Peut-on utiliser l'IA dans une clinique canadienne sans enfreindre la LPRPS?

Oui, mais seulement pour certaines tâches, et seulement avec le bon outil en arrière-plan. Une clinique canadienne peut utiliser l'IA pour des notes de rendez-vous, des lettres aux patients et des résumés de recherche sans toucher à la loi ontarienne sur la protection des renseignements médicaux, la LPRPS, de façon risquée. La ligne se trace au moment où le nom d'un patient, un diagnostic ou des données de dossier entrent dans l'outil. C'est là que la plupart des cliniques se trompent, et c'est facile à corriger.

Qu'est-ce que la LPRPS restreint réellement?

La LPRPS, la Loi sur la protection des renseignements personnels sur la santé de l'Ontario, encadre la façon dont les cliniques recueillent, utilisent et partagent des renseignements de santé identifiables. Elle n'interdit pas l'IA. Elle n'interdit pas non plus carrément les logiciels américains. Ce qu'elle exige, c'est que les données des patients restent protégées, que vous sachiez où elles se retrouvent, et que vous puissiez expliquer vos mesures de protection si le commissaire à la protection de la vie privée de l'Ontario vous le demande un jour.

Le risque, ce n'est pas l'IA en soi. Le risque, c'est d'introduire des données identifiables de patients dans un outil qui les stocke sur des serveurs que vous ne contrôlez pas, gérés par une entreprise incapable de vous dire qui y a accès. La plupart des clavardeurs grand public tombent dans cette catégorie. Ils n'ont pas été conçus pour les cliniques, et leurs conditions d'utilisation le précisent souvent en petits caractères.

Les cliniques québécoises font face à une règle parallèle sous la Loi 25, la loi québécoise sur la protection des renseignements personnels dans le secteur privé. Elle s'applique plus largement que la LPRPS, mais le test pratique est semblable : savoir où vont les données, obtenir le consentement pour ce que vous en faites, et ne pas les confier à un outil qui ne peut pas rendre de comptes.

Quelles tâches de clinique sont sécuritaires avec l'IA en ce moment?

Certaines tâches comportent presque aucun risque pour la vie privée. D'autres nécessitent un outil bâti pour la santé dès le départ.

• Risque faible, sécuritaire avec presque n'importe quel outil d'IA canadien : rédiger des documents d'éducation aux patients, résumer des lignes directrices cliniques publiées, écrire des modèles génériques de rappel de rendez-vous, faire des recherches sur les codes de facturation.
• Risque moyen, nécessite un outil conforme avec une entente signée : transcrire des formulaires d'admission, rédiger des notes de dossier à partir de dictées, trier des courriels de patients qui mentionnent des symptômes.
• Risque élevé, nécessite des mesures de protection explicites et probablement un outil spécialisé : résumer des dossiers complets de patients, signaler des interactions médicamenteuses à partir d'une liste de médicaments, tout ce qui touche un diagnostic lié à un nom.

Le principe est simple. Moins les données sont identifiables, plus vous avez de latitude. Dès que l'information d'un vrai patient entre dans la requête, vous devez connaître la résidence des données de l'outil, sa politique de conservation, et s'il entraîne ses modèles avec ce que vous y tapez.

Pourquoi l'endroit où tourne l'IA a-t-il de l'importance?

Parce que la LPRPS et la Loi 25 s'intéressent toutes deux à qui peut accéder aux données des patients, et la géographie change la réponse.

Une entreprise d'IA basée aux États-Unis peut, en principe, être forcée de remettre des données aux autorités américaines en vertu de lois comme le CLOUD Act, parce que l'entreprise elle-même relève du droit américain. Une plateforme d'IA canadienne sans société mère américaine ni investisseurs américains n'a pas cette exposition pour le contenu client qu'elle détient. C'est une différence importante pour une clinique qui gère des dossiers médicaux, pas un détail technique.

C'est ici que « IA canadienne » veut dire quelque chose de concret, et non une étiquette marketing. Ça veut dire que l'entreprise fonctionne sous le droit canadien, stocke les données des clients au Canada, et répond d'abord aux organismes de réglementation canadiens. Pour un propriétaire de clinique qui n'a jamais lu une loi sur la protection des renseignements personnels et qui n'a pas l'intention de commencer maintenant, c'est le raccourci à retenir : choisissez la plateforme canadienne, et une bonne partie de la question de conformité se règle d'elle-même.

Augure en est un exemple. C'est une entreprise canadienne, sans société mère américaine et sans investisseurs américains. Les données des clients sont stockées au Canada, comme l'exigent les règles canadiennes sur la protection des renseignements personnels. L'inférence — le traitement par l'IA lui-même — se fait sur une infrastructure canadienne ou avec des partenaires européens vérifiés sous des ententes strictes de non-conservation, et n'est jamais acheminée vers des fournisseurs américains; certains forfaits de modèles tournent au Canada par défaut, d'autres dans l'UE, l'UE servant aussi de solution de repli. Deux éléments touchent tout de même des systèmes américains : le traitement des paiements par carte et l'envoi de courriels, tous deux documentés dans la politique de confidentialité. Les conversations et documents des clients ne servent jamais à entraîner les modèles d'Augure. Augure Legal, un produit distinct conçu pour les cabinets d'avocats, effectue la révision de contrats et de conformité selon les mêmes règles de résidence des données.

Combien ça coûte pour une petite clinique?

Moins que ce que la plupart des propriétaires imaginent, et le forfait gratuit est une option réelle pour les tâches à faible risque.

Le forfait gratuit d'Augure vous donne 50 messages par jour et prend en charge cinq documents, assez pour rédiger des documents ou résumer des lignes directrices sans frais. Le forfait Pro, à 20 $/mois, retire le plafond de messages et ajoute une mémoire persistante, utile si vous voulez que l'outil se souvienne des modèles de votre clinique et du ton préféré d'une session à l'autre. Une clinique plus occupée qui fait plus de travail de documents pourrait opter pour le forfait Max à 80 $/mois, qui inclut des agents de recherche approfondie et gère les téléversements jusqu'à 100 Mo.

Aucun de ces forfaits ne vous rend automatiquement conforme à la LPRPS. Aucun fournisseur d'IA ne peut promettre ça, et vous devriez vous méfier de quiconque le fait. Une plateforme d'IA canadienne vous donne la pièce d'infrastructure : résidence des données, aucune exposition légale américaine sur le contenu client, aucun entraînement sur vos données. Le reste — formulaires de consentement, formation du personnel, politique écrite sur ce qui entre dans l'outil — reste de votre ressort.

Si le nom d'un patient et son diagnostic figurent tous deux dans la requête, il vous faut une entente de données signée, pas un clavardeur gratuit.

Ai-je besoin d'un responsable de la protection des renseignements personnels pour ça?

Pas nécessairement une embauche dédiée, mais quelqu'un doit assumer cette décision.

La LPRPS exige déjà un point de contact désigné pour les questions de vie privée dans la plupart des cliniques, souvent le gérant de bureau ou un médecin-propriétaire. Cette même personne devrait décider quelles tâches sont sécuritaires pour l'IA et lesquelles ne le sont pas, l'écrire sur une seule page, et en informer le personnel. Ce n'est pas un document juridique. C'est une liste de vérification : ce qui peut entrer dans l'outil d'IA, ce qui ne peut pas, et à qui demander en cas de doute.

Les cliniques comptant plusieurs praticiens bénéficient souvent d'une courte politique écrite sur l'IA, revue une fois par année. Nul besoin d'un avocat pour rédiger la première version. Il faut quelqu'un qui utilise réellement les outils pendant un mois, remarque où le personnel est tenté de coller une note de dossier complète, et referme cette brèche avant qu'elle devienne une habitude.

Quoi faire cette semaine

1. Dressez la liste de chaque tâche pour laquelle le personnel utilise déjà l'IA ou pourrait bientôt l'utiliser, et classez chacune à risque faible, moyen ou élevé selon qu'elle touche ou non des données identifiables de patients.
2. Vérifiez la résidence des données et la politique d'entraînement de votre outil d'IA actuel. Si vous ne trouvez pas de réponse claire en moins de cinq minutes, c'est votre réponse.
3. Transférez les tâches à risque moyen et élevé vers une plateforme d'IA canadienne avec une entente de données signée, et laissez les tâches à faible risque sur l'outil qui fonctionne déjà.

Augure débute gratuitement et évolue à partir de là, avec un stockage canadien et aucune société mère américaine entre votre clinique et les données de vos patients. Jetez un coup d'œil à augureai.ca.

D'où ça vient : La Loi sur la protection des renseignements personnels sur la santé de l'Ontario (LPRPS) et la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (Loi 25) encadrent toutes deux les scénarios décrits ci-dessus.