Révisé le 20 septembre 2026

L’IA au Canada : par où commencer pour comprendre les règles

Il n’est pas nécessaire d’attendre une nouvelle loi sur l’IA pour décider ce que le personnel peut saisir dans un assistant. Les lois sur la protection des renseignements personnels, les ententes de confidentialité et les exigences propres à certains secteurs peuvent déjà s’appliquer. Plutôt que de demander « Sommes-nous conformes en matière d’IA? », commencez par une question plus précise : « Qu’implique cet usage, et quelles exigences devons-nous vérifier? »

Ce guide sert à préparer cette démarche. Il ne constitue ni un avis juridique ni un inventaire complet du droit canadien. Les sources ont été consultées le 20 septembre 2026; les lois et les orientations des organismes de réglementation peuvent évoluer.

Distinguer un projet de loi d’une obligation en vigueur

La Loi sur l’intelligence artificielle et les données était proposée dans le projet de loi C-27. Elle n’a pas été adoptée dans le cadre de ce projet. Pour en vérifier le statut, consultez le dossier parlementaire de C-27, plutôt qu’une liste de conformité publiée par un fournisseur. Ne présentez pas les dispositions proposées comme des obligations déjà en vigueur. Leur absence ne fait pas non plus disparaître les lois existantes.

L’aperçu de la LPRPDE du Commissariat à la protection de la vie privée du Canada explique le cadre fédéral applicable au secteur privé. De façon générale, la LPRPDE vise le traitement de renseignements personnels dans le cadre d’activités commerciales, sous réserve de distinctions importantes quant à son champ d’application. Les lois provinciales, les règles relatives aux renseignements sur la santé et le contexte d’emploi peuvent modifier l’analyse. Une entreprise ontarienne de logiciels et un fournisseur de soins de santé ne devraient pas présumer que leurs obligations sont les mêmes.

L’Alberta et la Colombie-Britannique ont chacune une loi sur la protection des renseignements personnels dans le secteur privé. Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé a été modernisée par la loi 25. Ces lois provinciales sont essentiellement similaires à la LPRPDE pour certaines activités intraprovinciales; la LPRPDE peut néanmoins continuer de s’appliquer lorsque des renseignements personnels franchissent une frontière provinciale ou nationale. Il faut donc vérifier la compétence applicable plutôt que d’utiliser une seule liste pour tout le Canada.

Décrire un usage précis avant de l’autoriser

Pour chaque usage envisagé, consignez les éléments suivants dans une courte fiche :

L’objectif d’affaires et la personne responsable de l’approbation.
Les renseignements saisis, récupérés ou produits, y compris les renseignements personnels.
Le fournisseur, le type de compte, les systèmes connectés et les personnes ayant accès aux résultats.
Les conditions de conservation et d’entraînement du fournisseur, les lieux de traitement et les possibilités de suppression.
La personne qui vérifie le résultat, les personnes qui pourraient être touchées et la façon de corriger une erreur.

Résumer une annonce publique de produit n’équivaut pas à résumer l’historique de soutien d’un client. Le deuxième usage peut exposer des noms, des détails de compte et des renseignements recueillis à une autre fin. Retirer un nom ne suffit pas nécessairement à anonymiser un dossier : le contexte peut permettre d’identifier la personne. Utilisez des exemples fictifs pendant l’évaluation du processus.

Appliquer les principes de protection à la situation réelle

Les principes des autorités canadiennes de protection de la vie privée pour l’IA générative traitent notamment de responsabilité, de fins acceptables, de consentement lorsqu’il est requis, de limitation de la collecte et de l’utilisation, de mesures de sécurité, d’exactitude, de transparence et d’accès individuel. Ils guident l’application des lois sur la protection des renseignements personnels; ils ne forment pas une nouvelle loi autonome sur l’IA.

Transformez ces principes en décisions. Les renseignements personnels sont-ils nécessaires à la tâche? L’usage proposé est-il approprié et fondé sur le consentement ou l’autorité applicable? Peut-on utiliser moins de renseignements? Qu’expliquera-t-on aux personnes concernées? Qui répondra aux demandes d’accès ou de correction? Les conseils du Commissariat aux entreprises sur l’IA aident à repérer les questions qui nécessitent un avis spécialisé.

Un abonnement d’entreprise ne répond pas, à lui seul, à ces questions. Examinez les conditions du service, sa configuration et le parcours des données. Le fait qu’un fournisseur n’utilise pas les données d’affaires pour entraîner ses modèles de fondation ne règle pas toutes les questions de stockage, d’accès, de traitement et de conservation.

Respecter la portée des exigences sectorielles

Une exigence visant une institution réglementée ne s’applique pas automatiquement à toutes les petites entreprises canadiennes. Par exemple, la ligne directrice E-23 du BSIF sur la gestion du risque de modélisation s’adresse aux institutions financières fédérales et entre en vigueur le 1er mai 2027. Un fournisseur peut recevoir des questions connexes d’un client du secteur financier sans être lui-même directement assujetti à toutes les exigences de cette ligne directrice. Distinguez l’obligation légale, l’engagement contractuel et la demande d’un client dans le cadre de ses achats.

Conserver un dossier qui servira à la prochaine personne

Regroupez la description de l’usage, les sources consultées, la décision, ses conditions et la prochaine date de révision. Consignez clairement les questions non résolues. Revoyez la décision si l’outil obtient de nouveaux connecteurs ou la capacité d’exécuter des actions, si les données changent ou si les exigences évoluent. Traduisez les limites approuvées dans une politique d’utilisation acceptable que le personnel peut suivre sans avoir à interpréter les lois.

Il s’agit de conseils généraux de préparation, et non de conseils juridiques. Confirmez les lois et les obligations contractuelles qui s’appliquent à votre organisation auprès d’une personne qualifiée.

Source: https://www.priv.gc.ca/en/privacy-topics/technology/artificial-intelligence/gd_principles_ai/. Conseils généraux de préparation; il ne s’agit pas de conseils juridiques.