Loi 25 et IA : 10 questions à poser avant de confier vos dossiers à un logiciel

À lire avant. Ce guide propose une grille de vérification. Il ne constitue pas un avis juridique et ne remplace ni votre propre analyse de conformité ni les normes de la Chambre des notaires du Québec.

Un dossier immobilier contient des renseignements personnels à chaque page : noms, adresses, montants, situations familiales. Le verser dans un logiciel d'IA, c'est les communiquer à un tiers, avec les obligations qui en découlent sous la Loi 25 et le secret professionnel qui vous lie.

Les pages « sécurité » des fournisseurs se ressemblent : « chiffré », « hébergé au Canada », « conforme ». Ces mots ne suffisent pas. Voici dix questions à poser par écrit, et ce qu'une bonne réponse doit contenir.

Les 10 questions

1. Où sont hébergés mes documents, précisément ?

« Au Canada » ne suffit pas. Demandez le fournisseur d'infrastructure et la région. Une nuance souvent ignorée : la Loi 25 encadre la communication de renseignements hors du Québec, et une région infonuagique canadienne peut être située en Ontario. Le Canada n'est pas le Québec.

Bonne réponse : le nom du fournisseur, la ou les régions, et ce qui y est stocké (documents, base de données, sauvegardes).

2. Où tournent les modèles d'IA qui lisent mes documents ?

C'est la question la plus révélatrice. Les documents peuvent être stockés au Canada et lus par un modèle hébergé ailleurs : pour qu'un modèle réponde sur un acte, le texte de l'acte lui est transmis.

Bonne réponse : la région de chaque modèle utilisé, et ce qui lui est transmis (texte intégral, extraits, métadonnées).

3. Mes documents servent-ils à entraîner des modèles ?

Chez le fournisseur, et chez ses propres fournisseurs d'IA. Les conditions varient selon le service et le contrat.

Bonne réponse : un non explicite, qui couvre les deux niveaux, avec la référence contractuelle.

4. Qui sont vos sous-traitants, et lesquels voient le contenu des dossiers ?

Hébergement, modèles d'IA, reconnaissance optique, courriel, support, paiement : chacun est un destinataire potentiel. Tous ne voient pas le contenu des actes, mais vous devez savoir lesquels le voient.

Bonne réponse : une liste nominative, avec pour chacun la nature des données reçues et sa localisation.

5. Comment protégez-vous mes identifiants du registre foncier ?

Si l'outil consulte le registre en votre nom, il détient vos accès. Ce sont des identifiants professionnels, rattachés à votre responsabilité.

Bonne réponse : chiffrés au repos, utilisés seulement pour les recherches que vous lancez, retirables à tout moment.

6. Qui peut ouvrir un document, et comment ?

Demandez comment les fichiers sont servis. Un lien de téléchargement permanent et devinable équivaut à un document public. Un lien signé, qui expire, limite l'exposition.

Bonne réponse : accès réservé au compte propriétaire, liens signés et temporaires, stockage fermé à l'accès anonyme.

7. Que se passe-t-il quand je supprime un dossier ?

Supprimer un dossier dans l'interface ne garantit pas que les fichiers disparaissent du stockage, ni des sauvegardes.

Bonne réponse : ce qui est effacé (base de données, fichiers, sauvegardes), dans quel délai, et comment vous en obtenez la confirmation.

8. Combien de temps conservez-vous mes données, et puis-je les récupérer ?

La conservation doit avoir une durée et une justification. Et à la fin du contrat, vos dossiers doivent pouvoir vous revenir dans un format exploitable.

Bonne réponse : une durée par type de données, et une procédure d'exportation.

9. Qui est votre responsable de la protection des renseignements personnels, et que faites-vous en cas d'incident ?

Sous la Loi 25, chaque entreprise a un responsable de la protection des renseignements personnels : par défaut, la personne qui y exerce la plus haute autorité, qui peut déléguer cette fonction. En cas d'incident de confidentialité présentant un risque de préjudice sérieux, elle doit aviser la Commission d'accès à l'information et les personnes concernées, et elle tient un registre de ces incidents.

Bonne réponse : un nom ou une fonction, un moyen de contact, et l'engagement de vous prévenir si vos dossiers sont touchés.

10. Que me fournissez-vous pour mon évaluation des facteurs relatifs à la vie privée ?

Avant de communiquer des renseignements personnels hors du Québec, une entreprise doit en évaluer les facteurs relatifs à la vie privée. En tant qu'étude, c'est votre obligation ; le fournisseur doit vous donner de quoi la remplir : localisation, mesures de sécurité, sous-traitants, engagements contractuels.

Bonne réponse : une documentation écrite, pas un lien vers une page marketing.

Comment utiliser cette grille

• Posez les questions par écrit et conservez les réponses au dossier de conformité de l'étude.
• Méfiez-vous des réponses globales. « Toutes vos données restent au Canada » est rarement exact pour tous les traitements : relisez la question 2.
• Comparez sur les mêmes questions. Un fournisseur qui ne répond pas à l'une d'elles vous apprend quelque chose.
• Refaites l'exercice à chaque changement important : nouveau modèle d'IA, nouvelle fonction, nouveau sous-traitant.

Nos propres réponses

Nous nous appliquons la grille. Voici ce que nous pouvons affirmer aujourd'hui ; le reste figure sur notre page Sécurité, et nous répondons par écrit aux autres questions sur demande à info@notairia.ca.

• Hébergement (question 1). Vos dossiers, vos documents et votre compte sont hébergés sur Microsoft Azure, dans les régions canadiennes.
• Modèles d'IA (question 2). Les modèles qui lisent vos documents, pour la conversation comme pour la lecture des actes numérisés, sont hébergés au Canada. Nous ne proposons pas de modèle hébergé à l'extérieur du Canada.
• Entraînement (question 3). Vos documents ne servent pas à entraîner de modèles, ni chez nous ni chez nos fournisseurs.
• Identifiants du registre (question 5). Chiffrés avant d'être enregistrés, utilisés seulement pour les recherches que vous lancez, retirables depuis vos paramètres.
• Accès aux documents (question 6). Les documents sont servis par des liens signés, qui expirent après une heure.
• Compte. L'authentification à deux facteurs est disponible.

---

Pour aller plus loin : notre page Sécurité, les logiciels de recherche de titres au Québec et la recherche de titres au Québec.