{ "corpus_version": "v2026.12.0", "title": { "en": "Consequential-action index", "fr": "Index des actions à conséquences" }, "bill_c36_status": { "en": "Bill C-36 (Protecting Privacy and Consumer Data Act): first-reading text, June 15, 2026, 45th Parliament, 1st session. At second reading; not law. Section numbers may move in committee.", "fr": "Projet de loi C-36 (Loi visant à protéger la vie privée et les données des consommateurs) : texte de première lecture, 15 juin 2026, 45e législature, 1re session. À l'étape de la deuxième lecture; pas encore une loi. La numérotation des articles peut changer en comité." }, "french_completeness": { "status": "partial_marked", "note": "First-pass French translation of all twelve rows; statutory French terminology still under review." }, "disclaimer": { "en": "General information for governance and operations, not legal advice. The person signs every consequential step.", "fr": "Information générale à des fins de gouvernance et d'exploitation, pas un avis juridique. La personne signe chaque étape à conséquences." }, "rows": [ { "id": "CA-01", "action": { "en": "Onboarding a new vendor or sub-processor that receives personal information", "fr": "Intégration d'un nouveau fournisseur ou sous-traitant qui reçoit des renseignements personnels" }, "statutory_provisions": [ { "code": "PIPEDA-SCH1-4.1.3", "citation_en": "PIPEDA Sch. 1, Pr. 4.1.3", "citation_fr": "LPRPDE, ann. 1, pr. 4.1.3", "status": "in_force", "note_en": "Accountability extends to personal information transferred to a third party for processing.", "note_fr": "La responsabilité s'étend aux renseignements personnels confiés à un tiers pour traitement." }, { "code": "LOI25-18.3", "citation_en": "Law 25, s. 18.3", "citation_fr": "Loi 25, art. 18.3", "status": "in_force", "note_en": "The written mandate with a service provider must describe the safeguards it will apply.", "note_fr": "Le mandat écrit conclu avec un fournisseur de services doit décrire les mesures de protection qu'il appliquera." }, { "code": "PPCDA-11", "citation_en": "PPCDA, s. 11", "citation_fr": "LPVDAC, art. 11", "status": "pending_first_reading", "note_en": "An organization transferring personal information to a service provider must ensure equivalent protection, by contract or otherwise.", "note_fr": "L'organisation qui confie des renseignements personnels à un fournisseur de services doit assurer une protection équivalente, par contrat ou autrement." }, { "code": "OSFI-B10-8-2.3.3", "citation_en": "OSFI B-10, Principle 8 (s. 2.3.3)", "citation_fr": "BSIF, ligne directrice B-10, principe 8 (art. 2.3.3)", "status": "in_force", "note_en": "Third-party arrangements must give the FRFI timely access to accurate information and the right to conduct or commission an independent audit of the third party (B-10 Principle 8, s. 2.3.3).", "note_fr": "Les ententes avec des tiers doivent donner à l'institution un accès en temps utile à de l'information exacte et le droit de réaliser ou de commander un audit indépendant du tiers (B-10, principe 8, art. 2.3.3)." } ], "citation_ids": [ "OPC-2023-001", "OPC-2019-004" ], "jurisdictions": [ "CA-FED", "CA-QC", "CA-ON", "CA-BC", "CA-AB", "OSFI-FRFI" ], "allowed_agent_scope": { "en": "Parse the data processing agreement, map missing Law 25 s. 18.3 or B-10 audit-right clauses, and draft the approval stamp for a human to sign.", "fr": "Analyser l'accord de traitement, repérer les clauses manquantes (art. 18.3 de la Loi 25, droits d'audit B-10) et préparer le sceau d'approbation qu'un humain signera." }, "prohibited_agent_actions": { "en": [ "Execute the contract or accept its terms", "Provision an API key or credential", "Transmit production personal information to an unapproved endpoint" ], "fr": [ "Signer le contrat ou en accepter les conditions", "Créer une clé d'API ou un identifiant d'accès", "Transmettre des renseignements personnels de production vers un point d'accès non approuvé" ] }, "french_completeness_status": "complete", "french_completeness_note": "" }, { "id": "CA-02", "action": { "en": "Cross-border transfer of personal information outside Quebec or Canada", "fr": "Transfert transfrontalier de renseignements personnels hors du Québec ou du Canada" }, "statutory_provisions": [ { "code": "LOI25-17", "citation_en": "Law 25, s. 17", "citation_fr": "Loi 25, art. 17", "status": "in_force", "note_en": "A privacy impact assessment (EFVP) is required before communicating personal information outside Quebec.", "note_fr": "Une évaluation des facteurs relatifs à la vie privée (ÉFVP) est exigée avant de communiquer des renseignements personnels hors du Québec." }, { "code": "PPCDA-57", "citation_en": "PPCDA, s. 57", "citation_fr": "LPVDAC, art. 57", "status": "pending_first_reading", "note_en": "Mandatory privacy impact assessment before disclosing or transferring personal information outside Canada, with mitigation measures.", "note_fr": "Évaluation d'impact sur la vie privée obligatoire avant de communiquer ou de transférer des renseignements personnels hors du Canada, avec mesures d'atténuation." } ], "citation_ids": [ "CAI-EFVP-GUIDE-2023", "BILL-C36-S57" ], "jurisdictions": [ "CA-FED", "CA-QC", "CA-ON", "CA-BC", "CA-AB" ], "allowed_agent_scope": { "en": "Identify the receiving jurisdiction, compile equivalence data, and draft the s. 17 EFVP or s. 57 PIA factors for review.", "fr": "Déterminer le territoire destinataire, compiler les données d'équivalence et rédiger les facteurs d'ÉFVP (art. 17) ou d'EIVP (art. 57) pour révision." }, "prohibited_agent_actions": { "en": [ "Route data to a new foreign region, bucket, or cross-border model endpoint without a human-signed stamp" ], "fr": [ "Acheminer des données vers une nouvelle région étrangère, un nouveau compartiment ou un point d'accès de modèle transfrontalier sans un sceau signé par un humain" ] }, "french_completeness_status": "complete", "french_completeness_note": "" }, { "id": "CA-03", "action": { "en": "Breach and confidentiality incident notification decision", "fr": "Décision de notification d'atteinte à la sécurité et d'incident de confidentialité" }, "statutory_provisions": [ { "code": "PIPEDA-10.1", "citation_en": "PIPEDA, s. 10.1", "citation_fr": "LPRPDE, art. 10.1", "status": "in_force", "note_en": "Report to the OPC and notify affected individuals where a breach creates a real risk of significant harm (RROSH).", "note_fr": "Déclarer au Commissariat et aviser les personnes touchées lorsqu'une atteinte crée un risque réel de préjudice grave." }, { "code": "LOI25-3.5-3.8", "citation_en": "Law 25, ss. 3.5-3.8", "citation_fr": "Loi 25, art. 3.5 à 3.8", "status": "in_force", "note_en": "Keep an incident register; notify the CAI and the individuals where a serious risk of injury exists.", "note_fr": "Tenir un registre des incidents; aviser la CAI et les personnes concernées en cas de risque sérieux de préjudice." }, { "code": "PPCDA-58-61", "citation_en": "PPCDA, ss. 58-61", "citation_fr": "LPVDAC, art. 58 à 61", "status": "pending_first_reading", "note_en": "Report to the Commission and notify the individual where there is a real risk of significant harm; keep breach records; service providers must notify the controlling organization.", "note_fr": "Déclarer à la Commission et aviser la personne en cas de risque réel de préjudice grave; tenir des registres d'atteintes; le fournisseur de services doit aviser l'organisation responsable." } ], "citation_ids": [ "CAI-INCIDENT-REG", "OPC-BREACH-2018" ], "jurisdictions": [ "CA-FED", "CA-QC", "CA-ON", "CA-BC", "CA-AB" ], "allowed_agent_scope": { "en": "Compute the breach-clock timeline, log the facts locally, and assemble the RROSH and serious-injury factors for a human decision.", "fr": "Calculer l'échéancier de l'atteinte, consigner les faits localement et rassembler les facteurs de risque réel de préjudice grave pour une décision humaine." }, "prohibited_agent_actions": { "en": [ "Decide whether the notification threshold is met", "Transmit external notices to regulators or individuals on its own" ], "fr": [ "Décider si le seuil de notification est atteint", "Transmettre seul des avis externes aux organismes de réglementation ou aux personnes concernées" ] }, "french_completeness_status": "complete", "french_completeness_note": "" }, { "id": "CA-04", "action": { "en": "Automated decision-making and profiling about an individual", "fr": "Prise de décision automatisée et profilage visant une personne" }, "statutory_provisions": [ { "code": "LOI25-12.1", "citation_en": "Law 25, s. 12.1", "citation_fr": "Loi 25, art. 12.1", "status": "in_force", "note_en": "On request, inform the individual of an automated decision, the personal information used, and the reasons behind it.", "note_fr": "Sur demande, informer la personne d'une décision automatisée, des renseignements personnels utilisés et des motifs de la décision." }, { "code": "PPCDA-62-2c", "citation_en": "PPCDA, s. 62(2)(c)", "citation_fr": "LPVDAC, art. 62(2)c)", "status": "pending_first_reading", "note_en": "Policies must give a general account of any automated decision system used to make predictions, recommendations, or decisions with legal or similarly significant effects.", "note_fr": "Les politiques doivent décrire de façon générale tout système décisionnel automatisé utilisé pour des prédictions, recommandations ou décisions ayant des effets juridiques ou d'importance comparable." }, { "code": "PPCDA-63-4-6", "citation_en": "PPCDA, s. 63(4)-(6)", "citation_fr": "LPVDAC, art. 63(4) à (6)", "status": "pending_first_reading", "note_en": "On request, explain the prediction, recommendation, or decision; the individual may make written representations to an employee able to review it.", "note_fr": "Sur demande, expliquer la prédiction, la recommandation ou la décision; la personne peut présenter des observations écrites à un employé en mesure de la réviser." }, { "code": "OSFI-E23-3.4", "citation_en": "OSFI E-23, Pr. 3.4", "citation_fr": "BSIF, ligne directrice E-23, pr. 3.4", "status": "in_force", "note_en": "Model risk management expectations for federally regulated financial institutions, including independent validation of conceptual soundness and performance (E-23 Principle 3.4). Final guideline published September 11, 2025; in effect May 1, 2027.", "note_fr": "Attentes en matière de gestion du risque lié aux modèles pour les institutions financières fédérales, dont la validation indépendante du bien-fondé conceptuel et du rendement (E-23, principe 3.4). Ligne directrice finale publiée le 11 septembre 2025; en vigueur le 1er mai 2027." }, { "code": "AMF-2026-PDG-0016", "citation_en": "AMF AI Guideline 2026-PDG-0016", "citation_fr": "Ligne directrice de l'AMF sur l'IA 2026-PDG-0016", "status": "in_force", "note_en": "Quebec financial-sector AI guideline: AMF decision 2026-PDG-0016 dated March 30, 2026, published April 2, 2026, in force May 1, 2027. Identifier and dates verified against the AMF bulletin.", "note_fr": "Ligne directrice sur l'IA pour le secteur financier québécois : décision 2026-PDG-0016 de l'AMF datée du 30 mars 2026, publiée le 2 avril 2026, en vigueur le 1er mai 2027. Identifiant et dates vérifiés au bulletin de l'AMF." } ], "citation_ids": [ "CAI-LOI25-S12.1", "BILL-C36-ADS", "OSFI-E23-2027", "AMF-2026-PDG-0016" ], "jurisdictions": [ "CA-FED", "CA-QC", "CA-ON", "CA-BC", "CA-AB", "OSFI-FRFI", "AMF-QC" ], "allowed_agent_scope": { "en": "Write the plain-language explanation of the parameters and data used, and route contestations to a human reviewer.", "fr": "Rédiger l'explication en langage clair des paramètres et des données utilisés, et acheminer les contestations à un réviseur humain." }, "prohibited_agent_actions": { "en": [ "Issue a final, uncontestable adverse decision", "Dismiss a contestation without human review" ], "fr": [ "Rendre une décision défavorable finale et incontestable", "Rejeter une contestation sans révision humaine" ] }, "french_completeness_status": "complete", "french_completeness_note": "" }, { "id": "CA-05", "action": { "en": "Activating a new tracker, pixel, or server-side conversion feed", "fr": "Activation d'un nouveau traceur, pixel ou flux de conversion côté serveur" }, "statutory_provisions": [ { "code": "LOI25-8.1", "citation_en": "Law 25, s. 8.1", "citation_fr": "Loi 25, art. 8.1", "status": "in_force", "note_en": "Privacy by default: technology with identification, location, or profiling functions must be deactivated unless the individual activates it.", "note_fr": "Confidentialité par défaut : toute technologie de localisation, d'identification ou de profilage doit être désactivée jusqu'à son activation par la personne." }, { "code": "CAI-INTERFACES-TRUQUEES", "citation_en": "CAI guidance on deceptive interfaces", "citation_fr": "Orientations de la CAI sur les interfaces trompeuses", "status": "in_force", "note_en": "Consent interfaces must not use deceptive design that steers the individual toward acceptance.", "note_fr": "Les interfaces de consentement ne doivent pas recourir à des designs trompeurs qui orientent la personne vers l'acceptation." }, { "code": "PPCDA-18-1b-3b", "citation_en": "PPCDA, s. 18(1)(b), (3)(b)", "citation_fr": "LPVDAC, art. 18(1)b), (3)b)", "status": "pending_first_reading", "note_en": "The business-activity and legitimate-interest consent exceptions are never available where personal information is collected, used, or disclosed to influence the individual's behaviour or decisions.", "note_fr": "Les exceptions au consentement pour activités d'entreprise et intérêt légitime ne s'appliquent jamais lorsque les renseignements personnels sont recueillis, utilisés ou communiqués pour influencer le comportement ou les décisions de la personne." } ], "citation_ids": [ "OPC-2023-001", "CAI-INTERFACES-TRUQUEES", "OPC-2019-002" ], "jurisdictions": [ "CA-FED", "CA-QC", "CA-ON", "CA-BC", "CA-AB" ], "allowed_agent_scope": { "en": "Diff DOM scripts and tag-manager manifests against the tracker register, classify the receiving host, and draft the stamp.", "fr": "Comparer les scripts du DOM et les manifestes du gestionnaire de balises au registre des traceurs, classifier l'hôte destinataire et préparer le sceau." }, "prohibited_agent_actions": { "en": [ "Publish a tag container", "Alter banner interface weights or defaults", "Activate a server-side feed on its own" ], "fr": [ "Publier un conteneur de balises", "Modifier les pondérations ou les choix par défaut de la bannière", "Activer seul un flux côté serveur" ] }, "french_completeness_status": "complete", "french_completeness_note": "" }, { "id": "CA-06", "action": { "en": "Disposal, deletion, anonymization, or de-indexing on a rights request", "fr": "Retrait, suppression, anonymisation ou désindexation à la suite d'une demande de droits" }, "statutory_provisions": [ { "code": "LOI25-23", "citation_en": "Law 25, s. 23", "citation_fr": "Loi 25, art. 23", "status": "in_force", "note_en": "Retention and disposal rules under the Quebec private-sector act.", "note_fr": "Règles de conservation et de destruction sous la loi québécoise sur le secteur privé." }, { "code": "LOI25-28.1", "citation_en": "Law 25, s. 28.1", "citation_fr": "Loi 25, art. 28.1", "status": "in_force", "note_en": "Right to have personal information cease to be disseminated and hyperlinks de-indexed or re-listed.", "note_fr": "Droit d'exiger la cessation de la diffusion de renseignements personnels et la désindexation ou réindexation d'hyperliens." }, { "code": "PPCDA-52-54", "citation_en": "PPCDA, ss. 52-54", "citation_fr": "LPVDAC, art. 52 à 54", "status": "pending_first_reading", "note_en": "Retention limited to what is necessary; disposal on the individual's written request where statutory grounds are met.", "note_fr": "Conservation limitée au nécessaire; retrait sur demande écrite de la personne lorsque les motifs légaux sont réunis." }, { "code": "PPCDA-74", "citation_en": "PPCDA, s. 74", "citation_fr": "LPVDAC, art. 74", "status": "pending_first_reading", "note_en": "Measures an organization must apply when it de-identifies personal information.", "note_fr": "Mesures que l'organisation doit appliquer lorsqu'elle dépersonnalise des renseignements personnels." } ], "citation_ids": [ "CAI-AVIS-ANONYMISATION", "OPC-2024-001" ], "jurisdictions": [ "CA-FED", "CA-QC", "CA-ON", "CA-BC", "CA-AB" ], "allowed_agent_scope": { "en": "Track the response clock, draft bilingual response letters, and compile the disposal checklist.", "fr": "Suivre l'échéancier de réponse, rédiger les lettres de réponse bilingues et compiler la liste de vérification du retrait." }, "prohibited_agent_actions": { "en": [ "Execute irreversible deletion", "Declare data anonymized without verifying the anonymization criteria", "Correspond with a data subject unsupervised" ], "fr": [ "Exécuter une suppression irréversible", "Déclarer des données anonymisées sans vérifier les critères d'anonymisation", "Correspondre avec une personne concernée sans supervision" ] }, "french_completeness_status": "complete", "french_completeness_note": "" }, { "id": "CA-07", "action": { "en": "Data portability and mobility export request", "fr": "Demande d'exportation au titre de la portabilité et de la mobilité des données" }, "statutory_provisions": [ { "code": "LOI25-27", "citation_en": "Law 25, s. 27", "citation_fr": "Loi 25, art. 27", "status": "in_force", "note_en": "Right to portability of computerized personal information, in force since September 22, 2024.", "note_fr": "Droit à la portabilité des renseignements personnels informatisés, en vigueur depuis le 22 septembre 2024." }, { "code": "PPCDA-72", "citation_en": "PPCDA, s. 72", "citation_fr": "LPVDAC, art. 72", "status": "pending_first_reading", "note_en": "Data mobility framework: on the individual's request, disclose collected personal information to a designated organization where both are subject to a framework.", "note_fr": "Cadre de mobilité des données : sur demande de la personne, communiquer les renseignements personnels recueillis à une organisation désignée lorsque les deux sont assujetties à un cadre." } ], "citation_ids": [ "CAI-PORTABILITE-2024", "BILL-C36-MOBILITY" ], "jurisdictions": [ "CA-FED", "CA-QC", "CA-ON", "CA-BC", "CA-AB" ], "allowed_agent_scope": { "en": "Format verified records as structured JSON or CSV and exclude third-party personal information.", "fr": "Mettre en forme les dossiers vérifiés en JSON ou CSV structuré et exclure les renseignements personnels de tiers." }, "prohibited_agent_actions": { "en": [ "Verify identity documents on its own", "Release an archive externally without sign-off" ], "fr": [ "Vérifier seul des pièces d'identité", "Diffuser une archive à l'externe sans approbation" ] }, "french_completeness_status": "complete", "french_completeness_note": "" }, { "id": "CA-08", "action": { "en": "Secondary purpose use, AI model training, or inferred profiling", "fr": "Utilisation à des fins secondaires, entraînement de modèle d'IA ou profilage inféré" }, "statutory_provisions": [ { "code": "LOI25-12", "citation_en": "Law 25, s. 12", "citation_fr": "Loi 25, art. 12", "status": "in_force", "note_en": "Purposes for collecting personal information must be determined before or at collection.", "note_fr": "Les fins de la collecte de renseignements personnels doivent être déterminées avant ou au moment de la collecte." }, { "code": "PPCDA-2-1", "citation_en": "PPCDA, s. 2(1)", "citation_fr": "LPVDAC, art. 2(1)", "status": "pending_first_reading", "note_en": "Personal information includes information inferred about the individual.", "note_fr": "Les renseignements personnels comprennent les renseignements inférés au sujet de la personne." }, { "code": "PPCDA-12", "citation_en": "PPCDA, s. 12", "citation_fr": "LPVDAC, art. 12", "status": "pending_first_reading", "note_en": "Collection, use, or disclosure only for purposes a reasonable person would consider appropriate.", "note_fr": "Collecte, utilisation ou communication uniquement à des fins qu'une personne raisonnable jugerait acceptables." }, { "code": "PPCDA-14-1", "citation_en": "PPCDA, s. 14(1)", "citation_fr": "LPVDAC, art. 14(1)", "status": "pending_first_reading", "note_en": "No use or disclosure for a purpose other than the purposes determined and recorded, unless a statutory exception applies.", "note_fr": "Aucune utilisation ni communication à des fins autres que celles déterminées et consignées, sauf exception légale." } ], "citation_ids": [ "OPC-2021-002", "OPC-2019-002", "BILL-C36-S14" ], "jurisdictions": [ "CA-FED", "CA-QC", "CA-ON", "CA-BC", "CA-AB" ], "allowed_agent_scope": { "en": "Flag prompt-retention and training clauses in scope cards and assess whether the new purpose matches the original one.", "fr": "Signaler les clauses de conservation des invites et d'entraînement dans les fiches de cadrage et évaluer si la nouvelle fin correspond à la fin initiale." }, "prohibited_agent_actions": { "en": [ "Opt production data into model training without express opt-in", "Repurpose records for behavioural profiling without express opt-in" ], "fr": [ "Verser des données de production dans l'entraînement d'un modèle sans consentement exprès", "Réutiliser des dossiers à des fins de profilage comportemental sans consentement exprès" ] }, "french_completeness_status": "complete", "french_completeness_note": "" }, { "id": "CA-09", "action": { "en": "Biometric database creation or identity verification deployment", "fr": "Création d'une banque de caractéristiques biométriques ou déploiement de vérification d'identité" }, "statutory_provisions": [ { "code": "LOI25-44-45", "citation_en": "Law 25, ss. 44-45", "citation_fr": "Loi 25, art. 44 et 45", "status": "in_force", "note_en": "Declare the biometric database to the CAI at least 60 days before it goes live and obtain express consent.", "note_fr": "Déclarer la banque de caractéristiques biométriques à la CAI au moins 60 jours avant sa mise en service et obtenir un consentement exprès." } ], "citation_ids": [ "CAI-BIOMETRIE-60J" ], "jurisdictions": [ "CA-QC" ], "allowed_agent_scope": { "en": "Identify biometrics in specifications, compute the 60-day filing deadline, and prepare the disclosure draft.", "fr": "Repérer les éléments biométriques dans les spécifications, calculer l'échéance de dépôt de 60 jours et préparer le projet d'avis." }, "prohibited_agent_actions": { "en": [ "Deploy voiceprint, facial recognition, or behavioural biometrics before the CAI filing and consent gate" ], "fr": [ "Déployer l'empreinte vocale, la reconnaissance faciale ou la biométrie comportementale avant le dépôt à la CAI et l'obtention du consentement" ] }, "french_completeness_status": "complete", "french_completeness_note": "" }, { "id": "CA-10", "action": { "en": "Collection or processing of minors' personal information (under 14)", "fr": "Collecte ou traitement de renseignements personnels de mineurs (moins de 14 ans)" }, "statutory_provisions": [ { "code": "LOI25-4.1-14", "citation_en": "Law 25, ss. 4.1, 14", "citation_fr": "Loi 25, art. 4.1 et 14", "status": "in_force", "note_en": "Consent of a person under 14 must be given by a parent or tutor; heightened duties apply to children's information.", "note_fr": "Le consentement d'une personne de moins de 14 ans doit être donné par un parent ou un tuteur; des obligations renforcées s'appliquent aux renseignements des enfants." }, { "code": "PPCDA-2-1-CHILD", "citation_en": "PPCDA, s. 2(1)", "citation_fr": "LPVDAC, art. 2(1)", "status": "pending_first_reading", "note_en": "A child means an individual under 18; a child's personal information is sensitive information with a heightened expectation of privacy.", "note_fr": "Est enfant toute personne de moins de 18 ans; les renseignements personnels d'un enfant sont des renseignements sensibles assortis d'une attente accrue de confidentialité." } ], "citation_ids": [ "CAI-MINEURS-14", "OPC-BA-CHILDREN-2011" ], "jurisdictions": [ "CA-FED", "CA-QC", "CA-ON", "CA-BC", "CA-AB" ], "allowed_agent_scope": { "en": "Detect age-gating gaps and flag ad-tech or chatbot contact with under-14 users.", "fr": "Détecter les lacunes du contrôle de l'âge et signaler tout contact publicitaire ou conversationnel avec des utilisateurs de moins de 14 ans." }, "prohibited_agent_actions": { "en": [ "Profile minors", "Target behavioural advertising at children", "Accept self-consent from a Quebec under-14" ], "fr": [ "Profiler des mineurs", "Cibler des enfants par de la publicité comportementale", "Accepter le consentement personnel d'un mineur de moins de 14 ans au Québec" ] }, "french_completeness_status": "complete", "french_completeness_note": "" }, { "id": "CA-11", "action": { "en": "Production deployment or material modification of a regulated AI/ML model", "fr": "Déploiement en production ou modification importante d'un modèle d'IA/AA réglementé" }, "statutory_provisions": [ { "code": "OSFI-E23-2.2-3.4-3.5", "citation_en": "OSFI E-23, Pr. 2.2, 3.4, 3.5", "citation_fr": "BSIF, ligne directrice E-23, pr. 2.2, 3.4, 3.5", "status": "in_force", "note_en": "Model risk management expectations for federally regulated financial institutions: model risk rating (Pr. 2.2), independent validation (Pr. 3.4), and pre-deployment risk assessment (Pr. 3.5). Principle numbering verified against the final E-23 text (published September 11, 2025; in effect May 1, 2027).", "note_fr": "Attentes en matière de gestion du risque lié aux modèles pour les institutions financières fédérales : cotation du risque (pr. 2.2), validation indépendante (pr. 3.4) et évaluation des risques avant déploiement (pr. 3.5). Numérotation vérifiée au texte final d'E-23 (publié le 11 septembre 2025; en vigueur le 1er mai 2027)." }, { "code": "OSFI-B13-3.1.2", "citation_en": "OSFI B-13, s. 3.1.2", "citation_fr": "BSIF, ligne directrice B-13, art. 3.1.2", "status": "in_force", "note_en": "Technology and cyber risk management: FRFIs should adopt a risk-based approach to intelligence-led threat assessment and testing, including penetration testing and red teaming at institution-set triggers and frequencies (B-13 s. 3.1.2). Applying this to live LLM application configuration, APIs, retrieval pipelines, and role/tool permissions is applied interpretation, not a B-13 requirement.", "note_fr": "Gestion du risque technologique et cybernétique : les institutions devraient adopter une approche fondée sur le risque pour l'évaluation des menaces et les tests dirigés par le renseignement, y compris les tests d'intrusion et l'équipe rouge, selon des déclencheurs et fréquences qu'elles établissent (B-13, art. 3.1.2). Appliquer cela à la configuration d'applications LLM en production, aux API, aux pipelines de recherche et aux permissions de rôles et d'outils est une interprétation appliquée, pas une exigence de B-13." }, { "code": "AMF-2026-PDG-0016", "citation_en": "AMF AI Guideline 2026-PDG-0016", "citation_fr": "Ligne directrice de l'AMF sur l'IA 2026-PDG-0016", "status": "in_force", "note_en": "Quebec financial-sector AI guideline: AMF decision 2026-PDG-0016 dated March 30, 2026, published April 2, 2026, in force May 1, 2027. Identifier and dates verified against the AMF bulletin.", "note_fr": "Ligne directrice sur l'IA pour le secteur financier québécois : décision 2026-PDG-0016 de l'AMF datée du 30 mars 2026, publiée le 2 avril 2026, en vigueur le 1er mai 2027. Identifiant et dates vérifiés au bulletin de l'AMF." } ], "citation_ids": [ "OSFI-E23-2027", "OSFI-B13-S3.1.2", "AMF-2026-PDG-0016" ], "jurisdictions": [ "CA-FED", "OSFI-FRFI", "AMF-QC" ], "allowed_agent_scope": { "en": "Open a living evidence-file stub, map the risk tier, and watch prompt-template hash changes.", "fr": "Ouvrir une ébauche de dossier de preuves évolutif, déterminer le niveau de risque et surveiller les changements de hachage des gabarits d'invites." }, "prohibited_agent_actions": { "en": [ "Self-validate conceptual soundness (E-23 Pr. 3.4 requires independent validation)", "Promote a model to production without human sign-off" ], "fr": [ "Valider seul la solidité conceptuelle (le pr. 3.4 d'E-23 exige une validation indépendante)", "Mettre un modèle en production sans l'approbation d'un humain" ] }, "french_completeness_status": "complete", "french_completeness_note": "" }, { "id": "CA-12", "action": { "en": "Public privacy policy modification or governance practice notice", "fr": "Modification d'une politique de confidentialité publique ou avis sur les pratiques de gouvernance" }, "statutory_provisions": [ { "code": "LOI25-8-8.2", "citation_en": "Law 25, ss. 8, 8.2", "citation_fr": "Loi 25, art. 8 et 8.2", "status": "in_force", "note_en": "Inform individuals of the purposes of collection and keep default settings at the highest level of confidentiality.", "note_fr": "Informer les personnes des fins de la collecte et maintenir les paramètres par défaut au plus haut niveau de confidentialité." }, { "code": "PPCDA-62", "citation_en": "PPCDA, s. 62", "citation_fr": "LPVDAC, art. 62", "status": "pending_first_reading", "note_en": "Make policies and practices readily available in plain language, covering data types, uses, automated decision systems, transfers, retention, and how to exercise rights.", "note_fr": "Rendre les politiques et pratiques facilement accessibles en langage clair : types de données, utilisations, systèmes décisionnels automatisés, transferts, conservation et exercice des droits." } ], "citation_ids": [ "CAI-POLITIQUE-CONFIDENTIALITE", "OPC-2023-001" ], "jurisdictions": [ "CA-FED", "CA-QC", "CA-ON", "CA-BC", "CA-AB" ], "allowed_agent_scope": { "en": "Diff live behaviour, scope cards, and the cookie register against the published policy text, and draft the EN/FR notice.", "fr": "Comparer le comportement réel, les fiches de cadrage et le registre des témoins au texte publié de la politique, et rédiger l'avis en français et en anglais." }, "prohibited_agent_actions": { "en": [ "Publish unilateral amendments", "Silently expand sharing disclosures retroactively" ], "fr": [ "Publier des modifications unilatérales", "Élargir silencieusement et rétroactivement les communications de renseignements" ] }, "french_completeness_status": "complete", "french_completeness_note": "" } ] }