PIPEDA et IA : 5 erreurs que les équipes de télécom canadiennes continuent de commettre

Le Commissariat à la protection de la vie privée du Canada a enregistré 445 déclarations d'atteinte à la vie privée provenant du secteur des télécommunications entre 2022 et 2024, soit plus que presque tous les autres secteurs suivis dans ses rapports annuels au Parlement. Une part grandissante de ces incidents ne proviennent pas de pirates informatiques, mais d'outils tiers — agents conversationnels, systèmes de résumé d'appels, plateformes d'analyse réseau — que les équipes de télécom ont branchés aux données clients sans avoir pleinement cartographié où ces données aboutissaient. Alors que les entreprises de télécommunications adoptent l'IA générative pour le service à la clientèle, la détection de fraude et les opérations réseau, les outils d'IA canadiens suscitent un regain d'intérêt, en grande partie parce que la conformité à la LPRPDE devient plus difficile, pas plus facile, dès qu'un fournisseur d'IA s'ajoute à la pile technologique.

Cinq erreurs reviennent sans cesse dans les déclarations d'atteinte, les conclusions du CPVP et les conversations avec les responsables de la vie privée en télécom. Aucune n'est exotique. Toutes sont évitables.

Traiter les données d'appels désidentifiées comme exemptées

Les réseaux de télécommunications génèrent des registres détaillés d'appels, des données de localisation et des métadonnées de facturation à un volume qu'aucun autre secteur n'égale. Une hypothèse répandue au sein des équipes d'opérations réseau veut que le retrait du nom d'un abonné suffise à satisfaire les exigences de consentement de la LPRPDE. Ce n'est pas le cas, du moins pas automatiquement.

Les lignes directrices du CPVP sur la désidentification précisent que le risque de réidentification dépend de la taille d'un ensemble de données, de sa granularité, et de ce avec quoi il pourrait être combiné. Une trace de localisation associée à un identifiant d'appareil, horodatée toutes les quelques minutes, peut souvent être réidentifiée en la croisant avec des registres publics ou un second ensemble de données — quelque chose que les outils d'analyse pilotés par IA font particulièrement bien. Plusieurs plaintes en matière de vie privée dans le secteur des télécommunications examinées par le CPVP ont porté précisément sur ce point : des données que l'entreprise considérait comme anonymisées constituaient toujours, selon l'évaluation du Commissariat, des renseignements personnels au sens de la Loi.

Présumer que la politique de confidentialité du fournisseur couvre le déploiement

Une entreprise de télécom qui concède sous licence un outil de résumé par IA pour les transcriptions de son centre d'appels demeure l'organisation responsable de ces données en vertu du principe de responsabilisation de la LPRPDE. La politique de confidentialité du fournisseur ne transfère pas cette responsabilité, peu importe à quel point son libellé se veut rassurant.

Cet élément passe constamment entre les mailles du filet parce que l'approvisionnement et le service juridique révisent le contrat du fournisseur, mais personne ne confirme séparément où l'inférence s'exécute réellement, qui sont les sous-traitants, ou si les conversations avec les clients servent à entraîner les modèles du fournisseur. Un nombre surprenant d'outils de clavardage et d'analyse par IA utilisés par les centres d'appels sont des produits en marque blanche construits sur des modèles fondamentaux américains, dont le traitement des données s'effectue sur une infrastructure que l'entreprise de télécom n'a jamais directement examinée. Le principe de responsabilisation de la LPRPDE exige de connaître cette chaîne, pas de présumer de son existence.

Ignorer la question des transferts transfrontaliers jusqu'à ce que le Québec l'impose

Les entreprises de télécom comptant des abonnés québécois effectuent de plus en plus des évaluations des facteurs relatifs à la vie privée en vertu de la Loi 25 avant d'envoyer des renseignements personnels à l'extérieur de la province, puisque l'article 17 exige une évaluation visant à déterminer si le cadre juridique de la destination offre une protection équivalente à celle du Québec. L'erreur consiste à faire cette analyse uniquement pour le Québec, en laissant de côté le principe comparable — quoique moins prescriptif — de responsabilisation pour les transferts prévu par la LPRPDE partout ailleurs au Canada.

« Une organisation demeure responsable des renseignements personnels confiés à un tiers », affirme le CPVP dans ses lignes directrices sur le traitement des données personnelles au-delà des frontières, ajoutant que les garanties contractuelles n'éliminent pas cette responsabilité.

Cette phrase est citée dans presque toutes les décisions d'application de la LPRPDE touchant à l'impartition. Pour les équipes de télécom qui font transiter des données clients par des outils d'IA hébergés hors du Canada, cela signifie qu'un contrat de fournisseur ne suffit pas, à lui seul, à satisfaire l'obligation. Il faut documenter quelque part où les données se trouvent physiquement et sous quel régime juridique.

Une poignée de plateformes d'IA canadiennes, dont Augure, présentent désormais la résidence des données comme une réponse directe à cette lacune précise. La documentation d'Augure décrit des données clients stockées au Canada, une inférence IA exécutée sur une infrastructure canadienne ou avec des partenaires européens vérifiés sous des ententes de non-rétention, et un contenu client qui n'est jamais traité par des fournisseurs de juridiction américaine — bien que cette même documentation précise que le traitement des paiements et l'acheminement des courriels touchent toujours des réseaux basés aux États-Unis, point où les prétentions de la plupart des fournisseurs cessent discrètement de tenir la route. Ce cadrage importe spécifiquement pour les équipes de conformité en télécom parce qu'il transforme une question d'analyse juridique en une question de documentation, ce qui est considérablement plus facile à répondre lors d'un audit.

Sous-estimer ce que les métadonnées réseau révèlent une fois agrégées par l'IA

Pris individuellement, un seul registre d'appel ou un seul signal de tour cellulaire ne révèle que très peu de choses à un responsable de la vie privée. Agrégées sur plusieurs mois et passées dans un modèle de regroupement, ces mêmes données peuvent révéler l'adresse domiciliaire d'un abonné, son lieu de travail, ses pratiques religieuses et ses schémas relationnels — le type d'inférence que la Cour suprême a abordé dans R. c. Spencer, qui a établi que les renseignements d'abonné liés à une activité Internet comportent une attente raisonnable de vie privée même lorsque les données individuelles semblent anodines.

Les équipes d'IA en télécom qui construisent des modèles de prédiction de l'attrition ou d'optimisation de réseau intègrent régulièrement exactement ce type de métadonnées agrégées. L'erreur consiste à évaluer le risque pour la vie privée au niveau du champ de données individuel plutôt qu'au niveau de ce que le modèle peut inférer une fois entraîné. Une enquête du CPVP ne s'arrête pas à demander quelles données ont été saisies. Elle demande ce que le système est capable de déterminer.

Trois questions reviennent dans presque toutes les enquêtes du CPVP en télécom touchant aux systèmes d'IA :

• Un consentement valable a-t-il été obtenu pour cet usage précis, ou seulement pour la facturation et la prestation de services?
• L'inférence produite par le modèle d'IA peut-elle être considérée comme une nouvelle catégorie de renseignements personnels nécessitant son propre fondement de consentement?
• Qui a accès aux résultats du modèle, et cet accès est-il plus restreint que l'accès aux données brutes?

Peu de déploiements d'IA en télécom peuvent répondre proprement aux trois questions du premier coup.

Déployer de l'IA fantôme dans des rôles en contact avec la clientèle

La dernière erreur est organisationnelle plutôt que technique. Des équipes de service à la clientèle sous pression pour réduire le temps de traitement moyen ont, dans plusieurs cas documentés, adopté des outils de clavardage IA de qualité grand public — les versions gratuites et publiques — pour rédiger des réponses ou résumer des plaintes, sans que la vie privée ou le service juridique n'ait jamais approuvé l'outil. Les détails des abonnés, les numéros de compte et parfois même les renseignements de paiement finissent par être collés dans une fenêtre de clavardage régie par une politique de confidentialité que personne dans l'entreprise n'a lue.

Ce n'est pas hypothétique. Le Barreau du Haut-Canada a publié une note de pratique en 2024 mettant en garde ses membres contre exactement ce type de comportement avec les outils d'IA publics, et cet avertissement s'applique tout aussi fortement aux opérations de service à la clientèle en télécom, qui traitent des volumes comparables de renseignements personnels sensibles. Le principe de protection de la LPRPDE exige des mesures techniques et organisationnelles proportionnelles à la sensibilité des renseignements. Un outil d'IA non approuvé, non audité, utilisé via un compte grand public gratuit, ne répond à aucun de ces deux critères.

L'IA canadienne comme filtre d'approvisionnement, pas comme garantie de conformité

Rien de tout cela ne signifie que passer à une plateforme d'IA canadienne règle la conformité à la LPRPDE d'un seul coup. La responsabilisation à l'égard des renseignements personnels incombe à l'entreprise de télécom, peu importe le fournisseur choisi, et aucune plateforme — souveraine ou non — ne peut promettre un résultat réglementaire précis.

Ce qu'une plateforme d'IA canadienne peut faire, c'est réduire la portée de l'analyse transfrontalière exigée à la fois par le principe de responsabilisation de la LPRPDE et par la Loi 25 du Québec. Augure, par exemple, documente que les données clients sont stockées au Canada, que l'inférence IA s'exécute sur une infrastructure canadienne ou avec des partenaires européens sous des conditions de non-rétention selon le palier de modèle, et que le contenu client n'est jamais traité par des fournisseurs de juridiction américaine — une affirmation qui compte parce qu'elle garde cette catégorie précise de données hors de portée du CLOUD Act, même si cette même documentation précise que l'acheminement des courriels et le traitement des paiements par carte reposent toujours sur des réseaux américains. Pour un responsable de la vie privée en télécom qui bâtit un registre des activités de traitement, avoir cette réponse documentée plutôt qu'à déduire d'une entente SaaS générique fait économiser un temps d'audit considérable.

Les entreprises de télécom qui évaluent des outils d'IA en 2026 ne choisissent pas entre la conformité et l'absence de conformité. Elles choisissent quelle part de l'analyse transfrontalière et de responsabilisation elles veulent faire elles-mêmes, par rapport à ce que l'architecture même d'un fournisseur a déjà réglé. La documentation d'Augure est un endroit où voir à quoi ressemble cette réponse lorsqu'un fournisseur la met par écrit plutôt que de la laisser à un appel de vente.