Un agent qui trie des candidatures, refuse une demande de remboursement ou classe des dossiers de clients prend, en pratique, des décisions. Si personne ne regarde son travail avant qu’il soit communiqué, la Loi 25 a quelque chose à dire. Précision d’emblée : ce texte vulgarise la loi et propose une interprétation. Ce n’est pas un avis juridique. Validez chaque conclusion avec le responsable de la protection des renseignements personnels de votre organisation.

Ce que dit l’article 12.1

L’article 12.1 de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1, texte à jour au 12 août 2026 sur LégisQuébec) vise toute personne qui exploite une entreprise et qui « utilise des renseignements personnels afin que soit rendue une décision fondée exclusivement sur un traitement automatisé de ceux-ci ». Dans ce cas, l’entreprise doit :

  • informer la personne concernée au plus tard au moment où elle lui communique la décision ;
  • sur demande, lui indiquer les renseignements personnels utilisés, les raisons ainsi que les principaux facteurs et paramètres ayant mené à la décision ainsi que son droit de faire rectifier ces renseignements ;
  • lui donner l’occasion de présenter ses observations à un membre du personnel « en mesure de réviser la décision ».
Les quatre gestes de l'article 12.1 de la Loi 25 : informer, dévoiler les renseignements utilisés, expliquer les raisons et permettre une révision humaine
Résumé vulgarisé de l’article 12.1 de la Loi 25 (LégisQuébec, à jour au 12 août 2026)

Deux détails de rédaction comptent. Le mot clé est « exclusivement » : une décision où un humain examine vraiment le dossier et peut la changer n’est pas, en principe, exclusivement automatisée. Et le texte ne parle pas de décision « importante » ou « grave » : il vise toute décision rendue de cette façon à partir de renseignements personnels.

Le lien avec les agents Copilot : une interprétation

La loi ne mentionne ni Copilot ni les agents. Voici donc ma lecture, que je vous invite à faire valider.

  • Copilot qui assiste une personne (résumer un dossier, proposer une réponse) : la décision finale reste humaine. L’article 12.1 est, selon moi, rarement en cause.
  • Un agent qui agit seul (accepter ou refuser, classer des candidatures, déclencher une sanction ou un refus de service) à partir de renseignements sur des personnes : c’est le scénario visé. Tri de candidatures, admissibilité, évaluation de risque, priorisation de demandes de clients en sont des exemples plausibles.
  • Une zone grise : l’agent « recommande » et la personne clique « approuver » sans réellement examiner. Une révision de façade risque de ne pas suffire : le test, c’est le pouvoir réel de modifier le résultat.
Arbre de décision pour savoir si un agent est visé par l'article 12.1 de la Loi 25
Lecture prudente de l’article 12.1 (interprétation, pas un avis juridique)

Où placer l’humain dans vos agents

Côté Microsoft, deux fonctions de Copilot Studio permettent de prévoir un contrôle humain. Les deux pages de Microsoft Learn ci-dessous ont été consultées en octobre 2026.

  • Pour les outils d’un agent, l’option « Ask the end user before running » demande à l’utilisateur de confirmer avant l’exécution. Elle est désactivée par défaut.
  • Les flux d’agent (« agent flows ») offrent des actions de type « Human in the loop », qui exigent une intervention humaine comme une demande d’approbation ou la saisie d’une information.
Concepteur de flux d'agent dans Copilot Studio : une condition oriente la réclamation vers une action « Request for information from assessor » assignée à un évaluateur, avant l'action d'approbation de la réclamation
Un flux d’agent où une personne désignée doit fournir son évaluation avant l’approbation (capture : Microsoft, Microsoft Learn. Used with permission from Microsoft.)

Ces fonctions sont des outils, pas une garantie de conformité. Une confirmation demandée à la personne qui utilise l’agent n’est pas la même chose que la révision, par un membre du personnel, d’une décision qui touche quelqu’un d’autre. À vous de concevoir le processus : qui révise, avec quelle information et avec quel pouvoir de changer la décision.

Que faire cette semaine ?

  1. Dresser la liste des agents (Copilot Studio et autres) qui rendent ou préparent des décisions touchant des personnes : employés, candidats, clients.
  2. Classer chaque agent avec l’arbre ci-dessus : aucune décision, humain dans la boucle ou décision exclusivement automatisée.
  3. Pour les cas automatisés, prévoir l’avis à la personne, la façon de répondre à une demande d’explication (quels renseignements, quels facteurs) et le point de contact qui peut réviser.
  4. Garder une trace de ce que l’agent a utilisé et des raisons de sa décision : sans elle, impossible d’expliquer quoi que ce soit sur demande.
  5. Consulter le responsable de la protection des renseignements personnels (art. 3.1) dès le début du projet et documenter l’analyse. L’évaluation des facteurs relatifs à la vie privée de l’article 3.3, abordée dans mon article du 23 octobre, est le bon endroit pour le faire.

Pour cette trace, l’onglet Activité de Copilot Studio montre chaque étape d’une conversation, les données reçues par un outil et une justification qui explique pourquoi l’agent a choisi cet outil. Selon Microsoft Learn, cette justification est générée par l’IA à la demande : c’est une aide au diagnostic, pas un registre officiel des motifs d’une décision.

Onglet Activité d'un agent dans Copilot Studio : carte d'une action de connecteur avec ses données de sortie et la section Rationale qui résume pourquoi l'agent a utilisé l'outil
La justification (« Rationale ») d’un appel d’outil dans l’onglet Activité (capture : Microsoft, Microsoft Learn. Used with permission from Microsoft.)

Les sanctions donnent la mesure de l’enjeu : l’article 90.12 prévoit une sanction administrative pécuniaire pouvant atteindre 10 000 000 $ ou 2 % du chiffre d’affaires mondial (le montant le plus élevé) et l’article 91 une amende pénale pouvant atteindre 25 000 000 $ ou 4 % du chiffre d’affaires mondial. Ces plafonds visent les entreprises ; je n’affirme pas qu’un manquement précis à l’article 12.1 entraînerait telle ou telle sanction : c’est une question pour votre conseiller juridique.

Le vrai sujet est moins la conformité que la confiance. Un agent qui refuse une demande sans que personne puisse expliquer pourquoi abîme la relation avec un client ou un employé, loi ou pas. Concevoir dès le départ l’explication et la révision humaine rend l’agent plus utile, pas moins. Et dans un déploiement où chaque équipe construit bientôt ses propres agents, la question « qui peut revoir cette décision ? » gagne à devenir un réflexe de conception.

Références