Présélectionner des candidats sous la Loi 25 : ce qu’il faut régler avant d’activer l’IA

La Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25, s’applique à toute entreprise qui recueille des renseignements personnels sur des personnes au Québec. Si vous recrutez pour des postes au Québec, ou recevez des candidatures de résidents du Québec, elle s’applique à votre embauche. Un logiciel qui lit des CV, pose des questions de présélection ou note des entrevues la touche à cinq endroits.

1. Sachez si une décision est prise par un logiciel seul

Lorsqu’une décision concernant une personne est fondée exclusivement sur un traitement automatisé de ses renseignements personnels, la loi vous oblige à l’en informer et, si elle le demande, à lui expliquer les renseignements et les raisons qui ont mené à la décision, et à lui permettre de la faire réviser.

La façon la plus simple de ne pas être visé est de s’assurer qu’aucune décision n’est prise par un logiciel seul. Un outil peut trier les candidatures ou suggérer une note ; une personne examine la candidature et consigne son propre motif pour la faire avancer ou la refuser. Demandez à votre fournisseur si le produit permet de refuser une candidature sans intervention humaine, et ce qu’il consigne quand une personne décide.

2. Évaluez avant que les renseignements quittent le Québec

Avant de communiquer des renseignements personnels à l’extérieur du Québec, la loi exige une évaluation des facteurs relatifs à la vie privée : la sensibilité des renseignements, la finalité de leur communication, les mesures de protection et le cadre juridique de l’endroit où ils vont. La protection doit être encadrée par une entente écrite.

« À l’extérieur du Québec » comprend les autres provinces. Une plateforme de recrutement hébergée à Toronto, un modèle d’IA exécuté aux États-Unis et un service de courriel dans un autre pays sont autant de communications à évaluer. Demandez à votre fournisseur où chaque type de renseignement est conservé et traité.

3. Évaluez les nouveaux systèmes avant de les adopter

Une évaluation des facteurs relatifs à la vie privée est exigée pour tout projet d’acquisition, de développement ou de refonte d’un système d’information qui traite des renseignements personnels. L’achat d’un logiciel de recrutement en est un. L’évaluation n’a pas à être longue, mais elle doit être faite avant l’utilisation du système, et tenue à jour lorsqu’il change.

4. Vérifiez les paramètres par défaut

Les fonctions qui permettent d’identifier, de localiser ou de profiler une personne doivent être désactivées par défaut, et les personnes doivent en être informées. Les produits doivent offrir par défaut le plus haut niveau de confidentialité.

En recrutement, le profilage peut comprendre la réutilisation du profil d’une personne pour d’autres postes, la comparaison des candidatures entre elles ou le jumelage d’une banque de talents avec de nouveaux postes. Demandez à votre fournisseur quelles fonctions font du profilage, comment elles sont configurées au départ et qui peut les activer.

5. Publiez en français

Les offres d’emploi visant du travail au Québec doivent être publiées en français. Une version dans une autre langue peut être publiée en même temps, mais pas avant. Exiger la connaissance d’une autre langue que le français n’est permis que si les fonctions le requièrent, et seulement après que l’employeur a pris les moyens raisonnables pour l’éviter. Depuis le 1er juin 2025, les entreprises de 25 employés ou plus au Québec ont aussi des obligations de francisation.

Un dernier point : désignez votre personne responsable

Chaque entreprise a une personne responsable de la protection des renseignements personnels. Par défaut, c’est la personne ayant la plus haute autorité dans l’entreprise, à moins que la fonction soit déléguée par écrit. Les personnes candidates doivent savoir comment la joindre.

Notre approche

TalentInitiator consigne le motif d’une personne pour chaque décision, garde les fonctions de profilage désactivées par défaut en mode Québec, exige une évaluation des transferts avant d’activer le service d’IA en direct pour une organisation québécoise et publie les offres en français et en anglais en même temps. Les détails se trouvent dans notre explication sur la Loi 25.