LIAD (projet de loi C-27)

Le projet obligeait quiconque est responsable d'un système d'IA à incidence élevée à évaluer si le système était à incidence élevée, à établir des mesures pour cerner, évaluer et atténuer les risques de préjudice et de résultats biaisés, et à surveiller l'efficacité de ces mesures. Des catégories de systèmes à incidence élevée (présélection en emploi, admissibilité à des services, biométrie, modération de contenu, santé) avaient été esquissées par amendement avant la mort du projet.

Bien que jamais adoptées, ces dispositions restent le signal le plus clair de ce qu'une future loi canadienne sur l'IA exigera vraisemblablement : savoir lesquels de vos usages de l'IA peuvent toucher les droits et les possibilités des personnes, documenter les risques et mettre l'atténuation en place. Les organisations qui bâtissent dès maintenant cet inventaire et cette discipline de contrôle sont prémunies, quel que soit le véhicule législatif qui portera un jour ces obligations.

Les personnes qui rendent disponibles des systèmes à incidence élevée, ou qui en gèrent l'exploitation, auraient dû publier des descriptions en langage clair du système : son utilisation, les types de contenu qu'il génère et de décisions qu'il prend, et les mesures d'atténuation en place. Un commissaire à l'intelligence artificielle et aux données, au sein d'ISDE, aurait administré et appliqué la loi.

Ce devoir de transparence annonçait une norme qui existe déjà ailleurs (le règlement européen sur l'IA, l'article 12.1 du Québec) et que les clients d'entreprise exigent de plus en plus dans les appels d'offres, loi ou pas. Pouvoir décrire, en langage clair, où l'IA est utilisée dans votre organisation et quelles données elle touche est aujourd'hui le minimum attendu dans les questionnaires de diligence.

Avec la disparition de la LIAD, les renseignements personnels dans les outils d'IA sont régis par les lois qui n'ont jamais disparu : la LPRPDE au fédéral, la Loi 25 du Québec et les lois PIPA de l'Alberta et de la Colombie-Britannique. Les principes conjoints de décembre 2023 des régulateurs sur l'IA générative précisent comment le droit existant s'applique aux requêtes et aux données d'entraînement.

Le véritable cadre applicable aux organisations canadiennes aujourd'hui est le droit de la vie privée : les requêtes d'employés contenant des renseignements personnels sont des utilisations et des communications qui exigent une autorité légale, une analyse de consentement et des mesures de sécurité. La lacune que la LIAD aurait comblée (des devoirs propres à l'IA en matière de risque et de transparence) ne suspend pas les règles qui existent déjà. IBM constatait en 2025 que 63 % des organisations n'ont aucune politique de gouvernance de l'IA, une lacune qu'aucune prorogation n'excuse.

Le code volontaire d'ISDE engage les signataires qui développent ou gèrent des systèmes d'IA générative avancés envers la responsabilisation, la sécurité, la justice et l'équité, la transparence, la surveillance humaine, ainsi que la validité et la robustesse, en attendant une réglementation contraignante. De grandes entreprises et institutions canadiennes de l'IA l'ont signé.

Pour la plupart des organisations, le code compte comme signal de marché plutôt que comme obligation : il définit ce à quoi ressemble une pratique responsable au Canada et apparaît dans la diligence des fournisseurs. Si vos fournisseurs d'IA ne l'ont pas signé ou ne peuvent décrire des mesures équivalentes, c'est une donnée pour l'évaluation des risques que le droit de la vie privée exige déjà de vous.

La Directive sur la prise de décisions automatisée oblige les institutions fédérales qui utilisent des systèmes décisionnels automatisés à réaliser une évaluation de l'incidence algorithmique, à fournir des avis et des explications, à assurer une intervention humaine proportionnelle au niveau d'incidence et à tester les biais. Elle est en vigueur depuis 2019 et est périodiquement mise à jour.

La directive lie les institutions fédérales, pas les entreprises privées, mais c'est le régime opérationnel de gouvernance de l'IA le plus développé au Canada et un modèle vers lequel régulateurs et tribunaux se tourneront. Ses gestes centraux, l'évaluation d'incidence avant le déploiement, la surveillance humaine par paliers et les tests documentés, sont les mêmes que la LIAD aurait imposés et les mêmes qu'un programme défendable du secteur privé exige.