Comment vendre une plateforme d’agents d’intelligence artificielle au Québec?

Ce guide s’adresse à la personne qui vend une plateforme d’agents d’intelligence artificielle (IA) au Québec et qui veut savoir ce que les textes officiels attachent à ce genre de produit. Il repose sur la Loi sur la protection des renseignements personnels dans le secteur privé, sur les pages de la Commission d’accès à l’information (CAI) et sur la Loi sur le droit d’auteur, citées en bas de page. Il porte sur le Québec seulement et ne contient aucun prix ni aucun chiffre d’affaires.

Les obligations liées aux décisions automatisées

Si une plateforme d’agents prend des décisions sur des personnes à partir de leurs renseignements, une règle précise peut s’appliquer. L’article 12.1 de la loi québécoise vise l’entreprise qui utilise des renseignements personnels pour qu’une décision soit rendue exclusivement par traitement automatisé : elle doit en informer la personne concernée au plus tard au moment où elle l’informe de la décision. Sur demande, elle doit lui dire quels renseignements ont servi, les raisons et les principaux facteurs et paramètres de la décision, ainsi que son droit de faire rectifier ces renseignements.

La personne doit aussi avoir l’occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision. La CAI présente ces règles comme des obligations de transparence et un droit de révision, et elle cite l’intelligence artificielle parmi les moyens qui peuvent rendre de telles décisions. Les pages lues ne disent pas si une plateforme donnée en rend : le vendeur le détermine pour son produit. Si la réponse est oui, un acheteur peut demander les avis et les modèles de réponse prévus.

Évaluation des facteurs relatifs à la vie privée et registre

L’article 3.3 impose à toute personne qui exploite une entreprise de procéder à une évaluation des facteurs relatifs à la vie privée pour tout projet d’acquisition, de développement et de refonte d’un système d’information ou de prestation électronique de services qui implique la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels. Savoir si un produit précis entre dans cette définition est une question que le vendeur soumet à un juriste.

La loi exige aussi, à l’article 3.8, la tenue d’un registre des incidents de confidentialité, et l’article 3.5 oblige l’entreprise qui a des motifs de croire à un incident à prendre les mesures raisonnables pour réduire le risque de préjudice et éviter qu’il se reproduise. Selon la CAI, lorsque l’analyse révèle un risque de préjudice sérieux, l’entreprise doit aviser la Commission par écrit et aviser les personnes concernées; l’article 3.5 dispense d’aviser ces personnes tant que l’avis serait susceptible d’entraver une enquête menée par un organisme chargé de réprimer le crime. La Commission précise également que l’entreprise doit lui transmettre une copie de son registre à sa demande.

La CAI rappelle que l’entreprise qui confie des renseignements à un tiers pour les conserver demeure responsable de ses obligations en cas d’incident : mesures à prendre, registre à tenir, avis à émettre. Le vendeur qui fait conserver ses données par un tiers n’est donc pas libéré de ces obligations. Un acheteur peut demander le registre et les évaluations dans le cadre de sa vérification diligente.

Un responsable et des politiques à montrer

Selon la CAI, la personne qui a la plus haute autorité dans l’entreprise est par défaut responsable de la protection des renseignements personnels; cette fonction peut être déléguée par écrit, en tout ou en partie. Le titre et les coordonnées de ce responsable doivent être publiés sur le site Web de l’entreprise, et la Commission n’a pas à en être informée. L’article 3.2 de la loi oblige en outre à établir des politiques de gouvernance proportionnées à la nature et à l’importance des activités, approuvées par ce responsable, qui prévoient notamment la conservation, la destruction et le traitement des plaintes.

Pour le vendeur, ces documents sont des pièces que l’acheteur peut demander. Sur les conséquences d’un manquement, la CAI écrit qu’au terme d’une enquête elle peut imposer des sanctions administratives pécuniaires ou entamer des poursuites pénales; les montants maximaux sont énoncés sur sa page, à laquelle il faut se reporter.

Communiquer les données de la plateforme dans la vente

Pendant la vente, l’acheteur peut demander à voir des données réelles, par exemple des journaux d’actions ou des exemples de conversations. L’article 18.4 permet de communiquer un renseignement personnel à l’autre partie d’une transaction commerciale sans le consentement des personnes concernées, quand c’est nécessaire pour la conclure. Selon la CAI, une entente écrite doit être conclue au préalable : l’autre partie s’engage notamment à n’utiliser les renseignements que pour la transaction et à les détruire si elle n’aboutit pas. L’article 18.4 de la loi prévoit ensuite que, si l’acheteur souhaite continuer d’utiliser ou de communiquer ces données une fois la vente conclue, il ne peut le faire que conformément à la loi et doit en aviser les personnes concernées dans un délai raisonnable.

Si les données doivent sortir du Québec, par exemple vers une plateforme infonuagique d’un acheteur situé ailleurs, l’article 17 exige une évaluation des facteurs relatifs à la vie privée avant la communication, et la CAI précise que la communication à l’extérieur du Québec doit toujours faire l’objet d’une entente écrite. Le guide Vente d’actions ou vente d’actifs explique pourquoi la structure choisie change ce qui se transfère.

Le code et les modèles

L’OPIC range les programmes d’ordinateur parmi les œuvres que protège le droit d’auteur. Selon l’article 13 de la Loi sur le droit d’auteur, l’employeur est le premier titulaire du droit sur l’œuvre exécutée dans l’exercice d’un emploi, à moins de stipulation contraire, et toute cession n’est valable que si elle est rédigée par écrit et signée par le titulaire ou par son agent dûment autorisé. Pour le code écrit par des travailleurs autonomes, un acheteur peut donc demander les cessions écrites. Les pages lues ne disent pas ce qu’il en est des modèles d’IA eux-mêmes, ni des licences de modèles tiers : ces points relèvent des contrats.

Pour les autres éléments d’un dossier de vente de logiciel, voyez Vendre une entreprise de logiciels au Québec et Vendre sa jeune pousse. Les employés qui passent chez l’acheteur sont traités dans Employés et vente d’une entreprise au Québec.

• les avis et les modèles de réponse liés aux décisions automatisées, s’il y en a;
• les évaluations des facteurs relatifs à la vie privée et le registre des incidents;
• le titre et les coordonnées du responsable, publiés sur le site;
• les ententes de communication des données et leurs engagements de destruction;
• les conventions écrites sur le droit d’auteur du code et des contenus.