LPRPDE

Une organisation est responsable des renseignements personnels dont elle a la gestion et doit désigner une personne imputable de la conformité. La responsabilité suit les données : les renseignements transférés à un tiers pour traitement doivent être protégés, par contrat ou autrement, à un niveau comparable.

Quand des employés envoient des renseignements personnels à un outil d'IA, l'organisation demeure responsable de ce qu'il en advient, que l'outil soit approuvé ou non. La position du CPVP sur les transferts aux fins de traitement exige des protections contractuelles et une surveillance réelle des fournisseurs d'IA qui reçoivent des données personnelles. L'IA fantôme brise directement ce principe : LayerX mesurait en 2025 que les organisations n'ont aucune visibilité sur environ 89 % de l'usage de l'IA, et personne ne peut être responsable de flux qu'il ne voit pas.

La connaissance et le consentement de la personne sont requis pour la collecte, l'utilisation ou la communication de renseignements personnels, sauf exception. La forme du consentement dépend de la sensibilité des renseignements, et il n'est valable que si la personne pouvait raisonnablement comprendre ce à quoi elle consentait.

Les clients qui ont consenti à l'utilisation de leurs données pour recevoir un service n'ont pas pour autant consenti à ce qu'elles soient collées dans un robot conversationnel externe, surtout un outil qui peut conserver les entrées ou s'en servir pour l'entraînement. Utiliser des renseignements personnels dans des outils d'IA constitue une nouvelle fin qui exige en général un consentement frais ou une analyse d'exception rigoureuse. La réponse opérationnelle la plus sûre est de garder les renseignements personnels identifiables hors des requêtes, pour que la question du consentement ne se pose jamais.

Les renseignements personnels ne doivent pas être utilisés ou communiqués à des fins autres que celles pour lesquelles ils ont été recueillis, sauf avec le consentement de la personne ou selon la loi, et ne doivent être conservés qu'aussi longtemps que nécessaire.

Coller un dossier client dans un outil d'IA pour rédiger un courriel, résumer un dossier ou déboguer un rapport constitue une utilisation, et souvent une communication au fournisseur, qui figurait presque jamais parmi les fins déterminées lors de la collecte. La conservation est aussi en cause : les fournisseurs d'IA peuvent garder les données des requêtes selon leurs propres calendriers, hors de votre politique de conservation. Caviarder les identifiants avant l'envoi permet aux employés de profiter de la rédaction et du résumé sans déclencher une nouvelle utilisation de données identifiables.

Les renseignements personnels doivent être protégés au moyen de mesures de sécurité correspondant à leur degré de sensibilité : mesures matérielles, organisationnelles et techniques, contre la perte, le vol, l'accès, la communication, la copie, l'utilisation ou la modification non autorisés.

Une politique d'utilisation acceptable, à elle seule, n'est pas une mesure technique. L'étude d'IBM sur les brèches de 2025 constatait que seulement 17 % des organisations disposent de contrôles techniques qui caviardent ou bloquent les données sensibles au point d'entrée, que 97 % des organisations ayant subi une brèche liée à l'IA manquaient de contrôles d'accès adéquats à l'IA, et que l'IA fantôme ajoutait en moyenne 670 000 $ US au coût d'une brèche. Sous le principe 4.7, le navigateur, là où les requêtes sont tapées, est désormais un endroit où des mesures de sécurité doivent exister.

En décembre 2023, les autorités fédérale, provinciales et territoriales de protection de la vie privée ont publié des principes pour des technologies d'IA générative responsables, dignes de confiance et respectueuses de la vie privée. Ils insistent sur l'autorité légale et le consentement valable pour les renseignements personnels dans l'entraînement et les requêtes, les fins acceptables, la limitation de la collecte, la transparence et la responsabilité tout au long de la chaîne d'approvisionnement en IA.

Ces orientations éliminent tout argument voulant que la LPRPDE soit muette sur l'IA générative : les régulateurs s'attendent à ce que les organisations établissent leur autorité légale avant que des renseignements personnels n'entrent dans des requêtes, limitent ce qui y entre au nécessaire et demeurent responsables du traitement en aval par le fournisseur d'IA. Ils signalent aussi que les renseignements concernant les enfants et d'autres données sensibles exigent une protection accrue. Les organisations qui déploient, ou simplement tolèrent, des outils d'IA sont censées avoir posé et réglé ces questions d'avance.