ChatGPT en usine : risques, confidentialité des données et Loi 25

Quelqu'un, dans votre usine, a probablement déjà collé un texte dans ChatGPT. Une procédure à reformuler, un tableur à nettoyer, un courriel à traduire. C'est pratique, et c'est souvent fait sans que la direction le sache.

La question de la confidentialité de ChatGPT en entreprise n'est donc pas théorique. Elle se pose dès aujourd'hui, même si vous n'avez jamais « adopté » d'IA. Cet article fait le tour de ce qui est à risque, de ce que la Loi 25 change vraiment pour une PME manufacturière, et de ce qu'il faut mettre en place.

Cet article donne de l'information générale et ne constitue pas un avis juridique. Pour votre situation, consultez un conseiller juridique.

Le vrai risque : l'usage informel, pas l'outil

Sur le terrain, plusieurs dirigeants nous disent la même chose : « Je ne veux pas que nos données sortent. » Beaucoup craignent aussi que l'IA « apprenne sur nos procédés ». Ces craintes sont légitimes. Mais le risque le plus courant est plus simple : des employés qui utilisent un service public, avec un compte personnel, pour aller plus vite.

Une étude de LayerX, une entreprise de sécurité, donne une idée de l'ampleur. Dans son rapport 2025, 45 % des employés observés utilisaient des outils d'IA générative. Parmi eux, 77 % copiaient-collaient des données dans les robots conversationnels, et 82 % de ces copier-coller passaient par des comptes personnels non gérés par l'entreprise (The Register, 2025).

Attention à l'échantillon : ces données viennent de grandes entreprises (1 000 à 100 000 utilisateurs), surtout en finance, en santé et en semi-conducteurs. Ce n'est pas un portrait des PME manufacturières québécoises. Elles montrent seulement que, là où on a mesuré, l'usage non encadré est courant.

Ce qui sort de l'usine quand on colle du texte

Quand on envoie un texte à un service infonuagique public, il quitte votre réseau. Un fournisseur d'IA industrielle, Rémi Duquette (Maya HTT), le résume ainsi lors d'un webinaire d'AI4Manufacturing : avec l'option ChatGPT sur le nuage, on envoie de l'information « hors de son pare-feu » vers une machine qui appartient à un tiers (traduction libre) . À noter : son entreprise vend des solutions qui tournent en local, donc son propos n'est pas neutre.

Il ajoute que les clients veulent garder leur « sauce secrète » chez eux et qu'il subsiste des préoccupations légitimes sur le droit d'auteur et l'apprentissage à partir de la propriété intellectuelle des entreprises .

Deux praticiens posent la question autrement, lors d'un autre webinaire d'AI4Manufacturing. Erin Grant (Impact AI) explique que tout dépend de la destination des données : quittent-elles l'entreprise, traversent-elles une frontière, restent-elles sur un poste ou vont-elles sur Internet, et sont-elles réellement propriétaires (traduction libre) . Bonne grille de départ.

Loi 25 : ce qui s'applique, et ce qui ne s'applique pas

La Loi 25 modernise la protection des renseignements personnels au Québec. Ses règles sont entrées en vigueur par étapes : septembre 2022, septembre 2023, puis le droit à la portabilité le 22 septembre 2024 (CAI).

Ce qui touche une entreprise qui utiliserait de l'IA générative, selon la Commission d'accès à l'information (CAI) :

• Un responsable de la protection des renseignements personnels. Par défaut, c'est la personne qui dirige l'entreprise, et elle peut déléguer par écrit.
• Une évaluation des facteurs relatifs à la vie privée (EFVP) avant de communiquer des renseignements personnels à l'extérieur du Québec, et avant un projet de système d'information qui en touche.
• Le consentement doit être manifeste, libre, éclairé et donné à des fins précises.
• Les décisions automatisées : si une décision repose exclusivement sur un traitement automatisé, la personne doit en être informée.
• Les incidents de confidentialité présentant un risque de préjudice sérieux doivent être signalés à la CAI et aux personnes concernées.
• Les sanctions administratives pécuniaires peuvent atteindre 10 M$ ou 2 % du chiffre d'affaires mondial.

En décembre 2023, les autorités canadiennes de protection de la vie privée, dont la CAI, ont aussi publié des principes pour l'IA générative. Ils portent sur la base légale et le consentement, la transparence, des outils compréhensibles, des mesures de protection, et la limitation du partage de renseignements personnels, sensibles ou confidentiels. Le message : l'organisation reste responsable de la conformité de ses usages (CAI, 2023).

Vos données de production sont-elles des renseignements personnels ?

En général, non. Un renseignement personnel concerne une personne physique et permet de l'identifier. Un réglage de machine, une recette, une gamme de fabrication ou un rapport de qualité, pris seuls, n'en sont pas.

Mais méfiez-vous des documents qui en contiennent en douce : feuilles de quart avec noms d'opérateurs, évaluations, rapports d'incident nominatifs, courriels, coordonnées de contacts chez vos clients.

Et ce n'est pas parce qu'une donnée n'est pas personnelle qu'elle est sans importance. Vos procédés, vos paramètres et vos spécifications clients sont de la propriété intellectuelle et de l'information confidentielle, souvent protégées par des ententes de confidentialité. Le risque change de nature, il ne disparaît pas.

Risque n° 2 : la réponse convaincante, mais fausse

La confidentialité n'est pas le seul enjeu. Un modèle de langage est, selon M. Duquette, « un modèle de langage, pas un modèle de vérité » : il répond de façon très convaincante, même quand il se trompe (traduction libre) . En usine, une mauvaise valeur de réglage ou une mauvaise marche à suivre a un coût réel.

La parade la plus simple : exiger que chaque réponse indique sa source, document et page, pour que l'opérateur puisse vérifier. Et que l'outil dise « je ne sais pas » plutôt que d'inventer.

Liste de vérification avant d'utiliser l'IA générative en usine

1. Une politique d'usage d'une page. Quels outils sont permis, pour quels usages, avec quels comptes. Interdire sans alternative pousse l'usage dans l'ombre.
2. Ce qu'on ne colle jamais. Recettes et paramètres critiques, plans, prix et conditions clients, documents sous entente de confidentialité, noms et dossiers d'employés, courriels de tiers.
3. Le lieu d'hébergement et de traitement. Où sont les données, dans quel pays, sous quel contrat? Si des renseignements personnels sont en jeu, c'est le moment de l'EFVP.
4. Aucun entraînement sur vos données. Exigez-le par écrit, dans le contrat ou les conditions du fournisseur, et vérifiez que cela vaut aussi pour les comptes gratuits.
5. Des réponses sourcées. Document, page, possibilité de vérifier. Sans source, pas de confiance.
6. La réversibilité. Vos documents et l'outil bâti dessus vous appartiennent-ils? Pouvez-vous partir, ou changer de modèle, sans tout refaire? Que se passe-t-il si le fournisseur est indisponible?

Un dernier réflexe utile : nommer une personne responsable, même à temps partiel. Sans propriétaire, la politique reste dans un tiroir.

Que faire concrètement cette semaine

Ne cherchez pas d'abord un outil. Faites un tour d'horizon honnête : qui utilise quoi, avec quels documents? Puis mettez la politique d'une page en place, et proposez une option encadrée pour les besoins réels, comme retrouver une procédure ou dépanner une machine à 2 h du matin. C'est souvent ce besoin, chercher de l'information, qui pousse les gens vers ChatGPT.

Pour des exemples de cas où le savoir de l'usine est mis au poste de façon encadrée, voyez les cas d'usage, notamment les instructions de travail à jour et le transfert du savoir avant les départs à la retraite.

Questions fréquentes

Est-ce que la Loi 25 interdit d'utiliser ChatGPT au travail?

Non, elle n'interdit pas un outil. Elle encadre le traitement des renseignements personnels, par exemple l'EFVP avant une communication à l'extérieur du Québec. Si vous ne collez aucun renseignement personnel, la loi est moins en cause, mais la confidentialité de vos procédés demeure un enjeu. Pour votre cas, consultez un conseiller juridique.

Mes procédures et mes données de production sont-elles protégées par la Loi 25?

En général, non : la Loi 25 vise les renseignements personnels, pas les procédés. Leur protection passe par vos ententes de confidentialité, vos contrats et votre politique interne. Attention aux documents qui mêlent procédés et noms de personnes.

Faut-il héberger l'IA sur nos propres serveurs?

Pas nécessairement. Ce qui compte : où les données sont traitées, qui y a accès, et l'engagement écrit de ne pas les utiliser pour entraîner des modèles. Beaucoup de PME n'ont pas le matériel pour un modèle local. Voyez aussi la FAQ de notre page Services.

Et chez Manufacturia

Nous construisons des assistants qui donnent au poste, sur mobile ou tablette, les réponses tirées de vos propres procédures et de l'expérience de vos experts, avec la source de chaque réponse. L'hébergement et le traitement se font sur Google Cloud, région de Montréal, et vos données ne servent pas à entraîner des modèles tiers. Si vous voulez en discuter, vous pouvez réserver 15 minutes avec nous.