Points clés
- Le 24 septembre 2026, l’Electronic Frontier Foundation a rapporté que DraftKings entraîne des modèles d’apprentissage automatique sur les historiques de paris de ses clients pour repérer les joueurs les plus susceptibles de continuer à perdre, puis leur envoie de la publicité ciblée pour les ramener. Le reportage original vient du New York Times (19 septembre). Les joueurs compulsifs, ceux que ce ciblage nuit le plus, sont les plus susceptibles d’être repérés par le modèle.
- En Ontario, où DraftKings exerce comme exploitant enregistré depuis mai 2022, le régulateur exige que ces mêmes données comportementales servent à la réduction des méfaits. Les normes du registrateur de la CAJO imposent la surveillance des comptes et des comportements des joueurs (norme 2.10) et l’intervention en cas de jeu à haut risque (norme 2.01), et la CAJO a imposé des amendes de 105 000 $ à theScore et de 150 000 $ à PointsBet pour ne pas avoir agi sur de tels signaux.
- L’exposition en matière de vie privée se joue sur la limitation des finalités et le consentement : la LPRPDE ne permet la collecte et l’utilisation que pour des fins qu’une personne raisonnable jugerait acceptables (article 5(3)), et la Loi 25 oblige les organisations à informer les personnes visées lorsqu’une décision les concernant repose exclusivement sur un traitement automatisé, en communiquant les motifs et les principaux facteurs sur demande.
Le 24 septembre 2026, l’Electronic Frontier Foundation a rapporté que l’entreprise de paris sportifs en ligne DraftKings utilise les historiques de paris de ses clients pour entraîner un modèle d’apprentissage automatique capable de trouver les joueurs perdants. Une fois repérés, DraftKings envoie à ces clients de la publicité ciblée pour les attirer de nouveau vers ses paris, des paris que l’entreprise croit perdants d’avance. Le reportage original vient du New York Times, publié le 19 septembre. Les personnes que l’EFF dit les plus susceptibles d’être ciblées sont les joueurs compulsifs, ceux qui continuent à jouer malgré les torts causés à eux-mêmes, à leurs finances et à leurs relations.
Le point le plus tranchant de l’EFF est structurel. DraftKings semble n’utiliser que des données de première main, celles qu’elle recueille directement auprès de ses propres utilisateurs, sans aucun courtier de données tiers. Les réponses réglementaires qui limitent seulement la vente ou le partage de données avec des tiers ne toucheraient pas du tout à cette pratique.
Les mêmes données, orientées dans deux directions
L’Ontario autorise cette entreprise. DraftKings exerce sur le marché réglementé des jeux en ligne de l’Ontario depuis le 18 mai 2022, enregistrée auprès de la Commission des alcools et des jeux de l’Ontario et exploitée en vertu d’une entente avec iGaming Ontario.
La loi ontarienne oriente les données dans l’autre sens. Les normes du registrateur de la CAJO pour les jeux sur Internet obligent les exploitants enregistrés à maintenir des politiques qui repèrent, préviennent et réduisent au minimum les risques de méfaits liés au jeu (norme 2.01) et à utiliser un mécanisme de surveillance des comptes et des comportements des joueurs (norme 2.10). Les lignes directrices de la CAJO demandent aux exploitants d’utiliser la technologie pour offrir des interventions adaptées à plus grande échelle aux joueurs à risque. Le régulateur a mis de l’argent derrière ses paroles : il a imposé une pénalité de 105 000 $ à theScore pour ne pas être intervenu auprès d’un client qui avait misé 2,5 millions de dollars et perdu environ 230 000 $ en huit mois, et 150 000 $ à PointsBet pour des manquements au jeu responsable.
Mettons côte à côte les deux usages du même pipeline comportemental :
| Ce que le modèle voit | Ce que l’Ontario attend (réduction des méfaits) | Ce que l’EFF rapporte (réactivation) |
|---|---|---|
| Pertes croissantes, mises fréquentes et élevées | Intervention : limites, pauses, ressources de jeu responsable | Promotions ciblées pour ramener le joueur |
| Demandes répétées de bonis, poursuite des pertes | Signal de risque; réponse du personnel formé | Signal d’entraînement pour le modèle de « joueur perdant » |
| Vitesse des dépôts, durée des sessions | Examen du compte, suspension possible | Signal de synchronisation pour les offres de réactivation |
Mon analyse : il s’agit d’un seul pipeline avec deux destinations possibles. Le régulateur s’attend à ce qu’il se termine par une intervention. L’entreprise l’oriente vers les revenus. Quand la même sortie de modèle peut servir aux deux, la question de conformité n’est plus « surveillons-nous les joueurs », mais « qu’avons-nous fait de ce que la surveillance a révélé ».
Le cadre du droit à la vie privée
La limitation des finalités est le point de pression. En vertu de la LPRPDE, une organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels que pour des fins qu’une personne raisonnable estimerait acceptables dans les circonstances (article 5(3)), et le consentement doit couvrir chaque fin. Un client qui confie son historique de paris pour placer des mises s’attend raisonnablement à ce que l’exploitant surveille ces données pour prévenir les méfaits, parce que le régulateur l’exige. Être noté comme un « perdant probable » à des fins de reciblage est une tout autre fin, et il est difficile de soutenir qu’une personne raisonnable la jugerait acceptable.
La Loi 25 ajoute la transparence des décisions automatisées. La loi québécoise sur le secteur privé oblige les organisations qui rendent des décisions fondées exclusivement sur un traitement automatisé de renseignements personnels à en informer la personne concernée et, sur demande, à lui communiquer les renseignements personnels utilisés, les motifs et les principaux facteurs à l’origine de la décision, ainsi que le droit de correction et de révision. Le ciblage promotionnel piloté par un score d’apprentissage automatique se situe dans la zone de profilage pour laquelle cette règle a été écrite. Le Québec exige aussi que les organisations informent les gens de l’utilisation de technologies d’identification, de localisation ou de profilage, et de la façon d’activer ces fonctions.
La direction fédérale va dans le même sens. Le Commissariat à la protection de la vie privée a publié neuf principes pour l’IA générative en août 2026, la consultation fédérale sur la transparence de l’IA s’est terminée le 23 septembre avec Michael Geist qui recommande une loi sur la transparence de l’IA fondée sur la divulgation des politiques de sécurité et d’escalade, la transparence des données d’entraînement et des rapports annuels, et le projet de loi C-36, maintenant en deuxième lecture, propose un droit à l’explication pour les systèmes de décision automatisée. Chacun de ces instruments suppose la même chose : l’organisation peut expliquer ce que font ses modèles et pourquoi.
Quoi faire lundi
Si votre organisation note des personnes à l’aide de modèles, y compris à des fins de marketing, faites cette vérification :
- Inventoriez les modèles. Dressez la liste de chaque modèle qui profile des personnes, y compris les outils de tiers. Si vous ne pouvez pas les nommer, vous ne pouvez pas les gouverner.
- Testez la finalité contre la personne raisonnable. Pour chaque modèle, écrivez la finalité à laquelle la personne a réellement consenti. Si le modèle sert une deuxième finalité, il faut une deuxième base.
- Vérifiez vos divulgations sur les décisions automatisées. Les obligations de transparence de la Loi 25 s’appliquent maintenant, pas quand le projet de loi C-36 sera adopté. Si un score d’apprentissage automatique détermine qui voit quelle offre, documentez les facteurs et le chemin de révision.
- Alignez le pipeline sur l’attente du régulateur. Si vous exercez dans un secteur réglementé, vos données de surveillance ont une destination légalement attendue. Documentez ce que les données ont alimenté et quand. La pénalité imposée à theScore montre que le régulateur lit les journaux.
Mesure concrète : prenez un modèle de profilage cette semaine et tracez une seule donnée, de sa collecte jusqu’à la décision qu’elle a influencée. Si vous ne pouvez pas tracer cette ligne, ou si elle aboutit là où le client n’a jamais accepté d’aller, vous venez de trouver votre prochaine revue de protection des renseignements personnels.