Un responsable commercial dans une PME de Montréal colle les notes d'un appel client dans ChatGPT pour rédiger un courriel de relance plus rapidement. Une chargée RH utilise Copilot pour reformuler une fiche de poste, grilles salariales incluses. Aucun des deux n'a demandé l'autorisation de son employeur, aucun des deux n'imagine faire quoi que ce soit de problématique. Selon une étude de la Cloud Security Alliance relayée par La Presse en mai 2026, cette pratique concerne 82% des employés dans le monde. Elle porte un nom précis, l'IA fantôme, et elle expose l'entreprise à un risque juridique bien réel au Québec, que la plupart des dirigeants découvrent seulement après coup.
Quatre employés sur cinq utilisent déjà l'IA sans le dire
L'IA fantôme désigne toute utilisation d'un outil d'intelligence artificielle par un employé de sa propre initiative, sans en informer son employeur, le service informatique ou parfois même le client concerné. Le terme s'inspire du "shadow IT" plus ancien, l'usage de logiciels non approuvés, mais l'IA générative change l'échelle du problème. Un logiciel non approuvé reste généralement cantonné à une tâche. Un assistant IA, lui, absorbe tout ce qu'on lui donne à lire, des notes de réunion à des grilles salariales en passant par des contrats clients, sans que l'employé perçoive toujours la différence entre gagner du temps et transmettre une information sensible à un tiers.
Le chiffre de 82% surprend surtout par son ampleur, mais la logique derrière est simple. Personne n'attend une politique d'entreprise pour essayer un outil qui fait gagner une heure sur une tâche répétitive. Le problème n'est donc pas la mauvaise foi des employés, il est presque toujours dans l'absence totale de visibilité de l'employeur sur ce qui se passe réellement dans son organisation.
La Loi 25 comble déjà le vide que le fédéral laisse ouvert
Au niveau fédéral, le Canada n'a toujours pas de loi spécifique sur l'intelligence artificielle. Le projet de loi C-27, qui contenait la Loi sur l'intelligence artificielle et les données, est mort au feuilleton lors de la prorogation du Parlement en janvier 2025. Evan Solomon, devenu le premier ministre de l'Intelligence artificielle et de l'Innovation numérique du Canada en mai 2025, a confirmé que ce texte ne reviendra pas sous sa forme initiale, et prépare un nouveau cadre autour d'une approche qu'il décrit lui-même comme légère et ciblée. Une stratégie nationale est attendue depuis la fin 2025, mais l'adoption d'une véritable loi pourrait encore prendre douze à dix-huit mois.
Au Québec, ce vide n'existe pas de la même manière. La Loi 25 sur la protection des renseignements personnels est déjà pleinement en vigueur, et elle s'applique à toute entreprise qui traite des données personnelles au Québec, peu importe sa taille. Ses articles 12.1 et 14 imposent une transparence explicite sur la logique de tout système utilisé pour une prise de décision automatisée, ainsi qu'un consentement manifeste, libre et éclairé lorsque des renseignements personnels y sont impliqués. Avant de déployer un système qui traite ce type de données, une évaluation des facteurs relatifs à la vie privée, l'EFVP, devient obligatoire.
Les sanctions ne sont pas symboliques. La Loi 25 prévoit des amendes administratives pouvant atteindre 25 millions de dollars canadiens ou 4% du chiffre d'affaires mondial de l'entreprise, et la Commission d'accès à l'information du Québec dispose d'un vrai pouvoir d'application pour les faire appliquer. Un employé qui colle des données clients dans un outil grand public, sans que l'entreprise l'ait ni autorisé ni encadré, peut suffire à créer une brèche que la loi tient l'employeur responsable de combler, même s'il n'était pas au courant.
Une tension juridique que peu de dirigeants voient venir
Il existe une couche supplémentaire, moins connue, qui complique encore le tableau. La plupart des grands outils d'IA générative sont opérés par des entreprises américaines, soumises au CLOUD Act des États-Unis. Cette loi permet aux autorités américaines d'exiger l'accès à des données hébergées par ces entreprises, y compris lorsque ces données concernent des citoyens québécois et sont censées être protégées par la Loi 25. Les deux cadres juridiques ne s'accordent pas entre eux, et une entreprise québécoise qui confie des données personnelles à un outil américain sans y avoir réfléchi se retrouve prise entre deux régimes de protection qui ne poursuivent pas le même objectif.
Cette tension n'a rien de théorique pour une entreprise qui traite des données de santé, des dossiers financiers, ou toute information sensible sur ses clients. Elle explique aussi pourquoi certaines organisations se tournent vers des modèles d'IA qui peuvent être hébergés localement plutôt que vers des services infonuagiques américains par défaut, une option qui devient un vrai critère de conformité plutôt qu'un simple choix technique.
Trois réflexes concrets pour reprendre la main
Aucune de ces obligations n'interdit à une entreprise d'utiliser l'IA. Elles demandent seulement de le faire en sachant précisément ce qui se passe.
- Dresser un inventaire réel des outils IA déjà utilisés dans l'entreprise, y compris ceux que personne n'a officiellement approuvés, plutôt que de se fier à ce que la politique interne prétend autoriser.
- Réaliser une évaluation des facteurs relatifs à la vie privée avant tout nouveau déploiement impliquant des données personnelles, et pas seulement pour les grands projets, la Loi 25 ne fait pas de distinction selon la taille de l'entreprise.
- Former les équipes à reconnaître ce qui constitue une donnée sensible plutôt que de se contenter d'interdire un outil, une interdiction sans alternative claire pousse simplement l'usage plus loin dans l'ombre.
C'est exactement le type de travail qu'un diagnostic avant intégration d'une solution IA permet de sécuriser en amont, cartographier ce qui existe réellement, identifier où se trouve le risque, et choisir une architecture technique qui respecte le cadre légal plutôt que de le découvrir après coup. Une entreprise qui se pose ces questions avant de déployer un outil s'épargne généralement bien plus qu'une amende, elle s'épargne aussi la perte de confiance qui suit une fuite de données rendue publique.