La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels), administrée par la Commission d'accès à l'information (CAI), impose aux cliniques médicales des obligations de transparence, de consentement explicite et de sécurité lorsqu'un outil d'IA traite des renseignements personnels de santé.
Nuance clinique
La Loi 25 est une loi québécoise — pas toutes les obligations HIPAA/PHIPA américaines s’y appliquent directement, et vice-versa. Un fournisseur conforme à HIPAA n’est pas automatiquement conforme à la Loi 25. La responsabilité incombe au professionnel (ou à la clinique) qui utilise l’outil, pas uniquement au fournisseur. Cette position est personnelle et éducative — pour un avis juridique formel, consulter un avocat spécialisé en droit de la santé québécois.
Points pratiques
- Demander au fournisseur : où les données audio et texte sont stockées (serveurs canadiens vs américains) ?
- Vérifier la politique de rétention : combien de temps les données sont conservées ? Pour quelle finalité ?
- Obtenir une entente de confidentialité formelle avec le fournisseur — pas seulement des termes généraux.
- Consentement patient : dans certains contextes, informer le patient de l’utilisation d’un outil de transcription IA est une obligation ou une bonne pratique.
- Documentation interne : garder une trace du processus de sélection et des mesures de sécurité — utile si questionnée par le CMQ ou un patient.
- Consulter le CMQ : l’Ordre a commencé à produire des orientations sur l’IA en pratique clinique.