IA et Loi 25 : comment un hôtel québécois peut utiliser l'IA sans risquer les données de ses clients

On me pose souvent la même question, avec la même inquiétude dans la voix : « Si je mets de l’IA sur mon site, est-ce que je respecte encore la Loi 25 ? »

C’est une excellente question. Et la réponse honnête, c’est : oui, à condition de comprendre ce que la loi exige vraiment. Le problème, c’est que la Loi 25 traîne autant de mythes que de vraies obligations. Cet article démêle les deux, sans jargon, pour que vous puissiez adopter l’IA en confiance plutôt que par peur.

La Loi 25, en une minute

« Loi 25 » est le surnom de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, adoptée au Québec (issue du projet de loi 64). Elle est entrée en vigueur par étapes : le 22 septembre 2022, le 22 septembre 2023 (la plus grosse vague), et le 22 septembre 2024. Son but : redonner aux citoyens le contrôle de leurs données et adapter les règles à l’ère numérique.

Le point que beaucoup d’hôteliers ignorent : elle s’applique à toute entreprise qui recueille des renseignements personnels au Québec, sans seuil de taille. Il n’existe aucune exemption fondée sur le nombre d’employés ou le chiffre d’affaires. Si vous prenez le nom, le courriel et les dates de séjour d’un client, vous êtes visé, que vous ayez 8 chambres ou 200.

Le mythe numéro un : « je dois héberger mes données au Canada »

C’est la croyance la plus répandue, et elle est fausse.

La Loi 25 n’impose aucune localisation des données. Elle n’exige pas qu’elles soient hébergées au Québec ou au Canada. Ce qu’elle encadre, c’est la communication de renseignements personnels à l’extérieur du Québec (article 17) : avant un tel transfert, l’entreprise doit réaliser une évaluation des facteurs relatifs à la vie privée, s’assurer que les renseignements bénéficieront d’une protection adéquate, et encadrer le tout par une entente écrite. Autrement dit, le transfert hors Québec est permis sous conditions, pas interdit.

Deux nuances importantes, souvent mal comprises : la loi parle de protection « adéquate », pas « équivalente » à celle du Québec. Et contrairement au règlement européen, il n’existe aucune liste officielle de pays jugés adéquats : chaque entreprise évalue sa propre situation.

La conclusion pratique est libératrice : ce qui compte, ce n’est pas où vos données se trouvent, c’est comment elles sont protégées, et surtout combien vous en collectez.

Ce que la loi vous demande vraiment (les 4 qui comptent pour un hôtel)

Un responsable désigné. Depuis septembre 2022, chaque entreprise doit avoir un responsable de la protection des renseignements personnels. Par défaut, c’est la personne ayant la plus haute autorité (souvent le propriétaire ou le directeur), et ses coordonnées doivent être publiées, par exemple sur votre site.
Un consentement clair et spécifique. Le consentement doit être manifeste, libre, éclairé et donné à des fins précises, demandé en termes simples. Un consentement « fourre-tout » qui couvre dix finalités d’un coup n’est pas valide. Et pour un renseignement sensible, le consentement doit être exprès (explicite).
La minimisation. Vous ne pouvez recueillir que les renseignements nécessaires aux fins déterminées. Quand la fin est atteinte, vous devez détruire ou anonymiser ces renseignements. Moins vous en gardez, moins vous portez de risque.
La gestion des incidents. Vous devez tenir un registre de tous les incidents de confidentialité (une fuite, un accès non autorisé au fichier clients). Et si un incident présente un risque de préjudice sérieux, vous devez aviser la Commission d’accès à l’information et les clients touchés.

La loi a de vraies dents : sanctions financières, et depuis septembre 2023, un client lésé peut lui-même vous poursuivre en dommages. Mais l’objectif ici n’est pas de vous faire peur. Pour un hôtel indépendant, le vrai risque concret n’est pas une amende record, c’est la plainte d’un client et l’atteinte à votre réputation après une fuite. Et de bonnes pratiques de base suffisent largement à l’éviter.

L’IA change-t-elle la donne ? Le point que tout le monde rate

Il existe une règle spécifique dans la Loi 25 sur les décisions prises exclusivement par un traitement automatisé (article 12.1). Quand une décision est rendue sans intervention humaine réelle, l’entreprise doit en informer la personne, lui expliquer sur demande les principaux facteurs, et lui permettre de faire réviser la décision par un humain.

Le mot clé, c’est « exclusivement ». Cette obligation vise les systèmes qui décident seuls : refuser, tarifer, prioriser sans qu’un humain tranche vraiment. Un assistant IA qui répond aux questions, oriente, et passe la main à votre équipe n’est pas une décision automatisée au sens de la loi.

C’est la nuance la plus importante pour un hôtelier : la façon la plus simple de rester du bon côté, c’est de garder un humain dans la boucle. Un outil qui assiste et transmet, plutôt que de décider à votre place, ne déclenche pas ces obligations. Le consentement et la transparence sur ce que fait l’outil, eux, restent toujours de mise.

Comment choisir un outil d’IA qui réduit le risque au lieu de l’ajouter

Avant d’adopter un outil, posez-vous quatre questions :

Combien de données garde-t-il ? Le meilleur outil pour la Loi 25 est celui qui en conserve le moins. Idéalement, aucune donnée vraiment sensible (numéro de carte, information médicale) ne devrait transiter par la conversation.
Garde-t-il un humain aux commandes ? Fuyez tout ce qui prétend décider seul à la place de votre équipe sur vos clients.
Est-il transparent ? Vous devez pouvoir comprendre, et expliquer à vos clients, ce que l’outil fait de leurs renseignements.
Vous aide-t-il, ou vous laisse-t-il seul ? Un bon fournisseur pense à la vie privée dès la conception, il ne vous refile pas tout le poids.

C’est exactement autour de ces principes que j’ai conçu Élia, la concierge virtuelle de Hovia. Elle est pensée dans le respect de la Loi 25 : elle ne conserve aucune donnée sensible (bancaire, médicale), ce type d’information n’a jamais à passer par la conversation, et elle ne décide jamais à votre place. Quand une situation dépasse ce qu’elle sait, elle transmet à votre équipe. L’humain garde le contrôle, toujours.

En résumé

La Loi 25 s’applique à votre hôtel, peu importe sa taille. L’histoire de l’hébergement obligatoire au Canada est un mythe : ce qui compte, c’est la protection, la minimisation et le contrôle humain, pas la géographie. Et l’IA est parfaitement compatible avec la loi, à condition de choisir un outil qui collecte peu, garde un humain aux commandes et joue la transparence.

Bien utilisée, l’IA n’est pas un risque à éviter. Elle peut même vous aider à mieux traiter les données de vos clients qu’un carnet de réservations qui traîne sur le comptoir.

Cet article donne de l’information générale, pas un avis juridique. Chaque situation est différente : pour votre cas précis, validez avec un conseiller juridique ou directement auprès de la Commission d’accès à l’information du Québec (cai.gouv.qc.ca).