À retenir
- Le 26 octobre 2026, OpenAI a demandé à la Cour suprême de la Colombie-Britannique d’annuler une ordonnance de production du commissariat à l’information et à la protection de la vie privée de la province, émise en septembre dans le cadre d’une enquête ouverte en juin 2026 sur la façon dont ChatGPT a traité les renseignements personnels liés à la fusillade de l’école de Tumbler Ridge, en février 2026.
- Le commissariat vérifie si l’utilisation par ChatGPT de ces renseignements personnels, tels qu’ils figurent dans les requêtes, le contenu téléversé et les données d’utilisation, ou en sont dérivés, dans la prestation de ses réponses, était une utilisation qu’une personne raisonnable jugerait appropriée, en tenant compte explicitement de la possibilité que les réponses influencent le comportement.
- OpenAI juge l’enquête redondante avec l’enquête conjointe fédérale-provinciale de mai 2026 et l’ordonnance trop large, tandis que le commissariat affirme qu’OpenAI n’accepterait de divulguer que dans le cadre d’une procédure judiciaire. Quelle que soit l’issue, la façon dont les fournisseurs d’IA répondent aux organismes de réglementation change, et c’est pourquoi la réponse appartient dès maintenant à votre registre des risques.
Lundi, OpenAI a demandé à la Cour suprême de la Colombie-Britannique d’annuler une ordonnance de production du commissaire à la protection de la vie privée de la province. Le commissariat a lui-même annoncé la contestation, dans un communiqué daté du 27 octobre, précisant qu’il rendait publique une enquête en cours uniquement parce que le recours d’OpenAI l’y obligeait. Quand un organisme de réglementation brise sa propre règle du silence, le bras de fer est sérieux.
La mèche brûle depuis des mois. En février, le commissariat a demandé à OpenAI des renseignements sur ses politiques, ses pratiques et les interactions précises de ChatGPT avec l’utilisateur. OpenAI ne les a pas fournis volontairement. En juin, le commissaire a ouvert une enquête formelle. OpenAI a alors répondu que, conformément à ses engagements en matière de protection de la vie privée envers ses utilisateurs, elle ne pouvait divulguer ces renseignements que dans le cadre d’une procédure judiciaire. En septembre, le commissaire a utilisé ses pouvoirs en vertu de la loi sur la protection des renseignements personnels du secteur privé de la Colombie-Britannique pour ordonner la production quand même. Cette semaine, OpenAI a demandé le contrôle judiciaire de l’ordonnance et conteste l’enquête elle-même.
Cela fait trois dossiers parallèles sur la même fusillade. En septembre, la Colombie-Britannique a poursuivi OpenAI devant un tribunal fédéral de San Francisco à titre de demanderesse gouvernementale, réclamant des coûts de rétablissement et une injonction sur les pratiques d’escalade des menaces. En mai, le commissaire fédéral, le commissaire de la Colombie-Britannique et le commissaire à l’information et à la protection de la vie privée de l’Alberta ont publié un rapport conjoint concluant qu’OpenAI avait contrevenu aux lois fédérales et provinciales sur la protection de la vie privée dans la façon dont ChatGPT collecte et traite les renseignements personnels des utilisateurs. Il y a maintenant une enquête distincte de la Colombie-Britannique et un bras de fer judiciaire sur des documents. Trois dossiers, trois précédents. Je suis les trois, et vous devriez faire de même.
Le test : la réponse d’un robot conversationnel est-elle une « utilisation » de vos renseignements personnels ?
La phrase la plus importante du communiqué du commissariat énonce la question sous enquête : l’utilisation de renseignements personnels, y compris ceux qui figurent dans les requêtes, le contenu téléversé, les données d’utilisation et les interactions avec d’autres utilisateurs, ou qui en sont dérivés, dans la prestation du service, c’est-à-dire les réponses de ChatGPT, est-elle une utilisation qu’une personne raisonnable jugerait appropriée dans les circonstances, y compris la possibilité que les réponses influencent le comportement ?
Relisez cette phrase, parce qu’elle fait plus de travail qu’il n’y paraît. Le commissaire traite les réponses de ChatGPT comme une utilisation de renseignements personnels, et les renseignements en cause comprennent ce qui est dérivé des requêtes, pas seulement ce qui y a été saisi. La plupart des évaluations de fournisseurs d’IA que je passe en revue traitent la requête comme une entrée, analysent la collecte et la conservation, puis s’arrêtent. Le côté sortie, ce que les réponses du modèle font de vos requêtes, est rarement classé comme une utilisation distincte de renseignements personnels soumise au critère des fins appropriées. La PIPA de la Colombie-Britannique, à son article 18, dit qu’une organisation ne peut utiliser des renseignements personnels que pour des fins qu’une personne raisonnable jugerait appropriées. Le commissariat demande maintenant si la prestation de réponses d’IA construites à partir des renseignements personnels d’un utilisateur, là où ces réponses peuvent influencer le comportement, satisfait ce critère. Si cette lecture survit, elle atterrit directement dans vos dossiers de fournisseurs : votre évaluation d’impact sur la protection des données doit comporter un poste sur ce que les sorties du modèle font des renseignements dérivés des requêtes, évalué comme un préjudice à la vie privée, pas seulement comme un enjeu de sécurité.
Ce qu’OpenAI soutient, exposé honnêtement
Le recours d’OpenAI, tel que rapporté par Courthouse News, avance plusieurs arguments : l’enquête est un deuxième examen redondant après l’enquête conjointe de mai; l’ordonnance de production est trop large et inutile; elle exige les journaux de conversation du tireur, que l’entreprise dit avoir déjà remis à la police, ainsi que des dossiers internes sur la décision de signaler ou non le compte aux forces de l’ordre; et l’ensemble dépasse le mandat du commissaire, soulève des questions liées à la Charte et contrevient aux propres obligations du commissariat en matière de protection de la vie privée. Sur la compétence, l’entreprise a relancé l’argument selon lequel la loi fédérale, la LPRPDE, s’applique et que la PIPA de la Colombie-Britannique ne s’applique pas, un argument que le rapport conjoint de mai disait avoir déjà été « traité en profondeur dans des enquêtes conjointes précédentes ».
Au-delà du langage judiciaire, il y a deux vrais bras de fer. Le premier porte sur la portée : jusqu’où l’ordonnance de production d’un commissaire à la protection de la vie privée peut-elle s’étendre dans les dossiers internes d’une entreprise quand la question sous-jacente concerne le comportement d’un produit d’IA. Le deuxième est celui que les praticiens reconnaîtront comme le compromis le plus difficile. OpenAI dit que ses engagements en matière de protection de la vie privée envers ses utilisateurs signifient qu’elle ne peut divulguer ces renseignements que dans le cadre d’une procédure judiciaire. C’est une position défendable, et c’est aussi la raison pour laquelle le commissariat a eu besoin d’une ordonnance de production en premier lieu. La coopération volontaire a échoué, alors la contrainte a pris sa place. Retenez l’honnêteté de cette séquence la prochaine fois qu’un fournisseur vous dira qu’il « coopère avec les organismes de réglementation ». Volontairement, ou seulement sur ordonnance d’un tribunal ? La réponse appartient à votre registre des risques, parce qu’elle fixe l’horloge de votre propre calendrier d’incident.
Trois dossiers, trois précédents
| Dossier | Forum | Question tranchée | Ce que cela établit pour vous |
|---|---|---|---|
| Poursuite de la demanderesse gouvernementale de la C.-B., déposée en sept. 2026 | Tribunal fédéral de San Francisco | OpenAI doit-elle des coûts de rétablissement et doit-elle modifier ses pratiques d’escalade des menaces ? | Normes de facto pour les chaînes d’escalade des fournisseurs d’IA |
| Enquête conjointe, rapport de mai 2026 | CPVP, commissariat de la C.-B., commissaire de l’Alberta | La collecte et le traitement des renseignements personnels par ChatGPT respectaient-ils les lois fédérales et provinciales ? | Références en matière de consentement, de limitation de la collecte et de transparence |
| Enquête distincte de la C.-B. et bras de fer sur l’ordonnance de production | Commissariat de la C.-B., Cour suprême de la C.-B. | Les réponses comme utilisation de renseignements personnels dérivés des requêtes satisfont-elles le critère de la personne raisonnable ? Jusqu’où va l’ordonnance de production d’un commissaire ? | Les sorties comptent-elles comme des « utilisations » dans vos EFVP ? Comment votre fournisseur répond aux organismes de réglementation |
Les dossiers interagissent. Si le tribunal restreint l’ordonnance de production, les futurs commissaires rédigeront leurs ordonnances plus soigneusement et les fournisseurs auront un guide pour les contester. Si la lecture de la personne raisonnable appliquée aux sorties comme utilisations survit, chaque évaluation de fournisseur d’IA en Colombie-Britannique, et par force de persuasion ailleurs au Canada, gagne un nouveau poste. Et si la poursuite de la province produit une injonction sur les pratiques d’escalade, cela devient le langage contractuel qu’on vous demandera de signer.
Ce qu’il faut mettre dans vos dossiers de fournisseurs
Mettez de côté la culpabilité ou l’innocence d’OpenAI. Le travail à faire ici tient en deux entrées que la plupart des questionnaires sur les fournisseurs d’IA n’ont pas encore.
Classez les sorties comme des utilisations de renseignements personnels. Mettez à jour votre modèle d’EFVP pour que les réponses des modèles dérivées des requêtes, du contenu téléversé et des données d’utilisation soient évaluées comme des utilisations distinctes de renseignements personnels selon le critère des fins appropriées, y compris la possibilité que les réponses influencent le comportement. Si votre modèle s’arrête à la collecte et à la conservation, il manque exactement la question que le commissaire de Victoria pose.
Demandez comment votre fournisseur répond aux organismes de réglementation, pas seulement comment il vous répond. Ajoutez la question : quand un organisme de protection de la vie privée demande des documents touchant les données de nos utilisateurs, divulguez-vous volontairement ou seulement dans le cadre d’une procédure judiciaire ? Un fournisseur qui attend une ordonnance ajoute des mois avant que l’organisme voie les dossiers. La question de savoir si le tribunal de la Colombie-Britannique approuvera cette attente n’est pas encore tranchée, et c’est le fil à suivre dans cette histoire.
Mesure concrète : Sortez votre contrat de fournisseur d’IA le plus risqué et écrivez deux lignes : les sorties des modèles dérivées des requêtes sont évaluées comme des utilisations de renseignements personnels, et la façon dont le fournisseur répond aux organismes de réglementation est documentée dans le registre des risques. Le commissaire applique en ce moment le critère de la personne raisonnable aux réponses de ChatGPT. Appliquez-le à vos fournisseurs avant qu’un organisme de réglementation ne l’applique à vous.