Alertes juridiques canadiennes, octobre 2026 : gouvernance de l’IA, empreintes vocales, interfaces truquées et décision Clearview AI

Octobre n’a pas été le mois où le Canada a adopté une nouvelle loi sur l’IA. C’est le mois où les autorités ont montré qu’elles n’en avaient pas besoin. Entre Ottawa, Gatineau et Québec, sept développements ont discrètement déplacé le seuil de conformité pour toute organisation qui conçoit, achète ou déploie des technologies touchant des renseignements personnels.

Un Conseil national sur l’IA aux côtés du premier ministre

Le 2 octobre 2026, le premier ministre a lancé le Conseil national sur l’intelligence artificielle du premier ministre.¹ Son mandat consiste à fournir des conseils indépendants et pratiques sur l’évolution de l’IA pour tous, la stratégie nationale d’IA annoncée en juin. Il se concentrera sur l’accélération de l’adoption, le développement de champions nationaux et la construction d’infrastructures d’IA souveraines. Il réunit des chercheurs, des investisseurs, des entrepreneurs, d’anciens hauts fonctionnaires ainsi que des spécialistes de la sécurité et de la gouvernance de l’IA.

La nouveauté tient moins à l’idée qu’à la place du conseil. Depuis 2019, le Canada dispose d’un Conseil consultatif en matière d’intelligence artificielle qui formule ses conseils par l’entremise d’Innovation, Sciences et Développement économique Canada (ISDE).² Le nouveau conseil ne le remplace pas; ISDE le décrit comme complémentaire.

Ce qui change, c’est la proximité du pouvoir. Le nouveau conseil est soutenu par une petite équipe du Bureau du Conseil privé, le ministère qui appuie le premier ministre et le Cabinet. Les ministres responsables demeurent comptables des décisions de politique publique. Autrement dit, les conseils en IA arrivent désormais au centre du gouvernement, et non uniquement par un seul ministère.

Le contexte législatif explique l’importance de ce changement. La Loi sur l’intelligence artificielle et les données, proposée dans la partie 3 du projet de loi C-27, aurait directement réglementé les systèmes d’IA à incidence élevée. Elle est morte au Feuilleton en janvier 2025.³ Son successeur en matière de vie privée, le projet de loi C-36, a été déposé en juin 2026 sans loi autonome sur l’IA.⁴ Il impose plutôt des obligations de transparence aux systèmes décisionnels automatisés qui produisent des prédictions, des recommandations ou des décisions concernant des personnes. Les préjudices en ligne sont traités séparément dans le projet de loi C-34.⁵

Il en résulte un cadre de l’IA réparti entre le droit de la vie privée, la sécurité en ligne, l’approvisionnement et la stratégie, sans autorité unique de réglementation de l’IA. Pour les entreprises, la politique fédérale en IA sera façonnée par l’approvisionnement, les infrastructures et les incitatifs à l’adoption au moins autant que par les interdictions. Un conseil au centre du gouvernement est utile précisément parce qu’il peut relier ces éléments. Sa valeur dépendra de deux facteurs : la publication de ses conseils et le poids accordé aux experts en gouvernance par rapport aux objectifs de croissance.

Le Bureau de la concurrence : aucune exception pour l’IA

Le 5 octobre 2026, le Bureau de la concurrence a publié sa contribution à la consultation d’ISDE sur la transparence de l’IA.⁶ Il a proposé trois principes : la transparence devrait soutenir des marchés concurrentiels, les obligations devraient être proportionnées et la réglementation devrait viser les préjudices plutôt que les technologies.

Deux points méritent l’attention. Premièrement, le Bureau a averti que des règles de divulgation prescriptives ou coûteuses peuvent imposer un fardeau plus lourd aux petites entreprises et aux nouveaux entrants qu’aux acteurs établis. Une mesure de protection des consommateurs deviendrait alors une barrière à l’entrée.

Deuxièmement, le Bureau a clairement indiqué que la Loi sur la concurrence ne prévoit aucune exception pour l’IA.⁷ Une affirmation générée par l’IA qui induit un consommateur en erreur s’analyse comme toute autre représentation selon les dispositions sur les pratiques commerciales trompeuses. Les fondateurs qui croient que le marketing fondé sur l’IA se situe dans une zone grise réglementaire devraient revoir leur position.

Le commissaire à la protection de la vie privée modifie l’issue des plaintes

Le commissaire à la protection de la vie privée Philippe Dufresne s’est adressé au sommet sur le droit de la vie privée de l’Association du Barreau de l’Ontario le 8 octobre 2026.⁸ Il a expliqué comment son Commissariat s’adapte à une hausse de 82 % des plaintes au cours de l’exercice précédent. L’élément marquant est une nouvelle issue aux plaintes, dite « mesures justifiées » (« action warranted »). Le Commissariat n’a plus à déterminer si la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) a été enfreinte. Il peut plutôt demander à une organisation d’examiner le problème et, au besoin, de se mettre en conformité.⁹

Cette mesure s’ajoute à une gamme d’outils plus large :

• des lettres de conformité, dans lesquelles les organisations s’engagent à prendre des mesures précises selon un échéancier pendant que l’enquête demeure ouverte;
• une mobilisation proactive de secteurs entiers;
• un recours plus fréquent au pouvoir de refuser ou de cesser l’examen de plaintes.

Le commissaire a aussi évoqué de récentes conclusions selon lesquelles des produits d’IA générative avaient été lancés ou entraînés d’une manière non conforme au droit canadien de la protection des renseignements personnels.

Des outils plus souples ne signifient pas des conséquences moins importantes. Une lettre de « mesures justifiées » crée une trace documentée du fait que l’autorité a signalé un problème. Cette trace comptera dans un litige, une vérification diligente et tout futur régime de sanctions.

Ce régime se prépare. Le projet de loi C-36 remplacerait les règles de la LPRPDE applicables au secteur privé et transférerait leur application à une nouvelle Commission de la sécurité numérique et de la protection des données, dotée de pouvoirs d’ordonnance et de sanction.⁴ Le commissaire a accueilli favorablement la majeure partie du projet de loi et formulera des recommandations au Parlement.

Les empreintes vocales sont biométriques, même si l’appel est enregistré « à des fins de qualité »

Le 8 octobre, le Commissariat à la protection de la vie privée du Canada (CPVP) a mis à jour ses orientations sur l’enregistrement des appels de clients.¹⁰ Le changement principal concerne les empreintes vocales, ces caractéristiques de la voix qui permettent d’identifier une personne et que certaines organisations utilisent pour authentifier les appelants. Le CPVP les décrit désormais comme des renseignements biométriques sensibles. Il précise qu’un consentement exprès peut être requis lorsqu’un enregistrement en comporte.

Ces orientations sont plus exigeantes que ne le laisse penser la formule habituelle « cet appel pourrait être enregistré » :

• La finalité annoncée doit être aussi précise que possible.
• Une organisation ne devrait pas invoquer l’assurance qualité si l’enregistrement sert au marketing, au profilage ou à l’authentification.
• Lorsque l’enregistrement ne fait pas partie intégrante du service, les clients doivent pouvoir choisir une autre solution.
• La sous-traitance ne transfère pas l’obligation. Une entreprise qui recourt à un centre d’appels ou à un télévendeur doit s’assurer que le fournisseur respecte les règles.

Les organisations québécoises doivent vérifier un deuxième niveau d’exigences. Selon la Loi concernant le cadre juridique des technologies de l’information, la vérification de l’identité au moyen de caractéristiques biométriques exige un consentement exprès. La création d’une banque de caractéristiques ou de mesures biométriques doit aussi être déclarée à la Commission d’accès à l’information à l’avance.¹¹ Les renseignements biométriques sont également sensibles au sens de la loi québécoise applicable au secteur privé, qui exige un consentement exprès pour leur utilisation.¹²

Si votre fournisseur d’authentification vocale a été choisi dans le cadre d’un processus d’approvisionnement plutôt que d’un examen de la vie privée, le moment est bien choisi pour réexaminer ce choix.

Un Code sur la vie privée des enfants qui annonce les prochaines enquêtes

Le 20 octobre, le CPVP a publié le premier Code canadien sur la protection des renseignements personnels des enfants.¹³ Il explique comment la loi fédérale existante s’applique aux renseignements des enfants et des adolescents. Les organisations sont censées :

• obtenir un consentement valable, notamment celui des parents pour les enfants de moins de 13 ans et un consentement positif pour les utilisations non essentielles;
• rédiger l’information sur la vie privée dans un langage adapté à l’âge;
• offrir des moyens concrets de rectification et de suppression;
• éviter le profilage des enfants à des fins de marketing ou de décisions fondées sur l’IA;
• désactiver par défaut le suivi de localisation, la visibilité des profils et le partage avec des tiers.

Le Code désigne également comme inappropriées les interfaces trompeuses qui poussent les enfants à communiquer plus de renseignements que nécessaire.

Le Code est une orientation, pas un règlement. En pratique, il constitue la référence que le CPVP utilisera lors de sa prochaine enquête. Le Québec prévoit déjà un seuil d’âge plus élevé. Sa loi applicable au secteur privé exige le consentement parental pour recueillir des renseignements auprès d’un mineur de moins de 14 ans, sauf si la collecte est manifestement au bénéfice du mineur.¹² Les plateformes présentes partout au Canada devraient concevoir leurs services en fonction du seuil le plus exigeant. Les commentaires sur le Code peuvent être soumis jusqu’au 20 janvier 2027.

Clearview AI : le droit québécois suit les données, pas les bureaux

Le 16 octobre 2026, la Commission d’accès à l’information (CAI) a annoncé que la Cour du Québec avait confirmé son ordonnance de décembre 2021 contre Clearview AI.¹⁴ L’entreprise avait constitué une base de reconnaissance faciale à partir de milliards d’images recueillies en ligne et vendait l’accès à son moteur de recherche à des clients, notamment des services policiers. La CAI lui avait ordonné de cesser de recueillir les renseignements des Québécois et de détruire leurs images et identifiants biométriques.

Clearview soutenait que le droit québécois ne pouvait s’appliquer à une entreprise américaine sans bureau, employé ni client au Québec depuis juillet 2020. La Cour a rejeté chacun des arguments sur lesquels elle s’est prononcée :

• Elle a conclu à un lien réel et substantiel avec la province, de sorte que le droit québécois s’applique.
• Elle a jugé que la collecte d’images en violation de la loi ne peut constituer un intérêt sérieux et légitime.
• Elle a jugé que les exigences de consentement ne limitaient pas de manière injustifiée la liberté d’expression.

La leçon dépasse largement la reconnaissance faciale. Toute organisation qui extrait ou achète des données concernant des résidents du Québec, ou qui entraîne des modèles à partir de ces données, devrait présumer que le droit québécois s’applique, peu importe où se trouvent ses serveurs ou son personnel. Le fait qu’un renseignement soit « accessible au public en ligne » ne constitue pas un fondement juridique au Québec, et une structure d’entreprise étrangère n’est pas un bouclier.

Les interfaces truquées peuvent invalider le consentement au Québec

Le 22 octobre, la CAI a publié une page d’orientation sur les pratiques de conception trompeuses, qu’elle appelle « interfaces truquées ».¹⁵ Elle cite une enquête internationale de 2024, menée avec d’autres autorités de protection des renseignements personnels, qui a relevé des pratiques trompeuses sur 97 % des sites examinés.¹⁶ La CAI les regroupe en cinq catégories :

• l’interférence, notamment la fausse hiérarchie, les options présélectionnées et la manipulation émotionnelle;
• les sollicitations répétées;
• l’obstruction;
• le langage complexe et déroutant;
• l’action forcée.

C’est la conséquence juridique qui importe. Le Québec exige un consentement manifeste, libre, éclairé et donné à des fins spécifiques.¹² Selon la CAI, une interface qui rend l’option « accepter » plus facile que l’option « refuser » pourrait invalider le consentement. Toute utilisation ou communication ultérieure de ces renseignements serait alors illicite.

Le droit québécois exige aussi le plus haut niveau de confidentialité par défaut. Les technologies permettant d’identifier, de localiser ou de profiler une personne doivent rester désactivées tant que celle-ci ne les active pas.¹² La CAI désigne les bannières de cookies, les paramètres de confidentialité et les politiques de confidentialité comme les premiers éléments à examiner.

La CAI rappelle également que les outils achetés auprès de fournisseurs doivent être configurés conformément à la loi. Cela comprend les trousses de développement logiciel, les systèmes de gestion de contenu et les plateformes de gestion du consentement. Un réglage par défaut choisi par votre fournisseur demeure votre décision de conformité. Les équipes produit, conception et juridique devraient examiner ensemble les parcours de consentement, car une autorité lira votre interface comme un utilisateur la vit, et non comme votre politique la décrit.

Le fil conducteur de ces alertes

Prises ensemble, les alertes d’octobre ont un point commun. Le Canada n’a toujours pas de loi globale sur l’IA et la réforme fédérale de la vie privée est encore à l’étape de la deuxième lecture. Pourtant, les autorités n’attendent pas. Elles utilisent les orientations, les issues de plaintes, les contributions aux consultations et les décisions judiciaires pour établir leurs attentes. Il sera très difficile de contester ces attentes lorsque de nouveaux pouvoirs d’application entreront en vigueur.

Trois questions méritent de figurer à l’ordre du jour de la prochaine réunion de direction ou d’équipe produit :

• Où recueillons-nous des renseignements biométriques ou des renseignements sur des enfants sans les avoir désignés comme tels?
• Nos écrans de consentement résisteraient-ils à une lecture par une autorité se mettant à la place de l’utilisateur?
• Si une autorité nous envoyait demain une lettre de « mesures justifiées », qui serait responsable de la réponse?

Cet article fournit des renseignements généraux et ne constitue pas un avis juridique.