Mémoire du Commissariat à la protection de la vie privée du Canada sur le document de travail Soutenir la confiance envers l’intelligence artificielle grâce à une transparence accrue

Le 23 septembre 2026

Sébastien Lauzier
Directeur, Direction de la politique de l’intelligence artificielle et des données
Direction générale des politiques-cadres du marché
Innovation, Sciences et Développement économique Canada
235, rue Queen
Ottawa (Ontario)  K1A 0H5

Objet : Mémoire du Commissariat à la protection de la vie privée du Canada sur le document de travail Soutenir la confiance envers l’intelligence artificielle grâce à une transparence accrue

Monsieur le Directeur,

Je vous remercie de nous donner l’occasion de vous faire part de nos observations sur le document de travail intitulé « Soutenir la confiance envers l’intelligence artificielle grâce à une transparence accrue ».

Comme vous l’indiquez à juste titre dans le document, une plus grande transparence peut « favoriser des comportements de consommation éclairés, inspirer confiance, soutenir l’expérimentation, la recherche et l’innovation, et renforcer une concurrence équitable entre les entreprises ». Cela correspond au message clé de la Déclaration dans le cadre de la Table ronde des autorités de protection des données et de la vie privée du G7 de 2025 ^{Note de bas de page 1} : « Lorsque les individus ont l’assurance que leurs données sont protégées et utilisées de façon licite et responsable, ils peuvent accorder leur confiance; cette dernière est nécessaire pour que l’innovation soit adoptée. » Pour exploiter les avantages potentiels de l’IA, il est essentiel de gagner la confiance du public, et c’est notamment en faisant preuve de transparence que le gouvernement y parviendra.

Dans cette optique, le Commissariat tient d’abord à souligner l’importance que porte le gouvernement à la question de la transparence en matière d’IA. De plus, il est d’accord avec les cinq domaines où des enjeux de transparence se posent. S’attaquer à ces domaines constituera une étape importante pour garantir et promouvoir une innovation responsable.

Commentaire général – Intelligibilité

Pour mettre cette réponse en perspective, nous proposons une observation concernant la signification du terme « disponibilité » dans le contexte de la transparence de l’IA. Dans la section « Contexte » du document de travail, il est précisé que « [a]u sens large, la transparence renvoie à la disponibilité d’information sur les systèmes d’IA ». L’objectif en matière de transparence énoncé dans le document ne peut être atteint que si, en plus d’être disponibles, les renseignements sur les systèmes d’IA sont compréhensibles et accessibles aux moments où ils peuvent orienter la prise de décisions d’un individu.

Par exemple, la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) prévoit que, pour que le consentement soit valable, les fins d’une organisation doivent être « énoncées de façon que la personne puisse raisonnablement comprendre » (principe 4.3.2), et que le consentement n’est valable que si l’individu peut comprendre « la nature, les fins et les conséquences » du traitement des renseignements (article 6.1). Ces dispositions démontrent que la transparence ne se limite pas à la mise à disposition des renseignements. Il faut également déterminer si ces derniers sont présentés d’une manière qui permet aux individus de comprendre les pratiques pertinentes et de prendre des décisions éclairées.

Le document de travail reconnaît adéquatement les facteurs à prendre en considération relativement à l’accessibilité et à l’intelligibilité. Néanmoins, il pourrait être pertinent que la mise à disposition des renseignements nécessaires à une prise de décisions éclairées dans un format et à un moment qui permettent aux individus de comprendre et d’utiliser ces renseignements soit un objectif pour les prochains travaux sur la transparence de l’IA.

Réponses

Nos autres commentaires visent à répondre à des questions précises liées aux cinq domaines énoncés dans le document de travail qui peuvent soulever des problèmes de transparence et pour lesquels le gouvernement cherche à déterminer s’il doit prendre des mesures et, le cas échéant, quelles mesures sont nécessaires.

Nous serons heureux de donner des précisions sur les renseignements fournis ou de répondre à vos questions lors de discussions futures.

Contenu généré par l’IA

Dans quelles circonstances et pour quels types de contenu est-il le plus important de savoir si quelque chose a été créé ou modifié par l’IA?

Une grande partie de la section du document de travail sur le contenu généré par l’IA porte sur l’amélioration de la capacité des individus à déterminer si le contenu qu’ils voient en ligne est généré par l’IA, l’objectif étant d’aider les individus à prendre des décisions appropriées et à réduire leur risque de subir des préjudices (comme la tromperie par la mésinformation ou la désinformation, la fraude, etc.). Il s’agit d’une question pertinente, mais cette dernière peut minimiser les avantages potentiels pour les individus qui font l’objet du contenu généré par l’IA.

Par exemple, une organisation qui prend une décision au sujet d’un individu peut être moins susceptible de se fier à du contenu synthétique inexact s’il est clairement étiqueté comme tel. La Loi visant à protéger la vie privée et les données des consommateurs proposée dans le projet de loi C-36 établirait des mécanismes pour permettre aux individus de mieux contrôler leurs renseignements personnels en ligne, y compris le contenu synthétique, notamment en leur accordant un droit à la suppression. La transparence de l’IA s’ajouterait à cette mesure, atténuant ainsi davantage les préjudices potentiels.

En reconnaissant que la transparence en ce qui concerne le contenu généré par l’IA peut permettre de donner aux individus qui reçoivent ou voient ce contenu les moyens d’agir et de protéger ceux qui en sont les sujets, on peut renforcer les approches gouvernementales futures en matière de transparence de l’IA.

Qui, dans la chaîne de valeur, devrait être responsable d’assurer la transparence quant au contenu généré par l’IA?

Bien que nous reconnaissions que la transparence de l’IA devrait être une responsabilité partagée, les autorités de protection des données ont accordé une attention particulière au rôle en matière de transparence que jouent à la fois les organisations qui conçoivent et utilisent des technologies d’IA générative. En février 2026, 66 autorités de protection des données ont signé la Déclaration commune sur la protection de la vie privée et les images générées par l’intelligence artificielle^{Note de bas de page 2}, qui a défini les principes fondamentaux que devraient suivre toutes les organisations qui conçoivent et utilisent des systèmes de génération de contenu fondés sur l’IA. En ce qui concerne la transparence de l’IA, les principes sont les suivants :

• Assurer une réelle transparence au sujet des capacités, des mesures de protection et des utilisations acceptables des systèmes d’IA, et des conséquences de leur utilisation abusive;
• Fournir aux individus des mécanismes efficaces et accessibles pour demander le retrait du contenu nuisible contenant des renseignements personnels et donner rapidement suite à de telles demandes;
• Atténuer les risques propres aux enfants en mettant en œuvre des mesures de protection renforcées et en fournissant aux enfants, aux parents, aux tuteurs et aux éducateurs des renseignements clairs et adaptés à l’âge.

Interaction avec l’IA

Dans quelles circonstances et pourquoi est-il important de savoir que vous interagissez avec un système d’IA?

Du point de vue de la protection de la vie privée, il y a deux situations où il est particulièrement important que les individus sachent qu’ils interagissent avec un système d’IA.

D’une part, les individus devraient être avisés lorsque les organisations utilisent des systèmes décisionnels automatisés pour faire des prédictions, formuler des recommandations ou prendre des décisions importantes à leur sujet. Ils doivent en être avisés pour comprendre comment les décisions qui les concernent sont prises et, au besoin, utiliser les mécanismes de recours appropriés (par exemple, demander des explications ou présenter des observations en faveur d’un examen de la décision). Le Commissariat note que la Loi visant à protéger la vie privée et les données des consommateurs, qui est proposée, prévoirait certains mécanismes de transparence et de recours dans ce contexte.

D’autre part, les individus devraient savoir quand leurs renseignements personnels sont recueillis ou utilisés par un système d’IA. Comme le souligne le document de travail, il s’agit notamment des situations où un système d’IA, notamment un robot conversationnel alimenté par l’IA, s’adresse directement à un individu et des situations où des technologies fondées sur l’IA recueillent des renseignements au sujet des individus sans que ceux-ci interagissent directement avec les technologies. Dans de telles circonstances, les répercussions sur la vie privée peuvent être particulièrement importantes, car un individu peut ne pas réellement pouvoir éviter la collecte ou l’utilisation de ses renseignements. La transparence dans ces cas d’usage peut néanmoins fournir aux individus des renseignements importants sur la manière dont leurs renseignements personnels sont recueillis et utilisés, et leur donner l’occasion, dans la mesure du possible, d’exercer leur droit à la vie privée.

Quels facteurs déterminent si une divulgation de l’utilisation de l’IA est utile et efficace pour l’utilisateur?

Comme l’indique le document de travail, « la transparence des interactions avec l’IA peut permettre aux Canadiens de prendre des décisions plus éclairées quant aux circonstances et aux modalités de leurs interactions avec l’IA ». La transparence est également nécessaire lorsqu’il est question de l’obtention d’un consentement valable pour le traitement des renseignements personnels, car les individus doivent comprendre ce à quoi ils consentent.

Dans cette optique, les Lignes directrices pour l’obtention d’un consentement valable^{Note de bas de page 3} du Commissariat pourront orienter tout travail à venir sur la transparence des interactions avec l’IA. Dans ce document, le Commissariat définit les quatre éléments clés sur lesquels il faut généralement mettre davantage l’accent : les renseignements personnels qui seront recueillis; les tiers auxquels les renseignements personnels seront communiqués; les fins auxquelles les renseignements personnels seront recueillis, utilisés ou communiqués; et le risque de préjudice et les autres conséquences. Bien que ces éléments soient propres au contexte de la protection de la vie privée, le Commissariat estime néanmoins qu’ils pourraient être adaptés pour assurer la transparence en matière d’IA.

Le Commissariat partage également l’avis exprimé dans le document de travail selon lequel il peut y avoir un risque de divulgation excessive. Par exemple, dans son mémoire sur le projet de loi C-27, le Commissariat a reconnu que le fait de limiter l’obligation imposée aux organisations de fournir une explication générale de l’usage qu’elles font des systèmes décisionnels automatisés aux usages qui pourraient avoir une incidence importante « permettrait probablement d’établir un équilibre raisonnable entre la transparence et les efforts déployés par les organisations pour se conformer à la loi »^{Note de bas de page 4}. Il serait possible de trouver un équilibre similaire afin que les efforts en matière de transparence de l’IA ne finissent pas par surcharger les individus qui tentent de faire des choix éclairés concernant leurs interactions.

Enfin, nous soulignons aussi que l’efficacité de tout effort en matière de transparence de l’IA pourrait être compromise si l’effort ne cadre pas ou ne concorde pas avec les mécanismes de transparence existants, notamment les avis de confidentialité. Par exemple, les documents que les individus doivent consulter pour déterminer comment leurs renseignements personnels sont recueillis et utilisés devraient être les mêmes, qu’un système d’IA soit utilisé ou non. De même, le niveau de précision de l’information sur le traitement des renseignements personnels ne devrait pas varier de façon importante en fonction de la présence d’un système d’IA dans une interaction (contrairement à l’incidence d’un processus). Le lien entre les mécanismes actuels et les mécanismes proposés devrait être clair.

Renseignements sur les systèmes d’IA

Quels types de renseignements [à propos des capacités, des limites et des pratiques de gouvernance des systèmes d’IA] vous seraient utiles pour prendre des décisions éclairées quant aux circonstances où vous utilisez l’IA et à la manière de l’utiliser? De quels types de renseignements à propos de l’IA les entreprises ont-elles besoin pour adopter l’IA de manière sûre et responsable?

Tant dans ses documents d’orientation que dans ses travaux d’enquête, le Commissariat a souligné l’importance de communiquer les limites et les utilisations prévues des systèmes d’IA.

Par exemple, les Principes pour des technologies de l’IA générative responsables, dignes de confiance et respectueuses de la vie privée publiés par les commissaires à l’information et à la protection de la vie privée du fédéral, des provinces et des territoires du Canada prévoit que les développeurs et les fournisseurs de systèmes d’IA générative devraient « informer les organisations qui utilisent l’IA générative de tout problème ou limite connus concernant l’exactitude des extrants de l’IA générative »^{Note de bas de page 5}, notamment les cas d’utilisation ou les intrants particuliers qui tendent à donner lieu à des extrants inexacts. Dans ce document, les commissaires ont noté que ces limites peuvent découler de problèmes avec l’ensemble de données d’entraînement, notamment lorsque ce dernier est limité dans le temps ou qu’il provient d’une source unique et non représentative. Par conséquent, un certain degré de transparence est nécessaire pour les données d’entraînement.

Nous avons également recommandé que les organisations qui utilisent l’IA générative « [évaluent] les répercussions sur l’utilisation du système de tout problème d’exactitude ou de limite signalé par le fournisseur ou le développeur du système d’IA générative » et avons précisé que, si l’information à ce sujet n’est pas disponible, les organisations devraient « déterminer si l’utilisation du système demeure appropriée ou autorisée légalement ». Autrement dit, si les organisations ne sont pas en mesure de s’assurer qu’un système d’IA est approprié et utilisé aux fins proposées, elles feraient mieux de reconsidérer son utilisation.

La communication des limites d’un système a été une question clé soulevée par les commissaires à l’information et à la protection de la vie privée du gouvernement fédéral, du Québec, de l’Alberta et de la Colombie-Britannique dans le cadre de l’enquête sur le système ChatGPT d’OpenAI^{Note de bas de page 6}. L’une des principales recommandations présentées à OpenAI pour réduire au minimum le risque que des renseignements personnels inexacts soient générés et utilisés était ainsi libellée :

« Mettre en œuvre des mesures pour que, lorsqu’ils interagissent avec ChatGPT, les utilisateurs au Canada, y compris les entreprises, soient au courant des limites actuelles des modèles quant au degré général d’exactitude des renseignements personnels fournis dans les résultats, de façon à ce qu’ils puissent déterminer si ceux-ci sont aussi exacts que l’exigent les fins auxquelles ils sont destinés. »

Dans le cadre de cette enquête, il a également été recommandé à OpenAI ce qui suit :

« En ce qui concerne ses GML, fournir au public de l’information exhaustive, facilement accessible et rédigée dans un langage simple sur les sujets suivants :

1. les catégories et les sources des renseignements utilisés pour bâtir les ensembles de données d’entraînement;
2. le fonctionnement des modèles, notamment les raisons pour lesquelles ils peuvent générer des résultats inexacts;
3. les limites actuelles quant à l’explicabilité des modèles. »

Nous avons formulé des recommandations similaires liées aux technologies fondées sur l’IA. Par exemple, dans notre document d’orientation récemment publié sur les systèmes de contrôle de l’âge, nous avons déclaré que les développeurs de tels systèmes doivent « communiquer aux parties utilisatrices toute limite connue de l’efficacité, s’il n’est pas possible d’y remédier »^{Note de bas de page 7}.

Les systèmes fondés sur l’IA peuvent constituer des outils puissants, mais ils ne sont pas tout-puissants. Il est important que les utilisateurs, tant les individus que les entreprises en comprennent les limites.

Incidents liés à l’IA

Quels types de renseignements liés à l’utilisation de l’IA et aux tendances en matière de risques seraient les plus utiles?

Comme il est précisé ci-dessus, il est important que les développeurs et les fournisseurs de systèmes d’IA communiquent clairement les problèmes et les limites connus. Pour ce faire, ils pourraient notamment mettre en place un mécanisme permettant aux utilisateurs de ces systèmes de signaler les cas de défaillance et, dans le cas des développeurs, réaliser eux-mêmes des vérifications régulières.

En ce qui concerne les atteintes à la sécurité des données, les systèmes d’IA (ainsi que les développeurs, les fournisseurs et les utilisateurs de ces systèmes) seraient généralement assujettis aux dispositions des lois actuelles et futures sur le signalement des atteintes aux mesures de sécurité. Cependant, nous soulignons que la réception rapide de renseignements exhaustifs sur les incidents liés à l’IA mettant en cause des renseignements personnels constitue un facteur essentiel pour atténuer les préjudices. Nous avons déjà mentionné que le libellé de la LPRPDE selon lequel les déclarations doivent être faites « le plus tôt possible après que l’organisation a conclu qu’il y a eu atteinte » a donné lieu à des retards. Dans notre mémoire sur l’ancien projet de loi C-27, nous avons déclaré ce qui suit :

« En ce moment, 40 % des déclarations d’atteinte en application de la LPRPDE sont reçues plus de trois mois après les faits. Ce retard a une incidence sur la capacité du Commissariat à remplir son rôle de surveillance et à offrir des conseils opportuns sur les mesures d’atténuation aux organisations. Il empêche également les individus de se protéger lorsqu’une atteinte se produit, ce qui laisse leurs renseignements personnels exposés pendant une période inutilement longue. »^{Note de bas de page 8}

Au moment de développer tout mécanisme de signalement des incidents liés à l’IA, il sera important de prendre en compte les aspects pratiques, comme les délais de signalement.

Agents d’IA

Les travaux du Commissariat sur les systèmes d’IA agentique se poursuivent, notamment au moyen de la collaboration internationale (par exemple, au sein de l’Assemblée mondiale pour la protection de la vie privée). Nous serions ravis de vous transmettre des renseignements à ce sujet lorsqu’ils seront disponibles.

Conclusion

Pour conclure, le Commissariat possède une vaste expérience de la prestation de conseils aux organisations sur la façon de transmettre, de façon claire et utile, de l’information complexe concernant la collecte, l’utilisation et la communication des renseignements personnels, notamment dans le contexte des technologies nouvelles et émergentes. Le Commissariat est bien placé pour appuyer l’élaboration d’obligations en matière de transparence de l’IA, en particulier en ce qui concerne les systèmes d’IA qui recueillent, utilisent ou communiquent des renseignements personnels. De plus, notre organisation serait heureuse de pouvoir partager davantage son expertise au fur et à mesure que ces travaux importants progresseront. Le Commissariat remercie Innovation, Sciences et Développement économique Canada de lui avoir donné l’occasion de formuler des observations, et il se réjouit à l’idée de poursuivre sa collaboration sur cette question.

Je vous prie d’agréer, Monsieur le Directeur, mes salutations distinguées.