La souveraineté numérique est passée du discours à l'arrêté ministériel

Avant de communiquer à l'extérieur du Québec un renseignement personnel, un organisme public doit procéder à une évaluation des facteurs relatifs à la vie privée. Il doit notamment tenir compte des éléments suivants: 1° la sensibilité du renseignement; 2° la finalité de son utilisation;

Ce que ça veut dire

Structure identique à l'article 17 de la Loi 25 : évaluation, protection adéquate, entente écrite. Le deuxième alinéa en fait une condition de licéité et non une formalité documentaire : la communication ne peut s'effectuer QUE si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate, et l'entente écrite doit tenir compte des résultats de cette évaluation. C'est le TROISIÈME alinéa, et non le dernier, qui étend le même régime au fait de confier à une personne ou à un organisme à l'extérieur du Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver un renseignement pour votre compte — soit exactement une plateforme hébergée. Le quatrième alinéa, lui, ne contient que des exclusions. Le seuil est le Québec, pas le Canada.

Ce que nous y répondons

Votre instance est hébergée au Canada, en région Canada Centre (Toronto) par défaut, donc hors Québec au sens de cet article. L'engagement de résidence de Microsoft porte sur le Canada, pas sur la province de Québec : il réserve expressément la copie de données entre régions canadiennes, et prévoit que du personnel situé hors du Canada peut y accéder à distance. Un hébergement en une région québécoise, uniquement en hébergement privé (l'infonuagique mutualisée n'a qu'une seule région canadienne), rapproche donc le traitement du Québec sans le garantir contractuellement. Et le contenu d'une requête au modèle, lui, sort du Canada : cela doit figurer dans votre évaluation, et nous vous en fournissons les éléments.

droit dur·En vigueur depuis le 22 septembre 2023 ; version lue à jour au 1er avril 2026·Source officielle

Dans ce cas, l'organisme public doit: 1° confier le mandat ou le contrat par écrit; 2° indiquer, dans le mandat ou le contrat, les dispositions de la présente loi qui s'appliquent au renseignement communiqué au mandataire ou à l'exécutant du contrat

Ce que ça veut dire

Le contrat doit nommer les dispositions applicables de la Loi sur l'accès, prévoir les mesures de confidentialité, limiter l'usage au mandat et interdire la conservation après son expiration, avec engagement de confidentialité, avis sans délai de toute violation et droit de vérification.

Ce que nous y répondons

Notre contrat couvre la structure — usage limité, mesures de sécurité, avis d'incident, droit de vérification, suppression après la transition. Ce qu'il ne fait pas : nommer les dispositions de la Loi sur l'accès qui s'appliquent, puisqu'il a été rédigé pour le secteur privé. Un addendum est nécessaire pour un organisme public, et nous vous le fournirons plutôt que de prétendre que le contrat standard suffit.

droit dur·Modifié par la Loi 25 ; version lue à jour au 1er avril 2026·Source officielle

Un organisme public doit procéder à une évaluation des facteurs relatifs à la vie privée de tout projet d'acquisition, de développement et de refonte de système d'information ou de prestation électronique de services impliquant la collecte […] de renseignements personnels.

Ce que ça veut dire

Deux évaluations se cumulent, comme dans le secteur privé : celle de l'acquisition et celle du transfert hors Québec. Le comité sur l'accès à l'information et la protection des renseignements personnels doit être consulté dès le début du projet.

Ce que nous y répondons

Nous fournissons les intrants : description du flux de données, catégories transmises hors Québec, régions, sous-traitants par rôle, politiques publiées des fournisseurs de modèles, mesures de sécurité et engagements contractuels. L'évaluation elle-même et sa conclusion vous appartiennent — la loi les met sur l'organisme.

droit dur·En vigueur depuis le 22 septembre 2023 ; version lue à jour au 1er avril 2026·Source officielle

Le choix d'un système d'IA par un organisme public doit s'inscrire dans la recherche de la souveraineté numérique. Plus particulièrement, les organismes publics doivent tendre à diminuer leur dépendance technologique envers des fournisseurs étrangers et à conserver le plus possible un contrôle sur les modèles d'IA, leurs données et les infrastructures qui les hébergent. Ils doivent donc favoriser, lorsque possible, des fournisseurs québécois ou autrement canadien offrant des solutions hébergées au Québec.

Ce que ça veut dire

C'est une orientation ministérielle prise en vertu du deuxième alinéa de l'article 21 de la Loi sur la gouvernance et la gestion des ressources informationnelles (chapitre G-1.03). Ce qui la rend obligatoire est l'article 5.1 de cette loi — et non l'article 12.2, qui se trouve au chapitre de la sécurité de l'information et ne porte que sur elle. La responsabilité du respect incombe au dirigeant de l'organisme, lequel est le CONSEIL D'ADMINISTRATION dans un centre de services scolaire, un cégep ou une université, et le ministre peut en vérifier la conformité (art. 22.2). Portée : les organismes publics visés à l'article 2 de G-1.03, soit les ministères, les organismes budgétaires et autres que budgétaires, les centres de services scolaires et commissions scolaires, les cégeps et les universités des paragraphes 1° à 11° de l'article 1 de la Loi E-14.1, Santé Québec et les établissements de l'annexe II de G-1.021. Les municipalités et les organismes municipaux N'Y SONT PAS : l'arrêté ne les atteint pas. Ce n'est pas une interdiction d'acheter à l'étranger, mais le standard écrit est « hébergées au Québec », doublé d'une exigence de conserver le contrôle sur les modèles eux-mêmes.

Ce que nous y répondons

Hilo Tech est une entreprise québécoise, le contrat est régi par le droit du Québec avec compétence des tribunaux de Montréal, et l'hébergement par défaut est en région Canada Centre, à Toronto : au Canada, donc, et non au Québec, alors que l'arrêté écrit « hébergées au Québec ». Une région québécoise n'existe qu'en hébergement privé (l'infonuagique mutualisée n'a qu'une seule région canadienne), et c'est ce que nous recommandons à un organisme public. Sur le reste de la phrase, nous ne remplissons rien : les modèles viennent de fournisseurs étrangers, plusieurs aux États-Unis, l'inférence s'exécute chez eux, et nous ne conservons aucun contrôle sur ces modèles ni sur les infrastructures qui les hébergent. Nous n'avons aucune qualification d'infonuagique gouvernementale et ne figurons sur aucun registre provincial de fournisseurs. Nous ne présenterons pas cela comme de la souveraineté.

droit dur·Publié à la Gazette officielle du Québec le 17 décembre 2025 ; remplace l'annexe de l'arrêté 2024-02·Source officielle

Lorsque les DNG utilisées comprennent des renseignements confidentiels, un tel organisme doit également favoriser, lorsque possible, des fournisseurs québécois ou d'ailleurs au Canada offrant des solutions hébergées au Québec ou au Canada.

Ce que ça veut dire

Sa force contraignante ne vient pas d'un statut de loi mais du paragraphe 1.1° de l'article 7 de G-1.03 — le dirigeant principal de l'information formule des indications d'application « auxquelles ces derniers doivent se conformer » — combiné à l'article 5.1. L'article 4 va plus loin que la Loi sur l'accès : une ÉFVP est exigée dès la phase de conception pour TOUT système d'IAG, y compris ceux qui, à première vue, ne semblent pas impliquer de renseignements personnels. S'y ajoutent la classification préalable des données (art. 8 et 9) et l'encadrement strict des systèmes d'IAG publics, où les renseignements de nature confidentielle sont interdits (art. 18 à 20). Portée : les mêmes organismes qu'à l'article 2 de G-1.03 — les municipalités ne sont pas visées. Le délai d'échelonnement de six mois prévu à l'article 23 est échu depuis le 5 juin 2026, et l'article 24 permet au dirigeant principal de l'information de soustraire un organisme, en tout ou en partie.

Ce que nous y répondons

Fournisseur québécois : oui. Solution hébergée au Canada par défaut, et, en hébergement privé seulement, une région québécoise : oui, avec cette réserve. Modèles hébergés au Québec ou au Canada : non — l'inférence s'exécute chez des fournisseurs étrangers, plusieurs aux États-Unis. C'est la partie de la phrase que nous ne remplissons pas, et « lorsque possible » ne nous dispense pas de vous le dire clairement pour que votre justification soit honnête.

droit dur·En vigueur le 5 décembre 2025 ; pleine conformité attendue le 5 juin 2026·Source officielle

Un organisme public qui utilise des renseignements personnels afin que soit rendue une décision fondée exclusivement sur un traitement automatisé de ceux-ci doit en informer la personne concernée au plus tard au moment où il l'informe de cette décision.

Ce que ça veut dire

Le mot « exclusivement » est le déclencheur, et il faut le prendre au pied de la lettre : la loi vise une décision fondée EXCLUSIVEMENT sur un traitement automatisé. Une admission, un dépistage du décrochage, une correction automatisée ou une décision d'aide financière rendue de cette façon oblige à informer la personne au plus tard au moment où on lui annonce la décision (premier alinéa, d'office). Le deuxième alinéa ajoute, SUR DEMANDE seulement, les renseignements utilisés, les raisons ainsi que les principaux facteurs et paramètres, et le droit de faire rectifier. Le troisième alinéa donne l'occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision : un droit d'être entendu, pas un droit à la révision.

Ce que nous y répondons

La plateforme rédige, résume et propose ; elle ne rend pas de décision. Mais elle sait automatiser, et c'est vous qui construisez ces automatisations. Le contrat rappelle expressément qu'aucun résultat généré ne doit tenir lieu de décision automatisée finale sans validation humaine appropriée.

droit dur·En vigueur depuis le 22 septembre 2023 ; version lue à jour au 1er avril 2026·Source officielle

Lorsque les fins pour lesquelles un renseignement personnel a été recueilli ou utilisé sont accomplies, l'organisme public doit le détruire, ou l'anonymiser pour l'utiliser à des fins d'intérêt public, sous réserve de la Loi sur les archives (chapitre A-21.1) ou du Code des professions (chapitre C-26).

Ce que ça veut dire

L'article 73 pose une OBLIGATION de détruire ou d'anonymiser une fois les fins accomplies : conserver indéfiniment est un manquement, pas une prudence. Mais il la subordonne à la Loi sur les archives (chapitre A-21.1), qui vous impose un calendrier de conservation approuvé par Bibliothèque et Archives nationales — c'est ce calendrier, et lui seul, qui fixe le moment. Détruire trop tôt est une faute au même titre que conserver trop longtemps. L'indication IA-SI-2023-001-OP, art. 5, al. 1, par. 1° c), va dans le même sens en exigeant une réduction au minimum du temps de conservation.

Ce que nous y répondons

Soyons exacts : la plateforme n'applique pas votre calendrier de conservation, ni dans un sens ni dans l'autre. Aucune purge configurable ne s'y applique, ce qui vous expose au manquement inverse — la conservation au-delà des fins, que l'article 73 prohibe. Aucune rétention n'est configurable et nous n'émettons aucun certificat de destruction. Trois minuteries codées en dur touchent directement un dossier et ne peuvent être désactivées : transcriptions à 30 jours, fichiers produits par un outil à 7 jours, pièces jointes jamais envoyées à 48 heures. L'export complet existe précisément pour que le document maître reste dans votre système de gestion documentaire, où votre calendrier s'applique. Ce sont les minuteries qui touchent un dossier ; d'autres horloges existent ailleurs dans le produit, et la page Confidentialité et conformité en publie l'inventaire complet.

droit dur·Version lue à jour au 1er avril 2026·Source officielle

Il ne faut pas utiliser de renseignements personnels dans un système d'IAG à moins qu'une utilisation particulière ne soit approuvée par le responsable de la sécurité de l'information de l'organisme.

Ce que ça veut dire

La position par défaut du Ministère pour le réseau scolaire est l'interdiction, avec une exception qui exige une approbation nommée : celle du RESPONSABLE DE LA SÉCURITÉ DE L'INFORMATION de l'organisme. Ce n'est pas le responsable de la protection des renseignements personnels : le guide ne renvoie à ce dernier que pour une question distincte et purement consultative — déterminer si une information EST un renseignement personnel, lorsque le risque de réidentification rend la qualification difficile. Au paragraphe 3.1, l'utilisation d'information sensible ou confidentielle avec une IAG exige de la même façon que le système soit analysé et approuvé par le répondant de la sécurité de l'information de l'organisme scolaire. Le guide rappelle par ailleurs que la sélection des outils et les usages permis relèvent de chaque organisme scolaire.

Ce que nous y répondons

L'approbation vient de votre responsable de la sécurité de l'information, et c'est une décision de gouvernance qui vous appartient entièrement. Ce que la plateforme apporte, c'est de la rendre exécutable plutôt que déclarative : le catalogue de modèles se restreint par groupe et par utilisateur nommé, l'accès se gère par utilisateur et par groupe, l'analyse de conformité détecte les renseignements personnels dans un message et propose le mode confidentialité — option payante, désactivée par défaut, et elle-même un appel sortant vers un modèle, ce que votre responsable devra peser, et le journal d'audit conserve la trace des accès. Elle ne remplace ni l'analyse ni l'approbation.

attente du régulateur·Édition 2026 (« © Gouvernement du Québec, 2026 » ; citation officielle : Ministère de l'Éducation, 2026, 22 p.)·Source officielle

Un organisme public doit appliquer les orientations, les stratégies, les politiques, les standards, les directives, les règles ou les indications d'application pris en vertu de la présente loi.

Ce que ça veut dire

C'est la disposition qui rend l'arrêté 2025-02 et les indications d'application du dirigeant principal de l'information obligatoires. Le deuxième alinéa met la responsabilité du respect sur le dirigeant de l'organisme ; le troisième précise que, pour un centre de services scolaire, une commission scolaire, un cégep ou une université, ce dirigeant est le CONSEIL D'ADMINISTRATION — adopter une plateforme d'IA y engage donc le conseil, et pas seulement la direction des TI. L'article 22.2 permet au ministre d'en vérifier la conformité. Surtout, l'article 2 fixe le périmètre : ministères, organismes budgétaires et autres que budgétaires, centres de services scolaires et commissions scolaires, cégeps et universités (par. 1° à 11° de l'art. 1 de la Loi E-14.1), Santé Québec et les établissements de l'annexe II de G-1.021. Les municipalités et les organismes municipaux n'y figurent pas : ils restent assujettis à la Loi sur l'accès (art. 3 et 5) et à leur propre régime contractuel, mais ni l'arrêté ni les indications ne les visent.

Ce que nous y répondons

Rien ici ne se délègue à un fournisseur : c'est votre organisme, et nommément son dirigeant, qui répond de l'application. Ce que nous fournissons, c'est la matière du dossier — description du flux de données, régions d'hébergement, sous-traitants par rôle, mesures de sécurité, engagements contractuels — pour que la décision remonte au bon palier avec les bons faits. Si vous êtes une municipalité, dites-le-nous : l'arrêté et les indications ne vous visent pas, et une justification de souveraineté calquée sur celle d'un ministère vous ferait porter une contrainte qui n'est pas la vôtre.

droit dur·À jour au 1er avril 2026·Source officielle

Il doit prioriser, selon le contexte, le traitement et l'hébergement des données numériques gouvernementales dans les centres de traitement informatique sous le contrôle de l'État, notamment lorsque le niveau de sensibilité des données utilisées par le système le requiert et, à défaut, justifier pourquoi il ne peut s'y conformer.

Ce que ça veut dire

L'option par défaut n'est donc pas « une région canadienne d'un hyperscaler » : c'est l'infrastructure sous le contrôle de l'État, Infrastructures technologiques Québec agissant comme courtier infonuagique des organismes publics et élaborant à cette fin un catalogue d'offres (Loi sur Infrastructures technologiques Québec, RLRQ c I-8.4, art. 5). La question de l'hébergement gouvernemental se pose AVANT celle du choix d'une région chez un fournisseur commercial, l'exigence se durcit à mesure que les données sont sensibles, et l'écart doit être justifié par écrit. Cette illustration d'implication accompagne le principe de souveraineté numérique du même §12.

Ce que nous y répondons

Nous n'avons rien à offrir de ce côté et il vaut mieux le dire tout de suite : la plateforme s'exécute sur Azure, en région Canada Centre (Toronto) par défaut et une région québécoise uniquement en hébergement privé, jamais dans un centre de traitement sous le contrôle de l'État. Nous ne détenons aucune qualification d'infonuagique gouvernementale et ne figurons au catalogue d'aucun courtier infonuagique public. Si le niveau de sensibilité de vos données commande l'infrastructure de l'État, la réponse honnête est que nous ne pouvons pas la fournir. Si vous concluez autrement, c'est votre justification écrite qui devra le porter, et nous vous en fournirons les intrants techniques.

droit dur·Publié à la Gazette officielle du Québec le 17 décembre 2025, Partie 2, no 51, p. 7092·Source officielle

L'encadrement visé à l'article 18 doit interdire au personnel d'utiliser des renseignements de nature confidentielle dans un système d'IAG public. […] Un organisme public doit, afin de protéger la confidentialité et l'intégrité de ses données, prioriser l'utilisation des systèmes d'IAG privés sécurisés plutôt que des systèmes d'IAG publics.

Ce que ça veut dire

L'élision ci-dessus marque le passage de l'article 19 à l'article 20. Tout tient à un mot défini en note de bas de page : un système d'IAG public y est défini comme toute version « grand public » gratuite ou non de systèmes d'IAG, comme les versions en ligne de Copilot (incluant Copilot Chat) et ChatGPT, accessible par le Web à l'extérieur de l'organisation. Dans un tel système, les renseignements de nature confidentielle sont purement et simplement interdits, et l'article 18 limite l'usage aux seuls cas d'usage autorisés et identifiés par l'organisme. L'article 20 pose la priorité inverse : les systèmes d'IAG privés sécurisés d'abord. L'indication ne définit toutefois pas « privé sécurisé » et aucune autorité ne le certifie — c'est une qualification que votre organisme doit poser lui-même, pièces en main.

Ce que nous y répondons

Disons-le des deux côtés. Une instance dédiée, isolée, installée et exploitée pour vous par Hilo Tech — accès par utilisateur et par groupe, chiffrement en transit et au repos, journal d'audit, export complet, et un contrat dont l'article 14 couvre la confidentialité, les finalités, les sous-traitants, l'avis d'incident et un droit de vérification annuel — n'est pas une version grand public accessible par le Web à l'extérieur de votre organisation : elle ne tombe pas dans la définition de « système d'IAG public ». En revanche, une inscription en libre-service à notre offre infonuagique multilocataire depuis le Web en présente les traits, et nous ne la recommandons pas à un organisme public. Ce que nous ne ferons pas : nous déclarer « système d'IAG privé sécurisé » au sens de l'indication. Personne ne délivre cette qualification, l'inférence s'exécute chez des fournisseurs étrangers dont plusieurs aux États-Unis, et la conclusion revient à votre dirigeant de l'information.

droit dur·En vigueur le 5 décembre 2025 ; échelonnement maximal de six mois échu le 5 juin 2026·Source officielle

L'organisme public doit privilégier un modèle d'IAG ouvert […] lorsque le contexte nécessite une traçabilité complète et une reproductibilité des résultats notamment s'il touche des services destinés aux citoyens ou aux entreprises quand les cas d'usage impliquent des données confidentielles.

Ce que ça veut dire

L'élision ci-dessus est un appel de note, lequel définit le modèle ouvert comme un modèle dont au moins certains composants (code, paramètres finaux, documentation) sont rendus publiquement accessibles sous une licence permettant son usage, son étude, sa modification ou sa redistribution. L'article 15 répète cette préférence pour les systèmes qui ont un impact sur des décisions, des prédictions ou des actions concernant les citoyens ou les entreprises, et l'article 16 ajoute de privilégier un modèle spécialisé lorsqu'il est disponible et économiquement viable. C'est une exigence directement défavorable à un catalogue composé de modèles propriétaires étrangers, et elle joue indépendamment de la souveraineté.

Ce que nous y répondons

Notre catalogue est majoritairement composé de modèles propriétaires étrangers, plusieurs hébergés aux États-Unis : c'est une faiblesse au regard de cet article, et pas seulement au regard de la souveraineté. Ce que nous offrons : le catalogue se restreint par groupe et par utilisateur nommé, ce qui vous permet de n'exposer que des modèles ouverts à vos utilisateurs pour les cas d'usage exigeant traçabilité et reproductibilité, et le journal d'audit conserve quel modèle a répondu. Une réserve qui compte ici plus qu'ailleurs : cette restriction lie ce que l'utilisateur choisit, pas les modèles que le serveur retient pour certaines étapes internes. Plusieurs transportent du contenu réel — l'extraction du texte d'un document versé dans une base de connaissances, qui passe par un modèle propriétaire fixé dans le code, et la détection Loi 25 en sont deux ; la page Confidentialité et conformité les énumère toutes. Restreindre le catalogue à des modèles ouverts ne rend donc pas ouvert le chemin d'extraction, et c'est exactement la traçabilité que l'article vous demande. Ce que nous n'offrons pas : une garantie de reproductibilité des résultats, puisque les versions des modèles évoluent chez les fournisseurs. Le choix des modèles admis reste le vôtre, et il devra être justifié article en main.

droit dur·En vigueur le 5 décembre 2025·Source officielle

indiquer les configurations de sécurité à être appliquées à de telles données, notamment les chiffrer avec un algorithme de chiffrement répondant à une norme reconnue et adéquate considérant leur degré de sensibilité;

Ce que ça veut dire

Cette indication vise TOUTE solution technologique, pas seulement l'IA, et l'indication sur l'IAG la nomme expressément comme indication liée. Le même article 5 exige la minimisation de la collecte et une réduction au minimum du temps de conservation (par. 1° c)), la journalisation des accès et de leur utilisation, dont les téléchargements (par. 2°), l'anonymisation privilégiée (par. 4°) et des procédures de destruction et d'effacement complet et permanent (par. 8°). L'article 4 impose en amont une révision au moins annuelle des droits et privilèges d'accès, la vérification de la probité des détenteurs de privilèges et une reddition de comptes au chef délégué et au chef gouvernemental de la sécurité de l'information. C'est la grille contre laquelle un dirigeant de l'information évaluera la plateforme.

Ce que nous y répondons

Ce que nous cochons : chiffrement en transit et au repos, accès par utilisateur et par groupe, export complet, et un contrat (article 14) couvrant la confidentialité, les finalités, les sous-traitants, l'avis d'incident et un droit de vérification annuel. La journalisation du paragraphe 2° n'est cochée qu'en partie : le journal enregistre les modifications, les partages, les accès administrateur, l'usurpation d'identité, les consultations externes et la récupération dans une base de connaissances, mais pas la lecture d'un document par un membre déjà autorisé, ni son téléchargement — or le paragraphe nomme expressément les téléchargements. Ce que nous ne cochons pas, et qu'il faut savoir avant de signer : la réduction du temps de conservation, parce qu'aucune rétention n'est configurable — trois minuteries non désactivables (30 jours, 7 jours, 48 heures) et ce ne sont pas les seules horloges du produit — et l'effacement complet et permanent, pour lequel nous n'émettons aucun certificat de destruction. La révision annuelle des droits, la vérification de probité et la reddition de comptes restent entièrement de votre côté. Ce sont les minuteries qui touchent un dossier ; d'autres horloges existent ailleurs dans le produit, et la page Confidentialité et conformité en publie l'inventaire complet.

droit dur·Formulée et en vigueur le 1er février 2023 ; statut « En vigueur », diffusion non restreinte·Source officielle

Un organisme public doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits et qui sont raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support.

Ce que ça veut dire

C'est l'obligation de sécurité de fond du secteur public, l'équivalent de l'article 10 de la Loi sur le privé, et c'est contre elle que la Commission d'accès à l'information évaluera un incident. Le standard est la raisonnabilité pondérée par la sensibilité, la finalité, la quantité, la répartition et le support — pas une liste fermée de contrôles. L'indication IA-SI-2023-001-OP se présente d'ailleurs elle-même comme contribuant au respect de cet article, et la Directive gouvernementale sur la sécurité de l'information (décret 1514-2021) rappelle que la prise en charge de la sécurité demeure celle de l'organisme « même lorsque la conservation de l'information est assurée par un tiers ».

Ce que nous y répondons

Confier vos données à un fournisseur ne déplace pas cette obligation : elle reste la vôtre. Ce que nous mettons en face : instance dédiée, chiffrement en transit et au repos, accès par utilisateur et par groupe, journal d'audit, export complet, et les engagements contractuels de l'article 14 — confidentialité, finalités, sous-traitants, avis d'incident, droit de vérification annuel. Ce qui manque à l'inventaire : aucune rétention configurable, aucun certificat de destruction, et une inférence qui s'exécute chez des fournisseurs étrangers, plusieurs aux États-Unis. Ces trois points doivent figurer dans votre analyse de raisonnabilité, pas dans une annexe.

droit dur·À jour au 1er avril 2026·Source officielle

Un renseignement personnel ne peut être utilisé au sein d'un organisme public qu'aux fins pour lesquelles il a été recueilli, à moins du consentement de la personne concernée. Ce consentement doit être manifesté de façon expresse dès qu'il s'agit d'un renseignement personnel sensible.

Ce que ça veut dire

L'usage typique d'une plateforme d'IA dans un organisme public consiste à verser des documents existants dans une base de connaissances pour les interroger. C'est une RÉUTILISATION, et l'article 65.1 la limite aux fins de la collecte initiale, sauf consentement — exprès s'il s'agit d'un renseignement sensible — ou l'un des cas d'exception que la loi énumère, dont l'usage doit alors être inscrit au registre de l'article 67.3. C'est la question qui bloque le plus souvent un projet en comité sur l'accès, avant même celle de l'hébergement.

Ce que nous y répondons

La finalité, nous ne pouvons pas la vérifier à votre place : la plateforme ignore pourquoi un document a été recueilli. Ce qu'elle permet, c'est de cloisonner — bases de connaissances distinctes, accès par utilisateur et par groupe, journal d'audit — pour qu'un corpus recueilli à une fin ne devienne pas interrogeable par tout l'organisme. L'arbitrage sur les finalités, le consentement le cas échéant et l'inscription au registre restent les vôtres.

droit dur·À jour au 1er avril 2026·Source officielle

Sous réserve de ce que prévoit le calendrier de conservation, nul ne peut aliéner ou éliminer un document actif ou semi-actif d'un organisme public.

Ce que ça veut dire

L'article 7 oblige tout organisme public à établir et tenir à jour un calendrier de conservation. L'article 8 module l'approbation de Bibliothèque et Archives nationales selon le paragraphe de l'annexe dont vous relevez : un ministère (par. 1°) soumet son calendrier et chacune de ses modifications ; une municipalité (par. 4°) ou un organisme scolaire (par. 6°) le soumet conformément au règlement. L'interdiction de l'article 13 est ensuite absolue en dehors du calendrier, et elle vise l'élimination comme l'aliénation — y compris pour un document versé dans un outil d'IA. C'est l'exception à laquelle renvoie l'article 73 de la Loi sur l'accès.

Ce que nous y répondons

La plateforme n'est pas un système d'archivage et nous ne prétendrons pas le contraire : elle n'applique aucun calendrier de conservation, n'offre aucune rétention configurable et n'émet aucun certificat de destruction. Il faut même retourner l'avertissement : ses trois des horloges non désactivables du produit — transcriptions à 30 jours, fichiers produits par un outil à 7 jours, pièces jointes jamais envoyées à 48 heures — éliminent du contenu sans égard à votre calendrier, ce qui est exactement ce que l'article 13 interdit si ce contenu constitue un document actif ou semi-actif. L'export complet est là pour que le document maître vive dans votre système de gestion documentaire, et non chez nous. Ce sont les minuteries qui touchent un dossier ; d'autres horloges existent ailleurs dans le produit, et la page Confidentialité et conformité en publie l'inventaire complet.

droit dur·À jour au 1er avril 2026·Source officielle

Un organisme public doit recourir à la procédure d'appel d'offres public pour la conclusion des contrats suivants: […] tout contrat d'approvisionnement, de services ou de travaux de construction comportant une dépense […] égale ou supérieure au seuil minimal prévu dans tout accord intergouvernemental applicable

Ce que ça veut dire

Un ministère, un centre de services scolaire, un cégep, une université ou un établissement de santé visé à l'article 4 ne peut pas simplement négocier : au-delà du seuil des accords intergouvernementaux, l'acquisition passe par un appel d'offres public. Vos exigences de résidence des données, de souveraineté et de conformité à la Loi sur l'accès doivent donc être écrites dans les documents d'appel d'offres, et non obtenues après coup par addendum ou au bon de commande. Les municipalités ne sont pas visées par cette loi : elles relèvent de la Loi sur les cités et villes et du Code municipal. La première élision ci-dessus est le numéro de paragraphe, la seconde une précision sur le calcul de la dépense.

Ce que nous y répondons

C'est une contrainte qui pèse sur vous, et elle change la conversation. Sous le seuil, un bon de commande et un addendum suffisent. Au-dessus, tout ce que nous nous engageons à faire doit d'abord figurer dans votre devis : région d'hébergement, chiffrement, accès par utilisateur et par groupe, journal d'audit, export complet, clauses de confidentialité, de finalités, de sous-traitants, d'avis d'incident et de vérification annuelle. Nous préférons donc vous fournir tôt la matière technique pour que vos exigences soient rédigeables et vérifiables par tous les soumissionnaires, plutôt que taillées sur nous.

droit dur·À jour au 1er avril 2026·Source officielle

Une entreprise qui souhaite conclure avec un organisme public tout contrat comportant une dépense, incluant la dépense découlant de toute option prévue au contrat, qui est égale ou supérieure au montant déterminé par le gouvernement doit obtenir à cet effet une autorisation de l'Autorité des marchés publics.

Ce que ça veut dire

Cette exigence pèse sur le FOURNISSEUR, pas sur vous, et c'est pour cela qu'on l'oublie. Au-delà du montant déterminé par le gouvernement, une entreprise sans autorisation de contracter de l'Autorité des marchés publics ne peut ni conclure le contrat ni un sous-contrat qui s'y rattache ; l'article 21.18 exige de plus que l'autorisation existe dès la date du dépôt de la soumission et soit maintenue pendant toute l'exécution. C'est une question à poser au fournisseur avant toutes les autres, parce qu'une réponse négative rend la suite sans objet.

Ce que nous y répondons

Réponse directe : Hilo Tech ne détient pas d'autorisation de contracter de l'Autorité des marchés publics, et ne figure sur aucun registre provincial de fournisseurs. Sous le montant déterminé par le gouvernement, cela ne bloque rien. Au-dessus, cela nous rend inadmissibles tant que l'autorisation n'est pas obtenue — une démarche à entreprendre avant votre appel d'offres, pas pendant. Vérifiez le montant en vigueur au moment de votre projet plutôt que de nous croire sur parole, et écartez-nous si le calendrier ne tient pas.

droit dur·À jour au 1er avril 2026·Source officielle

Les contrats conclus par l'Administration, y compris ceux qui s'y rattachent en sous-traitance, sont rédigés exclusivement dans la langue officielle. Les contrats d'emprunt peuvent néanmoins être rédigés à la fois en français et dans une autre langue.

Ce que ça veut dire

L'Administration, au sens de la Charte, comprend les ministères et organismes gouvernementaux, les organismes municipaux, les organismes scolaires et les établissements de santé et de services sociaux — ce périmètre-là, contrairement à celui de l'arrêté, inclut les municipalités. La règle vise le contrat ET les sous-contrats qui s'y rattachent, ce qui est exactement le point de friction d'une plateforme d'IA hébergée : les conditions du fournisseur d'infonuagique, les addenda de protection des données et les conditions des fournisseurs de modèles sont typiquement rédigés en anglais et incorporés par renvoi.

Ce que nous y répondons

Notre contrat-cadre existe en français et le droit applicable est celui du Québec. Ce que nous ne contrôlons pas : les conditions d'Azure et celles des fournisseurs de modèles, qui font autorité en anglais et que notre contrat incorpore par renvoi. Avant de signer, exigez la liste complète de ces documents et une version française de chacun ; nous vous dirons lesquels existent déjà en français et lesquels n'existent pas, plutôt que de vous laisser découvrir la chaîne anglaise après l'attribution.

droit dur·À jour au 1er avril 2026 (modifié par 2022, c. 14)·Source officielle

Un organisme public qui a des motifs de croire que s'est produit un incident de confidentialité impliquant un renseignement personnel qu'il détient doit prendre les mesures raisonnables pour diminuer les risques qu'un préjudice soit causé et éviter que de nouveaux incidents de même nature ne se produisent. Si l'incident présente un risque qu'un préjudice sérieux soit causé, l'organisme doit, avec diligence, aviser la Commission. Il doit également aviser toute personne dont un renseignement personnel est concerné par l'incident, à défaut de quoi la Commission peut lui ordonner de le faire.

Ce que ça veut dire

Le déclencheur est le SOUPÇON raisonnable, pas la certitude : « des motifs de croire » suffit, et l'obligation de mitigation naît à ce moment-là. Si le risque de préjudice est sérieux, DEUX avis sont dus, pas un : à la Commission d'accès à l'information, et à chaque personne dont un renseignement est concerné — et si vous omettez le second, la Commission peut vous ordonner de le donner. L'avis aux personnes peut être différé tant qu'il entraverait une enquête, mais différé n'est pas dispensé. L'article 63.11 ajoute un registre des incidents, dont le règlement fixe la teneur et dont la Commission peut exiger copie sur demande.

Ce que nous y répondons

Ce que nous vous devons est en amont de vos deux avis : le contrat prévoit un avis sans délai à votre responsable, avec la nature de l'incident, les personnes visées, la période et les mesures prises, de façon à ce que vous puissiez décider vite si le préjudice est sérieux et identifier qui doit être prévenu. Ce que nous ne faisons pas : nous n'avisons ni la Commission ni vos usagers à votre place — les deux obligations sont les vôtres — et nous ne tenons pas votre registre. Nous n'avons pas non plus de délai chiffré en heures au contrat, ce qui est un écart que nous nommons ailleurs sur ce site et qui compte davantage ici, puisque votre propre obligation est « avec diligence ».

droit dur·2021, c. 25, a. 15 ; à jour au 1er avril 2026·Source officielle

Indications d'application liées (s'il y a lieu) : − IA-SI-2025-001-OP « Interdictions d'utilisation au regard des assistants virtuels DeepSeek »; − IA-SI-2023-001-OP « Mesures minimales de sécurité au regard des données lors de l'utilisation de solutions technologiques »; − IA-RI-2025-002-OP « Interdiction d'utilisation de la fonctionnalité « Inscription vocale et faciale » de l'application Microsoft Teams ».

Ce que ça veut dire

Le dirigeant principal de l'information ne se contente pas d'encadrer : il interdit nommément. Trois indications liées sont listées par l'indication de décembre 2025, et deux sont des interdictions pures — les assistants virtuels DeepSeek, et la fonctionnalité « Inscription vocale et faciale » de Microsoft Teams. À lire avec l'article 25 de la même indication, qui abroge l'indication IA-RI-2025-001-OP : la suspension générale des assistants virtuels d'IA générative n'est donc plus en vigueur, elle a été remplacée par ce régime de conditions et d'interdictions ciblées. Nous citons cette liste depuis l'indication elle-même, seul document du corpus que l'éditeur publie à une adresse stable ; le texte intégral de IA-SI-2025-001-OP n'est pas indexé publiquement.

Ce que nous y répondons

Ce qui vous concerne directement chez nous : DeepSeek figure parmi les laboratoires dont les modèles peuvent apparaître au catalogue. Si vous êtes un organisme public visé, ces modèles doivent être exclus, et le catalogue se restreint par groupe, par utilisateur nommé, pour les seuls administrateurs ou globalement, avec un coupe-circuit qui lie aussi les administrateurs. Deux précisions honnêtes. D'abord la réserve qui vaut partout sur cette page : ce coupe-circuit lie les modèles qu'un utilisateur choisit, pas les appels que le serveur émet lui-même. Ensuite une nuance de lecture qui joue en votre faveur : aucun fournisseur d'exécution DeepSeek ne figure dans notre liste blanche, de sorte qu'un modèle DeepSeek du catalogue serait servi par un autre fournisseur, et non par DeepSeek. L'interdiction vise l'assistant virtuel ; la lecture prudente, pour un organisme public, reste de désactiver ces modèles et de l'écrire. Quant à la fonctionnalité Teams visée par IA-RI-2025-002-OP, elle est de Microsoft et non de nous : notre enregistrement de réunion ne s'appuie pas dessus.

droit dur·Indication datée du 2025-12-05, signée par le sous-ministre et dirigeant principal de l'information ; texte lu le 12 août 2026·Source officielle