Emplois en gouvernance de l'IA et en protection des renseignements personnels au Québec

Quels emplois en gouvernance et en conformité trouve-t-on au Québec?

Le Québec a créé une obligation qui crée des postes. Chaque entreprise doit avoir un responsable de la protection des renseignements personnels. Son titre et ses coordonnées doivent être publiés sur son site Internet. Ce n'est pas une bonne pratique: c'est l'article 3.1 de la Loi sur la protection des renseignements personnels dans le secteur privé.

La conséquence pour une carrière est directe. Le rôle existe par défaut chez la personne ayant la plus haute autorité dans l'entreprise. Celle-ci peut le déléguer par écrit, en tout ou en partie. Des milliers d'entreprises québécoises ont donc une fonction à confier, et peu de gens formés pour la prendre.

La Loi 25, dans l'ordre où elle est entrée en vigueur

Ce que les employeurs appellent la Loi 25 est la loi qui a modifié la loi sur le privé. Elle est arrivée en trois temps. Un candidat qui connaît les trois dates se distingue tout de suite.

• Commission d'accès à l'information, premières obligations: 22 septembre 2022, la fonction de responsable et la déclaration des incidents de confidentialité présentant un risque de préjudice sérieux.
• Commission d'accès à l'information, deuxième étape: septembre 2023, l'évaluation des facteurs relatifs à la vie privée, soit l'EFVP, et la transparence sur les décisions automatisées.
• Commission d'accès à l'information, dernière étape: 22 septembre 2024, le droit à la portabilité. Sur demande, un renseignement personnel informatisé recueilli auprès de la personne doit lui être communiqué dans un format technologique structuré et couramment utilisé.

L'EFVP est la tâche qui crée le poste

L'article 3.3 oblige l'entreprise à procéder à une évaluation des facteurs relatifs à la vie privée, soit une EFVP. Elle est exigée pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou d'une prestation électronique de services qui touche des renseignements personnels. Le texte ajoute une précision que beaucoup d'entreprises lisent trop tard: le responsable doit être consulté dès le début du projet.

Un responsable consulté dès le début siège aux réunions de conception. Il n'arrive pas à la fin du processus d'achat. C'est pourquoi les affichages québécois demandent de plus en plus une personne capable de lire une architecture technique et de parler aux équipes de produit. Le profil purement juridique ne suffit plus. L'article 3.4 permet d'ailleurs au responsable de suggérer des mesures de protection à toute étape du projet.

Les décisions automatisées: ce que le Québec exige vraiment

Le Québec a légiféré sur l'intelligence artificielle sans la nommer. La loi vise la décision fondée exclusivement sur un traitement automatisé de renseignements personnels. L'entreprise doit alors en informer la personne, au plus tard au moment où elle lui communique la décision. Sur demande, elle doit aussi lui indiquer trois choses:

1. les renseignements personnels utilisés pour rendre la décision;
2. les raisons, ainsi que les principaux facteurs et paramètres, ayant mené à la décision;
3. son droit de faire rectifier les renseignements personnels utilisés.

Le deuxième point est la partie difficile. C'est aussi là que le travail se trouve. Expliquer les principaux facteurs et paramètres d'un modèle suppose une documentation que peu d'équipes produisent d'avance. Un recrutement, une décision de crédit ou une tarification automatisée tombe dans cette obligation.

Les deux montants, et pourquoi on les confond

La plupart des guides commerciaux donnent un seul chiffre. C'est pour cela qu'ils se contredisent. La loi en prévoit deux, pour deux voies différentes.

• Loi sur le secteur privé, sanction administrative pécuniaire imposée par la Commission elle-même: jusqu'à 10 000 000 $ ou 2 % du chiffre d'affaires mondial de l'exercice précédent, selon le montant le plus élevé.
• Loi sur le secteur privé, article 91, amende pénale par poursuite: de 5 000 $ à 100 000 $ pour une personne physique. Dans les autres cas, de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé.

Les deux chiffres sont exacts. Ils ne décrivent pas la même chose. Un candidat qui fait cette distinction en entrevue démontre qu'il a lu la loi et non un billet de blogue.

Les titres d'affichage à surveiller

Au Québec, le même poste s'affiche sous plusieurs noms. Il vaut la peine de chercher les trois familles.

• Protection des renseignements personnels: responsable de la protection des renseignements personnels, conseiller ou conseillère en protection des renseignements personnels, analyste en confidentialité. L'équivalent anglais sur le même marché est souvent privacy officer ou privacy analyst.
• Gouvernance, risque et conformité: conseiller en conformité, analyste en gestion des risques, auditeur interne, chef de la conformité.
• Sécurité de l'information: analyste en sécurité de l'information, architecte sécurité, et les postes qui réunissent sécurité et conformité dans la même description.

Dans le secteur sans but lucratif, l'employeur est un organisme à but non lucratif, soit un OBNL. Le poste de direction s'appelle une direction générale. Ce vocabulaire compte dans une recherche: un affichage québécois dit rarement « association » ou « directeur exécutif ». Le guide des emplois de direction en OBNL à Montréal, publié par ExecSearches, couvre ce côté du marché.

Pourquoi Montréal et non seulement le Québec

Montréal réunit deux choses rarement présentes dans la même ville. Une concentration de recherche en apprentissage automatique qui attire des équipes de produit. Et une loi qui s'applique à ces équipes comme aux banques. Une entreprise qui construit un modèle à Montréal et le met en service au Québec doit répondre de l'article sur les décisions automatisées.

S'ajoute une réalité que les candidats de l'extérieur sous-estiment. Le travail se fait en français. La documentation de conformité se rédige en français. Un responsable qui ne peut pas écrire une politique en français ne peut pas occuper le poste, peu importe ses certifications.

Se préparer à une entrevue québécoise

Trois choses se vérifient avant une entrevue, et elles sont toutes publiques.

1. Article 3.1: le site de l'entreprise nomme-t-il son responsable de la protection des renseignements personnels? La loi l'exige. S'il est absent, vous savez où en est le dossier.
2. La politique de confidentialité mentionne-t-elle les décisions automatisées et la portabilité? Si non, le travail de mise à niveau est devant vous. C'est un argument pour le poste.
3. Articles 3.3 et 17: l'entreprise communique-t-elle des renseignements à l'extérieur du Québec? Depuis septembre 2023, cela exige une EFVP et une entente écrite.

Ces trois questions, posées dans cet ordre, montrent que vous comprenez la séquence de la loi. Pour les postes hors Québec, ExecSearches couvre la direction d'organismes sans but lucratif en Amérique du Nord.