L'IA en cabinet fiscal : ce que le Barreau, l'Ordre des CPA et la Loi 25 exigent.
Ce que les textes permettent, ce qu'ils interdisent, et quel outil choisir selon les données du dossier. Chaque affirmation renvoie à sa source officielle.
Par Gaëtan Hugot, associé président · Références vérifiées en août 2026
Vous avez le droit d'utiliser l'IA. À cinq conditions.
Aucun des trois cadres n'interdit l'intelligence artificielle. Le Barreau du Québec publie un guide d'utilisation responsable, l'Ordre des CPA documente les bonnes pratiques, la Loi 25 encadre les renseignements personnels. Aucun ordre ne certifie un outil, aucun n'en interdit l'usage.
Une seule interdiction ressort des textes : confier des informations couvertes par le secret professionnel à un outil grand public. Le reste tient en cinq conditions.
- Un outil professionnel, jamais grand public, dès que des données de clients sont en jeu.
- Une évaluation des facteurs relatifs à la vie privée (EFVP) avant d'adopter l'outil.
- Le client informé, les données masquées avant tout envoi.
- Chaque sortie validée par un professionnel, et la validation documentée au dossier.
- L'équipe formée. Obligation au Barreau depuis avril 2026.
Les trois cadres se cumulent. Être en règle avec son ordre n'exempte pas de la Loi 25, et l'inverse non plus.
Trois questions avant de coller quoi que ce soit dans un outil d'IA.
Quel outil ?
ChatGPT, Claude ou Gemini en compte personnel, même payant (Plus, Pro, Max), peuvent conserver vos requêtes et s'en servir pour entraîner leurs modèles : aucune donnée de client n'y entre. Les versions entreprise et les API s'engagent par écrit à ne pas le faire. Le tableau ci-dessous compare les principales options.
Quelles données ?
« Quel est le délai pour produire un choix de l'article 85 ? » ne contient aucun renseignement personnel : la Loi 25 ne s'applique pas. « Voici le T1 de M. Tremblay » déclenche les cinq obligations du guide.
Qui valide ?
Un professionnel relit chaque sortie avant qu'elle entre dans un livrable. Des tribunaux ont déjà condamné des avocats aux dépens pour des citations inventées par l'IA.
Neuf options, comparées : où vont vos données ?
| Outil | Où vos données sont traitées | Entraînement sur vos données | Soumis au CLOUD Act | Puis-je y entrer les données de clients ? |
|---|---|---|---|---|
| Comptes grand public : ChatGPT (Free, Go, Plus, Pro), Claude (Free, Pro, Max), Gemini (gratuit, Google AI Plus/Pro/Ultra) | États-Unis | Oui, sauf opt-out dans les réglages | Oui | Jamais. Même payants, ces comptes n'offrent aucun DPA |
| ChatGPT Business / Enterprise et API OpenAI | États-Unis. Stockage au Canada offert à certains comptes Enterprise et API ; l'inférence s'exécute hors Canada | Non, par contrat | Oui | Oui : EFVP, puis leur DPA standard (nouvelle fenêtre), à exécuter en ligne |
| Claude Team / Enterprise et API Anthropic | États-Unis | Non, par contrat | Oui | Oui : EFVP, puis leur DPA standard (nouvelle fenêtre), inclus dans les conditions commerciales |
| Claude via Amazon Bedrock, région de Montréal | Stockage à Montréal (ca-central-1). Aucun modèle Claude n'y est servi en région : l'inférence passe par les profils inter-régions et peut s'exécuter aux États-Unis | Non, par contrat | Oui (AWS) | Oui : EFVP, puis le DPA d'AWS (nouvelle fenêtre), inclus dans les conditions du service |
| Microsoft 365 Copilot et Azure OpenAI, région Canada | Azure OpenAI : traitement en région canadienne possible (Canada Est, selon le modèle et le type de déploiement). Copilot : stockage au Canada, traitement hors Canada | Non, par contrat | Oui (Microsoft) | Oui : EFVP, puis le DPA de Microsoft (nouvelle fenêtre), inclus dans les licences |
| Gemini via Vertex AI, région de Montréal | Certains modèles Gemini sont servis en région à Montréal ; l'endpoint global, lui, ne garantit aucune localisation | Non, par contrat | Oui (Google) | Oui : EFVP, puis le DPA de Google Cloud (nouvelle fenêtre), inclus dans les conditions |
| Mistral : Vibe (ex-Le Chat) et API | Union européenne par défaut (France, Suède, Pays-Bas). Certaines fonctions passent par des sous-traitants américains | Non pour les offres pro ; opt-out sur le compte gratuit | La société, non (française). Une partie de son infrastructure, oui | Oui : EFVP, puis leur DPA standard (nouvelle fenêtre), inclus dans les conditions commerciales |
| Modèle ouvert hébergé au Québec | Québec, de bout en bout. Exemples : Llama, Qwen ou DeepSeek chez un hébergeur québécois ou sur votre propre infrastructure ; Acumis vous aide à trouver l'hébergement ou la solution d'IA locale | Non | Non, si l'hébergeur n'a aucun lien américain | Oui : EFVP, puis le DPA de l'hébergeur |
| Modèle ouvert sur les serveurs du cabinet | Dans vos locaux. Exemples : Llama ou Qwen servis par Ollama ou vLLM sur un serveur du cabinet | Non | Non | Oui ; rien ne sort du cabinet |
Soumis au CLOUD Act : les autorités américaines peuvent exiger d'un fournisseur sous leur juridiction les données qu'il contrôle, même stockées au Canada (18 U.S.C. § 2713). Ce n'est pas une interdiction : c'est un facteur à documenter dans l'EFVP, et l'argument des deux dernières lignes. Cohere, société canadienne, offre aussi des déploiements privés sur l'infrastructure du client. Les trois modes de déploiement Acumis se comparent point par point dans la grille Loi 25 →.
Pas besoin d'un contrat négocié : l'art. 18.3 exige un écrit dont le contenu couvre les mesures prescrites (confidentialité, usage limité, non-conservation, avis d'incident, droit de vérification), et le DPA standard de chacun des six fournisseurs liés ci-dessus les couvre. Deux conditions : l'EFVP se fait avant d'accepter, et jamais avec des conditions grand public. Vérifié sur les documents de chaque fournisseur le 31 août 2026 ; ces offres bougent vite, la date fait foi.
Trois cadres différents, qui s'appliquent en même temps.
| Loi 25 (Loi sur le privé) | Ordre des CPA | Barreau du Québec | |
|---|---|---|---|
| Ce qui est protégé | Les renseignements personnels de toute personne physique identifiable | Tout renseignement confidentiel, y compris celui des clients personnes morales | Le secret professionnel, protégé par l'art. 9 de la Charte québécoise |
| Le texte pivot pour l'IA | EFVP avant l'acquisition d'un outil (art. 3.3) et pour tout traitement hors Québec (art. 17) ; contrat écrit avec le fournisseur (art. 18.3) | Code de déontologie 2024, art. 40 : mesures raisonnables à toute étape, y compris à l'égard des collaborateurs ; précisé par le Guide IA de l'Ordre | Guide de l'IA générative (1re éd. 2024, 2e éd. 2025), adossé à la compétence technologique (art. 21 du Code de déontologie des avocats) |
| En cas de manquement | Sanctions administratives jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial (art. 90.12) ; amendes pénales jusqu'à 25 M$ ou 4 % (art. 91) | Discipline ordinale : de la réprimande à la radiation | Discipline ordinale, et les tribunaux sanctionnent déjà les citations inventées (dépens, abus de procédure) |
Les maximums de la Loi 25 existent dans le texte ; à ce jour, la Commission d'accès à l'information privilégie les engagements plutôt que les amendes. Le vrai risque est le cumul : un même manquement expose à la fois à la CAI, au syndic et au client.
Les cinq obligations, en pratique.
-
Jamais de données de clients dans un outil grand public. Le guide du Barreau est explicite : saisir des informations protégées par le secret professionnel dans un système ouvert « constitue une violation, même sans reproduction ou divulgation effectives ». Le Guide IA de l'Ordre des CPA arrive au même point : pour les données hautement sensibles — NAS, données financières ou fiscales nominatives —, aucun outil d'IA externe ; au besoin, un environnement professionnel sécurisé (version entreprise ou API), après une analyse de risques. La différence entre les deux est contractuelle : le compte grand public peut réutiliser vos requêtes pour entraîner les modèles, l'environnement professionnel s'engage par écrit à ne pas le faire. Recherche fiscale Acumis appartient à cette catégorie : accès professionnel, hébergé au Québec.
Guide du Barreau (PDF) → (nouvelle fenêtre) Guide IA de l'Ordre des CPA → (nouvelle fenêtre)
-
Une évaluation des facteurs relatifs à la vie privée (EFVP) avant d'adopter l'outil. La Loi 25 l'exige dans deux cas qui visent directement l'adoption d'un outil d'IA : tout projet d'acquisition d'un système d'information impliquant des renseignements personnels (art. 3.3), et toute communication de ces renseignements hors du Québec (art. 17). Un outil dont les serveurs sont aux États-Unis n'est pas interdit : l'article 17 demande une EFVP démontrant une protection adéquate, et une entente écrite. S'y ajoute le contrat de sous-traitance de l'article 18.3 — confidentialité, usage limité, non-conservation après le contrat, notification des incidents, droit de vérification. Le DPA standard d'un grand fournisseur vaut ce contrat lorsqu'il couvre ces mesures : les ententes de chaque fournisseur sont liées dans le comparatif ci-dessus. C'est une obligation documentaire, proportionnée à la sensibilité des données — pas un mur. Acumis remet aux cabinets un dossier d'EFVP pré-rempli lors du premier appel. Le détail de l'exercice : notre article sur l'EFVP.
Loi sur le privé (LégisQuébec) → (nouvelle fenêtre) Guide EFVP de la CAI (PDF) → (nouvelle fenêtre)
-
Le client est informé ; les données, masquées autant que possible. Pour les avocats, le Barreau recommande un consentement éclairé du client, formalisé par écrit, avant d'utiliser l'IA générative dans son dossier — et demande de dépersonnaliser les données autant que possible ; si c'est impossible, de ne pas utiliser l'outil. Pour les CPA, le modèle de ligne directrice de l'Ordre (avril 2025) retient la transparence sur l'usage de l'IA et la suppression des renseignements nominatifs avant toute analyse de données de clients ; le Guide IA de l'Ordre y ajoute la substitution des identifiants par des équivalents génériques. Une précision de vocabulaire évite bien des malentendus : masquer des identifiants est une dépersonnalisation — utile, et reconnue par les ordres — mais pas une « anonymisation » au sens de la loi, qui exige l'irréversibilité (Règlement sur l'anonymisation, D. 783-2024).
Ligne directrice modèle de l'Ordre des CPA → (nouvelle fenêtre) Règlement sur l'anonymisation → (nouvelle fenêtre)
-
Chaque sortie est validée par un professionnel, et la validation documentée. Le CPA conserve au dossier le raisonnement au soutien de ses recommandations (art. 21 du Code de déontologie des CPA) ; l'avocat vérifie chaque résultat contre des sources faisant autorité et conserve la trace de ses instructions et de ses vérifications. Devant la Cour fédérale, tout document déposé pour les besoins d'un litige et rédigé en tout ou en partie par l'IA doit le déclarer dès le premier paragraphe (avis du 7 mai 2024) ; la déclaration n'est pas exigée quand l'IA n'a fait que relire ou suggérer des changements à un texte écrit par un humain. Cette validation a une conséquence heureuse : l'article 12.1 de la Loi 25, qui encadre les décisions fondées exclusivement sur un traitement automatisé, ne vise pas un outil de recherche dont les sorties sont réellement validées par un professionnel.
-
L'équipe est formée — c'est désormais une exigence, pas une option. Le Barreau impose depuis le 1er avril 2026 une formation de deux heures sur l'encadrement de l'IA générative, à compléter avant le 1er avril 2027. Côté CPA, la formation continue obligatoire est de 120 heures par période de trois ans, et la ligne directrice modèle de l'Ordre demande la formation du personnel à l'usage des outils d'IA. La formation de l'ordre couvre la déontologie — le quoi. La méthode de travail — le comment, sur vos dossiers — reste à construire ensuite : c'est l'objet des formations Acumis.
Avis du Barreau — formation obligatoire → (nouvelle fenêtre) Exigences de formation continue CPA → (nouvelle fenêtre)
Les textes officiels, au même endroit.
Loi 25 et CAI
Ordre des CPA du Québec
Barreau et tribunaux
Chaque lien pointe vers la source primaire. Les guides des ordres évoluent : en cas d'écart avec cette page, la version publiée par l'ordre fait foi.
Six réponses précises aux questions que les fiscalistes posent.
Puis-je mettre les données de mes clients dans ChatGPT ?
Pas dans un compte grand public : vos requêtes peuvent y servir à l'entraînement des modèles, et le Barreau qualifie cette saisie de violation du secret professionnel, même sans divulgation effective.
Dans une version entreprise ou par API, oui, sous conditions : EFVP, acceptation du DPA standard du fournisseur (qui vaut contrat de l'article 18.3), masquage des identifiants et validation humaine de chaque sortie. Les liens vers chaque DPA sont dans le tableau des outils.
Un outil d'IA hébergé aux États-Unis est-il interdit au Québec ?
Non. L'article 17 de la Loi 25 exige une EFVP démontrant une protection adéquate et une entente écrite avec le fournisseur, rien de plus. C'est une obligation documentaire, pas une interdiction.
Le lieu de traitement reste un critère de choix : voir le tableau des outils et la grille comparative Loi 25.
Un outil hébergé au Canada échappe-t-il au CLOUD Act ?
Pas si le fournisseur est américain. Le CLOUD Act permet aux autorités américaines d'exiger d'AWS, de Microsoft, de Google ou d'OpenAI des données même stockées à Montréal : la localisation du serveur ne suffit pas.
Y échappent : les fournisseurs sans lien de propriété américain et les modèles installés sur vos propres serveurs. Ce n'est pas une interdiction, c'est un facteur à documenter dans l'EFVP.
Qui est responsable de la conformité : le cabinet ou le fournisseur d'IA ?
Les deux, chacun pour sa part. Aucun fournisseur ne peut vous déclarer conforme à votre place : les ordres placent la responsabilité sur le membre, et la Loi 25 met certaines obligations à la charge du cabinet lui-même.
Le fournisseur doit un contrat écrit conforme à l'article 18.3, l'engagement de non-entraînement et la transparence sur ses sous-traitants. Le cabinet garde l'EFVP, l'information de ses clients, la validation des sorties et la formation de l'équipe. Ce que ce partage donne chez Acumis, mode par mode (hébergement, conservation, EFVP, sous-traitance) : grille comparative Loi 25.
Et si aucune donnée de client n'entre dans l'outil ?
Une question de droit générique ne contient aucun renseignement personnel : la Loi 25 est alors largement hors jeu. Les obligations déontologiques demeurent : vérifier chaque résultat contre des sources faisant autorité et documenter la validation.
La formation obligatoire du Barreau sur l'IA suffit-elle ?
Elle couvre la déontologie. La méthode de travail s'apprend ensuite : formuler des consignes sur des cas fiscaux, vérifier et sourcer les sorties, protéger la confidentialité au quotidien. C'est le terrain des formations Acumis.
Côté CPA, pas de formation IA obligatoire à ce jour ; les 120 heures par période de trois ans s'appliquent, et la ligne directrice de l'Ordre demande la formation du personnel.
Rédigé par Gaëtan Hugot, associé président d'Acumis. Publié le 31 août 2026. Chaque référence législative et déontologique a été vérifiée sur les sources primaires (LégisQuébec, Commission d'accès à l'information, Barreau du Québec, Ordre des CPA du Québec). Les textes évoluent : la date de vérification fait foi de l'état des références.
Ce guide est d'information générale et ne constitue pas un avis juridique. L'évaluation propre à chaque cabinet (ses outils, ses données, ses mandats) demeure requise.
Trente minutes avec un associé pour y voir clair.
Vous décrivez vos outils et vos types de dossiers ; un associé Acumis passe les cinq obligations en revue avec vous. Un simple rendez-vous pour situer votre cabinet, sans engagement.
Parler à un associé →Pour comparer où vivent les données selon le mode de déploiement : grille comparative Loi 25 →