LIAD : ce que signifie pour vous la loi canadienne sur l'IA que les entreprises ignorent

Une clinique de Mississauga exploite un agent conversationnel qui trie les symptômes des patients avant qu'une infirmière ne rappelle. Un prêteur de Halifax utilise un modèle pour noter les demandes de prêt en quelques secondes. Un détaillant de Montréal pointe une analyse faciale vers l'entrée pour signaler les acheteurs « suspects ». Aucune de ces entreprises ne se considère comme une « entreprise d'IA ». Chacune d'elles atterrirait carrément dans le champ d'application de la loi que le Canada bâtit en ce moment.

Cette loi est la LIAD, la Loi sur l'intelligence artificielle et les données. Elle est arrivée au Parlement comme la partie 3 du projet de loi C-27, groupée avec une refonte attendue depuis longtemps du régime fédéral de protection de la vie privée. Le projet de loi est mort lorsque le Parlement a été prorogé au début de 2025, et bien des propriétaires d'entreprise l'ont discrètement classé sous « n'arrivera jamais ». Cette lecture est erronée. L'appétit politique pour réglementer l'IA ne s'est pas estompé, l'UE a déjà livré sa Loi sur l'IA, et le Canada n'aime pas être le seul pays du G7 sans cadre. La LIAD, ou quelque chose de proche, revient. Le geste avisé est de la comprendre avant qu'elle ne devienne loi, pas après.

Ce que la LIAD réglemente réellement

La plupart des couvertures se trompent sur un point : la LIAD n'est pas une loi générale sur « toute l'IA ». Elle vise une catégorie précise que le projet de loi appelle les systèmes à incidence élevée. L'ébauche initiale laissait ce terme à définir plus tard par règlement, ce qui a attiré des critiques justifiées, mais une série d'amendements en 2023 et un guide d'accompagnement du gouvernement fédéral ont esquissé où la ligne tomberait. Imaginez des systèmes qui façonnent les décisions d'emploi, la fourniture de biens et de services, l'identification biométrique, la modération de contenu à grande échelle, et les résultats en matière de santé ou de sécurité. L'agent conversationnel de triage, le modèle de notation de prêt, l'analyse faciale à la porte, tous les trois sont des cas d'usage à incidence élevée de manuel.

Si votre IA trie des curriculum vitæ, fixe le prix de l'assurance, décide qui obtient du crédit, modère une grande plateforme, ou prend une décision qui touche le corps ou la sécurité de quelqu'un, présumez être dans le champ d'application. Si elle complète automatiquement votre texte marketing ou réordonne une feuille de calcul d'inventaire, vous n'y êtes presque certainement pas.

Les obligations rattachées aux systèmes à incidence élevée sont les piliers familiers de l'IA responsable, inscrits dans la loi. Évaluer et atténuer les risques de préjudice et de résultats biaisés. Tenir des registres décrivant le fonctionnement du système, les données qui l'ont entraîné, et les mesures que vous avez prises. Maintenir une supervision humaine et une surveillance continue. Publier une description en langage clair pour que le public sache que le système existe et ce qu'il fait. Rien de tout cela n'est exotique. C'est à peu près ce qu'une organisation prudente devrait déjà faire. Le changement, c'est que le « devrait » devient « doit », avec un organisme de réglementation derrière.

La loi canadienne sur l'IA, la LIAD, que les propriétaires d'entreprise continuent de sous-estimer

Deux chiffres tendent à réveiller les gens. Le premier est le plafond des sanctions. La LIAD superpose des sanctions administratives pécuniaires aux véritables infractions, et les infractions les plus graves atteignent jusqu'à 25 millions de dollars ou 5 % du revenu mondial, selon le montant le plus élevé. Les contraventions moindres comportent tout de même des amendes pouvant atteindre le plus élevé de 10 millions de dollars et 3 % du revenu mondial brut. C'est de l'argent de calibre UE, pas le genre d'amende que vous absorbez comme un coût d'exploitation.

Le deuxième chiffre est de savoir qui se fait prendre. La LIAD ne vise pas OpenAI et Google. Elle atteint l'entreprise qui *utilise* leurs outils pour prendre des décisions conséquentes. Une agence de placement de 40 personnes qui fait tourner un outil de classement de candidats prêt à l'emploi peut être une personne responsable en vertu de la loi, au même titre que le fournisseur qui l'a construit. Pointer vers l'amont ne vous sortira pas de là.

Les entreprises les plus exposées à la LIAD sont celles convaincues que les règles ne s'appliquent pas à elles, parce qu'elles ont acheté le modèle au lieu de le construire.

Il y a une subtilité de compétence qui mérite d'être nommée. La LIAD est une loi fédérale qui s'étend au commerce international et interprovincial, le même point d'ancrage constitutionnel qu'utilise la LPRPDE. Le Québec, lui, a déjà intégré des règles de décision automatisée dans la Loi 25. Depuis l'entrée en vigueur des dispositions le 22 septembre 2023, une organisation québécoise qui prend une décision au sujet de quelqu'un fondée exclusivement sur un traitement automatisé doit en informer cette personne, et sur demande lui expliquer les renseignements personnels utilisés et les principaux facteurs, lui donner accès à ces données, corriger les inexactitudes, et lui permettre de présenter des observations à une personne en mesure de réviser la décision. La Commission d'accès à l'information l'applique aujourd'hui, avec des pouvoirs de vérification, des ordonnances exécutoires et des sanctions pécuniaires. Exploitez au Québec et vous n'attendez pas la LIAD, vous vivez déjà sous une version de celle-ci.

Où les organismes de réglementation de la vie privée se trouvent déjà

Les gens traitent la gouvernance de l'IA comme un terrain vierge. Ce ne l'est pas. Le Commissariat à la protection de la vie privée du Canada y est actif depuis des années. Son enquête conjointe sur Clearview AI, menée avec les autorités de protection de la vie privée du Québec, de la Colombie-Britannique et de l'Alberta, a conclu que le moissonnage de milliards de visages pour bâtir une base de données de reconnaissance faciale équivalait à de la surveillance de masse et était illégal en vertu du droit canadien de la vie privée. Aucune LIAD requise. Le CPVP a depuis publié des orientations sur l'IA générative et signé des déclarations internationales sur les risques de confidentialité du moissonnage de données.

Cette histoire compte parce que la LIAD n'arrivera pas dans le vide. Elle reposerait sur la LPRPDE, ou sur son successeur proposé la Loi sur la protection de la vie privée des consommateurs qui voyageait dans le même projet de loi, plus les lois provinciales sur la vie privée, la LPRPS de l'Ontario pour les renseignements sur la santé, et la Loi 25 du Québec. Un système d'IA qui prend des décisions de prêt biaisées est un problème de LIAD *et* un problème de droits de la personne *et*, s'il manipule mal des données personnelles, un problème de commissaire à la vie privée. Ces organismes de réglementation se coordonnent. Un seul mauvais déploiement peut attirer le feu de trois directions à la fois.

Le travail de préparation n'est donc pas réellement une discipline distincte appelée « conformité à l'IA ». C'est une extension de la gouvernance de la confidentialité et des données que vous devriez déjà mener. Si votre maison LPRPDE est en ordre, vous êtes la plus grande partie du chemin vers une maison LIAD.

Comment prendre de l'avance avant l'arrivée des règles

Vous n'avez pas besoin de la loi définitive pour faire le travail qui comptera sous toute version de celle-ci. Commencez par un inventaire. La plupart des organisations ne savent vraiment pas combien d'outils d'IA et de décision automatisée tournent dans leurs services, parce que le marketing en a acheté un, les RH un autre, et personne n'a prévenu les TI. Vous ne pouvez pas gouverner ce que vous ne voyez pas. Dressez la liste de chaque système qui touche une décision d'embauche, de prêt, de tarification, d'admissibilité ou de sécurité.

Pour chacun, notez trois choses : quelle décision il influence, quelles données personnelles il consomme, et si un humain peut le supplanter de façon significative. Cet exercice unique fait remonter la majeure partie de votre risque. L'outil de classement de candidats que personne ne peut expliquer. L'agent conversationnel qui journalise discrètement des symptômes de santé. Le modèle antifraude qui n'a jamais été testé pour son incidence disparate d'un quartier à l'autre.

Puis traitez la documentation peu glorieuse. Une courte évaluation des risques par système à incidence élevée. Un registre des sources de données. Un responsable humain nommé. Un avis en langage clair pour les personnes touchées. C'est la paperasse que la LIAD exigera, la paperasse que la Loi 25 exige déjà au Québec, et la paperasse qui vous protège dans toute plainte, LIAD ou non.

Quelques priorités concrètes, en ordre approximatif :

• Trouvez d'abord vos systèmes à incidence élevée. Des décisions au sujet de personnes, pas des outils de productivité.
• Testez les biais avant qu'un organisme de réglementation ne le fasse, et documentez le test et ce que vous avez changé.
• Gardez un humain dans la boucle sur les décisions conséquentes, et soyez en mesure de le prouver.
• Dites aux gens quand une IA est impliquée, dans un langage qu'une personne normale comprend.
• Intégrez-le à votre programme de confidentialité existant plutôt que d'en mettre un parallèle sur pied.

Les entreprises qui auront du mal sont celles qui traitent ceci comme une course juridique d'une semaine au moment de l'adoption du projet de loi. Celles qui s'en tireront tiennent un registre vivant de ce que fait leur IA, qui elle touche, et comment elles ont bridé le risque. Cette posture coûte bien moins cher construite graduellement que construite sous l'échéance d'un organisme de réglementation.

Voici la lecture honnête. La loi canadienne sur l'IA, la LIAD, que les propriétaires d'entreprise se sont fait dire d'ignorer est le changement réglementaire le plus prévisible à l'horizon, et le travail de fond chevauche presque entièrement les obligations de confidentialité dont vous êtes déjà redevable. Prendre de l'avance ne consiste pas à deviner le libellé final. Il s'agit de connaître vos systèmes et de mettre les choses par écrit. Pour un seul endroit où surveiller le projet de loi C-27 et étalonner votre préparation à mesure que les règles se précisent, suivez les progrès de la LIAD et du projet de loi C-27 avec Valdra.