Points clés
- Le 23 octobre 2026, le Commissariat a publié sa réponse à la consultation d’ISDE sur la transparence de l’IA, en acceptant les cinq domaines nommés par ISDE mais en ajoutant son propre test : l’information doit être compréhensible et disponible au moment de la décision, et pas seulement publiée quelque part.
- La réponse reprend la norme du consentement valable de la LPRPDE : la divulgation doit couvrir ce qui est recueilli, avec qui c’est partagé, les fins poursuivies, ainsi que les risques et les conséquences.
- Son chiffre le plus frappant porte sur la déclaration des incidents : 40 % des déclarations d’atteinte à la LPRPDE arrivent plus de trois mois après l’atteinte, un retard que le Commissariat attribue à la norme du « dès que possible ».
Une réponse à une consultation qui fixe un test
Le Commissariat a publié sa réponse le 23 octobre 2026, en réponse au document de discussion d’Innovation, Sciences et Développement économique Canada sur la confiance envers l’IA grâce à une transparence accrue. La réponse est datée du 23 septembre 2026, signée par le sous-commissaire Marc Chénier, et accepte les cinq domaines où ISDE dit que des problèmes de transparence se posent : le contenu généré par l’IA, l’interaction avec l’IA, l’information sur les systèmes d’IA, les incidents liés à l’IA et les agents d’IA.
L’accord est la partie la moins intéressante. Le test ajouté par le Commissariat est ce qui comptera pour quiconque rédige une divulgation ou un questionnaire destiné à un fournisseur. Le document d’ISDE définit la transparence, au sens large, comme la disponibilité de l’information sur les systèmes d’IA. Le Commissariat répond que c’est trop mince : l’information doit être compréhensible et accessible au moment où elle compte pour la décision d’une personne. C’est la norme du consentement valable de la LPRPDE, transposée à l’IA : le principe 4.3.2 exige que les fins soient énoncées de façon à ce qu’une personne puisse raisonnablement les comprendre, et l’article 6.1 rend le consentement valide seulement si la personne comprend la nature, la fin et les conséquences du traitement.
Les cinq domaines, et ce que le Commissariat a vraiment demandé
| Domaine | Ce que le Commissariat a demandé |
|---|---|
| Contenu généré par l’IA | Un étiquetage qui protège la personne représentée aussi bien que la personne qui regarde. |
| Interaction avec l’IA | Une divulgation quand un système automatisé prend une décision importante au sujet d’une personne ou y contribue, et quand un système d’IA recueille des renseignements personnels sans interaction directe. |
| Information sur les systèmes d’IA | La divulgation des limites connues et des usages prévus, y compris les limites des données d’entraînement. |
| Incidents liés à l’IA | Un moyen pour les utilisateurs de signaler les cas d’échec, des tests réguliers par les développeurs, et des délais fixés à l’avance. |
| Agents d’IA | Rien de précis pour l’instant. Le Commissariat dit que ses travaux se poursuivent. |
L’étiquetage aide aussi la personne représentée
La plupart des débats sur le contenu généré sont cadrés autour de la personne qui regarde : peut-elle dire si cette image ou ce texte est synthétique, pour ne pas être trompée. Le Commissariat ajoute l’autre côté du cadre. Une personne qui fait l’objet d’un contenu synthétique gagne quand ce contenu est étiqueté, parce qu’une organisation qui décide à son sujet risque moins de prendre un faux pour un fait. Le projet de loi C-36, la Loi sur la protection de la vie privée des consommateurs proposée, donnerait aux gens plus de contrôle sur leurs renseignements personnels en ligne, y compris un droit à l’effacement couvrant le contenu synthétique, et la déclaration conjointe de février 2026 signée par 66 autorités de protection des données attend une information valable sur les capacités et les mesures de protection, des mécanismes de retrait rapides, et des mesures renforcées pour les enfants. Apposer un filigrane sur les résultats pour les personnes qui regardent, c’est la moitié d’un programme; l’autre moitié, c’est un chemin de retrait qui fonctionne vite.
Les quatre questions que toute divulgation doit traiter
Sur la transparence des interactions, la réponse renvoie aux Lignes directrices du Commissariat sur le consentement valable : la divulgation doit mettre l’accent sur ce qui est recueilli, avec qui c’est partagé, les fins poursuivies, et les risques de préjudice et autres conséquences.
Deux mises en garde accompagnent cela. D’abord, la divulgation excessive est un vrai mode d’échec : le Commissariat reprend sa position de son ancienne réponse sur le projet de loi C-27, selon laquelle limiter un compte rendu général de l’utilisation d’un système de décision automatisée aux utilisations qui pourraient avoir une incidence importante établit un équilibre raisonnable. Ensuite, ne construisez pas un deuxième univers de divulgation : le niveau de détail devrait suivre l’incidence, et pas la simple présence d’un système d’IA dans la chaîne, et les gens ne devraient pas avoir à lire un document pour le traitement avec IA et un autre pour le traitement sans IA. Les équipes qui rédigent des « avis sur l’IA » séparés de leurs avis de confidentialité devraient entendre cet avertissement avant toute règle : la séparation elle-même est un défaut.
Le chiffre qui devrait changer la conversation sur les incidents
La section de la réponse sur les incidents porte sa preuve la plus dure : 40 % des déclarations d’atteinte à la LPRPDE arrivent plus de trois mois après l’atteinte. Le Commissariat attribue ce retard à la norme du « dès que possible » de la LPRPDE, qui affaiblit son rôle de surveillance, retarde ses conseils aux organisations et laisse les gens exposés plus longtemps que nécessaire. Lisez cela comme une consigne de conception pour tout régime de déclaration des incidents liés à l’IA : copiez cette formulation sans horloge fixe, et attendez-vous à la même traîne de trois mois. Le Commissariat veut aussi un mécanisme permettant aux utilisateurs de signaler les cas d’échec, en plus de tests réguliers par les développeurs.
Sur l’information relative aux systèmes, le point est parallèle : dites aux acheteurs quelles sont les limites connues de précision et les usages prévus, y compris quand les données d’entraînement sont limitées dans le temps ou tirées d’une seule source non représentative. L’enquête conjointe sur ChatGPT menée avec le Québec, l’Alberta et la Colombie-Britannique a recommandé de dire aux utilisateurs au Canada, y compris aux utilisateurs professionnels, quel est le niveau général de précision des renseignements personnels dans les résultats, en langage clair. Si un fournisseur ne peut pas vous dire où son système est faible, reconsidérez l’usage.
Ce qui reste ouvert
Les agents obtiennent la section la plus courte, et cette minceur est elle-même une information. Le Commissariat dit que ses travaux sur l’IA agentique se poursuivent, notamment par l’entremise de l’Assemblée mondiale de la protection de la vie privée, et qu’il partagera plus d’information quand il le pourra. Aucune position, aucun échéancier, aucune liste de divulgation. Les équipes qui déploient des agents aujourd’hui rédigent leurs propres règles de divulgation, de journalisation et de limites d’autorité, et devraient s’attendre à ce que la version du régulateur arrive plus tard. C’est le fil à suivre.
Mesure concrète : Vérifiez cette semaine une divulgation sur l’IA à l’aune du test du Commissariat. Prenez la divulgation qu’un client ou un employé voit vraiment avant une décision importante, et vérifiez-la par rapport aux quatre questions : qu’est-ce qui est recueilli, qui le reçoit, dans quel but, et quel préjudice pourrait suivre. Si une réponse se trouve dans un avis sur l’IA séparé ou dans un langage qu’un non-spécialiste ne peut pas suivre au moment de la décision, cette divulgation échoue au test que le Commissariat vient de fixer.