Réglementation canadienne de l'IA : qui contrôle les infrastructures essentielles?

La réglementation canadienne de l'IA rattrape une réalité que la plupart des organisations vivent déjà : les systèmes essentiels à la mission fonctionnent désormais sur des plateformes contrôlées par des sociétés mères étrangères. Les systèmes d'IA deviennent une infrastructure essentielle pour les organisations canadiennes, mais la plupart dépendent de plateformes contrôlées par des intérêts américains et assujetties à une juridiction étrangère. Cela crée un risque de non-conformité en vertu de la Loi 25, de la LPRPDE et des réglementations sectorielles.

Ce virage s'est fait discrètement. Ce qui a commencé comme des outils expérimentaux pour rédiger des textes marketing ou compléter du code alimente maintenant l'aide à la décision clinique, les rapports réglementaires et le renseignement opérationnel dans les industries réglementées canadiennes.

La question de savoir si une organisation peut continuer à dépendre de systèmes contrôlés par des intérêts étrangers pour ses fonctions essentielles tout en réussissant un audit de conformité n'est plus hypothétique.

Quand l'IA devient essentielle à la mission

Le Centre canadien pour la cybersécurité tient désormais compte des dépendances envers les plateformes d'IA dans ses lignes directrices sur les infrastructures essentielles. Les dépendances concentrées envers un seul fournisseur d'IA sont présentées comme des risques systémiques dans ces lignes directrices, particulièrement lorsque le fournisseur opère sous un cadre juridique étranger.

Prenons l'exemple d'une organisation réglementée typique aujourd'hui. Les équipes juridiques comptent sur l'IA pour l'analyse de contrats dans des délais réglementaires serrés. Les services de finance utilisent l'IA pour des rapports de conformité qui doivent respecter des normes comptables canadiennes précises. Les opérations de service à la clientèle dépendent de systèmes de clavardage IA qui traitent des renseignements personnels régis par des lois provinciales et fédérales sur la protection de la vie privée.

« Le risque réglementaire n'émerge pas de l'utilisation de l'IA en soi, mais de l'utilisation de systèmes d'IA incapables de démontrer leur conformité aux exigences canadiennes de souveraineté des données prévues à l'article 17 de la Loi 25 et au principe 4.1.3 de la LPRPDE. »

Ce n'est pas théorique. En 2023, un important réseau de santé canadien a découvert que son service de transcription par IA, hébergé sur une infrastructure américaine, faisait l'objet d'une demande de données du département de la Justice des États-Unis en vertu du CLOUD Act. L'examen de conformité a pris huit mois et coûté 2,3 millions de dollars canadiens en frais juridiques.

Le problème du contrôle étranger

Les plateformes d'IA américaines fonctionnent sous des cadres juridiques américains qui entrent en conflit avec les exigences réglementaires canadiennes.

Le CLOUD Act permet aux autorités américaines d'exiger la production de données par des entreprises américaines, peu importe où se trouvent physiquement ces données. Cela crée une tension directe avec les exigences de transfert de la Loi 25 et le cadre de consentement de la LPRPDE.

L'article 17 de la Loi 25 exige que les organisations évaluent et divulguent les risques avant de transférer des renseignements personnels à l'étranger. L'utilisation de plateformes d'IA contrôlées par des intérêts américains pour des renseignements personnels de résidents québécois place les organisations dans une position délicate : elles doivent démontrer que le risque a été correctement évalué, sous peine des sanctions prévues à l'article 90, qui peuvent atteindre 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial.

Le principe 4.1.3 de la LPRPDE exige que les organisations déterminent « si les renseignements personnels seront transférés hors du Canada et, le cas échéant, dans quels pays ou territoires ». Plusieurs plateformes d'IA américaines peinent à donner une réponse définitive, puisque leur infrastructure s'étend sur plusieurs juridictions et change de façon dynamique — ce qui cadre mal avec le principe de responsabilité de la LPRPDE (4.1).

Le fardeau de conformité dépasse le droit de la vie privée. Les institutions financières sous réglementation fédérale font face à des restrictions supplémentaires en vertu de la Loi sur les banques. La ligne directrice B-13 du BSIF sur la gestion des risques liés aux technologies et à la cybersécurité exige que les institutions maintiennent une résilience opérationnelle et comprennent réellement où résident leurs données et leur traitement. La dépendance envers une infrastructure d'IA contrôlée par des intérêts étrangers peut entraîner un examen plus poussé en vertu de cette ligne directrice.

Santé, finance et droit : trois expositions différentes

Différents secteurs canadiens font face à des défis réglementaires distincts lorsqu'ils utilisent une infrastructure d'IA contrôlée par des intérêts étrangers.

Les organisations de santé assujetties aux lois provinciales sur les renseignements personnels sur la santé font face aux contraintes les plus strictes. La Loi sur la protection des renseignements personnels sur la santé (LPRPS) de l'Ontario restreint les transferts transfrontaliers de renseignements sur la santé en vertu de l'article 37. Les systèmes d'IA qui analysent des données de patients sur une infrastructure américaine ont besoin d'une justification claire de conformité pour éviter d'enfreindre ces restrictions. Les organisations qui bâtissent des flux de travail d'IA pour des usages cliniques ou administratifs peuvent consulter les approches sectorielles dans notre aperçu des outils d'IA canadiens pour le travail réglementé en santé.

Les services financiers sont assujettis aux restrictions de la Loi sur les banques en plus des exigences de la LPRPDE. Le BSIF exige une documentation claire des fournisseurs de services tiers et des cadres juridiques sous lesquels ils opèrent. Les plateformes d'IA américaines peinent souvent à fournir cette documentation clairement, puisqu'elles fonctionnent sous des exigences juridiques contradictoires selon les juridictions.

Les services juridiques font face à des enjeux de conduite professionnelle en plus du droit de la vie privée. Les barreaux du Canada exigent que les avocats maintiennent la confidentialité des clients selon des cadres juridictionnels précis. L'utilisation d'IA contrôlée par des intérêts étrangers pour l'analyse de documents clients peut créer des problèmes d'obligations professionnelles, peu importe les mesures de sécurité technique de la plateforme.

Les organismes gouvernementaux font face à leur propre niveau d'examen, particulièrement en ce qui concerne la prise de décision algorithmique. Les exigences du secteur public de la Colombie-Britannique constituent une référence utile ici — voir notre analyse des exigences d'évaluation des incidences algorithmiques pour le gouvernement de la C.-B. — et des obligations d'évaluation semblables se répandent dans d'autres provinces.

« La conformité réglementaire exige de comprendre non seulement où vont les données, mais qui détient l'autorité légale sur ces données une fois traitées. En vertu du principe 4.1 de la LPRPDE, les organisations demeurent responsables des renseignements personnels même lorsqu'un tiers les traite. »

Le fossé en matière d'assurance et de responsabilité

L'assurance responsabilité professionnelle exclut de plus en plus les réclamations découlant de choix technologiques non conformes.

Les assureurs posent maintenant des questions précises sur la juridiction des plateformes d'IA et les pratiques de résidence des données lors de la souscription. Un sondage sectoriel réalisé en 2024 a révélé que la majorité des polices d'assurance responsabilité professionnelle incluent désormais des exclusions liées aux systèmes d'IA contrôlés par des intérêts étrangers utilisés d'une façon qui contrevient au droit canadien de la vie privée. Ces exclusions peuvent s'appliquer même lorsqu'une organisation croyait être conforme.

La responsabilité s'étend aux administrateurs et dirigeants. Les polices d'assurance responsabilité des administrateurs et dirigeants (RAD) examinent de plus en plus les décisions de gouvernance technologique, et les dirigeants qui ont approuvé un choix d'infrastructure d'IA non conforme peuvent en subir personnellement les conséquences.

L'alternative souveraine

Les plateformes d'IA souveraines conçues pour les exigences réglementaires canadiennes offrent une approche axée sur la conformité pour l'infrastructure d'IA.

Ces systèmes fonctionnent sous des cadres juridiques canadiens, gardent les données résidentes au sein des frontières canadiennes, et sont conçus en fonction d'exigences réglementaires précises comme la Loi 25 et la LPRPDE, plutôt qu'adaptés après coup.

Augure incarne cette approche. Les données clients sont stockées au Canada, il n'y a aucune société mère américaine ni aucun investisseur américain, et le contenu client n'est jamais traité par des fournisseurs sous juridiction américaine — ce qui le maintient hors de portée du CLOUD Act. L'architecture de la plateforme intègre dès le départ la Loi 25, la LPRPDE et les lignes directrices du Centre canadien pour la cybersécurité, plutôt que d'ajouter la conformité après coup à une infrastructure conçue pour un autre système juridique.

Cette différence technique a une importance réelle pour la conformité. Les plateformes souveraines canadiennes peuvent donner une réponse claire quant à l'emplacement des données et à la juridiction applicable, car elles opèrent au sein d'un seul cadre juridique. Les plateformes réparties sur plusieurs juridictions ont plus de difficulté à formuler la même affirmation avec autant d'assurance.

« La conformité ne se limite pas aux contrôles de sécurité. C'est aussi une question de certitude juridique — savoir précisément quelles lois régissent votre infrastructure d'IA, afin de répondre au principe de responsabilité de la LPRPDE et aux exigences de transfert de la Loi 25. »

Cette approche permet aux organisations réglementées d'utiliser des outils d'IA sans compromettre leur posture de conformité. Les équipes juridiques peuvent analyser des contrats en tenant compte des exigences de la Loi 25 au niveau de l'infrastructure. Les organisations de santé peuvent traiter des renseignements sur les patients tout en travaillant vers le respect des exigences provinciales de protection des renseignements sur la santé. Les équipes gouvernementales qui évaluent l'approvisionnement en IA peuvent trouver des points de départ sectoriels dans notre guide des outils d'IA pour le travail gouvernemental réglementé.

Résilience opérationnelle au-delà de la conformité

L'infrastructure d'IA souveraine offre aussi une résilience face aux changements de politique étrangère.

Les contrôles à l'exportation américains, les régimes de sanctions et les changements de politique de sécurité nationale peuvent perturber l'accès des organisations canadiennes à l'infrastructure d'IA sans grand préavis. Les mises à jour de 2023 des contrôles à l'exportation américains sur la technologie d'IA ont créé de réels fardeaux de conformité pour les organisations canadiennes utilisant les plateformes touchées, les forçant à réévaluer rapidement leurs dépendances et leurs scénarios de perturbation.

Les plateformes souveraines canadiennes éliminent cette couche de risque politique. Les organisations conservent le contrôle opérationnel de leur infrastructure d'IA, peu importe l'évolution des relations internationales.

Les entreprises pharmaceutiques font face à une version particulièrement aiguë de ce problème, étant donné le chevauchement entre les règles sur les données de santé, les contrôles à l'exportation et les obligations de confidentialité des essais cliniques. Notre analyse des outils d'IA canadiens pour le travail pharmaceutique réglementé explique comment des outils sectoriels adressent cette réalité. Les établissements d'enseignement qui gèrent des dossiers d'étudiants font face à une version connexe du même compromis, décrite dans notre guide des outils d'IA pour le travail réglementé en éducation.

Bâtir des opérations d'IA axées sur la conformité

Les organisations qui migrent vers une infrastructure d'IA conforme ont besoin d'une approche structurée.

Commencez par la classification des données.

Déterminez quels types de renseignements circulent dans les systèmes d'IA et associez-les aux exigences réglementaires applicables — les renseignements personnels sous la Loi 25 exigent un traitement différent des renseignements corporatifs assujettis seulement à des conditions contractuelles.

Documentez ensuite la juridiction et les structures de contrôle. Les audits réglementaires se concentrent de plus en plus sur la gouvernance des plateformes d'IA, alors les organisations doivent conserver des registres clairs de l'endroit où se fait le traitement, des cadres juridiques applicables, et de la façon dont la souveraineté des données est maintenue en vertu des dispositions sur l'application territoriale de la Loi 25.

Établissez des procédures de vérification de la conformité des fournisseurs qui vont au-delà des questionnaires de sécurité. Comprendre l'autorité légale sur l'infrastructure d'un fournisseur d'IA compte autant que comprendre ses contrôles techniques, et c'est exactement ce que demande le principe de responsabilité de la LPRPDE.

Révisez la couverture d'assurance et de responsabilité professionnelle comme dernière étape, afin de confirmer que les choix d'infrastructure d'IA s'harmonisent avec les conditions des polices existantes plutôt que de déclencher des exclusions passées inaperçues au renouvellement.

La voie à suivre

Le paysage réglementaire continue de se resserrer autour des choix d'infrastructure d'IA. La Loi canadienne sur l'intelligence artificielle et les données, qui suit toujours son processus législatif fédéral, ajoutera probablement d'autres exigences pour les systèmes d'IA qui traitent des renseignements personnels canadiens une fois qu'elle entrera en vigueur.

Les commissaires provinciaux à la protection de la vie privée signalent déjà un examen accru des choix de plateformes d'IA. La Commission d'accès à l'information du Québec a noté que la conformité à la Loi 25 exige une évaluation attentive des juridictions et des structures de contrôle des plateformes d'IA en vertu des dispositions provinciales sur les transferts transfrontaliers — des orientations disponibles dans les publications officielles de la CAI.

Les organisations qui bâtissent une infrastructure d'IA conforme dès maintenant évitent des migrations coûteuses plus tard. Celles qui reportent ces décisions font face à un risque réglementaire et opérationnel croissant à mesure que l'IA devient plus centrale aux opérations d'affaires.

Les organisations canadiennes disposent d'alternatives souveraines qui offrent des capacités d'IA sans sacrifier leur posture de conformité.

Pour les organisations réglementées prêtes à bâtir des opérations d'IA conformes, Augure offre une infrastructure d'IA souveraine canadienne conçue spécifiquement pour les exigences réglementaires. Découvrez comment maintenir la conformité tout en accédant aux capacités de l'IA sur augureai.ca.