Orvel AI › Pour les entreprises › ChatGPT en entreprise au Québec

Utiliser ChatGPT en entreprise au Québec : risques et solutions locales.

Oui, une entreprise québécoise peut utiliser ChatGPT ou tout autre outil d'IA générative. Le risque n'est pas l'outil, c'est ce qu'on y entre : dès que des renseignements personnels sortent du Québec vers un fournisseur, la loi demande une évaluation, un contrat écrit et une entente sur la communication hors Québec. Voici les risques concrets et les façons de les réduire, y compris avec des solutions d'ici.

Publié le 4 octobre 2026 par Zenitech · Information générale, pas un avis juridique : pour un cas précis, consultez un avocat ou la Commission d'accès à l'information (CAI).

En bref

ChatGPT est exploité par OpenAI, aux États-Unis. Entrer des renseignements personnels dans un tel outil, c'est les communiquer à un fournisseur à l'extérieur du Québec. La loi sur le secteur privé exige alors une évaluation des facteurs relatifs à la vie privée et une entente écrite (art. 17), un contrat écrit qui précise les mesures de protection (art. 18.3), et une évaluation de tout nouveau système qui traite des renseignements personnels (art. 3.3). Sans renseignements personnels ni confidentiels, ces obligations ne sont pas déclenchées de la même façon.

Les risques, un par un

Risque	Ce que dit la source officielle	Comment le réduire
Des renseignements de clients ou d'employés sortent du Québec	Avant de communiquer un renseignement personnel à l'extérieur du Québec, évaluation des facteurs relatifs à la vie privée ; communication permise si la protection est adéquate, avec entente écrite (P-39.1, art. 17).	Dépersonnaliser les requêtes ; faire l'évaluation ; ou choisir un outil dont les données restent au Québec.
Aucun contrat avec le fournisseur	Communication à un fournisseur permise sans consentement si le mandat est écrit et précise les mesures de confidentialité, l'usage limité et la non-conservation après le contrat (art. 18.3).	Un forfait d'entreprise avec des conditions écrites, plutôt que des comptes gratuits personnels.
Les employés utilisent leurs comptes personnels	Tout projet d'acquisition ou d'utilisation d'un système qui traite des renseignements personnels doit être évalué (art. 3.3). Un compte ouvert par un employé ne l'a pas été.	Liste d'outils approuvés et règle interne courte (modèle plus bas).
Des renseignements sont exposés	Incident de confidentialité : mesures pour diminuer les risques ; si risque de préjudice sérieux, aviser la CAI et les personnes ; tenir un registre (art. 3.5, 3.8 ; CAI).	Ne pas coller de données sensibles ; savoir à qui signaler un incident à l'interne.
L'IA décide seule	Une décision fondée exclusivement sur un traitement automatisé oblige à informer la personne et à lui offrir une révision par un membre du personnel (art. 12.1).	Garder un humain qui valide : tri de candidatures, refus de service, crédit.
Une réponse inexacte est envoyée à un client	Le principe « exactitude » des commissaires demande aux organisations de s'assurer que les résultats d'un outil d'IA générative sont assez exacts pour l'usage prévu, surtout s'ils sont rendus publics (principes, 2023).	Relecture humaine de tout ce qui part vers un client ; sources vérifiées pour les chiffres et les règles.
Des textes en anglais circulent	Communications écrites au personnel, offres d'emploi et documents de formation en français (Charte, art. 41) ; droit du consommateur d'être servi en français (art. 50.2) ; catalogues, brochures et documents semblables en français (art. 52).	Exiger le français dans les consignes ; relire le français ; préférer un outil conçu en français.

Sources : LégisQuébec, P-39.1 · LégisQuébec, Charte de la langue française. Les sanctions administratives prévues par la loi sur le secteur privé peuvent atteindre 10 000 000 $ ou 2 % du chiffre d'affaires mondial (art. 90.12) : ce sont des plafonds, pas des montants habituels.

Trois façons de faire, honnêtement comparées

1. Encadrer l'outil générique

Forfait d'entreprise du fournisseur, évaluation des facteurs relatifs à la vie privée, entente écrite pour le transfert hors Québec, règle interne. C'est faisable, et c'est souvent le bon choix si vous avez besoin de ses intégrations.

2. Un assistant conçu au Québec

Par exemple Orvel AI : réponses écrites produites et conversations gardées au Québec, en français. L'évaluation reste nécessaire, mais la question du transfert hors Québec se limite aux fonctions qui passent par des sous-traitants.

3. Un agent IA sur mesure

Quand l'IA doit répondre à vos clients, qualifier des demandes et faire des relances dans vos outils. Zenitech installe des agents par métier propulsés par Orvel AI, avec des limites écrites (jamais d'avis juridique, médical ou fiscal).

Une solution locale ne dispense pas de l'évaluation (art. 3.3) ni du contrat écrit (art. 18.3). Elle simplifie surtout l'article 17.

Une règle interne en cinq lignes

Les commissaires à la protection de la vie privée du Canada, dont la CAI, recommandent aux organisations de n'entrer des renseignements personnels que si c'est autorisé, de préférer des données dépersonnalisées et de ne jamais chercher à réidentifier des données (principes de décembre 2023). Une règle courte qui s'en inspire :

Outils approuvés seulement, avec le compte de l'entreprise.
Jamais de numéro d'assurance sociale, de dossier de santé, de renseignements bancaires ni de document confidentiel.
On retire les noms quand ils ne sont pas nécessaires.
Un humain relit tout ce qui part vers un client, un employé ou un partenaire, en français.
On signale toute erreur d'envoi ou fuite au responsable de la protection des renseignements personnels.

Où se situe Orvel AI

D'après la politique de confidentialité d'Orvel : les réponses écrites sont produites par des modèles d'IA sur un serveur exploité par Zenitech au Québec, et les conversations y sont gardées. L'analyse de photos, la voix, les images, les vidéos, la recherche web et la création de documents passent par des fournisseurs nommés, surtout aux États-Unis, seulement quand on utilise ces fonctions. Les conversations ne servent pas à entraîner de modèles. Prix : essai gratuit de 30 jours, puis Pro à 275 $/mois, taxes en sus ; Entreprises : sur mesure, avec Zenitech.

Une alternative québécoise, avec une équipe d'ici

Essayez Orvel gratuitement pendant 30 jours, ou confiez à Zenitech un agent IA pour votre métier (tarifs sur zenitech.dev/tarifs).

Voir les agents IA par métier →Orvel pour les entreprises

Questions fréquentes

Est-ce légal d'utiliser ChatGPT dans une entreprise au Québec ?

Oui. Aucune loi québécoise n'interdit un outil en particulier. Si des renseignements personnels y entrent, l'entreprise doit faire une évaluation des facteurs relatifs à la vie privée (art. 3.3 et 17 de la loi sur le secteur privé), confier le service par contrat écrit avec des mesures de protection (art. 18.3) et encadrer la communication hors Québec par une entente écrite (art. 17).

Mes employés peuvent-ils utiliser leur compte ChatGPT personnel pour le travail ?

C'est le risque le plus fréquent : un compte personnel n'a fait l'objet d'aucune évaluation ni d'aucun contrat avec l'entreprise. Si un employé y colle des renseignements sur des clients, l'entreprise n'a pas les garanties écrites que la loi demande. La solution est une règle interne claire et un outil approuvé.

Quels renseignements ne faut-il jamais entrer dans ChatGPT ?

Les principes adoptés en 2023 par les commissaires à la protection de la vie privée du Canada, dont la CAI, recommandent de n'entrer des renseignements personnels, surtout sensibles, que si c'est autorisé, et de préférer des données anonymisées ou dépersonnalisées. En pratique : pas de numéro d'assurance sociale, de dossier de santé, de renseignements bancaires ni de document confidentiel sans approbation.

Une solution IA québécoise règle-t-elle tout ?

Non. Garder les données au Québec simplifie l'évaluation de l'article 17, mais l'entreprise doit quand même évaluer le projet (art. 3.3), encadrer le fournisseur par contrat (art. 18.3) et vérifier quelles fonctions passent par des sous-traitants situés ailleurs.

Les textes produits par ChatGPT doivent-ils être en français ?

Les règles visent ce que l'entreprise diffuse, quel que soit l'outil : communications écrites au personnel, offres d'emploi et documents de formation en français (Charte, art. 41), droit des consommateurs d'être informés et servis en français (art. 50.2), publications commerciales en français (art. 52).

Sources (consultées le 4 octobre 2026)

Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1), art. 3.3, 3.5, 3.8, 12.1, 17, 18.3, 90.12 : https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1
Charte de la langue française (C-11), art. 41, 50.2, 52 : https://www.legisquebec.gouv.qc.ca/fr/document/lc/C-11
CAI, Guide d'accompagnement : réaliser une évaluation des facteurs relatifs à la vie privée : https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_GU_EFVP.pdf
CAI, Incidents de confidentialité et mesures de sécurité (entreprises) : https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/incidents-confidentialite-mesures-securite-entreprises
Commissariat à la protection de la vie privée du Canada, Principes pour des technologies de l'IA générative responsables (7 décembre 2023) : https://www.priv.gc.ca/fr/sujets-lies-a-la-protection-de-la-vie-privee/technologie/intelligence-artificielle/gd_principes_ia/
OQLF, Francisation des entreprises : https://www.oqlf.gouv.qc.ca/francisation/entreprises/