nous ne citons pas. La page pose cinq blocs — Objectivité, Intégrité, Compétence, Conduite professionnelle et Confidentialité — et nous ne reproduisons que le dernier, celui auquel notre produit répond bien ; la règle d'or est ailleurs, sous Conduite professionnelle : « L'usage de l'IA doit toujours être encadré, supervisé et documenté : vous êtes responsable des décisions prises et des résultats utilisés. » Les blocs demandent également « une gouvernance claire […] des contrôles appropriés et une supervision continue ». La question opérationnelle est donc double, et la seconde moitié ne se règle pas par un contrat : par quoi la garantie de confidentialité est-elle établie, et par quoi votre supervision est-elle documentée — la responsabilité du résultat restant la vôtre, qu'aucune configuration de plateforme ne déplace.

Ce que nous y répondons

Par un contrat, pas par une promesse : interdiction d'entraîner un modèle public sur vos renseignements confidentiels sans autorisation écrite, finalités énumérées, configuration par défaut avec des fournisseurs dont les modalités ne permettent pas l'entraînement, et politiques publiées de chaque fournisseur affichées dans votre console pour que la vérification ne dépende pas de notre parole.

attente du régulateur·Sans date affichée ; en-tête HTTP du 15 juin 2026 ; consulté le 6 août 2026·Source officielle

Le membre doit conserver chaque dossier pendant au moins 5 ans à compter de la date à laquelle le mandat a été exécuté. Il peut utiliser tout système ou procédé d'archivage qui lui donne accès à l'information que contenait le dossier à la date de sa fermeture.

Ce que ça veut dire

Cinq ans est un plancher, pas une cible : la fiscalité, les normes professionnelles et vos assureurs imposent souvent davantage. La destruction doit préserver la confidentialité. Et l'alinéa 2 offre une disjonction qu'on oublie : un original appartenant au client ne se détruit pas sans son autorisation OU, après le délai, sans lui avoir donné la possibilité de le reprendre.

Ce que nous y répondons

Aucune purge configurable par vos soins ne vient rompre vos cinq ans, et le dossier s'exporte intégralement. Trois suppressions automatiques s'appliquent tout de même. Trois minuteries codées en dur touchent directement un dossier — transcriptions à 30 jours, fichiers produits par un outil à 7 jours, pièces jointes jamais envoyées à 48 heures. Si l'une d'elles porte une pièce de votre dossier, elle la détruit sans égard à vos cinq ans : exportez-la avant l'échéance — nous ne délivrons pas d'attestation de destruction, donc c'est la seule parade. Comme pour tout outil de travail, gardez le maître du dossier dans votre archivage : c'est lui qui porte le délai réglementaire, ici comme ailleurs. Ce sont les minuteries qui touchent un dossier ; d'autres horloges existent ailleurs dans le produit, et la page Confidentialité et conformité en publie l'inventaire complet.

droit dur·Décision 2001-06-20 ; version lue à jour au 1er avril 2026·Source officielle

Le membre doit consigner pour chaque dossier les éléments et renseignements suivants et les conserver sur support papier ou support électronique: […] 6° le rapport ou le document remis et les recommandations faites au client; 7° la correspondance et les notes

Ce que ça veut dire

C'est l'article 4 qui autorise le support électronique, pas l'article 35 : celui-ci est une clause de non-exclusion — « rien ne doit être interprété comme excluant » — et une clause de non-exclusion n'est pas une permission. L'article 6 ajoute que le dossier se conserve dans un lieu ou sur un support auquel le public n'a pas accès, et l'article 2 qu'il se tient à l'endroit où vous exercez.

Ce que nous y répondons

Le support électronique est donc licite, et c'est bien l'article 4 qui le dit. Ce que nous ne dirons pas : que le corpus CPA est silencieux sur la frontière et que ce silence vaut permission. Il ne l'est pas — l'article 2 vous rattache à votre lieu d'exercice, et l'article 17 de la Loi 25 exige une évaluation et une entente écrite avant toute sortie du Québec. Notre calcul de modèle sort du Québec ; l'évaluation vous revient et nous vous en donnons la matière.

droit dur·Décision 2001-06-20 ; version lue à jour au 1er avril 2026·Source officielle

Avant de communiquer à l'extérieur du Québec un renseignement personnel, la personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. […] Elle doit faire l'objet d'une entente écrite

Ce que ça veut dire

Un cabinet comptable est une « entreprise » au sens de cette loi, et rien dans le corpus de l'Ordre ne l'en dispense. L'évaluation et l'entente écrite sont exigées AVANT la première sortie du Québec — et « sortie » ne veut pas dire seulement « envoi » : le troisième alinéa vise le fait de confier à quelqu'un hors Québec la tâche de conserver pour votre compte, donc l'hébergement lui-même. Notre région par défaut est Canada Centre, à Toronto : elle est hors Québec, et elle déclenche donc l'article 17 à elle seule, avant même qu'une requête parte vers un modèle, et l'article 3.3 en déclenche une seconde pour l'acquisition du système lui-même.

Ce que nous y répondons

Le contrat-maître contient déjà les clauses de sécurité et de confidentialité (article 14), mais soyons précis sur ce que la loi demande : l'entente écrite de l'article 17 doit tenir compte notamment des RÉSULTATS de votre évaluation et, le cas échéant, des mesures d'atténuation convenues. Une clause standard signée avant toute évaluation ne peut pas, par construction, tenir compte de résultats qui n'existent pas encore : elle n'y satisfait donc pas à elle seule, et nous ajoutons au besoin un avenant qui reprend vos conclusions. L'évaluation vous appartient, et nous vous en fournissons les intrants. Nous le mettons ici parce qu'il est exact qu'aucun texte CPA n'impose de localisation — et facile d'en conclure que la question est close. Elle ne l'est pas : elle se règle par la Loi 25, pas par le corpus de votre ordre.

droit dur·L.Q. 2021, c. 25, a. 111 ; en vigueur le 22 septembre 2023 ; texte lu à jour au 1er avril 2026·Source officielle

Recourir à des fournisseurs québécois ou canadiens, surtout pour les actifs informationnels critiques ou confidentiels.

Ce que ça veut dire

C'est une bonne pratique, pas une obligation : aucun texte du corpus CPA n'impose une localisation. Le guide demande néanmoins de vérifier l'emplacement physique des serveurs, le cloisonnement entre locataires, la propriété des données, leur usage éventuel pour entraîner un algorithme et les modalités de destruction — et de prévoir tout cela au contrat.

Ce que nous y répondons

Hilo Tech est une entreprise québécoise, l'hébergement se fait au Canada, et le contrat est régi par le droit du Québec avec compétence des tribunaux de Montréal. Là où nous ne remplissons pas la case : le calcul du modèle s'effectue chez le fournisseur retenu, dont plusieurs opèrent aux États-Unis. Nous ne le présenterons pas comme un hébergement entièrement local.

attente du régulateur·PDF créé le 26 septembre 2023 ; toujours en vedette sur le site de l'Ordre au 6 août 2026·Source officielle