Bâtir l'IA pour le Québec : loi 96 et loi 25

La plupart des équipes qui bâtissent des logiciels pour le marché québécois savent qu'il y a une « exigence de français ». Moins nombreuses sont celles qui réalisent qu'elles sont assujetties à deux régimes distincts que les produits d'IA heurtent de plein fouet.

Le premier est la loi 25 — la loi québécoise modernisée sur la protection des renseignements personnels dans le secteur privé (anciennement projet de loi 64). Elle encadre la collecte, l'utilisation et la communication des renseignements personnels, et elle vise directement le traitement automatisé : si une décision concernant une personne est fondée exclusivement sur un traitement automatisé, vous devez l'en informer et lui offrir un recours en révision humaine. C'est une règle écrite pour exactement ce que fait un modèle d'IA.

Le second est la loi 96 (adoptée sous le nom de loi 14), qui a modifié la Charte de la langue française. Il ne s'agit pas d'un simple bouton de traduction. Elle exige que le français soit disponible, et d'une qualité au moins équivalente à toute autre langue, dans les produits et services offerts aux consommateurs et à vos propres employés au Québec.

Un agent conversationnel qui donne des réponses plus fines en anglais qu'en français est un problème de loi 96. Un modèle de pointage de risque qui refuse un client sans explication en français et sans recours humain est à la fois un problème de loi 96 et de loi 25. Les deux lois se recoupent précisément là où vit l'IA — des décisions automatisées livrées par le langage.

Ce n'est pas un élément de feuille de route pour l'an prochain. Les sanctions sont actives.

La loi 25 est entrée en vigueur par étapes sur trois ans. Depuis le 22 septembre 2023, la Commission d'accès à l'information (CAI) peut imposer des amendes pénales pouvant atteindre 25 M$ CA ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé, en plus de sanctions administratives pécuniaires pouvant atteindre 10 M$ CA ou 2 % du chiffre d'affaires — voir le résumé du régime de sanctions de la loi 25 par Osler. L'obligation d'information sur les décisions automatisées et le droit à la portabilité des données sont arrivés avec cette dernière vague.

Les dernières dispositions de la loi 96 sont entrées en vigueur le 1er juin 2025 : la francisation est désormais obligatoire pour les entreprises de 25 employés et plus, avec de nouvelles exigences de français sur les marques de commerce, l'affichage et l'emballage — Gowling WLG détaille ce qui est entré en vigueur.

La pression réglementaire n'est pas théorique pour le marché non plus. Dans les sondages d'entreprise de Deloitte, la conformité réglementaire est devenue le premier frein à l'adoption de l'IA générative, passant de 28 % à 38 % des dirigeants — voir l'étude State of Generative AI in the Enterprise de Deloitte. Pour un produit destiné au Québec, ce frein est nommé et daté.

Une fois le jargon juridique écarté, la loi 25 demande quatre choses concrètes à une fonction d'IA.

1. Divulguer les décisions automatisées. Lorsqu'une décision concernant une personne est fondée exclusivement sur un traitement automatisé, vous devez l'en informer — au moment de la décision ou avant — et, sur demande, lui indiquer les renseignements personnels utilisés, les raisons et les principaux facteurs ayant mené à la décision. Concrètement : votre modèle doit produire une explication vérifiable, pas seulement un pointage.

2. Offrir une révision humaine. La personne peut présenter ses observations et demander qu'une personne révise la décision. Cela suppose un chemin d'acheminement et une file traitée par du personnel, pas un formulaire « nous joindre » sans issue.

3. Consentement et limitation des fins. Les renseignements personnels fournis à un modèle doivent avoir été recueillis pour une fin à laquelle la personne a consenti. Entraîner un modèle sur des données clients « parce qu'on les avait » est précisément le scénario que la CAI cherche à sanctionner.

4. Gestion des incidents. Les incidents de confidentialité présentant un risque de préjudice sérieux doivent être déclarés à la CAI et aux personnes concernées. L'IA augmente les enjeux : l'« IA fantôme » non encadrée a ajouté environ 670 000 $ US au coût moyen d'une violation, et 97 % des organisations ayant subi une violation liée à l'IA n'avaient pas de contrôles d'accès adéquats — voir le rapport IBM Cost of a Data Breach 2025. Un modèle qui accède discrètement à des données personnelles est une surface de violation.

Rien de tout cela n'est ésotérique. C'est de la journalisation, une couche d'explication, une file avec intervention humaine et du contrôle d'accès — conçus dès le départ, pas rajoutés après coup.

C'est ici que la plupart des produits d'IA enfreignent discrètement la loi 96 : ils traitent le français comme une tâche de traduction après lancement. Le modèle est ajusté, évalué et testé en anglais ; le français reçoit une passe de table de chaînes et part en production. Le résultat est un produit nettement moins bon en français — plus lent, moins précis, parfois absurde — soit exactement le seuil de « qualité au moins équivalente » fixé par la loi 96.

Le bilinguisme dès la conception signifie que le français est une langue de premier plan dans toute la pile :

• Le routage et le contenu tiennent compte de la langue dès la première requête (un visiteur du Québec devrait arriver en français par défaut, sans avoir à le choisir).
• Les invites, messages système et garde-fous existent en français, pas seulement l'habillage de l'interface. Un LLM invité en anglais à qui l'on demande de « répondre en français » se dégrade ; invitez-le nativement.
• L'évaluation se fait dans les deux langues. Si vous mesurez l'hallucination, le refus et la réussite des tâches uniquement en anglais, vous n'avez aucune preuve que votre sortie française atteint le seuil de qualité équivalente. Sachant que même des outils d'IA juridique spécialisés ont halluciné sur 17 à 34 % des requêtes difficiles, « c'est probablement correct en français » n'est pas une position défendable.
• Le français est rédigé au Québec, selon les conventions de l'OQLF — pas un calque littéral de l'anglais. Un calque sonne étranger et mine la prétention à la qualité équivalente.

Le bénéfice au-delà de la conformité : l'adoption de l'IA au Québec est réelle et s'accélère. Statistique Canada rapporte que l'utilisation de l'IA par les entreprises canadiennes a environ doublé d'une année à l'autre pour atteindre 12,2 %, les services professionnels et la finance dépassant nettement 30 %. Un produit réellement bon en français se bat pour ce marché, et ne fait pas qu'éviter une amende.

Réunissez les deux lois et un patron d'architecture se dégage. Rien de lourd ; cela doit simplement exister avant le lancement, pas après l'appel de la CAI.

• La langue à la périphérie. Détectez la géolocalisation québécoise et basculez en français par défaut dans l'intergiciel. Conservez le choix. Chaque service en aval reçoit une langue explicite.
• Invites et contenu bilingues natifs. Maintenez des jeux d'invites et des catalogues de chaînes EN et FR avec parité de clés imposée — une chaîne française manquante est une lacune de conformité, alors faites-en un échec à la compilation.
• Journalisation des décisions. Pour toute décision automatisée concernant une personne, journalisez les entrées, la version du modèle, les principaux facteurs et la sortie. C'est votre explication exigée par la loi 25 sur demande et votre piste de vérification.
• Acheminement vers la révision humaine. Une vraie file avec une cible de service, présentée dans les deux langues, pour que « demander une révision humaine » soit un chemin fonctionnel.
• Garde-fous de sortie et seuils d'évaluation. Bloquez ou signalez les sorties à faible confiance ; exécutez des évaluations d'hallucination et de réussite des tâches dans les deux langues à chaque changement de modèle. Arrimez le programme à un cadre reconnu — le cadre de gestion des risques d'IA du NIST et la norme ISO/IEC 42001 offrent une structure vérifiable que les régulateurs et les clients reconnaissent.
• Contrôle d'accès aux données alimentant le modèle. Sachant que 97 % des victimes de violation liée à l'IA en manquaient, des accès limités et journalisés sur les données du modèle sont la base.

C'est le travail derrière les mandats Sécurité et gouvernance de l'IA et Automatisation agentique de Maverin — et c'est pourquoi nous fonctionnons en bilingue EN/FR par défaut, et non en option.

La conformité québécoise est facile à rater de loin. Le seuil de qualité du français est culturel, pas mécanique ; le régime de vie privée a son propre organisme d'application et ses propres définitions. Bien bâtir pour cela suppose généralement d'avoir des gens qui lisent les directives de l'OQLF dans la langue d'origine et qui ont déjà livré sous la loi 25.

C'est un choix délibéré dans la structure de Maverin. Nous exploitons un bureau à Montréal aux côtés d'Ottawa, Toronto et Calgary, et nous affectons au travail des personnes chevronnées, bilingues et au fait de l'IA — qu'il s'agisse de renfort d'équipe au sein de la vôtre ou d'un mandat à prix fixe pour faire franchir à une fonction la ligne de la conformité. Il y a aussi un angle structurel à nommer pour les acheteurs du secteur public : à titre d'entreprise détenue par des Autochtones, Maverin compte dans le minimum obligatoire fédéral de 5 % pour l'approvisionnement auprès des entreprises autochtones.

Le constat pratique est plus simple que la réglementation : au Québec, le français et la vie privée ne sont pas des fonctions qu'on ajoute une fois le produit terminé. Ce sont des contraintes à partir desquelles on conçoit. Les équipes qui l'intègrent livrent une fois ; celles qui ne le font pas livrent deux fois — et la deuxième mouture, sous échéance et sous examen, est la coûteuse. Commencez par une évaluation diagnostique ciblée si vous voulez un état des lieux de votre surface d'IA actuelle face aux deux lois.