Évaluations des facteurs relatifs à la vie privée pour l'IA : un guide pour les assureurs

Les évaluations des facteurs relatifs à la vie privée (ÉFVP) sont obligatoires pour les compagnies d'assurance canadiennes qui mettent en œuvre des systèmes d'IA traitant des renseignements personnels. En vertu de l'annexe 1 de la LPRPDE, des articles 3.3 et 63.1 de la Loi 25, et de la ligne directrice E-23 du BSIF, les assureurs doivent évaluer les risques pour la vie privée avant tout déploiement.

Cette exigence s'applique aux outils d'IA utilisés pour la souscription, le traitement des réclamations, le service à la clientèle et la détection de fraude.

Les enjeux sont réels. Les sanctions pour non-conformité incluent des sanctions administratives pécuniaires pouvant atteindre 500 000 $ CA en vertu de la LPRPDE et des amendes pouvant aller jusqu'à 25 000 000 $ CA en vertu de la Loi 25.

Comprendre le cadre réglementaire

Les compagnies d'assurance canadiennes évoluent sous plusieurs régimes de protection de la vie privée qui se chevauchent. Les assureurs sous réglementation fédérale relèvent de la LPRPDE, tandis que les assureurs sous réglementation provinciale doivent se conformer à une législation provinciale substantiellement similaire — notamment la Loi 25 au Québec, qui s'applique à toute organisation traitant des renseignements personnels de résidents du Québec, peu importe où se trouve l'organisation.

Le BSIF ajoute une couche supplémentaire par le biais de sa ligne directrice E-23, qui exige des évaluations complètes des risques technologiques en vertu de la ligne directrice sur la gouvernance d'entreprise. Ces évaluations doivent inclure des considérations relatives à la vie privée, imposant de facto des ÉFVP pour les déploiements d'IA par les entités sous réglementation fédérale. Pour un examen plus approfondi de la façon dont les plateformes de gouvernance s'adaptent à cette règle, consultez notre guide sur les plateformes de gouvernance IA et la conformité à la Loi 25.

Les organisations doivent déterminer les fins auxquelles les renseignements personnels sont recueillis, au moment de la collecte ou avant celle-ci. Cela s'étend aux systèmes d'IA qui traitent des données existantes à de nouvelles fins — ce qui déclenche des exigences d'ÉFVP selon les lignes directrices du Commissariat à la protection de la vie privée du Canada sur l'IA et la vie privée.

Le Commissariat à la protection de la vie privée du Canada a été explicite dans ses directives : les systèmes d'IA qui prennent des décisions automatisées concernant des individus nécessitent une ÉFVP. Les algorithmes de tarification, les systèmes de triage des réclamations et les évaluations de risque des clients sont des exemples courants dans le secteur de l'assurance.

Déclencheurs propres à l'IA en assurance

Ce qui déclenche l'obligation de faire une ÉFVP, ce n'est pas la sophistication du système. C'est le risque pour la personne dont les données sont traitées.

Les compagnies d'assurance doivent réaliser une ÉFVP pour plusieurs catégories d'usage de l'IA.

Les systèmes de souscription et de tarification qui traitent des renseignements personnels sur la santé, des données financières ou des comportements. Cela inclut les modèles d'IA qui analysent les données des réseaux sociaux, les données télématiques ou les antécédents de crédit — toutes traitées comme des renseignements personnels sensibles.

L'automatisation du traitement des réclamations qui prend des décisions sur la validité d'une réclamation, les montants de règlement ou les priorités d'enquête. Même les systèmes assistés par IA qui formulent des recommandations à des évaluateurs humains nécessitent une évaluation en vertu des dispositions de la Loi 25 sur la prise de décision automatisée.

Les clavardages et assistants virtuels de service à la clientèle qui accèdent aux renseignements sur les polices, aux historiques de paiement ou aux détails personnels. Les fonctionnalités de mémoire persistante des systèmes d'IA modernes créent des considérations additionnelles en matière de vie privée concernant les limites d'utilisation, un sujet que nous abordons dans notre survol des exigences de notification en cas de fuite de données liée à l'IA au Canada.

Les algorithmes de détection de fraude qui font le profilage des clients, analysent les habitudes de transaction ou signalent des activités suspectes. Ces systèmes traitent souvent des renseignements personnels sensibles et prennent des décisions lourdes de conséquences, nécessitant des mesures de protection renforcées.

Pour les applications en assurance, le seuil de « préjudice important » est facilement atteint, compte tenu de la sensibilité des données d'assurance et de l'impact réel des décisions automatisées sur la couverture et la tarification.

La Loi 25 et les assureurs québécois

La Loi 25 du Québec impose des exigences d'ÉFVP plus strictes que la législation fédérale. En vertu des articles 3.3 et 63.1, toute organisation qui traite des renseignements personnels de résidents du Québec doit réaliser une ÉFVP pour tout nouveau système d'information ou toute nouvelle technologie mise en œuvre.

L'évaluation doit être complétée avant la mise en œuvre du système, et non pendant ou après. Cela crée des défis pratiques pour les assureurs qui pilotent des systèmes d'IA, puisque même des essais limités peuvent nécessiter une ÉFVP complète. Notre article complémentaire sur les outils d'IA conformes à la Loi 25 du Québec explique en détail les critères de sélection des fournisseurs.

L'article 63.1 de la Loi 25 exige une documentation précise, notamment :

• Les mesures de minimisation des données et la justification de leur nécessité
• Les mécanismes de consentement et les procédures de retrait
• Les modalités de résidence des données et de transfert transfrontalier
• Les périodes de conservation et les procédures de suppression
• Les mesures de sécurité et les protocoles de réponse aux incidents

La Commission d'accès à l'information du Québec a déclaré que les systèmes d'IA qui traitent des renseignements personnels de manière systématique requièrent une ÉFVP en vertu de la Loi 25, sans exception pour les projets pilotes ou les déploiements limités. La CAI peut imposer des sanctions administratives pécuniaires pouvant atteindre 25 000 000 $ CA pour les entreprises.

La CAI peut demander la documentation d'une ÉFVP à tout moment et a le pouvoir d'auditer sa mise en œuvre. La non-conformité entraîne des sanctions allant de 15 000 $ à 25 000 000 $ CA selon la taille de l'entreprise.

Bâtir une ÉFVP efficace

Une ÉFVP conforme pour les systèmes d'IA en assurance doit tenir compte de considérations techniques et opérationnelles précises, au-delà d'une évaluation standard de la vie privée.

La cartographie des flux de données devient complexe avec les systèmes d'IA qui peuvent accéder à de multiples bases de données, créer des ensembles de données dérivées ou partager des renseignements entre unités d'affaires. Chaque source de données, activité de traitement et destination de sortie doit être documentée.

Le glissement des finalités (« purpose creep ») est le risque silencieux ici.

L'analyse de la limitation des fins exige un examen attentif de la façon dont les systèmes d'IA pourraient utiliser les données au-delà des fins de collecte initiales. Les données d'assurance recueillies pour la souscription ne peuvent pas être réutilisées à des fins de marketing sans consentement supplémentaire.

L'évaluation de la prise de décision automatisée doit examiner l'importance juridique et pratique des résultats produits par l'IA. Les systèmes qui refusent une couverture, ajustent des primes ou signalent des réclamations pour enquête prennent vraisemblablement des décisions qui nécessitent des mesures de protection renforcées. Si vous êtes en train de mettre en place des flux de documentation pour cette étape, notre billet sur l'outil de collaboration pour la documentation des ÉFVP présente des modèles pratiques.

L'évaluation des risques liés aux tiers est essentielle, étant donné que la plupart des systèmes d'IA en assurance impliquent des fournisseurs externes, des services infonuagiques ou des sous-traitants. Chaque relation crée un risque pour la vie privée nécessitant une évaluation des mesures de protection des sous-traitants.

Les biais algorithmiques et l'équité occupent une place croissante dans les cadres d'ÉFVP. Bien que cela ne soit pas explicitement exigé par la loi canadienne actuelle sur la protection de la vie privée, documenter les efforts d'atténuation des biais démontre la bonne foi de l'organisation envers ses obligations en matière de droits de la personne.

Les plateformes d'IA souveraine

Le choix de la plateforme d'IA influence considérablement les résultats de l'ÉFVP et la posture de conformité. Les systèmes dont le traitement des données se fait à l'étranger, dont la résidence des données est incertaine ou dont les relations avec les fournisseurs sont complexes créent des risques pour la vie privée qui nécessitent une atténuation importante.

L'architecture d'IA souveraine d'Augure répond d'emblée à plusieurs préoccupations courantes en matière d'ÉFVP, grâce à la résidence canadienne des données et à l'absence de propriété d'entreprise étrangère. Cela réduit la portée des évaluations de risque exigées tant par la LPRPDE que par les dispositions de la Loi 25 sur les transferts transfrontaliers.

La documentation de la résidence des données devient simple lorsque la plateforme garantit une infrastructure canadienne. Cela élimine l'analyse complexe des transferts transfrontaliers et l'évaluation de l'exposition au droit étranger requises pour les fournisseurs infonuagiques basés aux États-Unis.

L'évaluation des risques liés aux tiers se simplifie également avec des plateformes qui n'impliquent pas de sociétés mères américaines, d'investisseurs étrangers ou de relations avec des fournisseurs assujettis à des lois d'accès de gouvernements étrangers.

Les mesures de conservation et de suppression sont plus faciles à mettre en œuvre et à vérifier avec des plateformes qui offrent un contrôle direct sur la gestion du cycle de vie des données, plutôt que de dépendre de fournisseurs infonuagiques étrangers soumis à des obligations juridiques contradictoires. Les assureurs qui évaluent leurs exigences d'approvisionnement peuvent aussi consulter notre résumé des exigences du CPCSC pour les outils d'IA en parallèle de leur processus d'ÉFVP.

Les compagnies d'assurance qui utilisent des plateformes d'IA souveraine comme Augure peuvent concentrer leurs efforts d'ÉFVP sur les risques liés aux processus d'affaires plutôt que sur les enjeux d'infrastructure technique, ce qui donne lieu à une protection de la vie privée mieux ciblée.

Les fonctionnalités de mémoire persistante et de base de connaissances des plateformes d'IA modernes nécessitent une attention particulière dans l'ÉFVP. Ces capacités peuvent améliorer le service à la clientèle tout en créant de nouveaux risques pour la vie privée qui doivent être documentés et gérés.

Erreurs fréquentes

Plusieurs compagnies d'assurance abordent les ÉFVP pour l'IA comme de simples formalités à cocher plutôt que comme de véritables évaluations de risque. Cela crée des vulnérabilités en matière de conformité et des problèmes opérationnels.

Réaliser l'ÉFVP après le déploiement du système. Cela viole l'exigence fondamentale d'une évaluation préalable. Les ÉFVP rétroactives ne peuvent pas répondre aux attentes réglementaires et peuvent nécessiter des modifications du système, voire son retrait.

Sous-estimer les impacts de la prise de décision automatisée entraîne des mesures de protection inadéquates. Les systèmes d'IA en assurance prennent souvent des décisions lourdes de conséquences, même lorsqu'ils sont présentés comme de simples outils consultatifs.

Les fournisseurs vous diront que l'outil « ne fait qu'assister » un évaluateur humain. Les organismes de réglementation n'acceptent pas cette présentation lorsque la recommandation de l'IA est suivie dans l'immense majorité des cas, ce qui explique pourquoi les résultats dérivés méritent tout autant d'attention que les données originales qui alimentent le modèle.

Ignorer les données dérivées et les inférences générées par les systèmes d'IA. Ces résultats constituent souvent de nouveaux renseignements personnels nécessitant une protection équivalente à celle des données sources.

Ne pas tenir compte de l'évolution des systèmes d'IA au fil des mises à jour de modèles, des changements dans les données d'entraînement ou de l'élargissement des cas d'usage. Les ÉFVP doivent prévoir une évolution raisonnable du système ou établir des déclencheurs clairs pour une mise à jour.

Une évaluation inadéquate des fournisseurs tiers, particulièrement en ce qui concerne les lieux de traitement des données, les droits d'accès gouvernementaux et les ententes avec les sous-traitants.

Le Commissariat à la protection de la vie privée a indiqué qu'une ÉFVP superficielle ou inadéquate peut être pire que l'absence totale d'ÉFVP, puisqu'elle démontre une conscience des obligations en matière de vie privée sans effort réel de conformité.

Conformité continue et mises à jour

Les ÉFVP ne sont pas des exercices ponctuels.

Les compagnies d'assurance doivent mettre en place des processus pour actualiser leurs évaluations à mesure que les systèmes d'IA évoluent, s'élargissent ou s'intègrent à de nouvelles sources de données.

Les déclencheurs liés aux mises à jour de modèle devraient exiger un réexamen de l'ÉFVP lorsque les données d'entraînement changent de façon importante, que de nouveaux types de données sont intégrés, ou que les algorithmes de prise de décision sont modifiés.

L'élargissement des cas d'usage déclenche automatiquement une mise à jour de l'ÉFVP lorsque les systèmes d'IA sont déployés à de nouvelles fins, auprès de segments de clientèle différents, ou dans d'autres unités d'affaires.

La veille réglementaire permet de s'assurer que les ÉFVP reflètent les exigences légales en vigueur à mesure que les lois sur la vie privée évoluent, particulièrement compte tenu des modifications continues apportées aux législations fédérales et provinciales. Il vaut la peine de consulter directement les ressources du Bureau du surintendant des institutions financières à ce sujet, puisque les attentes énoncées dans la ligne directrice E-23 continuent d'évoluer parallèlement à l'adoption de l'IA.

L'intégration à la réponse aux incidents relie les atteintes à la vie privée devant être déclarées, les plaintes de clients ou les constats d'audit aux hypothèses et aux mesures d'atténuation de l'ÉFVP.

Les compagnies d'assurance qui déploient l'IA ont besoin, dès le départ, de cadres solides de conformité en matière de protection de la vie privée. Des ÉFVP efficaces exigent une compréhension à la fois des capacités techniques et des obligations juridiques applicables aux échelons fédéral et provincial. Augure conçoit des solutions d'IA souveraine pensées en fonction de ces exigences canadiennes de conformité — pour en savoir plus, visitez augureai.ca.