Loi 25 Automatisation

Les exigences d'automatisation de la Loi 25 du Québec imposent des obligations précises aux organisations qui utilisent la prise de décision automatisée lorsqu'elle a un effet significatif sur les personnes. Les règles d'automatisation de la Loi 25 exigent la divulgation de la logique du traitement automatisé, de l'information significative sur les critères de décision, ainsi qu'un mécanisme de révision par une personne. Ces exigences s'appliquent aux systèmes d'IA, aux outils de filtrage algorithmique et aux mécanismes de notation automatisée utilisés par les organisations québécoises ou qui traitent les données de résidents du Québec — et elles s'inscrivent dans des attentes plus larges en matière de transparence algorithmique vers lesquelles convergent les régulateurs à l'échelle du Canada.

Le fardeau de conformité va bien au-delà d'une simple divulgation.

Les organisations doivent démontrer que leurs systèmes automatisés produisent des résultats explicables et maintenir une capacité de supervision humaine pour les décisions contestées, et elles doivent le faire de façon continue, plutôt que comme un exercice ponctuel au moment du lancement.

Loi 25 automatisation : le cadre de la prise de décision automatisée

La loi québécoise sur la protection des renseignements personnels dans le secteur privé établit trois obligations fondamentales pour les systèmes de prise de décision automatisée. Les organisations doivent informer les personnes concernées lorsque le traitement automatisé a un effet significatif sur elles. Elles doivent fournir de l'information significative sur la logique employée dans les décisions automatisées. Elles doivent offrir aux personnes un moyen d'obtenir une révision par une personne et de contester les décisions automatisées.

L'expression « effet significatif » n'est pas définie avec précision dans la loi, mais les orientations de la Commission d'accès à l'information du Québec pointent vers les décisions en matière d'emploi, les approbations de crédit, la souscription en assurance et les décisions relatives aux prestations comme exemples clairs. Les organisations devraient considérer ce seuil comme étant au moins aussi large — sinon plus — que les expressions comparables du type « effets juridiques ou effets significatifs similaires » employées dans d'autres cadres de protection des renseignements personnels, plutôt que de présumer une interprétation restrictive.

La Loi 25 exige une divulgation proactive, une logique explicable et des mécanismes de supervision humaine intégrés aux systèmes automatisés dès leur déploiement. Les organisations ne peuvent pas simplement automatiser des décisions sans ces mesures de conformité, puisque les manquements peuvent entraîner des sanctions administratives pécuniaires pouvant atteindre 25 millions de dollars canadiens.

L'information significative signifie que les organisations doivent expliquer les critères de décision dans un langage accessible.

Des spécifications techniques ou des descriptions brutes de l'algorithme ne suffisent pas à satisfaire cette obligation — les personnes concernées ont besoin d'une explication en langage clair de la façon dont leurs renseignements personnels ont influencé le résultat automatisé qui les touche, présentée de manière à ce qu'une personne non technique puisse réellement s'en servir, et non un schéma de flux de données enfoui dans une annexe.

La conformité de l'IA en pratique

La conformité en matière de prise de décision automatisée exige une documentation avant le déploiement. Les organisations ont besoin de politiques décrivant leurs systèmes de prise de décision automatisée, les finalités que ces systèmes servent et la logique qui les sous-tend. Ces politiques doivent préciser quand une révision par une personne est possible et comment les personnes peuvent en faire la demande.

Les systèmes de clavardage IA dotés d'une mémoire persistante, comme ceux utilisés pour le service à la clientèle ou le soutien aux employés, peuvent être visés par ces exigences lorsqu'ils influencent la prestation de services ou les décisions relatives à l'emploi sans intervention humaine significative. Notre guide connexe sur les outils d'IA conformes à la Loi 25 du Québec présente en détail les critères de sélection des fournisseurs.

Pour les organisations établies au Québec, ou celles qui traitent les données de résidents du Québec, la conformité à l'automatisation sous la Loi 25 signifie généralement :

• Documenter tous les systèmes automatisés qui pourraient avoir un effet significatif sur les personnes • Créer des processus d'IA explicable capables d'articuler la logique de décision • Établir des procédures de révision par une personne pour les décisions automatisées contestées • Former le personnel sur les exigences de divulgation liées à la prise de décision automatisée • Mettre en place des pistes de vérification pour les décisions automatisées, conformément aux attentes plus larges de la loi en matière de tenue de dossiers

Les institutions financières et les assureurs sont parmi les organisations les plus exposées ici, puisque les systèmes de préapprobation hypothécaire, de souscription et de notation des réclamations sont le type d'outils que les régulateurs sont le plus susceptibles d'examiner de près lorsqu'une plainte survient. Plutôt que de pointer vers une mesure d'application précise, l'exercice le plus utile consiste à se demander si vos propres outils de filtrage automatisé résisteraient aujourd'hui à cet examen.

Là où le consentement et les règles de conception se croisent

Les exigences en matière de prise de décision automatisée s'intègrent au cadre de consentement de la Loi 25. Lorsque le traitement automatisé repose sur le consentement, les organisations doivent préciser clairement les finalités de la prise de décision automatisée dans la demande de consentement elle-même, plutôt que de les intégrer dans un langage à usage général. Cela crée une barre pratique plus élevée que celle à laquelle les organisations sont habituées sous la loi fédérale sur la protection des renseignements personnels, où les obligations de consentement sont moins précises quant au traitement automatisé.

Les attentes de la Loi 25 en matière de protection dès la conception s'appliquent également aux systèmes automatisés.

Les organisations doivent intégrer des mesures de protection de la vie privée dès la conception du système jusqu'à son déploiement, et non les ajouter après coup lorsqu'un régulateur pose des questions.

Le principe de protection dès la conception de la Loi 25 exige que les organisations intègrent la transparence de la prise de décision automatisée et les capacités de supervision humaine dans les systèmes d'IA dès leur premier déploiement. Ajouter ces capacités après le déploiement compromet le principe de protection dès la conception et accroît l'exposition à des mesures d'application.

Les exigences de minimisation des données touchent aussi les systèmes de prise de décision automatisée. Les organisations ne peuvent recueillir que les renseignements personnels nécessaires aux finalités déclarées de leur traitement automatisé. Les systèmes d'IA qui analysent une quantité importante de renseignements personnels pour prendre des décisions doivent démontrer que cette collecte étendue de données sert des finalités précises et légitimes. Pour un examen plus approfondi de la façon dont les plateformes de gouvernance gèrent cet enjeu, consultez notre article sur les plateformes de gouvernance de l'IA et la conformité à la Loi 25 du Québec.

Les modèles d'apprentissage automatique qui évoluent dans le temps soulèvent une question plus difficile : des explications statiques établies au moment du déploiement ne satisfont pas aux obligations de divulgation continue. L'explicabilité doit se maintenir à mesure que le modèle change, ce qui signifie que la documentation a besoin d'un cycle de mise à jour, et non d'une simple approbation ponctuelle.

Sanctions et application de la loi

L'article 102 de la Loi 25 prévoit des sanctions administratives pécuniaires pouvant atteindre 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial pour les violations les plus graves. Les manquements liés à la prise de décision automatisée — divulgation insuffisante, absence de mécanisme de révision par une personne ou logique de décision opaque — peuvent exposer les organisations à ce type de sanction selon l'ampleur et la gravité du manquement.

La Commission d'accès à l'information du Québec dispose de larges pouvoirs d'enquête et a signalé que la transparence entourant le traitement automatisé est un domaine de conformité qu'elle surveille de près, bien que les organisations devraient confirmer directement auprès du régulateur ses priorités d'application actuelles plutôt que de se fier à des orientations passées. Les organisations qui gèrent des scénarios de violation liés aux systèmes automatisés devraient également consulter notre guide sur les exigences de notification des violations de données liées à l'IA au Canada.

Le calcul des sanctions tient généralement compte de l'ampleur du préjudice et du nombre de personnes touchées par la prise de décision automatisée non conforme. Les systèmes d'IA qui traitent de grands volumes de décisions sans mesures de transparence adéquates présentent une exposition proportionnellement plus élevée.

Comparaisons fédérales et internationales

Les exigences de la Loi 25 en matière de prise de décision automatisée sont plus prescriptives que les principes généraux de responsabilisation de la LPRPDE. La LPRPDE exige que les organisations soient responsables des renseignements personnels sous leur contrôle, mais elle ne précise pas d'exigences de divulgation en matière de prise de décision automatisée comme le fait la loi québécoise sur la protection des renseignements personnels.

Le projet de loi C-27 et sa proposition de Loi sur la protection de la vie privée des consommateurs comprenaient des dispositions sur la prise de décision automatisée qui se seraient rapprochées davantage de l'approche de la Loi 25, exigeant des explications significatives et un mécanisme de révision pour les décisions ayant un effet significatif. Ce projet de loi est mort au feuilleton lors de la prorogation du Parlement, et la législation qui doit le remplacer demeure en discussion. Les organisations peuvent suivre l'état actuel du dossier sur le site Web législatif du Parlement du Canada.

Le cadre québécois sur la prise de décision automatisée anticipe l'orientation que devrait probablement prendre la réforme de la loi fédérale sur la protection des renseignements personnels. Les organisations qui mettent en œuvre la conformité dès maintenant se positionnent en avance des exigences réglementaires canadiennes plus larges, puisque les propositions fédérales antérieures reprenaient les normes québécoises d'explication significative et de révision humaine.

Les cadres internationaux comme le RGPD de l'Union européenne offrent, à certains égards, des droits plus larges de s'opposer à la prise de décision automatisée, mais l'exigence d'information significative de la Loi 25 est tout aussi précise quant à la qualité de l'explication requise. L'approche québécoise met l'accent sur la compréhension pratique pour la personne concernée plutôt que sur des droits procéduraux abstraits.

Pour les organisations canadiennes présentes dans plusieurs juridictions, la Loi 25 devient souvent la norme de conformité de facto, puisqu'elle est plus stricte que les autres lois provinciales sur la protection des renseignements personnels et que les exigences fédérales actuelles.

Bâtir des systèmes conformes à l'automatisation de la Loi 25

Les systèmes de prise de décision automatisée conformes exigent des capacités techniques précises. Les organisations ont besoin de plateformes d'IA capables de fournir des explications de décision, de maintenir des pistes de vérification et de faciliter une révision par une personne lorsque des individus contestent des résultats automatisés. Notre aperçu des exigences du CPCSC pour les outils d'IA couvre des normes d'approvisionnement connexes qui valent la peine d'être examinées en parallèle avec ce cadre.

La plateforme d'IA souveraine d'Augure répond à ces exigences grâce à des modèles conçus au Canada, pensés pour la conformité réglementaire québécoise. Augure maintient des pistes de vérification pour les décisions automatisées tout en offrant des capacités d'IA explicable visant à satisfaire les exigences d'information significative de la Loi 25.

Les principales exigences techniques comprennent :

• Des modèles d'IA explicables capables d'articuler la logique de décision dans un langage accessible • Des interfaces de supervision humaine pour réviser et infirmer les décisions automatisées • La journalisation d'audit qui documente les processus de prise de décision automatisée • Des contrôles de résidence des données qui maintiennent les systèmes de prise de décision automatisée dans la juridiction canadienne • Une architecture de protection dès la conception qui intègre les exigences de la Loi 25 dès le déploiement

Les systèmes d'IA en ligne exigent une attention particulière quant à la résidence des données. La prise de décision automatisée impliquant des renseignements personnels de résidents du Québec déclenche les règles de la Loi 25 sur le transfert transfrontalier, ce qui rend souvent les plateformes d'IA basées aux États-Unis plus difficiles à défendre sans travail contractuel et d'évaluation supplémentaire. Les équipes qui gèrent la documentation pour ces évaluations pourraient aussi trouver utile notre article sur l'outil de collaboration « Documentation EFVP ».

Construire des systèmes explicables est simple. Le défi, pour la plupart des organisations, réside dans le maintien de cette explicabilité à mesure que les modèles se réentraînent et évoluent — c'est là que repose vraiment la conformité continue.

Déploiement : évaluation, conception et exploitation

La conformité exige une mise en œuvre méthodique en trois phases : évaluation, conception et exploitation.

L'évaluation identifie tous les systèmes automatisés qui ont un effet significatif sur les personnes, évalue l'importance de ces effets et documente les capacités actuelles d'explication et de révision par une personne. De nombreuses organisations découvrent une empreinte de prise de décision automatisée plus étendue que prévu initialement — les outils de notation existants et les fonctionnalités fournies par des fournisseurs sont des angles morts fréquents.

La conception met en place des contrôles techniques et procéduraux pour assurer la transparence et la supervision humaine, et intègre les exigences de prise de décision automatisée aux politiques de protection des renseignements personnels et aux cadres de consentement. Les décisions d'architecture technique prises durant cette phase déterminent la durabilité de la conformité à long terme, puisqu'ajouter après coup l'explicabilité à un modèle « boîte noire » coûte bien plus cher que de la concevoir dès le départ.

L'exploitation maintient la conformité par la formation du personnel, la surveillance des systèmes et des audits réguliers des explications liées à la prise de décision automatisée. Les organisations ont besoin de processus pour mettre à jour les explications à mesure que les systèmes d'IA évoluent et pour traiter les demandes individuelles de révision par une personne. C'est aussi là que les plateformes de gouvernance justifient leur coût, puisque le suivi manuel de la fraîcheur des explications à travers des dizaines de modèles ne peut pas suivre le rythme.

Pour les organisations à la recherche de capacités d'IA souveraines canadiennes qui répondent aux exigences d'automatisation de la Loi 25, Augure offre une infrastructure hébergée au Canada, avec des capacités d'explicabilité et d'audit intégrées, conçue pour minimiser l'exposition transfrontalière inutile des données. Pour en savoir plus sur la conformité IA axée sur la souveraineté, visitez augureai.ca.