PHIPA et outils d'IA : ce que les fournisseurs de soins de santé ontariens doivent maintenant vérifier

La Commissaire à l'information et à la protection de la vie privée de l'Ontario n'a rendu aucune décision spécifique à l'IA en vertu de la Loi sur la protection des renseignements personnels sur la santé depuis l'ouverture du dossier IA du bureau en 2023. Ce silence est en soi une nouvelle. Les cliniques, les hôpitaux et les plateformes de soins virtuels achètent des outils d'IA de transcription, des clavardeurs de triage et des outils de documentation clinique plus vite que les régulateurs ne produisent de lignes directrices. Les obligations qui existent viennent de dispositions rédigées avant que quiconque à Queen's Park ait entendu parler de « grand modèle de langage ». Pour un fournisseur d'IA canadien ou un dépositaire de soins de santé qui cherche à savoir ce qui s'applique, la réponse est brutale : de vieilles règles, appliquées à la lettre, à de nouveaux logiciels.

Ce que la PHIPA exige réellement

La PHIPA régit la façon dont les dépositaires de renseignements sur la santé — hôpitaux, médecins, pharmacies, agences de soins à domicile — recueillent, utilisent et divulguent des renseignements personnels sur la santé en Ontario. Elle ne comporte aucun chapitre sur l'intelligence artificielle. Elle contient toutefois une définition d'« agent » suffisamment large pour englober tout tiers qu'un dépositaire mandate pour traiter des RPS en son nom, y compris une entreprise de logiciels.

Les dépositaires répondent de la façon dont leurs agents traitent cette information, et la PHIPA exige que cela soit consigné par écrit, dans ce que la CIPVP appelle une entente d'agent. Cette entente doit préciser ce que l'agent peut faire avec les données, combien de temps il les conserve, si elles peuvent être utilisées au-delà de la finalité déclarée, et ce qui se passe en cas d'atteinte. Un fournisseur d'IA qui ingère des notes cliniques pour générer un résumé est un agent au sens de ce cadre, que sa documentation marketing utilise ce mot ou non. Les lignes directrices de la CIPVP sur les fournisseurs de services électroniques, dont la dernière mise à jour substantielle remonte à 2020, précèdent entièrement l'IA générative, mais elles restent citées par le bureau de la Commissaire comme la norme applicable.

Le consentement est l'autre point de tension. La PHIPA fonctionne sur la base du consentement implicite pour le « cercle de soins », c'est-à-dire les cliniciens et le personnel directement impliqués dans le traitement d'un patient. Tout ce qui se trouve hors de ce cercle, y compris un fournisseur d'IA tiers dont les frontières sont plus floues que celles du dossier médical électronique interne d'un hôpital, peut exiger un examen plus rigoureux pour déterminer si le consentement implicite tient toujours. Un fournisseur de clavardeur qui utilise aussi les journaux de conversation pour améliorer son modèle fait quelque chose que la plupart des patients n'ont jamais accepté et que la plupart des dépositaires n'ont jamais divulgué.

La question transfrontalière que personne ne posait il y a cinq ans

Rien de tout cela n'était urgent quand le logiciel en question était un système de prise de rendez-vous sur un serveur à Mississauga. C'est devenu urgent le jour où les dépositaires de soins de santé ont commencé à intégrer des outils d'IA de transcription et de résumé dans des flux de travail où le modèle sous-jacent tourne sur une infrastructure dans un autre pays.

La PHIPA n'interdit pas catégoriquement le stockage ou le traitement de RPS hors de l'Ontario. Elle exige que le dépositaire sache où vont les données, qu'il divulgue cette information dans ses propres pratiques d'information, et qu'il puisse justifier l'arrangement si on le lui demande. Un dépositaire qui utilise un fournisseur d'IA dont le siège social est aux États-Unis n'est pas automatiquement en infraction, mais il a des devoirs à faire. Cela signifie comprendre si le fournisseur est assujetti au CLOUD Act américain, qui donne aux autorités américaines une voie légale pour exiger des données auprès de fournisseurs relevant de la juridiction américaine, et divulguer cette exposition aux patients en langage clair plutôt que de l'enterrer dans une liste de sous-traitants que personne ne lit.

C'est là que le marché a commencé à se scinder. Certains fournisseurs se tournent vers une plateforme d'IA canadienne précisément pour contourner la question transfrontalière plutôt que de la gérer par de la paperasse. Augure, un fournisseur d'IA canadien, stocke les données des clients au Canada, comme l'exige la réglementation canadienne sur la protection des renseignements personnels, et exécute l'inférence sur une infrastructure canadienne pour certains niveaux de modèles, avec des partenaires européens vérifiés sous ententes de zéro rétention de données pour gérer d'autres niveaux et les bascules de secours. L'inférence n'est jamais acheminée vers des fournisseurs situés aux États-Unis. Comme Augure n'a ni société mère américaine ni investisseurs américains, les conversations, les documents et l'inférence IA des clients ne sont jamais traités par un fournisseur relevant de la juridiction américaine, de sorte que la portée du CLOUD Act sur les fournisseurs contrôlés par les États-Unis ne s'étend pas à ce contenu client. Le traitement des paiements et l'acheminement des courriels touchent tout de même des fournisseurs basés aux États-Unis, ce qui est divulgué dans la politique de confidentialité de l'entreprise — le genre d'aveu détaillé qu'un dépositaire devrait rechercher chez n'importe quel fournisseur, pas seulement celui-ci. Choisir une infrastructure canadienne est une option parmi un nombre croissant qu'un acheteur du secteur de la santé pourrait évaluer. Cela ne fait pas disparaître l'analyse PHIPA sous-jacente. Un dépositaire doit quand même faire le travail lié à l'entente d'agent, peu importe où se trouve le siège social du fournisseur.

La Loi 25 du Québec a une longueur d'avance sur l'Ontario

Un élément à noter pour toute organisation qui opère dans plusieurs provinces : la Loi 25 du Québec a déjà forcé une version de cette remise en question que l'Ontario n'a pas encore connue. La loi exige que les organisations réalisent une évaluation des facteurs relatifs à la vie privée avant de transférer des renseignements personnels hors du Québec, en soupesant si la juridiction de destination offre une protection adéquate.

Les dépositaires de soins de santé ontariens ne font face à aucun test législatif identique, mais la CIPVP a signalé, dans ses commentaires entourant son rapport annuel 2023-2024, qu'elle observe l'approche québécoise comme un modèle possible. Un réseau hospitalier qui exploite des outils d'IA dans les deux provinces se trouve déjà, en pratique, soumis à la norme la plus stricte, puisqu'il n'est pas réaliste de bâtir deux régimes distincts de traitement des données pour un seul logiciel. C'est devenu, discrètement, un argument en faveur du choix d'une infrastructure qui satisfait d'abord la juridiction la plus exigeante. Une évaluation de transfert de type Loi 25 doit énoncer clairement quels flux existent — l'inférence en Europe pour certains niveaux de modèles et pendant les bascules de secours, ainsi qu'un traitement limité aux États-Unis pour les réseaux de cartes de paiement et l'acheminement des courriels — pas simplement affirmer que les données restent « au Canada » comme argument marketing.

Le rapport annuel 2023-2024 de la CIPVP l'a dit directement : l'absence de règles propres à l'IA sous la PHIPA ne signifie pas l'absence d'obligations. Les dépositaires sont renvoyés aux exigences existantes en matière de consentement et d'entente d'agent, et non à la promesse d'une nouvelle législation.

C'est l'approvisionnement, pas les tribunaux, qui tranche

Aucun tribunal ontarien ne s'est prononcé sur la conformité PHIPA d'un outil d'IA, et la CIPVP n'a émis aucune ordonnance contre un fournisseur d'IA en particulier. Le mécanisme d'application pratique en ce moment, c'est l'approvisionnement. Les responsables de la protection de la vie privée des hôpitaux et les administrateurs de cliniques posent des questions pointues aux fournisseurs avant de signer. Les régulateurs, eux, vérifient après coup — quand ils le font.

Les questions qui reviennent constamment dans les appels d'offres des réseaux de santé ontariens, selon deux consultants en approvisionnement qui travaillent avec des cliniques de taille moyenne, se regroupent autour d'une courte liste. Où les données sont-elles stockées, précisément? Une partie sert-elle à entraîner les modèles du fournisseur? Que dit vraiment la liste des sous-traitants, au-delà de la page marketing? Existe-t-il une entente d'agent signée, au sens de la PHIPA, ou de simples conditions d'utilisation génériques de type infonuagique qui ne mentionnent jamais les dépositaires de renseignements sur la santé par leur nom?

Un dépositaire qui évalue un outil d'IA, canadien ou non, voudrait raisonnablement obtenir, par écrit :

• Une confirmation écrite de l'endroit où les données sont stockées et de l'endroit où l'inférence s'exécute réellement, y compris les flux transfrontaliers en cas de bascule de secours
• Un engagement précis quant à savoir si les données des patients ou des clients servent à entraîner les modèles du fournisseur
• Une entente d'agent ou l'équivalent qui nomme explicitement les obligations de la PHIPA, et non une simple politique de confidentialité générique
• Une liste de sous-traitants assez à jour pour refléter ce que le fournisseur utilise ce trimestre-ci, pas l'an dernier

Rien de tout cela n'est exotique. C'est proche de la diligence raisonnable qu'un hôpital effectue déjà pour un fournisseur de dossiers médicaux électroniques, étendue à l'IA générative — une catégorie que bien des équipes d'approvisionnement traitent encore comme une nouveauté plutôt que comme de l'infrastructure.

Ce que les fournisseurs offrent réellement

La réponse du marché a été inégale. Certains fournisseurs d'IA au service du secteur de la santé canadien ont ajouté un langage PHIPA et Loi 25 à leur documentation de conformité. D'autres continuent de livrer des conditions d'utilisation génériques rédigées aux États-Unis et s'attendent à ce que les clients canadiens réconcilient eux-mêmes l'écart.

Une poignée de plateformes d'IA canadiennes, dont Augure, ont intégré la résidence des données et la structure des ententes de fournisseur dans leur offre par défaut plutôt que comme un ajout sur mesure. Cela raccourcit la conversation d'approvisionnement, mais ne l'élimine pas. La documentation d'Augure (augureai.ca) précise que les données des clients ne servent jamais à entraîner ses modèles, un engagement précis qu'une politique de confidentialité générique laisse habituellement flou. Un dépositaire doit quand même lire l'entente, confirmer la liste des sous-traitants, et décider lui-même si l'arrangement satisfait ses propres obligations en vertu de la PHIPA. Aucune architecture de fournisseur ne peut prendre cette décision à la place d'un client, peu importe ce que laisse entendre la présentation commerciale.

La PHIPA, la Loi 25 et la LPRPDE, là où elle touche encore les volets de compétence fédérale d'une organisation de santé, ne deviendront pas plus simples dans les dix-huit prochains mois. La CIPVP n'a donné aucun échéancier public pour des lignes directrices propres à l'IA. Les dépositaires qui prennent des décisions d'approvisionnement maintenant appliquent un langage législatif vieux de dix ans à des outils construits au cours des deux dernières années. Certains parient qu'un bon partenaire d'infrastructure rend cette transposition plus facile plutôt que plus compliquée.