Ce qui est arrivé à l'AIDA

La législation fédérale canadienne sur l'IA a connu une fin difficile. Le projet de loi C-27, qui regroupait la Loi sur la protection de la vie privée des consommateurs (LPVPC), la Loi sur le Tribunal de la protection des renseignements personnels et des données, et la Loi sur l'intelligence artificielle et les données (AIDA, ou LIAD), a été déposé en juin 2022, a franchi l'étape de la deuxième lecture en avril 2023, et se trouvait en examen au comité lorsque la démission du premier ministre Trudeau en janvier 2025 a entraîné la prorogation du Parlement. Le projet de loi est mort au Feuilleton.

À la suite d'une élection fédérale au printemps 2025, le nouveau gouvernement a clairement indiqué que l'AIDA ne reviendra pas sous sa forme initiale. Le ministre de l'Industrie, Evan Solomon, a confirmé en juin 2025 que le cadre de l'AIDA tel que rédigé n'était plus à l'ordre du jour. Certains éléments pourraient éclairer une future législation, mais aucun calendrier n'est prévu pour une nouvelle loi fédérale globale sur l'IA au Canada.

Ce dont le Canada dispose réellement

PIPEDA (fédérale) : La Loi sur la protection des renseignements personnels et les documents électroniques (PIPEDA, ou LPRPDE), aujourd'hui âgée de 25 ans, demeure le socle fédéral de la protection de la vie privée dans le secteur privé. La PIPEDA s'applique aux renseignements personnels recueillis, utilisés ou communiqués dans le cadre d'activités commerciales. Elle comprend des dispositions relatives au consentement, à la limitation des finalités et aux droits d'accès qui s'appliquent au traitement de données piloté par l'IA, mais elle ne comporte pas d'obligations spécifiques à l'IA et a été conçue avant l'existence de l'IA moderne.

Loi 25 du Québec : La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels du Québec est désormais pleinement en vigueur, au terme d'un déploiement progressif de trois ans achevé en septembre 2024. La Loi 25 est nettement plus stricte que la PIPEDA et comprend des dispositions spécifiques relatives à l'IA : les organisations doivent informer les personnes concernées lorsqu'une décision est prise exclusivement par un traitement automatisé et les affecte ; des évaluations des facteurs relatifs à la vie privée (EFVP) sont exigées avant la mise en œuvre de tout nouveau projet technologique impliquant des renseignements personnels ; et la Commission d'accès à l'information dispose de pouvoirs d'application actifs. Pour les organisations présentes au Québec, la Loi 25 constitue le cadre de conformité applicable.

Institut canadien pour la sécurité de l'IA (CAISI) : Créé fin 2024 dans le cadre de l'engagement international du Canada en matière de sécurité de l'IA, le CAISI a un mandat consultatif et de recherche semblable à celui de l'UK AI Safety Institute. Il ne dispose d'aucun pouvoir de mise en application et ne crée aucune obligation de conformité pour les organisations.

Directives du Conseil du Trésor et des organismes fédéraux : Le Secrétariat du Conseil du Trésor du Canada a publié des directives sur l'utilisation de l'IA au sein du gouvernement, créant des exigences pour les organismes fédéraux et les fournisseurs de l'État. Il ne s'agit pas d'une réglementation applicable à l'ensemble de l'économie, mais ces directives témoignent des attentes du gouvernement en matière de gouvernance de l'IA.

Le paysage pratique de la conformité

Sans loi fédérale sur l'IA, les organisations canadiennes font face à un paysage fragmenté : la PIPEDA comme socle fédéral en matière de protection de la vie privée ; la Loi 25 du Québec pour les activités menées au Québec ; une réglementation sectorielle émanant du BSIF (Bureau du surintendant des institutions financières, services financiers), de Santé Canada et d'autres organismes ; et le règlement européen sur l'IA (AI Act) pour toute activité touchant des clients de l'UE. L'absence de législation fédérale sur l'IA ne signifie pas que l'IA n'est pas réglementée, cela signifie que la réglementation découle du droit existant appliqué aux contextes liés à l'IA, ce qui exige une analyse minutieuse plutôt qu'une conformité spécifique à l'IA.

Les organisations qui élaborent des programmes de gouvernance de l'IA pour le Canada devraient retenir les exigences de la Loi 25 du Québec relatives à l'IA comme socle minimal de conformité pour l'ensemble du pays, et les exigences de la PIPEDA en matière de consentement et de limitation des finalités comme référence fédérale de base. Il convient d'y ajouter la conformité au règlement européen sur l'IA (AI Act) pour les activités tournées vers l'UE. Cette combinaison offre une couverture complète pour la plupart des situations de gouvernance de l'IA au Canada, tant que le cadre législatif fédéral demeure incertain.

Pour aller plus loin : NIST AI RMF

Articles connexes

Pour aller plus loin : NIST AI RMF