IA et Loi 25 : ce que les conces­sionnaires du Québec doivent savoir

Les renseignements de vos clients passent par Messenger, les formulaires Web, le CRM, le clavardage et les textos de relance. L'IA ne change pas les règles : les commissaires à la protection de la vie privée du pays, dont la Commission d'accès à l'information du Québec, ont rappelé que l'IA générative ne se situe pas en dehors des lois en vigueur.

Ce guide est de l'information générale, pas un avis juridique. Il résume les sources officielles citées, en date d'octobre 2026. Les lois changent : consultez un avocat pour votre situation.

Quelle loi s'applique à votre concession

• La loi québécoise sur le privé. La Loi sur la protection des renseignements personnels dans le secteur privé s'applique aux renseignements personnels qu'une entreprise recueille, détient, utilise ou communique dans l'exploitation de son entreprise. C'est la loi que la Loi 25 a modifiée.
• La LPRPDE, dans certains cas. Selon le Commissariat à la protection de la vie privée du Canada, la loi québécoise est jugée essentiellement similaire à la loi fédérale, et les entreprises qui y sont soumises sont généralement exemptées de la LPRPDE au Québec. La LPRPDE s'applique quand même aux renseignements qui franchissent les frontières provinciales ou nationales dans le cadre d'activités commerciales.
• La LCAP, partout au Canada, pour les textos et les courriels commerciaux.

Loi 25 : les obligations de base pour une concession

Selon la Commission d'accès à l'information (CAI), la Loi 25 a été adoptée en 2021 et ses nouvelles règles sont entrées en vigueur par étapes, de septembre 2022 à septembre 2024. Les points principaux pour une concession :

• Un responsable de la protection des renseignements personnels. Par défaut, la personne ayant la plus haute autorité dans l'entreprise, qui peut déléguer cette fonction par écrit. Son titre et ses coordonnées sont publiés sur votre site Web (article 3.1).
• Des politiques publiées. Vos politiques de gouvernance, dont les règles de conservation et de destruction et le traitement des plaintes, sont décrites sur votre site (article 3.2), avec une politique de confidentialité si vous recueillez des renseignements par un formulaire Web ou un clavardage (article 8.2).
• Informer au moment de la collecte. Dites au client à quelles fins et par quels moyens vous recueillez ses renseignements, quels sont ses droits d'accès, de rectification et de retrait du consentement et, le cas échéant, s'ils peuvent être communiqués hors Québec (article 8).
• Un consentement pour chaque fin. Manifeste, libre, éclairé, donné à des fins spécifiques et demandé pour chacune, en termes simples et clairs (article 14).
• Pas de prospection sans consentement. Un renseignement ne sert qu'aux fins pour lesquelles il a été recueilli, sauf consentement ou exception, et la loi précise que la prospection commerciale ne peut pas être considérée comme une fin compatible (article 12). Avant de solliciter un client pour autre chose que ce qu'il a demandé, vérifiez que vous avez son consentement.
• Un accès selon les fonctions. Un employé n'a accès à un renseignement personnel sans consentement que s'il est nécessaire à l'exercice de ses fonctions (article 20).
• Détruire quand c'est terminé. Quand les fins sont accomplies, les renseignements sont détruits ou anonymisés selon le règlement, sous réserve d'un délai de conservation prévu par une loi (article 23).
• Les incidents de confidentialité. S'il y a un risque de préjudice sérieux, avisez avec diligence la CAI et les personnes concernées, et tenez un registre de tous les incidents (articles 3.5 et 3.8).

Selon l'article 90.12, la sanction administrative pécuniaire pour une entreprise peut atteindre 10 millions de dollars ou, si ce montant est plus élevé, 2 % du chiffre d'affaires mondial de l'exercice précédent.

Décisions automa­tisées : la règle de l'article 12.1

Une entreprise qui utilise des renseignements personnels afin que soit rendue une décision fondée exclusivement sur un traitement automatisé doit en informer la personne au plus tard au moment où elle l'informe de la décision. À sa demande, elle doit aussi lui indiquer les renseignements utilisés, les raisons et les principaux facteurs et paramètres de la décision, et son droit de faire rectifier les renseignements. La personne doit pouvoir présenter ses observations à un membre du personnel en mesure de réviser la décision.

Demandez-vous donc, pour chaque outil : décide-t-il seul de quelque chose qui concerne une personne ? Un système qui refuse automatiquement une demande de financement ferait entrer cette règle en jeu. Un clavardage qui transmet le client potentiel à votre équipe, où une personne décide, est une autre situation. En cas de doute, questionnez le fournisseur et votre avocat.

DriveGood AI pose des questions sur le financement, mais n'approuve pas le crédit, ne fixe pas les prix et ne négocie pas : ces décisions restent à votre équipe et à vos prêteurs.

Avant d'adopter un nouvel outil d'IA

La loi exige une évaluation des facteurs relatifs à la vie privée (EFVP), proportionnée à la sensibilité des renseignements, pour tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels, en consultant votre responsable dès le début (article 3.3). Un nouveau CRM, un clavardage ou un outil d'IA peut être visé.

Si des renseignements seront communiqués à l'extérieur du Québec, y compris à un fournisseur qui les conserve ou les utilise là-bas pour vous, une EFVP et une entente écrite viennent d'abord (article 17). Un fournisseur qui traite des renseignements pour vous a besoin d'un mandat écrit qui précise les mesures de confidentialité et qu'il ne garde pas les renseignements après la fin du contrat (article 18.3).

Textos et courriels de relance : la LCAP

La LCAP vise les messages électroniques commerciaux envoyés à une adresse électronique, que la Loi définit comme incluant les comptes de courriel, de messagerie instantanée et de téléphone. La foire aux questions du CRTC confirme que les textos sont visés et nomme trois exigences :

• Le consentement. Le consentement exprès n'expire pas, mais la personne peut le retirer en tout temps. Le consentement tacite existe dans des cas précis, notamment, selon l'article 10 de la Loi, après un achat ou une location dans les deux dernières années, ou après une demande de renseignements dans les six derniers mois (voir les lignes directrices du CRTC sur le consentement tacite). Une demande de consentement exprès doit en préciser le but, identifier qui le demande et indiquer que la personne peut le retirer, et le CRTC précise qu'une case précochée ne peut pas servir à l'obtenir.
• L'identification. Le nom de votre concession, une adresse postale et un numéro de téléphone, une adresse courriel ou une adresse Web. Si ça n'entre pas dans un texto, le règlement permet un lien clair vers une page Web qui contient ces renseignements.
• Le désabonnement. Une façon simple de se désabonner dans chaque message, traitée dès que possible et au plus tard 10 jours ouvrables après la demande.

Selon la Loi, un message qui fournit seulement une soumission demandée par l'acheteur n'exige pas de consentement, mais doit quand même contenir l'identification et le désabonnement. Le CRTC ajoute que c'est à l'expéditeur de prouver le consentement, et que la sanction administrative pécuniaire maximale par violation est de 10 millions de dollars pour une entreprise.

Pour un plan de relance qui respecte ces règles, lisez comment relancer les acheteurs auto avec l'IA.

Règles pratiques pour utiliser l'IA avec les renseigne­ments de vos clients

1. Rien de privé dans les outils d'IA généralistes. Noms, numéros de téléphone, adresses, permis de conduire, demandes de crédit et revenus restent hors de ChatGPT, Gemini, Copilot ou Meta AI. Écrivez « l'acheteur » et utilisez seulement les détails du véhicule. Dans leurs principes pour l'IA générative, les commissaires demandent d'utiliser des renseignements anonymisés ou dépersonnalisés dans les requêtes quand c'est possible, et de n'y entrer des renseignements personnels que si c'est autorisé. Voyez aussi notre guide sur ChatGPT pour les concessionnaires.
2. Les conversations dans votre DMS. Pas dans un cellulaire ou un compte Messenger personnel, ni dans l'historique d'un outil d'IA. Un seul dossier par client potentiel permet de répondre aux demandes d'accès, de prouver le consentement et de détruire ce qui ne sert plus.
3. Qui voit quoi. Le vendeur voit ses clients potentiels, le directeur commercial voit les documents de financement, et l'accès se ferme le jour où quelqu'un quitte.
4. Vérifier chaque texte de l'IA avant qu'un client le voie. Prix, kilométrage, options, conditions de financement. Les commissaires demandent aussi de prendre des mesures raisonnables pour que les résultats de l'IA générative soient exacts.
5. La transparence avec les clients. Les mêmes principes demandent de s'assurer que les personnes savent qu'elles interagissent avec un outil d'IA. Décidez comment votre concession s'y prend, et répondez honnêtement quand un client pose la question.
6. Lire les conditions des fournisseurs. Où sont gardées les données, qui y a accès, et qu'arrive-t-il à la fin du contrat ?

Où se situe DriveGood AI

DriveGood AI suit deux règles fixes, et l'une d'elles touche la confidentialité :

Chaque conversation avec un acheteur est enregistrée avec le client potentiel dans votre DMS, pour que votre équipe lise exactement ce qui a été dit (voyez la plateforme DMS de Drive Good). Vous n'avez jamais à vous connecter à DriveGood AI : vous voyez les clients potentiels, les essais routiers réservés et les rapports. Voyez comment elle s'occupe de la qualification des clients potentiels et du suivi des clients potentiels.

Aucun outil d'IA, DriveGood AI comprise, ne rend une concession conforme à lui seul : votre politique de confidentialité, vos preuves de consentement et votre responsable restent votre responsabilité. Lisez la politique de confidentialité de Drive Good, voyez l'approche de DriveGood AI en matière d'IA responsable ou comparez-la avec une IA généraliste.