Depuis le 2 août 2026, l'AI Act européen est officiellement en vigueur — et contrairement à ce que vous pensez peut-être, il ne concerne pas que les entreprises européennes. Combiné à la Loi 25 québécoise, ce double cadre réglementaire crée un nouveau plancher de conformité IA que chaque PME Québec doit respecter, surtout si vous utilisez un chatbot, un formulaire intelligent ou un outil de recommandation sur votre site. Bonne nouvelle : une checklist en 5 points suffit pour faire le point, sans avocat ni consultant externe.
L'AI Act fonctionne comme le RGPD : il s'applique en fonction de l'emplacement des utilisateurs, pas du siège de l'entreprise. Si votre PME québécoise vend des services à des résidents de l'Union européenne — même de façon ponctuelle via une boutique en ligne — vous êtes potentiellement dans le champ d'application du règlement européen IA. Et si vous utilisez des outils IA fournis par des entreprises européennes (plusieurs grands fournisseurs de CRM, d'automatisation et de chatbots le sont), vos contrats de service vous transfèrent souvent une partie des obligations de conformité. Ce n'est pas une question de nationalité de votre entreprise, c'est une question de chaîne de valeur numérique.
Trois cas typiques au Québec : votre boutique Shopify qui recommande des produits automatiquement aux visiteurs, votre chatbot qui répond aux questions clients en dehors des heures d'ouverture, ou votre CRM qui génère des scores de priorité pour vos prospects. Dans chacun de ces cas, le règlement européen IA PME impose des obligations minimales — de transparence, de traçabilité ou de signalement — que votre politique de confidentialité actuelle ne couvre probablement pas encore.
La Loi 25 québécoise est entrée en vigueur progressivement depuis 2022. Elle impose la transparence sur les décisions automatisées qui affectent des personnes — ce qui inclut directement les systèmes IA. Toute décision fondée exclusivement sur un traitement automatisé doit être signalée à la personne concernée, qui peut exiger une intervention humaine. Si vous utilisez l'IA pour traiter des documents internes ou analyser des données clients, notre guide sur comment utiliser l'IA avec vos documents sensibles en entreprise illustre concrètement comment rester dans les clous des deux législations.
L'AI Act classifie les systèmes IA en quatre niveaux de risque : inacceptable (interdit), élevé (obligations strictes), limité (transparence requise) et minimal (pratiquement sans contrainte). Pour la plupart des PME québécoises, les outils courants — chatbots de service client, recommandations de produits, scoring automatisé — tombent dans les catégories « limité » à « élevé ». Ce classement détermine directement vos obligations : documentation, audit, information des utilisateurs.
Point 1 — Mentionnez l'usage de l'IA : Toute interaction automatisée doit être identifiable comme telle. Si votre chatbot est un bot, vos visiteurs doivent le savoir. Ajoutez une mention claire dans l'interface et dans votre politique de confidentialité.
Point 2 — Mettez à jour votre formulaire de consentement : Si vous collectez des données pour alimenter un outil IA (personnalisation, scoring, recommandation), le consentement doit être explicite sur cet usage. Un consentement générique « pour améliorer nos services » ne suffit plus depuis le 2 août 2026.
Point 3 — Révisez vos mentions légales : Vos conditions d'utilisation doivent nommer les outils IA utilisés, leur finalité et le fournisseur. Une ligne vague sur « l'utilisation de technologies d'intelligence artificielle » n'est plus suffisante.
Point 4 — Documentez vos décisions automatisées : Chaque décision impactant un client (refus, classement, recommandation personnalisée) doit être traçable. Gardez un log minimal : quel outil, quelle décision, à quelle date.
Point 5 — Offrez un droit de contestation : Vos clients ont le droit de demander une révision humaine de toute décision automatisée qui les affecte. Prévoyez un canal de contact clair — une adresse courriel suffit — mentionné dans votre politique de confidentialité.
Faites l'inventaire de vos outils IA : chatbot de service client, générateur de contenu, CRM avec scoring automatisé, outil de personnalisation d'emails, recommandation de produits. Pour chaque outil, notez : son usage, le type de données traitées, et son niveau de risque selon l'AI Act. Les outils qui traitent des données personnelles pour influencer des décisions sont prioritaires. La conformité réglementaire et la sécurité opérationnelle vont de pair : les pratiques recommandées pour déployer vos agents IA sans exposer votre PME constituent le complément naturel de cet audit de conformité.
Se mettre en conformité ne nécessite pas un cabinet d'avocats. Voici le plan en 3 étapes pour une PME typique, réalisable en 2 à 4 semaines :
Étape 1 — Inventaire et classification (semaine 1) : Listez tous vos outils IA, leur fournisseur, leur usage et les données qu'ils traitent. Classifiez chacun selon les 4 niveaux de risque de l'AI Act.
Étape 2 — Mise à jour des politiques (semaine 2) : Révisez votre politique de confidentialité et vos mentions légales pour refléter vos usages IA actuels. Pour les données les plus sensibles, envisagez une infrastructure IA hébergée localement, sans transfert vers des serveurs étrangers : cette approche simplifie considérablement la conformité à la fois à la Loi 25 et à l'AI Act.
Étape 3 — Documentation interne minimale (semaines 3-4) : Créez un registre simple de vos traitements automatisés. Un tableur suffit : outil, usage, données traitées, base légale, mesures de sécurité. Ce document est votre première ligne de défense en cas d'audit.
Pianistes Numérique accompagne les PME québécoises dans leur transition vers une utilisation de l'IA à la fois performante et conforme. Contactez-nous pour un diagnostic initial.
Oui, dans certains cas. Une PME québécoise peut être visée si elle sert des clients européens, traite leurs données ou utilise une chaîne de fournisseurs IA soumise au règlement européen.
La Loi 25 encadre surtout la protection des renseignements personnels au Québec. L'AI Act classe les systèmes d'IA par niveau de risque et impose des obligations de transparence, de documentation et de contrôle.
Commencez par les outils qui touchent des données clients ou influencent une décision : chatbot, CRM, recommandation de produits, formulaire intelligent ou scoring de prospects.
Non. L'objectif est plutôt de documenter les usages, informer les utilisateurs, limiter les données sensibles et prévoir une intervention humaine quand une décision automatisée a un impact réel.
Combien de temps faut-il pour faire une première vérification ?
Pas nécessairement pour dresser l'inventaire initial et corriger les éléments simples. Un avis juridique devient pertinent pour les usages à risque élevé, les données sensibles ou les décisions automatisées importantes.
