Méthodologie
StructureClerk évalue la conformité des organisations à travers quatre domaines complémentaires : la protection des données personnelles, la gouvernance de l'intelligence artificielle, la cybersécurité, et la conformité algorithmique.
Approche
Le questionnaire de plus de 200 questions est construit à partir des textes réglementaires officiels de 192 juridictions. Chaque question est mappée aux exigences spécifiques des cadres applicables, permettant une évaluation croisée lorsque l'organisation opère sur plusieurs marchés simultanément.
L'évaluation produit un score par domaine et par juridiction, identifie les lacunes prioritaires, et génère un rapport PDF de niveau professionnel exploitable immédiatement par les équipes conformité, juridique ou direction.
Quatre domaines
Protection des données
RGPD, Loi 25, PIPEDA, CCPA, LGPD, PIPL et cadres nationaux
Gouvernance IA
EU AI Act, C-27, lignes directrices sectorielles
Cybersécurité
NIS2, CIRCIA, ISO 27001, NIST CSF 2.0
Conformité algorithmique
EU AI Act, Loi 25, transparence, audit et traçabilité
Cadre légal québécois et canadien en vigueur
Protection des données
Loi 25 — Loi modernisant des dispositions législatives en matière de protection des renseignements personnels
RLRQ c P-39.1 · Québec · Secteur privé · En vigueur : septembre 2022 — septembre 2024 (déploiement progressif)
Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels
RLRQ c A-2.1 · Québec · Secteur public · En vigueur : 1982, mod. 2006 et 2021-2024
LPRPDE — Loi sur la protection des renseignements personnels et les documents électroniques
L.C. 2000, c. 5 · Canada (fédéral) · Secteur privé — activités commerciales · En vigueur : 2000, mod. 2015 et 2018
Loi sur la protection des renseignements personnels
L.R.C. 1985, c. P-21 · Canada (fédéral) · Institutions gouvernementales · En vigueur : 1983
Gouvernance IA
Indication IA-RI-2025-003-OP
MCN Québec, déc. 2025 · Québec · Secteur public · Conformité exigée : 5 juin 2026
Directive sur la prise de décision automatisée
Conseil du Trésor Canada, 2019 · Canada (fédéral) · Institutions fédérales · En vigueur : 2019
Cybersécurité
LGGRI — Loi sur la gouvernance et la gestion des ressources informationnelles
RLRQ c G-1.03 · Québec · Secteur public · En vigueur : 2011, mod. 2021 et 2023
Loi sur le ministère de la Cybersécurité et du Numérique
RLRQ c M-17.1.1 · Québec · Secteur public · En vigueur : 2021
Conformité algorithmique
Loi 25, articles sur les décisions automatisées (art. 12.1)
RLRQ c P-39.1 · Québec · Secteur privé · En vigueur : septembre 2023
Textes en cours d'adoption, non encore en vigueur : projet de loi C-8 (cybersécurité des systèmes critiques, 2ᵉ lecture), C-27/LIAD (mort au feuilleton, janvier 2025).
Sources réglementaires
- Règlements et directives : RGPD, AI Act, NIS2, Loi 25, PIPEDA, CCPA, LGPD, POPIA, NDPA, PIPL, et 150+ autres cadres
- Standards internationaux : ISO 27001, NIST CSF 2.0, SOC 2
- Lignes directrices des autorités de contrôle : CNIL, OPC, ICO, CISA, ENISA, et autres
Couverture
192 juridictions réparties sur 8 régions :
Profondeur par domaine
| Domaine | Juridictions cartographiées |
|---|---|
| Protection des données — loi en vigueur | 168 |
| Protection des données — régime en projet | 24 |
| Gouvernance IA | 18 |
| Cybersécurité | 5 |
Vérifications les plus anciennes du jeu de données : 2025-01-31. Les plus récentes : 2026-07-12. Chaque décision de l'API d'autorité publie la date de vérification de chaque loi citée, ainsi que la plus ancienne d'entre elles.
Deux paliers de vérification
Juridictions sur lesquelles le moteur d'autorité décide réellement : régime de transfert transfrontalier, obligation de localisation, droit à une intervention humaine. Revérifiées à chaque cycle. Nous revérifions ce sur quoi nous décidons.
Couverture sourcée et utile pour savoir qu'un régime existe, mais aucune décision n'y est adossée. Revérifiée moins souvent, et chaque citation porte sa propre date.
Processus de veille réglementaire
Les changements législatifs sont détectés via les sources officielles des autorités de contrôle (CNIL, OPC, ICO, CISA, ENISA et autres), les journaux officiels des juridictions couvertes, et les publications des organismes de normalisation (ISO, NIST). La veille est prioritaire sur les juridictions à fort trafic (Canada, Québec, UE, France, Royaume-Uni, États-Unis), revérifiées à chaque cycle. Les juridictions restantes constituent une couverture indicative et sont revérifiées moins souvent : la date de dernière vérification de chaque loi est publiée avec chaque citation, plutôt que promise. La plus ancienne du jeu de données remonte au 2025-01-31.
L'auteur
Michel Fotsing est architecte en cybersécurité, CISSP, et membre de la Commission de Révision des Examens de l'ISC2. Il est l'auteur de L'Architecte Numérique et publie la newsletter du même nom, suivie par 1 700+ professionnels.
Limites
StructureClerk est un outil d'aide à la décision. Les résultats du rapport identifient des écarts potentiels et orientent les priorités d'action. Ils ne constituent pas un avis juridique et ne remplacent pas l'expertise d'un conseiller juridique ou d'un auditeur certifié pour les décisions de conformité finales.