La réglementation de l'IA au Canada en 2026 : état des lieux

Le paysage réglementaire canadien de l'IA en 2026 est une mosaïque : un projet de loi fédéral sur l'IA mis de côté, une province dotée d'une législation sur la protection des renseignements personnels pertinente pour l'IA et pleinement opérationnelle, des règles sectorielles, et une direction de fond qui est claire même si le calendrier ne l'est pas.

Le projet de loi C-27 et la LIAD : le tableau fédéral

La Loi de 2022 sur la mise en œuvre de la Charte du numérique (projet de loi C-27) a été déposée en juin 2022. Elle comportait trois volets : la Loi sur la protection de la vie privée des consommateurs (LPVPC) destinée à remplacer la LPRPDE, la Loi sur le Tribunal de la protection des renseignements personnels et des données (PIDPTA), et la Loi sur l'intelligence artificielle et les données (LIAD, AIDA en anglais), première proposition de loi fédérale canadienne spécifique à l'IA. La LIAD aurait établi des exigences pour les systèmes d'IA à incidence élevée, notamment des mesures d'atténuation des risques, la tenue de registres, des évaluations d'impact, des descriptions en langage clair et des interdictions visant certains comportements de l'IA susceptibles de causer un préjudice grave.

Le projet de loi C-27 a été abandonné au début de 2025 et n'a pas été adopté. Le 15 juin 2026, le gouvernement a déposé le projet de loi C-36 (le Protecting Privacy and Consumer Data Act), qui relance la réforme de la protection de la vie privée dans le secteur privé issue de C-27 (un successeur de la LPVPC, en première lecture seulement, pas encore en vigueur), mais ne relance explicitement pas la LIAD ; le ministre Evan Solomon a déclaré que le gouvernement privilégie une approche « light, tight, and right » (légère, rigoureuse et adaptée) de l'IA plutôt que de réintroduire une législation de type LIAD. Le budget 2025 a annoncé 925,6 millions de dollars sur cinq ans pour des infrastructures d'IA à grande échelle. La direction de fond, à savoir des attentes de gouvernance fondées sur les risques pour les systèmes d'IA à incidence élevée même en l'absence de loi fédérale contraignante sur l'IA, est établie, même si la législation précise sur l'IA et son calendrier restent incertains.

La Loi 25 du Québec, déjà en vigueur

La Loi 25 du Québec (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) est pleinement en vigueur et impose des obligations directement pertinentes pour l'IA. Les organisations relevant de la compétence du Québec doivent : informer les personnes lorsque des décisions sont prises au moyen d'un traitement automatisé ; donner aux personnes la possibilité de présenter leurs observations à une personne en autorité ; réaliser des évaluations des facteurs relatifs à la vie privée avant de déployer des systèmes d'IA qui traitent des renseignements personnels. Les sanctions peuvent atteindre 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial.

Pour toute organisation utilisant l'IA et comptant des clients ou des employés au Québec, la Loi 25 crée des obligations de conformité actives dès maintenant, et non des obligations futures conditionnées à une législation fédérale.

Le droit fédéral existant applicable à l'IA

La LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques, PIPEDA en anglais) s'applique aux organisations du secteur privé qui traitent des renseignements personnels dans le cadre d'activités commerciales partout au Canada (sauf dans les provinces dotées d'une législation essentiellement similaire). Elle exige le consentement, la limitation des finalités et la responsabilité, autant de principes applicables à l'IA traitant des données personnelles.

La Directive sur la prise de décisions automatisée (2019) s'applique aux ministères fédéraux qui utilisent des systèmes automatisés pour des décisions administratives. Elle exige : une évaluation de l'incidence algorithmique ; des exigences de transparence proportionnées au niveau d'incidence ; une intervention humaine dans la boucle pour les décisions à incidence plus élevée ; un examen par les pairs pour les systèmes à incidence élevée.

La Loi canadienne sur les droits de la personne et la Loi sur l'équité en matière d'emploi s'appliquent à l'IA dans les décisions d'emploi. L'affaire de l'agent conversationnel d'Air Canada (Moffatt c. Air Canada, 2024 BCCRT 149) a établi que les organisations sont responsables des engagements pris par leurs systèmes d'IA.

Ce que les entreprises actives au Canada devraient faire

Conformez-vous à la Loi 25 du Québec si vous avez des clients ou des employés au Québec. Conformez-vous à la LPRPDE pour le traitement des données personnelles. Mettez en œuvre des pratiques de gouvernance de l'IA alignées sur le cadre de la LIAD : même si la LIAD n'a pas été adoptée, bâtir la conformité dès maintenant vous donne une longueur d'avance. Surveillez le calendrier législatif fédéral en vue d'une éventuelle réintroduction de la LIAD. Pour les fournisseurs du gouvernement, conformez-vous à la Directive sur la prise de décisions automatisée.

Sources primaires : ISDE, document complémentaire sur la LIAD · Ministère de la Justice, Énoncé concernant la Charte relatif au projet de loi C-27

Lectures connexes