Faut-il dire à la personne qu’elle parle à une IA ?

La loi n’impose pas de formule précise. Elle oblige à informer la personne, lors de la collecte, des fins, des moyens et de ses droits (art. 8), et à l’informer d’une décision fondée exclusivement sur un traitement automatisé (art. 12.1). Le dire simplement au début de l’appel est la façon la plus claire de le faire.

Peut-on enregistrer les appels ?

Oui, à condition d’en informer la personne et d’en indiquer les fins lors de la collecte (art. 8), de ne garder l’enregistrement que le temps nécessaire (art. 23) et de le protéger comme tout renseignement personnel.

Les données d’un agent vocal IA peuvent-elles être hébergées aux États-Unis ?

Ce n’est pas interdit. Mais avant de communiquer des renseignements personnels hors du Québec, l’entreprise doit faire une évaluation des facteurs relatifs à la vie privée et encadrer la communication par une entente écrite (art. 17).

Qui est responsable si le fournisseur a un incident ?

Votre entreprise reste responsable des renseignements qu’elle détient (art. 3.1). Le contrat avec le fournisseur doit prévoir qu’il vous avise sans délai de toute violation (art. 18.3), pour que vous puissiez aviser la Commission et les personnes concernées au besoin (art. 3.5).

Guides d’achat · mis à jour le 1er octobre 2026

Agent vocal IA et Loi 25 : ce qu’il faut vérifier (guide 2026)

Oui, une entreprise québécoise peut faire répondre son téléphone par un agent vocal IA. Mais tout ce que l’agent recueille — nom, numéro, motif de l’appel, enregistrement, transcription — est un renseignement personnel protégé par la Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25, dont toutes les obligations sont en vigueur depuis septembre 2024. Avant de choisir un fournisseur, vérifiez six points : où les données sont traitées (une évaluation des facteurs relatifs à la vie privée est requise avant de les communiquer hors du Québec), le contrat écrit, ce que l’agent dit à la personne qui appelle, la durée de conservation, l’avis en cas d’incident et les décisions automatisées. Ce guide résume la loi ; ce n’est pas un avis juridique.

Publié par Zen Solutions (Laval), qui vend un de ces services. Nous n’y classons personne : les prix viennent des pages des fournisseurs, les règles des textes de loi, liens à l’appui. Une erreur ? Écrivez à info@zen-solutions.net.

Ce que l’agent recueille

Le nom et le numéro de la personne, le motif de l’appel, le rendez-vous, parfois l’enregistrement audio et sa transcription, et le résumé envoyé à votre équipe. Dans une clinique, le motif peut toucher la santé : un renseignement est sensible lorsque, notamment par sa nature médicale, il suscite un haut degré d’attente raisonnable en matière de vie privée (art. 12).

La règle de base : ne recueillir que ce qui est nécessaire aux fins déterminées avant la collecte (art. 5). Un agent qui prend un rendez-vous n’a pas besoin des symptômes en détail.

Les 6 points à vérifier

Où les données sont traitées et conservées. Avant de communiquer un renseignement personnel à l’extérieur du Québec, l’entreprise doit faire une évaluation des facteurs relatifs à la vie privée (ÉFVP) qui tient compte notamment de la sensibilité du renseignement, de la finalité, des mesures de protection et du régime juridique du lieu de destination, et encadrer la communication par une entente écrite (art. 17). À demander : « Dans quels pays mes enregistrements, transcriptions et résumés sont-ils traités et conservés, et par quels sous-traitants ? »
Le contrat écrit. Le fournisseur qui reçoit les renseignements pour vous rendre le service doit le faire en vertu d’un contrat écrit qui précise les mesures de protection, limite l’usage au service et prévoit la destruction à la fin (art. 18.3). À demander : « Que deviennent mes données si j’arrête ? »
Ce que l’agent dit à la personne. Lors de la collecte, la personne doit être informée notamment des fins, des moyens utilisés et de ses droits d’accès et de rectification (art. 8) ; si une technologie permet de l’identifier, de la localiser ou d’effectuer un profilage, elle doit aussi en être informée (art. 8.1). À demander : « Comment l’agent informe-t-il la personne, et puis-je modifier ce qu’il dit ? »
La conservation et la destruction. Quand les fins sont accomplies, le renseignement doit être détruit ou anonymisé, sous réserve d’un délai prévu par la loi (art. 23). À demander : « Combien de temps gardez-vous les enregistrements et les transcriptions, et puis-je les supprimer ? »
Les incidents de confidentialité. L’entreprise doit réduire le risque, aviser la Commission d’accès à l’information et les personnes concernées si l’incident présente un risque de préjudice sérieux, et tenir un registre des incidents (art. 3.5 à 3.8). À demander : « En combien de temps m’avertissez-vous d’un incident ? »
Les décisions automatisées. Une décision fondée exclusivement sur un traitement automatisé doit être portée à la connaissance de la personne, qui peut demander les raisons et présenter ses observations à un membre du personnel (art. 12.1). À demander : « L’agent prend-il seul des décisions — refuser un rendez-vous, donner une priorité — et la personne peut-elle parler à quelqu’un ? »

Vos obligations, peu importe le fournisseur

Votre entreprise est responsable des renseignements personnels qu’elle détient ; par défaut, la personne ayant la plus haute autorité est responsable de leur protection, et son titre et ses coordonnées sont publiés sur votre site (art. 3.1).
Des politiques et des pratiques encadrant la gouvernance des renseignements personnels, avec une information détaillée publiée sur votre site (art. 3.2).
Un registre des incidents de confidentialité (art. 3.8).
Selon la Commission d’accès à l’information, les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial (CAI).

Ce que fait Zen Solutions

Notre application et notre base de données sont hébergées aux États-Unis, ce que notre politique de confidentialité dit clairement ; elle nomme aussi la personne responsable de la protection des renseignements personnels. Pour une entreprise du Québec, c’est donc une communication hors Québec qui demande une ÉFVP de votre part ; si vos données doivent rester au Canada, dites-le-nous avant de signer.

Nous vendons ce service : nous ne nous classons donc pas nous-mêmes. Les faits : Zen Solutions est une entreprise québécoise de Laval ; l’agent est configuré pour votre entreprise par une personne. 99,98 $ + tx par mois, ou 999,98 $ + tx par année dès le deuxième mois, avec 20 $ d’utilisation IA + SMS inclus chaque mois (environ 150 minutes d’appels), puis 0,133 $ la minute d’appel et 0,036 $ par texto. Installation et formation gratuites, sans engagement, et 30 jours pour être sûr : premier mois remboursé si ça ne convient pas. Essai gratuit de 7 jours, sans carte de crédit. Notre agent répond au 438 544-5191 — appelez-le comme vous appelleriez les autres.

Questions fréquentes

Faut-il dire à la personne qu’elle parle à une IA ?: La loi n’impose pas de formule précise. Elle oblige à informer la personne, lors de la collecte, des fins, des moyens et de ses droits (art. 8), et à l’informer d’une décision fondée exclusivement sur un traitement automatisé (art. 12.1). Le dire simplement au début de l’appel est la façon la plus claire de le faire.
Peut-on enregistrer les appels ?: Oui, à condition d’en informer la personne et d’en indiquer les fins lors de la collecte (art. 8), de ne garder l’enregistrement que le temps nécessaire (art. 23) et de le protéger comme tout renseignement personnel.
Les données d’un agent vocal IA peuvent-elles être hébergées aux États-Unis ?: Ce n’est pas interdit. Mais avant de communiquer des renseignements personnels hors du Québec, l’entreprise doit faire une évaluation des facteurs relatifs à la vie privée et encadrer la communication par une entente écrite (art. 17).
Qui est responsable si le fournisseur a un incident ?: Votre entreprise reste responsable des renseignements qu’elle détient (art. 3.1). Le contrat avec le fournisseur doit prévoir qu’il vous avise sans délai de toute violation (art. 18.3), pour que vous puissiez aviser la Commission et les personnes concernées au besoin (art. 3.5).

Sources

Vérifié le 1er octobre 2026. Ce guide résume des règles et des prix publics ; ce n’est pas un avis juridique.

Pour aller plus loin

Réceptionniste IA au Québec : guide d’achat 2026 Prise de rendez-vous par IA pour une clinique au Québec : guide 2026 Commandes au téléphone par IA pour un restaurant au Québec : guide 2026 Appels manqués : guide 2026 pour plombiers, électriciens et salons Automatisation IA pour une PME à Laval ou Montréal : par où commencer (guide 2026)