Loi 25 EFVP pour agents vocaux IA : le guide complet 2026

L'Évaluation des Facteurs relatifs à la Vie Privée (EFVP) — équivalent québécois du Privacy Impact Assessment (PIA) — est devenue une obligation légale pour la plupart des entreprises québécoises qui déploient des systèmes d'IA. Ce guide explique quand une EFVP est obligatoire pour un agent vocal IA, ce qu'elle doit contenir, et comment démontrer sa conformité en cas d'audit.

Ce qu'est une EFVP en langage clair

Une EFVP est un document formel qui répond à trois questions :

• Quels renseignements personnels votre projet collecte, utilise, ou communique ?
• Quels sont les risques pour la vie privée des personnes concernées ?
• Quelles mesures avez-vous mises en place pour atténuer ces risques ?

Le but n'est pas d'être un simple exercice administratif — c'est de forcer l'organisation à réfléchir aux implications sur la vie privée AVANT de déployer un nouveau système. La Loi 25 rend l'EFVP obligatoire dans plusieurs situations, dont plusieurs concernent directement les agents vocaux IA.

Quand une EFVP est-elle obligatoire ?

La Loi 25 article 3.3 impose une EFVP dans ces cas :

1. Développement d'un nouveau système d'information ou refonte majeure

Déployer un agent vocal IA pour la première fois dans votre entreprise déclenche cette obligation. Même chose si vous refondez votre système téléphonique pour y intégrer de l'IA.

2. Communication de renseignements personnels à l'extérieur du Québec

Article 14 — obligatoire avant tout transfert. Puisque la plupart des services d'IA vocale utilisent des sous-processeurs américains (OpenAI, Anthropic, ElevenLabs, Deepgram, etc.), toute utilisation d'un agent vocal IA implique presque toujours un transfert international, ce qui déclenche l'EFVP.

3. Communication à un tiers pour une nouvelle finalité

Si votre agent vocal IA transmet des données à votre CRM, votre système de facturation, ou tout autre système, chacune de ces communications peut nécessiter une EFVP.

4. Utilisation de renseignements personnels sensibles

Les cabinets médicaux, juridiques, et de services financiers manipulent souvent des renseignements sensibles. L'utilisation d'IA sur ces renseignements exige une EFVP.

Pour un cabinet d'avocats ou une clinique au Québec qui déploie un agent vocal IA, la réponse simple : oui, vous avez besoin d'une EFVP.

Ce qu'une EFVP doit contenir

Il n'existe pas de format officiel imposé, mais la CAI recommande une structure qui couvre ces sections :

Section 1 : Description du projet

• Objectif du projet (par ex. répondre aux appels 24/7)
• Personnes concernées (appelants, employés, tiers)
• Types de renseignements collectés (nom, numéro de téléphone, motif d'appel, enregistrement vocal, transcript)
• Finalités précises pour chaque type de renseignement
• Durée de conservation

Section 2 : Flux de données

• Où les données sont collectées (téléphonie entrante)
• Où elles transitent (transcription, LLM, TTS, stockage)
• Chez qui elles sont hébergées (chaque sous-processeur nommément)
• Durée de rétention à chaque étape
• Personnes ayant accès (rôles internes et externes)

Section 3 : Analyse des risques

Pour chaque type de renseignement collecté, évaluez :

• Probabilité d'un incident (accès non autorisé, fuite, utilisation abusive)
• Impact potentiel sur la personne concernée
• Niveau de risque résultant (faible, moyen, élevé)

Section 4 : Mesures d'atténuation

Pour chaque risque identifié, décrivez la mesure mise en place :

• Mesures techniques : chiffrement au repos et en transit, contrôles d'accès, journalisation
• Mesures organisationnelles : formation du personnel, ententes de confidentialité, politiques internes
• Mesures contractuelles : DPA (Data Processing Agreements) avec chaque sous-processeur

Section 5 : Consentement

Comment obtenez-vous le consentement des personnes concernées ? Pour un agent vocal IA, cela signifie généralement :

• Divulgation verbale au début de chaque appel (art. 8 LPRPSP)
• Politique de confidentialité publique référencée dans la divulgation
• Mécanisme pour l'appelant de refuser le traitement IA (par ex. redirection vers voicemail humain)

Section 6 : Droits des personnes concernées

Comment votre organisation gère les demandes d'accès, de rectification, et de suppression des renseignements ? La Loi 25 donne aux personnes ces droits, et vous devez avoir un processus documenté pour y répondre.

Section 7 : Approbation et responsable

L'EFVP doit être approuvée par la haute direction et signée par le Responsable de la protection des renseignements personnels (RPRP) — obligatoire dans toute entreprise québécoise depuis septembre 2022.

Le cas spécifique des agents vocaux IA

Les agents vocaux IA posent des questions de vie privée particulières qu'une EFVP doit adresser explicitement :

La transcription en temps réel

Vos données audio passent par un fournisseur de transcription (Deepgram, Google, etc.). Où est cette transcription hébergée ? Combien de temps est-elle retenue ? Est-elle utilisée pour entraîner des modèles ?

Réponse Loi 25 conforme : les enregistrements et transcripts ne doivent pas être utilisés pour entraîner des modèles publics sans consentement explicite. Vérifiez les clauses "Data Usage" de vos sous-processeurs.

Le raisonnement LLM

Votre agent envoie chaque intervention à un modèle de langage (Claude, GPT, etc.). Le prompt et la réponse sont-ils journalisés ? Utilisés pour entraîner le modèle ?

Réponse Loi 25 conforme : utilisez les niveaux commerciaux ("Enterprise", "Zero data retention", "Commercial Terms") qui garantissent le non-entraînement sur vos données.

La synthèse vocale (TTS)

Votre agent parle avec une voix générée. Le texte à synthétiser est envoyé au fournisseur TTS. Est-il journalisé ? Retenu ?

Réponse Loi 25 conforme : privilégier les fournisseurs avec des politiques de rétention courtes et des DPA compatibles Loi 25.

Le stockage à long terme

Où sont archivés les transcripts pour votre référence future ? Chez le fournisseur, chez vous, chiffrés comment ?

Réponse Loi 25 conforme la plus solide : chiffrement zero-knowledge où seul votre organisation détient la clé de déchiffrement.

Erreurs courantes à éviter

Après des dizaines d'EFVP pour des projets d'IA vocale, voici les erreurs qui reviennent le plus souvent :

Erreur 1 : Traiter l'EFVP comme un formulaire administratif

L'EFVP n'est pas un exercice de case à cocher. C'est un vrai document qui doit refléter votre analyse réelle. La CAI, si elle audite, va poser des questions sur les choix documentés. Un document creux n'aide personne.

Erreur 2 : Omettre les sous-processeurs de deuxième niveau

Votre agent vocal utilise Twilio (téléphonie), qui utilise AWS. Vous avez besoin d'une visibilité jusqu'au bout de la chaîne, pas seulement votre fournisseur direct.

Erreur 3 : Ne pas signer de DPA avec chaque sous-processeur

Chaque sous-processeur qui traite des renseignements personnels doit avoir un DPA. Twilio, Anthropic, ElevenLabs, Deepgram, votre hébergeur — tous. Pas "en cours de négociation", mais signés.

Erreur 4 : Copier l'EFVP d'un autre projet

Chaque projet a un contexte différent. Une EFVP générique ne passera pas un audit. Vous devez faire l'analyse pour VOTRE projet.

Erreur 5 : Ne pas la mettre à jour

Vous changez de sous-processeur ? Ajout d'une nouvelle fonctionnalité ? L'EFVP doit être révisée. Un document daté de 2022 n'est pas défendable en 2026.

Combien de temps prend une EFVP

Pour un projet d'agent vocal IA typique :

• Sans expérience préalable : 15-30 heures de travail réparties sur 4-6 semaines
• Avec un modèle éprouvé et l'accompagnement d'un consultant : 5-10 heures sur 1-2 semaines
• Coût typique d'un accompagnement professionnel : 2 500$ à 8 000$

Pour la plupart des PME, l'investissement se justifie amplement compte tenu de l'exposition financière et juridique en cas d'incident.

L'approche Voxify

Voxify est fourni avec une EFVP déjà complétée que ses clients peuvent adopter et adapter pour leur propre déploiement. Le document couvre :

• Tous les sous-processeurs de Voxify (Twilio, Anthropic, ElevenLabs, Deepgram, Vapi, Railway)
• Le flux de données complet avec durées de rétention à chaque étape
• L'analyse de risque pour chaque type de renseignement
• Les mesures d'atténuation techniques et organisationnelles en place
• Les DPA signés avec chaque sous-processeur (disponibles sur demande)
• La divulgation verbale Loi 25 art. 8 intégrée à chaque début d'appel
• Le processus de réponse aux droits des personnes concernées

Nos clients l'utilisent comme fondation pour leur propre dossier de conformité. En cas d'audit de la CAI, ils peuvent produire des documents professionnellement préparés plutôt que d'improviser.

Prochaines étapes

Si votre entreprise n'a pas encore d'EFVP pour son système d'agent vocal IA (ou pour tout autre système traitant des renseignements personnels), voici l'ordre des priorités :

1. Utilisez notre Vérificateur de conformité Loi 25 pour un score rapide.
2. Désignez un RPRP — obligatoire depuis 2022, souvent oublié dans les PME.
3. Publiez ou mettez à jour votre politique de confidentialité — accessible depuis votre site web.
4. Faites l'inventaire de vos systèmes qui traitent des renseignements personnels — beaucoup d'organisations découvrent qu'elles ont plus de systèmes qu'elles pensaient.
5. Complétez une EFVP pour chaque système — commencez par le plus sensible.
6. Signez des DPA avec chaque sous-processeur — c'est un travail contractuel qui prend plusieurs semaines.
7. Documentez votre plan d'incident — les 72h suivant la découverte comptent.
8. Formez vos employés — obligation continue, pas one-shot.

Ressources connexes — Vérificateur Loi 25 · Loi 25 chez Voxify · Chiffrement zero-knowledge (EN)