IA en clinique : Loi 25, renseignements de santé et agent IA

Réponse courte

Oui, une clinique peut confier l’accueil, les rendez-vous et les rappels à un agent IA. Mais si des médecins, des dentistes ou d’autres professionnels y exercent à leur compte, les renseignements des patients relèvent depuis le 1er juillet 2024 de la Loi sur les renseignements de santé et de services sociaux (LRSSS), et non plus seulement de la Loi 25. Concrètement, il faut quatre choses avant de brancher l’outil : une évaluation des facteurs relatifs à la vie privée, un contrat écrit avec le fournisseur qui contient les clauses exigées par l’article 77, l’inscription de l’outil au registre public de vos produits technologiques et une règle claire : aucune information clinique dans un outil qui n’est pas fait pour ça. Pour les scribes IA qui transcrivent les consultations, le Collège des médecins demande en plus un outil certifié par Santé Québec et rappelle que le consentement explicite du patient est obligatoire. Ce guide résume ces règles à partir des textes de loi et des publications officielles. Ce n’est pas un avis juridique.

La réponse courte : quelle loi s’applique à votre clinique

La Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25, ne s’applique pas aux renseignements de santé et de services sociaux détenus par un organisme du secteur de la santé et des services sociaux (article 3). Ces renseignements relèvent de la LRSSS, entrée en vigueur le 1er juillet 2024. Or, l’annexe II de la LRSSS range parmi ces organismes toute personne ou tout groupement qui exploite un cabinet privé de professionnel.

La Loi sur la gouvernance du système de santé et de services sociaux définit le cabinet privé de professionnel comme l’entreprise au sein de laquelle un ou plusieurs médecins, dentistes ou autres professionnels pratiquent habituellement leur profession à titre privé et à leur seul compte, sans offrir d’hébergement ni de traitements médicaux spécialisés (article 481). La loi ne dresse pas la liste des « autres professionnels » : faites confirmer votre situation par votre ordre ou votre conseiller juridique.

Votre situation	Loi principale pour les renseignements des patients	À retenir
Clinique où des médecins, dentistes ou autres professionnels exercent à leur compte	LRSSS (RLRQ, c. R-22.1)	La Loi 25 continue de s’appliquer aux renseignements qui ne sont pas des renseignements de santé, selon la Commission d’accès à l’information.
Centre médical spécialisé, laboratoire, résidence privée pour aînés et autres organismes de l’annexe II	LRSSS	Même logique ; la liste complète est à l’annexe II de la loi.
Entreprise qui n’est pas un organisme visé par la LRSSS	Loi sur le privé (Loi 25)	Un renseignement de nature médicale y est un renseignement sensible : son utilisation à une autre fin exige un consentement exprès, sauf exceptions prévues (article 12).
Visiteurs du site, témoins, infolettre	Loi sur le privé (Loi 25)	Voir notre guide sur la Loi 25 et le site Web.
Tout professionnel membre d’un ordre	Code des professions, en plus de la loi applicable	Le secret professionnel s’applique à tout renseignement confidentiel reçu dans l’exercice de la profession (article 60.4).

Résumé de ZeniTech à partir de LégisQuébec (R-22.1, art. 2, 4 et annexe II ; P-39.1, art. 3 et 12 ; G-1.021, art. 481 ; C-26, art. 60.4) et de la page « Champ d’application de la Loi » de la Commission d’accès à l’information, consultés le 2 octobre 2026. Ce n’est pas un avis juridique.

Le nom et le téléphone d’un patient sont-ils des renseignements de santé ?

Souvent, oui. Selon l’article 2 de la LRSSS, un renseignement qui permet d’identifier une personne, comme son nom, sa date de naissance, ses coordonnées ou son numéro d’assurance maladie, devient un renseignement de santé et de services sociaux lorsqu’il est accolé à un renseignement de santé ou qu’il est recueilli en vue de la prise en charge de la personne par un organisme du secteur.

Pour un agent IA d’accueil, ça veut dire que la conversation d’un patient qui prend rendez-vous, avec son nom, son numéro et le motif de sa visite, est un renseignement de santé dès qu’elle arrive dans les outils de la clinique. Le fait de confier la conservation à un fournisseur n’y change rien : l’article 5 précise que le renseignement est considéré comme détenu par l’organisme même lorsqu’il en confie la conservation à un tiers.

Ce qu’un agent IA peut faire en clinique, et ce qu’il vaut mieux lui interdire

Tâche	Sensibilité	Précaution
Heures, stationnement, documents à apporter, modes de paiement	Faible	Réponses tirées de vos documents ; aucune donnée sur le patient n’est nécessaire.
Prise, confirmation et rappel de rendez-vous	Moyenne	Recueillir seulement ce qui sert au rendez-vous (article 13 : seulement les renseignements nécessaires).
Motif de la visite, symptômes, urgence	Élevée	Une question fermée et courte ; un protocole d’urgence écrit par la clinique ; jamais d’évaluation par l’agent.
Avis médical, diagnostic, triage clinique	À exclure	Réservé aux professionnels. Un agent d’accueil passe le relais.
Notes de consultation, transcription d’une rencontre	Très élevée	Seulement avec un scribe IA certifié, une EFVP et le consentement explicite du patient (voir plus bas).
Infolettre, promotions, prospection à partir de la liste de patients	Élevée	Ne réutilisez pas les renseignements des patients à d’autres fins sans valider la base légale avec votre conseiller ; le consentement doit être donné pour chaque fin (article 6).

Grille de ZeniTech pour illustrer les articles cités, pas une classification officielle.

Les obligations de la LRSSS qui touchent un outil d’IA

Obligation	Ce que ça donne concrètement	Article
Confidentialité	Tout renseignement est confidentiel ; quand c’est possible, l’utiliser sous une forme qui ne permet pas d’identifier directement la personne.	5
Consentement	Manifeste, libre, éclairé, donné à des fins précises, demandé pour chacune des fins, en termes simples et clairs.	6
Collecte minimale	Seulement les renseignements nécessaires à la mission ou aux activités de la clinique.	13
Contrat avec le fournisseur	Contrat écrit qui contient, sous peine de nullité, les clauses de l’article 77 (détail dans la section suivante).	77
Fournisseur hors du Québec	EFVP avant de conclure le contrat ; le contrat n’est permis que si elle démontre une protection adéquate.	78
Projet technologique	EFVP de tout projet d’acquisition, de développement ou de refonte d’un produit ou service technologique qui touche ces renseignements.	106
Confidentialité par défaut	Si l’outil offert aux patients a des paramètres de confidentialité, le réglage par défaut doit être le plus protecteur.	104
Registre des produits technologiques	Inscrire l’outil au registre de tous les produits ou services technologiques utilisés, publié sur le site de la clinique.	107
Responsable et politique de gouvernance	Titre et coordonnées du responsable publiés ; politique de gouvernance publiée, avec journalisation, mesures de sécurité et calendrier de mise à jour des outils.	102 et 105
Décision automatisée	Si une décision est fondée exclusivement sur un traitement automatisé, en informer la personne et lui permettre de présenter ses observations.	65
Incidents de confidentialité	Mesures pour réduire le risque ; avis au ministre, à la Commission et aux personnes touchées si le risque de préjudice est sérieux ; registre des incidents.	108 et 110
Conservation	Pas au-delà de la durée nécessaire, sous réserve des règlements et du Code des professions ; puis destruction ou anonymisation.	16 et 111

Résumé de ZeniTech à partir du texte de la LRSSS publié sur LégisQuébec, consulté le 2 octobre 2026. Ce n’est pas un avis juridique.

Ce que le contrat avec le fournisseur d’IA doit contenir

L’article 77 permet à une clinique de communiquer des renseignements à un fournisseur (mandataire ou contrat de service autre qu’un service de santé) lorsque c’est nécessaire au contrat. Le contrat doit être écrit et, lorsque le fournisseur n’est pas lui-même un organisme du secteur, prévoir sous peine de nullité :

Les dispositions de la LRSSS qui s’appliquent aux renseignements communiqués.
Les mesures de confidentialité et de protection, conformes aux règles de gouvernance prévues par règlement, et l’usage limité au contrat.
Un engagement de confidentialité signé par chaque personne du fournisseur qui peut accéder aux renseignements, transmis à la clinique avant toute communication.
L’utilisation exclusive de produits ou services technologiques autorisés par la clinique quand le travail se fait à distance.
L’avis sans retard au responsable de la clinique de toute violation ou tentative de violation.
Le droit pour la clinique de faire toute vérification ou enquête.
La remise sans frais, sur demande, de tout renseignement obtenu ou produit dans le cadre du contrat.
La destruction sécuritaire des renseignements à la fin du contrat, sans en conserver.
Un avis à la clinique si le fournisseur fait appel à un sous-traitant, qui est soumis aux mêmes obligations.

À ajouter de votre côté, même si l’article 77 ne le nomme pas : vérifier dans les conditions du fournisseur si les conversations servent à entraîner des modèles, et l’interdire par écrit.

Scribes IA et transcription des consultations : des règles plus strictes

Un agent d’accueil et un scribe IA ne posent pas le même risque. Le scribe enregistre la rencontre entre le professionnel et le patient et rédige la note au dossier. Québec.ca indique que chaque outil de transcription basé sur l’IA requiert obligatoirement deux éléments avant d’être utilisé : la certification de la trousse globale de vérification (TGV), faite par le fournisseur, et une EFVP, faite par l’organisation qui l’acquiert.

Le Collège des médecins du Québec demande, dans sa publication du 14 janvier 2026, que tout médecin qui utilise un scribe IA choisisse un outil certifié par le Bureau de certification de Santé Québec. Il précise que l’EFVP réalisée par Santé Québec ne vaut que pour ses établissements : un médecin qui exerce hors établissement, par exemple dans un GMF, doit s’assurer qu’une EFVP a été faite pour son milieu. Le Collège rappelle aussi que le consentement explicite du patient est obligatoire avant l’utilisation d’un scribe IA, et qu’une simple affiche dans la salle d’attente est jugée insuffisante.

Québec.ca rappelle enfin que le professionnel demeure entièrement responsable du contenu du dossier et doit toujours valider les textes générés. Les autres ordres professionnels publient leurs propres balises : consultez celles de votre ordre avant d’adopter un outil.

Sources : Québec.ca, « Projets de transcription par intelligence artificielle » ; Collège des médecins du Québec, « Scribe et intelligence artificielle » ; ministère de la Santé et des Services sociaux, « Certification des produits et services technologiques ». Consultés le 2 octobre 2026.

Combien ça coûte

Le coût de conformité dépend surtout du temps passé à l’inventaire, à l’EFVP et à la révision du contrat. Les outils de la Commission pour faire une EFVP sont gratuits ; l’avis juridique, lui, dépend de votre conseiller.

Poste	Prix	À savoir
Guide et modèle d’EFVP de la Commission d’accès à l’information	0 $	Le coût réel est le temps de votre équipe et de votre responsable
Licences de scribe IA du programme d’Inforoute Santé du Canada	0 $ pendant au plus 12 mois	Selon Québec.ca : environ 2 000 licences prévues au Québec en première ligne ; elles expirent au plus tard le 31 décembre 2026
Avis juridique sur le contrat et l’EFVP	Variable	Honoraires du conseiller juridique de votre choix

Prix de ZeniTech relevés sur zenitech.dev/agents-ia/luna et zenitech.dev/tarifs le 2 octobre 2026, en dollars canadiens, avant TPS et TVQ. Programme d’Inforoute Santé du Canada selon Québec.ca, consulté le 2 octobre 2026.

Les étapes, dans l’ordre

1. Confirmer quelle loi s’applique à votre clinique (LRSSS ou Loi sur le privé) avec votre conseiller ou votre ordre.
2. Désigner le responsable de la protection des renseignements et vérifier que son titre et ses coordonnées sont publiés.
3. Écrire ce que l’agent fera et ne fera pas : rendez-vous, rappels, questions courantes ; jamais d’avis clinique.
4. Lister les renseignements que l’agent recueillera et retirer tout ce qui n’est pas nécessaire.
5. Faire l’EFVP du projet, en tenant compte de chaque fournisseur et du pays où il traite les données.
6. Signer un contrat écrit qui contient les clauses de l’article 77 et, si le fournisseur est hors du Québec, qui tient compte des résultats de l’EFVP.
7. Configurer l’agent : message d’accueil qui dit que c’est un assistant automatisé, protocole d’urgence, transfert vers la réception, durée de conservation des conversations.
8. Inscrire l’outil au registre public des produits technologiques et mettre à jour la politique de gouvernance.
9. Former l’équipe : qui lit les conversations, comment corriger, comment déclarer un incident.
10. Revoir le tout à chaque nouvelle fonction de l’agent, et au moins une fois par année.

Les pièges les plus fréquents

Croire que la Loi 25 suffit, alors que la clinique relève de la LRSSS pour les renseignements des patients.
Un agent qui pose des questions médicales détaillées « pour aider la réception ».
Un outil d’IA grand public utilisé par le personnel pour résumer des dossiers, sans contrat ni EFVP.
Un contrat de fournisseur standard, sans les clauses de l’article 77, qui peut être frappé de nullité.
Un scribe IA non certifié, ou un consentement « par affiche » dans la salle d’attente.
Des conversations conservées sans limite chez le fournisseur.
Réutiliser la liste de patients pour des promotions sans base légale validée.
Oublier d’inscrire l’outil au registre public des produits technologiques.

Les sanctions

La LRSSS prévoit des amendes de 5 000 $ à 100 000 $ pour une personne physique et de 15 000 $ à 150 000 $ dans les autres cas, notamment pour communiquer un renseignement qui ne peut pas l’être ou pour ne pas respecter une condition d’utilisation prévue par une entente conclue en application de l’article 77 (article 160). Omettre de déclarer un incident de confidentialité est passible d’une amende de 1 000 $ à 10 000 $ pour une personne physique et de 3 000 $ à 30 000 $ dans les autres cas (article 159). Les montants doublent pour une première récidive et triplent ensuite (article 161).

À ces amendes s’ajoute le risque disciplinaire : le secret professionnel relève du Code des professions et du code de déontologie de votre ordre.

Information générale, pas un avis juridique.

Ce que ZeniTech peut faire

Luna est l’agent IA de ZeniTech pour les dentistes et les cliniques. Selon sa page, elle répond au téléphone et aux textos, prend et confirme les rendez-vous, gère la liste d’attente et les rappels, et répond aux questions courantes. Ses garde-fous publiés : elle ne donne jamais d’avis médical ni de diagnostic, une urgence suit le protocole de la clinique et un danger est dirigé vers le 911, elle répond à partir de vos documents et de vos règles, et toutes les conversations sont consultables. La page indique aussi que vos données ne servent à entraîner aucun modèle tiers.

Luna est un agent d’accueil, pas un scribe médical. ZeniTech n’est pas un cabinet juridique : l’EFVP et le contrat se valident avec votre conseiller juridique. Avant de signer avec tout fournisseur, ZeniTech compris, demandez par écrit comment il répond à chacune des clauses de l’article 77.

Questions fréquentes

Est-ce qu’une clinique peut utiliser un agent IA sans enfreindre la Loi 25 ?

Oui, à condition de respecter la bonne loi. Pour une clinique où des médecins, des dentistes ou d’autres professionnels exercent à leur compte, les renseignements des patients relèvent de la Loi sur les renseignements de santé et de services sociaux depuis le 1er juillet 2024. Il faut notamment une évaluation des facteurs relatifs à la vie privée, un contrat écrit avec le fournisseur qui contient les clauses de l’article 77 et l’inscription de l’outil au registre public des produits technologiques.

Ma clinique dentaire est-elle soumise à la Loi 25 ou à la loi sur les renseignements de santé ?

Une clinique dentaire où des dentistes exercent à leur compte correspond à la définition du cabinet privé de professionnel, que l’annexe II de la LRSSS range parmi les organismes du secteur de la santé. Les renseignements de santé des patients relèvent alors de la LRSSS. La Loi sur le privé (Loi 25) continue de s’appliquer aux autres renseignements personnels, comme ceux des visiteurs du site Web. Faites confirmer votre cas par votre conseiller.

Est-ce qu’une réceptionniste IA peut prendre les rendez-vous des patients ?

Oui. La prise de rendez-vous est l’usage le moins risqué, pourvu que l’agent ne recueille que ce qui est nécessaire, qu’il ne donne aucun avis médical, qu’il suive un protocole d’urgence écrit par la clinique et que le fournisseur soit lié par un contrat conforme à l’article 77 de la LRSSS.

Est-ce que je peux utiliser ChatGPT pour résumer le dossier d’un patient ?

C’est à éviter avec un compte grand public. Le dossier contient des renseignements de santé confidentiels : l’outil doit faire l’objet d’une évaluation des facteurs relatifs à la vie privée et d’un contrat conforme, et le secret professionnel s’applique. Pour la transcription et les notes cliniques, le Collège des médecins demande un scribe IA certifié par Santé Québec et le consentement explicite du patient.

Faut-il le consentement du patient pour utiliser un scribe IA ?

Oui. Le Collège des médecins du Québec rappelle que le consentement explicite du patient est obligatoire avant l’utilisation d’un scribe IA, après une discussion sur les objectifs, les bénéfices, les risques et les limites de l’outil. Une affiche dans la salle d’attente est jugée insuffisante.

Qu’est-ce que la certification TGV de Santé Québec ?

C’est la certification de la trousse globale de vérification, faite par le fournisseur pour son produit. Selon Québec.ca, chaque outil de transcription basé sur l’IA en a besoin, en plus d’une EFVP faite par l’organisation qui l’achète. Le ministère de la Santé et des Services sociaux publie la liste des applications certifiées.

Les données de mes patients peuvent-elles être traitées à l’extérieur du Québec ?

La LRSSS le permet seulement après une évaluation des facteurs relatifs à la vie privée qui démontre que les renseignements bénéficieraient d’une protection adéquate, et le contrat doit tenir compte des résultats de cette évaluation (article 78). Demandez à chaque fournisseur, par écrit, dans quels pays il traite et conserve les données.

Combien coûte un agent IA conforme pour une clinique ?

Chez ZeniTech, l’agent Luna se facture en deux parties : une implantation, puis un forfait mensuel avec une utilisation raisonnable incluse, selon la grille publiée sur zenitech.dev/tarifs. Il faut ajouter le temps de l’EFVP (les outils de la Commission d’accès à l’information sont gratuits) et, au besoin, les honoraires de votre conseiller juridique pour le contrat.

On chiffre votre projet en 30 minutes.

On regarde ce que le projet doit produire, on vous dit ce que ça coûte, et on vous dit aussi quand vous n'en avez pas besoin.

Demander une présentation →581-748-7017

Sources

Fourchettes de marché compilées le 2 octobre 2026. Elles ne constituent pas une soumission ZeniTech.

IA en clinique : Loi 25 et renseignements de santé