Le Commissariat à la protection de la vie privée du Canada a publié ses commentaires sur la consultation d'Innovation, Sciences et Développement économique Canada portant sur la transparence de l'IA, tenue du 23 juillet au 23 septembre 2026. Le Commissariat convient que des enjeux de transparence se posent dans les cinq domaines relevés par ISDE : le contenu généré par l'IA, l'interaction avec l'IA, l'information sur les systèmes d'IA, les incidents liés à l'IA et les agents d'IA. Il soutient que l'information sur un système doit être compréhensible au moment où elle influe sur la décision d'une personne. Le Commissariat appuie sa position sur ses lignes directrices actuelles en matière de consentement et attribue des responsabilités de transparence aux développeurs et aux utilisateurs de l'IA générative.
Le Commissariat aborde la transparence de l'IA à travers ses lignes directrices actuelles sur le consentement valable en vertu de la LPRPDE.
L'information sur un système d'IA devrait être compréhensible au moment où elle influe sur la décision d'une personne.
Les développeurs comme les organisations qui déploient l'IA générative sont désignés comme responsables de la transparence.
Notre commentaire
En fondant ses commentaires sur ses lignes directrices existantes en matière de consentement, le Commissariat indique que les principes actuels de la LPRPDE encadrent déjà ses attentes en matière de transparence de l'IA. Pour les organisations qui déploient l'IA au Canada, la question est de savoir comment leurs divulgations actuelles seraient évaluées au regard de cette norme, indépendamment de toute future loi sur l'IA.
Des questions sur cette alerte?
Sara Derbel
Parajuriste
Notre équipe peut vous expliquer ce que ce développement signifie pour votre organisation.
Veille réglementaire et législative en IA, vie privée et cybersécurité au Canada, aux États-Unis, dans l’UE, au Royaume-Uni et en Australie, filtrée et priorisée par des juristes.
Conformité en vie privée selon la Loi 25, la LPRPDE, le RGPD et ISO 27701 : analyses d’écarts, audits, droits des personnes et plans correctifs proportionnés.
Chef de l’IA virtuel (vCAIO) : gouvernance de l’IA, analyses d’écarts, évaluations des risques et des impacts de l’IA, adoption responsable selon la réglementation émergente.
Élaborez des programmes pratiques de protection de la vie privée et répondez aux exigences canadiennes en matière de collecte, d’utilisation, de partage et de protection des renseignements personnels.
Les lignes directrices du Garante exigent des organisations qui utilisent des pixels de suivi dans leurs courriels marketing qu'elles obtiennent un consentement préalable, libre, spécifique et éclairé avant que le pixel recueille des informations sur l'ouverture du courriel et son moment. Un pixel qui peut être rattaché à un seul destinataire est traité comme une technologie de suivi soumise à la même norme de consentement que les témoins des sites Web. Les lignes directrices reposent sur l'article 122 du Code italien de la vie privée, qui met en œuvre l'article 5(3) de la directive ePrivacy. La période d'adaptation a pris fin le 29 octobre 2026, et le Garante a inclus la vérification de ces lignes directrices dans les inspections prévues au second semestre de 2026.
La Commission d'accès à l'information a publié de nouvelles indications sur les interfaces truquées, c'est-à-dire des conceptions d'interface qui orientent les internautes vers des choix contraires à leur intérêt. Il peut s'agir de fournir plus de renseignements personnels, de passer plus de temps sur une plateforme ou de dépenser davantage. La CAI indique qu'un consentement obtenu au moyen d'une telle interface peut être invalide, ce qui rendrait illégales l'utilisation ou la communication des renseignements personnels qui en découlent. Les indications présentent les obligations légales applicables et les bonnes pratiques pour les organisations qui recueillent en ligne des renseignements personnels auprès d'utilisateurs québécois.
Le Conseil de l'UE a arrêté son mandat de négociation sur le règlement Omnibus numérique, qui modifie le RGPD, la directive ePrivacy, le RPDUE et le règlement sur les données. Le mandat conserve la définition actuelle des données personnelles, mais précise que des données pseudonymisées ne sont pas des données personnelles pour un destinataire qui ne dispose pas de moyens raisonnables de réidentifier la personne. Il permet de fonder sur l'intérêt légitime le traitement aux fins du développement de l'IA, sous réserve d'un droit d'opposition et de garanties supplémentaires pour les enfants. Il limiterait aussi la notification à l'autorité de contrôle aux violations susceptibles d'entraîner un risque élevé et ajouterait des exemptions au consentement aux témoins pour les mises à jour de sécurité, la mesure d'audience et les fonctionnalités demandées. Il s'agit uniquement de la position du Conseil. Le trilogue commencera lorsque le Parlement aura adopté sa propre position.
