Droit de la vie privée & Intelligence artificielle
Analyse du jugement United States v. Heppner (S.D.N.Y., 17 février 2026) : une première décision nationale américaine dont les implications dépassent les frontières des États-Unis et trouvent un écho direct dans la Loi 25 du Québec.
- Un tribunal fédéral américain statue pour la première fois qu’aucun privilège légal ne protège les échanges d’un utilisateur avec une plateforme IA publique.
- La décision s’appuie notamment sur la politique de confidentialité d’Anthropic, qui prévoit la divulgation de données aux autorités gouvernementales.
- La Loi 25 (LPRPSP) impose aux organisations québécoises des obligations directement liées à ce risque : EFVP, consentement éclairé, encadrement des transferts hors Québec.
- Les professionnels soumis au secret professionnel (avocats, notaires, CPA) sont particulièrement exposés.
- Le CLOUD Act américain peut forcer Anthropic, OpenAI ou Google à divulguer des données de clients québécois à des autorités étrangères.
La protection des renseignements personnels sous la Loi 25 et l’utilisation de l’intelligence artificielle viennent de se heurter de plein fouet devant un tribunal fédéral américain. La décision qui en résulte devrait faire réfléchir tout professionnel québécois qui utilise des outils d’IA générative dans son travail : les échanges avec une plateforme IA publique ne jouissent d’aucune confidentialité juridique.
Ce jugement, bien qu’il soit rendu en droit américain et n’ait pas force obligatoire au Québec, envoie un signal que juristes, comptables, dirigeants d’entreprises et responsables de la conformité ne peuvent ignorer. Et lorsqu’on le lit à la lumière de la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP), telle que modifiée par la Loi 25, les parallèles sont saisissants.
La réalité québécoise : l’IA est déjà partout
Avant d’analyser le jugement, il faut mesurer l’ampleur du risque. L’IA générative n’est plus un phénomène marginal au Québec.
Ce que ces chiffres signifient concrètement : dans les secteurs professionnels québécois les plus touchés par les obligations de confidentialité (droit, finance, comptabilité, ressources humaines), l’IA générative est adoptée par plus d’un tiers des organisations. Ces organisations traitent quotidiennement des renseignements personnels sensibles — et la majorité n’ont pas réalisé d’évaluation des facteurs relatifs à la vie privée (EFVP) avant de déployer ces outils.
Les faits : défendre sa cause avec Claude
Bradley Heppner est un dirigeant d’entreprise accusé devant le tribunal fédéral de New York de fraude aux valeurs mobilières, de fraude électronique, de faux déclarations aux vérificateurs et de falsification de dossiers corporatifs. Les charges alléguées sont graves : il aurait fraudé les investisseurs de la société cotée GWG Holdings de plus de 150 millions de dollars.
À partir du moment où il a su qu’il était la cible d’une enquête fédérale, et sans que son avocat lui ait suggéré de le faire, Heppner a entrepris de préparer lui-même sa défense. Son outil de travail : Claude, le modèle d’IA générative développé par la société Anthropic. Il a produit une trentaine de documents en consultant Claude sur des questions de stratégie de défense, d’argumentation factuelle et juridique.
Lors d’une perquisition à son domicile au moment de son arrestation, le FBI a saisi ces documents. Heppner a alors invoqué le privilège avocat-client et la doctrine du work product pour en bloquer l’accès au gouvernement. Le juge Rakoff a rejeté les deux arguments sans équivoque.
La décision : trois motifs, zéro exception
Le juge Rakoff reconnaît lui-même qu’il s’agit d’une question de première impression à l’échelle nationale aux États-Unis. Il statue que les échanges entre un utilisateur et une plateforme IA publique ne peuvent bénéficier ni du privilège avocat-client, ni de la protection du travail préparatoire, pour trois raisons distinctes et cumulatives.
1. Absence de relation avocat-client
Claude n’est pas un avocat. Sans relation avocat-client, les échanges sur des questions juridiques entre deux non-avocats ne sont pas protégés. Cette règle fondamentale s’applique à toute plateforme IA, quelle que soit sa sophistication. Le tribunal note que Claude lui-même affirme ne pas être un avocat et ne pas pouvoir offrir de conseils juridiques formels.
2. Absence de confidentialité
La politique de confidentialité d’Anthropic, à laquelle tout utilisateur consent, prévoit explicitement la collecte des intrants et des extrants, leur utilisation pour l’entraînement du modèle, et la possibilité de les divulguer à des tiers, incluant les autorités gouvernementales. Heppner ne pouvait avoir aucune attente raisonnable de confidentialité.
3. Absence de direction par l’avocat
La doctrine du travail préparatoire protège les processus mentaux de l’avocat. Les documents ont été préparés par Heppner de sa propre initiative, sans instruction de son counsel. Un document non privilégié ne devient pas privilégié parce qu’il est ultérieurement partagé avec un avocat.
« AI’s novelty does not mean that its use is not subject to longstanding legal principles, such as those governing the attorney-client privilege and the work product doctrine. »
Juge Jed S. Rakoff, United States v. Heppner, p. 12 (17 février 2026)
Le pivot québécois : ce que la Loi 25 vient confirmer
La Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP), telle que modifiée par la Loi 25 (SQ 2021, c. 25, en vigueur depuis septembre 2023), s’applique de plein droit dès qu’une organisation québécoise utilise un outil tiers pour traiter des renseignements personnels — y compris une plateforme IA.
Tout renseignement qui concerne une personne physique et permet de l’identifier directement ou indirectement. Inclus : nom, courriel, informations professionnelles, données comportementales saisies dans une plateforme IA.
| Constat du jugement Heppner | Disposition LPRPSP (Loi 25) | Implication pratique |
|---|---|---|
| La politique de vie privée de l’IA détruit l’attente de confidentialité | Art. 8 LPRPSP | Toute organisation doit informer ses parties prenantes des finalités de collecte, y compris via des outils IA tiers |
| Anthropic peut divulguer les données à des autorités gouvernementales | Art. 17 LPRPSP | La communication hors Québec exige un niveau de protection équivalent et une EFVP préalable |
| L’utilisateur consent à la collecte en acceptant les conditions d’utilisation | Art. 12–14 LPRPSP | Le consentement doit être manifeste, libre et éclairé. Les CGU longues des IA sont problématiques. |
| Les données servent à entraîner le modèle | Art. 12(3) LPRPSP | Utiliser des données clients pour entraîner un modèle tiers sans consentement explicite constitue une violation potentielle |
| Aucune évaluation de la technologie avant utilisation | Art. 3.3 / EFVP | Tout projet impliquant des renseignements personnels et une technologie tierce doit faire l’objet d’une EFVP avant déploiement |
Le risque CLOUD Act et les transferts hors Québec
Loi fédérale américaine qui autorise les autorités américaines à exiger des entreprises américaines la communication de données stockées sur leurs serveurs, même si ces données concernent des résidents étrangers et sont hébergées hors des États-Unis. S’applique à Anthropic, OpenAI, Google, Microsoft.
Anthropic est une société américaine. OpenAI, Google et Microsoft aussi. Leurs infrastructures sont soumises au droit américain. Lorsque votre organisation confie des renseignements personnels à ces plateformes, elle les expose potentiellement à une ordonnance judiciaire américaine émise dans le cadre d’une enquête criminelle, civile ou réglementaire.
1. Réaliser une EFVP tenant compte des lois en vigueur dans le pays de destination, dont le CLOUD Act, et de la sensibilité des renseignements.
2. S’assurer que le destinataire offre un niveau de protection jugé adéquat — ce qui est difficile à démontrer pour des plateformes soumises au CLOUD Act.
3. Conclure une entente de confidentialité avec le prestataire externe. La Commission d’accès à l’information du Québec (CAI) peut imposer des sanctions atteignant 25 M$ ou 4 % du chiffre d’affaires mondial.
Ce que le jugement Heppner révèle pour les professionnels québécois
Oui, un avocat québécois qui saisit des informations confidentielles sur son client dans une plateforme IA publique risque de violer son obligation de secret professionnel.
Le Code de déontologie des avocats du Québec est sans ambiguïté : l’avocat doit protéger le secret professionnel de manière absolue. Le jugement Heppner démontre que la simple utilisation d’une plateforme IA publique peut suffire à rompre ce secret, puisque l’utilisateur consent contractuellement à la collecte et à la potentielle divulgation de ses saisies.
La même logique s’applique aux notaires, aux comptables professionnels agréés (CPA), aux conseillers en ressources humaines agréés (CRHA) et à tout autre professionnel soumis à une obligation de confidentialité. Saisir le dossier d’un client dans ChatGPT, Claude, Gemini ou tout autre outil commercial grand public revient, du point de vue juridique, à le partager avec un tiers.
Définition — EFVP (Évaluation des facteurs relatifs à la vie privée)
Analyse préalable obligatoire sous la Loi 25 (art. 3.3 LPRPSP) pour tout projet présentant un risque élevé d’atteinte à la vie privée, notamment l’implantation d’un outil IA tiers traitant des renseignements personnels. Doit être réalisée avant le déploiement.
Cinq questions à vous poser dès aujourd’hui
Autoévaluation Loi 25 / IA
- Votre organisation a-t-elle inventorié tous les outils IA utilisés par ses employés, y compris les usages non sanctionnés (shadow AI) ?
- Avez-vous réalisé une EFVP avant d’implanter un outil IA qui traite des renseignements personnels de clients, employés ou tiers ?
- Votre politique de confidentialité divulgue-t-elle l’utilisation d’outils IA tiers et les transferts de données hors Québec qui en découlent ?
- Vos contrats de service avec vos prestataires IA prévoient-ils des clauses conformes à l’article 17 LPRPSP, incluant une analyse du risque CLOUD Act ?
- Vos employés ont-ils reçu une formation sur les risques de confidentialité liés à l’utilisation des outils IA dans leur contexte de travail ?
Une note sur la portée géographique du jugement
Le jugement Heppner est rendu par un tribunal fédéral américain de première instance. Il n’a pas force obligatoire au Québec ni au Canada. Cependant, il est hautement persuasif : il articule des principes fondamentaux sur la confidentialité qui ont des équivalents directs en droit québécois, et les plateformes IA visées opèrent sous les mêmes politiques de confidentialité partout dans le monde.
Point d’attention pour les dirigeants d’entreprise
L’employé qui, de bonne foi, utilise un outil IA pour documenter une stratégie ou analyser un litige peut involontairement exposer des informations confidentielles à des tiers, y compris à des autorités gouvernementales étrangères. Dans un contexte de contentieux commercial, de fusion-acquisition ou d’enquête réglementaire, les conséquences peuvent être irréversibles.
Une politique d’utilisation acceptable des outils IA, assortie d’une EFVP et d’une formation pratique, n’est plus un accessoire : c’est une exigence de gouvernance sous la Loi 25.
Votre organisation a-t-elle évalué ses risques Loi 25 liés à l’intelligence artificielle ?
Questions fréquentes
Mes conversations avec une IA comme ChatGPT ou Claude sont-elles confidentielles au Québec ?
Non. Les échanges avec une plateforme IA publique ne sont pas confidentiels, au Québec comme aux États-Unis. Le jugement Heppner confirme que les politiques de confidentialité d’Anthropic, OpenAI et Google prévoient la collecte de vos saisies et la possibilité de les divulguer à des tiers, incluant des autorités gouvernementales. La Loi 25 impose d’informer les utilisateurs de ces pratiques, mais ne les interdit pas.
La Loi 25 s’applique-t-elle à l’utilisation d’outils IA comme ChatGPT dans une organisation québécoise ?
Oui. Dès qu’une organisation québécoise utilise un outil IA tiers pour traiter des renseignements personnels de clients, employés ou fournisseurs, la LPRPSP (Loi 25) s’applique. L’organisation doit notamment réaliser une EFVP, obtenir le consentement approprié et s’assurer d’un niveau de protection équivalent pour les transferts hors Québec (art. 17 LPRPSP).
Un avocat ou notaire québécois peut-il utiliser une IA pour préparer un dossier client ?
Oui, mais seulement avec des précautions majeures. Saisir des informations confidentielles dans une plateforme IA publique revient à les divulguer à un tiers, ce qui peut violer le secret professionnel. La solution : utiliser des outils IA déployés en environnement privé, avec des ententes contractuelles de confidentialité et une EFVP documentée.
Qu’est-ce qu’une EFVP et quand est-elle obligatoire sous la Loi 25 ?
L’évaluation des facteurs relatifs à la vie privée (EFVP) est une analyse préalable obligatoire sous la Loi 25 (art. 3.3 LPRPSP) pour tout projet présentant un risque élevé d’atteinte à la vie privée. Elle est requise avant de confier le traitement de renseignements personnels à un prestataire tiers, comme une plateforme IA externe. Elle doit être réalisée avant le déploiement, non après incident.
Le CLOUD Act américain peut-il forcer une entreprise IA à divulguer des données de clients québécois ?
Oui, dans certaines conditions. Le CLOUD Act (2018) autorise les autorités américaines à exiger des entreprises américaines — dont Anthropic, OpenAI, Google et Microsoft — la communication de données, même si elles concernent des résidents québécois. La Loi 25 exige une EFVP tenant compte de ce risque (art. 17 LPRPSP), mais ne peut pas faire obstacle à une ordonnance judiciaire américaine valide.
Ce que l’IA ne peut pas faire à votre place
Le juge Rakoff conclut son mémorandum par une formule sobre : la nouveauté de l’IA ne la soustrait pas aux principes juridiques de longue date. C’est une leçon qui vaut pour le droit américain comme pour le droit québécois.
La Loi 25 n’a pas été rédigée en pensant à Claude ou à ChatGPT, mais ses principes fondamentaux — transparence, consentement éclairé, minimisation des données, protection des transferts transfrontaliers — s’appliquent pleinement à ces outils.
La vraie question n’est pas de savoir si votre organisation peut utiliser l’IA. Elle peut, et elle le fait probablement déjà. La question est de savoir si elle le fait avec une gouvernance suffisante pour protéger les renseignements qui lui ont été confiés.
À propos de l’auteur
Sébastien Robert
Sébastien Robert estl’associ. principal dede Factero, cabinet indépendant spécialisé en gouvernance TI, cybersécurité et conformité à la Loi 25 pour les PME, municipalités, OBNL et organismes parapublics du corridor Québec-Ontario. Avec plus de 20 ans d’expérience en audit TI et en sécurité de l’information, il accompagne les organisations dans leurs évaluations de risques et leur conformité à la LPRPSP..
Sources primaires et références
- United States v. Bradley Heppner, 25 Cr. 503 (JSR), Document 27, S.D.N.Y. (17 février 2026)
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c P-39.1, telle que modifiée par la Loi 25 (SQ 2021, c. 25)
- Commission d’accès à l’information du Québec (CAI)
- Code de déontologie des avocats, Barreau du Québec
- Anthropic Privacy Policy (archivée au 19 février 2025)
- ISQ, Adoption et utilisation de l’intelligence artificielle par les entreprises au Québec en 2024 et en 2025, 28 novembre 2025
- KPMG Canada, Indice d’adoption de l’IA générative 2025, février 2026
- U.S. Department of Justice, CLOUD Act Resource Center
AVIS IMPORTANT : Le présent article est rédigé à des fins d’information générale et de sensibilisation uniquement. Il ne constitue pas un avis juridique et ne crée aucune relation avocat-client ou conseiller-client. Chaque situation présente des particularités susceptibles de modifier substantiellement l’analyse applicable. Les informations sont à jour au 31 mars 2026 et pourront évoluer en fonction des développements législatifs, réglementaires ou jurisprudentiels.