Une interface truquée (en anglais, dark pattern) est une conception d'écran ou de parcours qui pousse une personne à faire un choix contraire à son intérêt : fournir plus de renseignements personnels, rester plus longtemps sur une plateforme ou dépenser davantage. Le 22 octobre 2026, la Commission d'accès à l'information du Québec (CAI) a publié une page de référence sur ces pratiques. Son message central : un consentement obtenu par une interface truquée peut être invalide, et l'usage des renseignements qui en découle peut devenir illégal.
Que publie la CAI le 22 octobre 2026 ?
La nouvelle page s'adresse à la fois aux organisations et aux citoyens. Elle définit les interfaces truquées, aussi appelées « mécanismes de conception trompeuse », rappelle les obligations légales, propose des bonnes pratiques et renvoie à des ressources canadiennes et internationales. La CAI précise que ces mécanismes peuvent être conçus volontairement ou non : l'intention n'est donc pas une condition pour que le problème existe.
La Commission cite une étude internationale de 2024 selon laquelle 97 % des sites Web en utilisent au moins un. Il s'agit du ratissage du Global Privacy Enforcement Network (GPEN), publié le 9 juillet 2024 par le Commissariat à la protection de la vie privée du Canada (CPVP), qui a examiné plus de 1 000 sites et applications.
Quelles sont les cinq catégories d'interfaces truquées ?
La CAI regroupe ces pratiques en cinq familles :
- Interférence : fausse hiérarchie visuelle, options présélectionnées ou manipulation émotionnelle qui nuisent à la compréhension des choix.
- Harcèlement : redemander le même choix jusqu'à obtenir la réponse souhaitée par l'organisation.
- Obstruction : ajouter des étapes ou cacher les options les plus protectrices dans des sous-menus.
- Langage complexe et déroutant : textes conçus pour dissuader ou embrouiller.
- Action forcée : exiger des renseignements non nécessaires pour obtenir un service.
Le ratissage GPEN de 2024 donne l'ampleur de certaines de ces pratiques : 57 % des sites et applications mettaient en avant l'option la moins protectrice, 42 % employaient un langage chargé d'émotion et plus de 89 % des politiques de confidentialité étaient longues ou rédigées à un niveau universitaire.
Pourquoi un consentement obtenu ainsi peut-il être invalide ?
Depuis l'entrée en vigueur de la Loi 25, la Loi sur la protection des renseignements personnels dans le secteur privé exige un consentement « manifeste, libre, éclairé » et donné à des fins spécifiques, demandé en termes simples et clairs (article 14). Une présélection, un bouton de refus dissimulé ou un texte volontairement opaque compromettent précisément ces qualités.
La CAI rappelle deux autres exigences. Les paramètres de confidentialité d'un produit ou service technologique doivent offrir par défaut le plus haut niveau de confidentialité (article 9.1). Les fonctions permettant d'identifier, de localiser ou d'effectuer un profilage doivent être désactivées par défaut (article 8.1). Pour les bannières de témoins de connexion, la Commission demande que la simple navigation ne vaille pas acceptation et que le refus soit aussi facile que l'acceptation.
En quoi cet avis concerne-t-il l'intelligence artificielle ?
La page de la CAI ne mentionne pas explicitement l'intelligence artificielle (IA). Ses principes s'appliquent pourtant directement aux interfaces conversationnelles. Un assistant qui insiste pour obtenir un accès aux courriels, un agent qui active par défaut l'utilisation des conversations pour l'entraînement d'un modèle ou un parcours qui rend le retrait du consentement laborieux relèvent des mêmes catégories : présélection, harcèlement, obstruction.
L'IA ajoute un risque propre : la personnalisation. Un système capable d'adapter son ton et ses arguments à chaque utilisateur peut rendre la manipulation plus efficace et plus difficile à repérer. Le Règlement européen sur l'IA (AI Act) interdit d'ailleurs, depuis le 2 février 2025, les systèmes d'IA qui recourent à des techniques délibérément manipulatrices ou trompeuses altérant substantiellement le comportement d'une personne et causant un préjudice important (article 5, paragraphe 1, point a). Le Québec n'a pas d'équivalent spécifique, mais les règles de consentement de la Loi 25 couvrent déjà la collecte de renseignements par ces outils.
Que doivent vérifier les organisations québécoises ?
La CAI recommande d'intégrer la protection de la vie privée dès la conception et par défaut, d'évaluer ses plateformes pour y repérer les interfaces truquées et de vérifier la conformité des outils de tiers (trousses de développement, systèmes de gestion de contenu et plateformes de gestion du consentement). Pour un projet d'IA, cela se traduit par trois contrôles concrets :
- Paramètres d'entraînement : l'utilisation des données des utilisateurs pour améliorer un modèle doit être désactivée par défaut et expliquée simplement.
- Parcours de consentement : accepter et refuser doivent demander le même effort, sans relance répétée.
- Fournisseurs : l'interface d'un assistant acheté sur étagère engage l'organisation qui le déploie; il faut l'auditer avant la mise en production.
Ces vérifications s'intègrent naturellement à l'évaluation des facteurs relatifs à la vie privée exigée par la Loi 25 pour tout projet de système d'information. Elles prolongent aussi les priorités du rapport quinquennal 2026 de la CAI, dont la section 2.1.8 est citée en référence sur cette page.
Questions fréquentes
Qu'est-ce qu'une interface truquée selon la CAI ?
C'est une conception qui influence une personne ou la force à faire un choix contraire à son intérêt, par exemple divulguer plus de renseignements personnels que prévu. La CAI distingue cinq catégories : interférence, harcèlement, obstruction, langage complexe et action forcée. Elles peuvent être volontaires ou involontaires.
Une interface truquée rend-elle le consentement nul ?
Elle peut l'invalider. La loi québécoise exige un consentement manifeste, libre, éclairé et donné à des fins spécifiques. Selon la CAI, une interface qui oriente ou contraint le choix peut empêcher ces conditions d'être remplies, et l'utilisation des renseignements recueillis pourrait alors être illégale.
Les chatbots et agents d'IA sont-ils visés ?
La page de la CAI ne nomme pas l'IA, mais elle vise toute interface qui recueille des renseignements personnels ou sollicite un consentement. Un assistant conversationnel qui insiste, présélectionne un partage de données ou complique le refus tombe dans les mêmes catégories que les bannières de témoins.
Que peut faire un citoyen face à une interface truquée ?
La CAI conseille de prendre le temps de lire les options, souvent moins visibles lorsqu'elles sont protectrices, de privilégier des services respectueux de la vie privée et de limiter le traçage dans son navigateur. En cas de non-conformité, il est possible de déposer une plainte auprès de la Commission.
Sources
- Commission d'accès à l'information, « Les interfaces truquées : un obstacle à la protection des renseignements personnels » (22 octobre 2026)
- Commission d'accès à l'information, page « Interfaces truquées » (octobre 2026)
- Commissariat à la protection de la vie privée du Canada, résultats du ratissage GPEN 2024 sur les mécanismes de conception trompeuse (9 juillet 2024)
- LégisQuébec, Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1)
- EUR-Lex, Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle (13 juin 2024)
- OCDE, « Dark Commercial Patterns » (26 octobre 2022)
