FAQ sur la conformité en matière d'IA – Ce que les entreprises et les développeurs doivent savoir

L'adoption rapide de l'intelligence artificielle (IA) redéfinit la façon dont les entreprises innovent et fonctionnent, mais elle entraîne également de nouvelles considérations juridiques, éthiques et de conformité complexes.

Dans cette FAQ, le groupe Technologies de Fasken répond aux questions fréquentes qui se posent lors du développement, de l'acquisition et de l'utilisation des systèmes d'IA ainsi que des questions relatives à la conformité. Notre objectif est d'aider à la fois les développeurs et les fournisseurs de technologies d'IA, ainsi que les organisations qui les utilisent ou les acquièrent, à comprendre les enjeux clés liés à l'adoption de l'IA et à mettre en place des stratégies d'IA durables.

Considérations pour les développeurs et fournisseurs de systèmes d'IA :

• Ai-je besoin du consentement de mon client pour utiliser ses données afin de développer et d'entraîner des systèmes d'IA?

Oui, vous devez généralement obtenir le consentement explicite de vos clients pour utiliser leurs données aux fins du développement et de l'entraînement des systèmes d'IA. Ce consentement est généralement obtenu par l'octroi, dans le contrat conclu avec le client, d'un droit ou d'une licence permettant d'utiliser les données à cette fin. Si ces données incluent des renseignements personnels, le consentement doit être spécifique et informé. Il est essentiel de rédiger un contrat clair pour éviter les différends et les risques réglementaires. Si vous n'obtenez pas le droit exprès d'utiliser les données du client pour développer et entraîner un système d'IA, une telle utilisation pourrait constituer une violation des lois sur la protection des renseignements personnels ou de vos obligations de confidentialité, ou encore compromettre votre capacité à revendiquer la pleine propriété du système d'IA.

• Que faut-il faire pour transformer des données personnelles en données anonymisées?

Pour anonymiser des données, il faut supprimer ou modifier les identifiants qu'elles contiennent de manière à empêcher qu'elles puissent être utilisées pour identifier une personne, y compris au moyen d'un croisement avec d'autres ensembles de données. L'obligation d'anonymiser les données s'étend souvent au delà des données personnelles et des exigences en matière de protection des renseignements personnels; les clients s'attendent généralement à ce que les données susceptibles de permettre d'identifier leur organisation (ou toute organisation) soient également anonymisées. Il est possible d'anonymiser des données au moyen de différentes techniques, notamment le masquage des données, l'agrégation avec d'autres ensembles de données ou la confidentialité différentielle. Il est important de s'assurer que l'anonymisation est irréversible et conforme aux exigences légales applicables de protection des renseignements personnels. Supprimer les noms ou les courriels ne suffit pas si les données restantes permettent encore d'identifier une personne.

• Puis-je utiliser des données anonymisées générées à partir des données de mon client à n'importe quelle fin?

Une fois des données véritablement anonymisées, elles ne sont généralement plus soumises aux lois sur la protection des renseignements personnels et peuvent être utilisées à des fins plus larges, notamment aux fins de l'entraînement de modèles, d'analyses et de commercialisation. Cependant, vous devez vous assurer que vos contrats avec vos clients vous autorisent à transformer et à utiliser leurs données de cette manière. Certains contrats restreignent l'utilisation des données dérivées obtenues à l'aide des données du client, attribuent à celui-ci la propriété de ces données ou imposent des obligations de confidentialité qui peuvent toujours s'appliquer même après l'anonymisation.

• Comment un développeur d'IA peut il préparer son travail aux futures réglementations en matière d'IA?

Bien que la Loi sur l'intelligence artificielle et les données (LIAD) ait été abandonnée au début de 2025, ses principes liés à la gouvernance fondée sur le risque, à la transparence et à la responsabilité continuent d'alimenter les cadres volontaires et les initiatives provinciales au Canada. Les développeurs doivent mettre en place des structures de gouvernance internes, réaliser des évaluations des risques pour les cas d'utilisation à fort impact et conserver une documentation sur les données d'entraînement et le comportement des modèles, notamment pour garantir l'absence de biais discriminatoires. L'adoption de codes volontaires (dont le Code de conduite volontaire visant un développement et une gestion responsables des systèmes d'IA générative avancés d'Innovation, Sciences et Développement économique Canada [ISDE]) ou le respect des normes internationales sur l'IA (notamment l'ISO/IEC 42001, l'ISO/IEC 23894 ou l'AI Risk Management Framework du NIST) (en anglais) peuvent aider à démontrer une approche de mise en conformité proactive, à renforcer la confiance des clients et à réduire le risque que les pratiques internes (et les systèmes d'IA eux-mêmes) doivent être profondément modifiées si le Canada réintroduit un projet de loi visant à encadrer l'IA.

• Puis-je utiliser des données disponibles publiquement sur le Web ou d'autres canaux en ligne pour entraîner ma solution d'IA?

Le fait que des données soient accessibles au public ne signifie pas forcément qu'il est légal de les utiliser pour entraîner un système d'IA. Les lois sur le droit d'auteur et la protection des renseignements personnels, ainsi que les obligations contractuelles, peuvent limiter une telle utilisation. Par exemple, extraire des données d'un site Web peut constituer une violation des conditions d'utilisation applicables de ce site. Les développeurs doivent évaluer le statut juridique de la source des données en question et envisager de conclure des accords de licence ou utiliser des ensembles de données à code source libre qui sont mis à disposition pour un usage public sans restriction, y compris pour l'entraînement de l'IA.

• Quelles mesures dois-je prendre pour protéger les données sensibles de mes clients lorsque j'utilise l'IA?

Vous devez mettre en Suvre des pratiques robustes de sécurité des données, notamment le chiffrement, le contrôle des accès, les pistes de vérification et des environnements sécurisés pour l'entraînement des modèles. Lorsque vous utilisez des systèmes d'IA tiers, vous devez vous assurer que les fournisseurs tiers sont également contractuellement tenus de traiter les données de manière appropriée et ne les utilisent pas à des fins dépassant les droits d'utilisation accordés par votre client. Pour le traitement des données particulièrement sensibles, il est courant que les clients exigent que leurs données soient séparées, sur le plan logique et/ou physique, des ensembles de données des autres clients.

Considérations pour les organisations qui acquièrent et utilisent des systèmes d'IA :

• Dans quelle mesure notre organisation est-elle responsable des outils d'IA tiers qu'elle acquiert et utilise?

L'utilisation d'outils d'IA peut engager votre responsabilité quant au respect des lois et règlements en vigueur, notamment ceux relatifs à la protection des renseignements personnels, à l'emploi et aux droits de la personne, à la propriété intellectuelle ainsi qu'à la négligence. C'est le cas, par exemple, si l'outil d'IA cause un préjudice, viole des droits ou traite des données personnelles ou autres de manière illégale. Votre organisation peut également être assujettie à des codes, politiques ou autres lignes directrices émanant du gouvernement ou propres à votre secteur, concernant une telle utilisation. Pour réduire les risques, il est essentiel de prendre des mesures de diligence raisonnable, de mettre en place des protections contractuelles et d'assurer une surveillance continue. Vous devez notamment vous assurer que vos accords en amont et en aval incluent des obligations claires, des garanties, des droits de vérification et des clauses d'indemnisation permettant de gérer les risques.

• Si je saisis des renseignements commerciaux dans une plateforme d'IA tierce pour les analyser ou générer du contenu, ces données seront elles stockées et réutilisées par le fournisseur tiers?

Les plateformes d'IA peuvent se réserver le droit de conserver et d'utiliser les données saisies pour améliorer leurs modèles, ce qui pourrait entraîner une atteinte à la confidentialité et à la protection des secrets commerciaux ou de la propriété intellectuelle, et donc compromettre l'avantage concurrentiel. Avant de saisir des renseignements commerciaux sensibles dans une plateforme d'IA, il convient d'examiner attentivement les conditions d'utilisation et la politique de confidentialité du fournisseur, puis d'envisager soit de négocier des restrictions quant à l'usage des données, soit de recourir à des plateformes offrant des garanties plus solides en matière de protection des données.

• Je souhaite utiliser l'IA pour optimiser mon service des ressources humaines (RH). Y a-t-il des éléments particuliers auxquels je dois prêter attention?

Oui. L'utilisation de l'IA en matière de RH soulève d'importantes questions juridiques et éthiques, notamment en ce qui a trait à la protection des renseignements personnels, aux biais et à la transparence. Les outils utilisés aux fins du recrutement, de l'évaluation du rendement ou de l'analyse des données relatives à la main-d'Suvre doivent respecter les lois sur les droits de la personne et la protection des renseignements personnels, y compris les exigences relatives au consentement et à l'équité. Vous devez vous assurer que les systèmes d'IA sont explicables, vérifiables et exempts de biais discriminatoires, et que les employés sont informés, dans la mesure requise par la loi applicable, de l'utilisation de leurs données.

• Le site Web de mon organisation utilise un robot conversationnel propulsé par l'IA qui fournit du soutien à la clientèle. Mon organisation est-elle responsable des réponses données par le robot conversationnel?

Votre organisation peut être tenue responsable des renseignements trompeurs, inexacts ou préjudiciables fournis par un robot conversationnel propulsé par l'IA, surtout si ces renseignements influencent la prise de décisions d'un client ou lui causent un préjudice. Les robots conversationnels doivent être soigneusement entraînés et surveillés. Il faut aussi clairement indiquer que ce sont des outils automatisés. Mettez en place des avertissements, des protocoles d'acheminement à l'échelon supérieur et des vérifications régulières pour réduire les risques juridiques auxquels votre organisation est exposée.

• Comment puis-je utiliser des outils d'IA tiers sans compromettre la sécurité des données?

Une utilisation sécurisée de l'IA repose sur la combinaison de mesures techniques de protection, de contrôles contractuels et de pratiques de gouvernance. Choisissez des fournisseurs titulaires de certifications de sécurité fiables et qui ont mis en place des normes de sécurité robustes, y compris le chiffrement des données et le contrôle des accès. Limitez la saisie de données sensibles ou permettant d'identifier des personnes au strict nécessaire, et assurez-vous que les pratiques de gestion des données de vos fournisseurs respectent vos politiques internes et vos obligations juridiques.

Considérations en matière de propriété intellectuelle :

• Si j'utilise une plateforme d'IA générative pour créer du contenu pour mon entreprise, est-ce que je détiens les droits sur ce contenu?

Les conditions contractuelles de la plupart des services d'IA générative prévoient que chaque utilisateur détient les droits sur le contenu qu'il génère. Faites toutefois preuve de prudence, car des services exigent parfois des frais plus élevés lorsque vous dépassez certains seuils d'utilisation ou en cas d'usage à des fins commerciales. Le fait qu'un contrat affirme que vous détenez les droits de propriété intellectuelle ne garantit pas pour autant que ce soit effectivement le cas : ce sont les lois sur la propriété intellectuelle qui déterminent ces droits, et non les contrats. Si votre contribution personnelle au contenu généré par l'IA est limitée (par exemple, si elle se limite à quelques idées formulées dans une requête), un tribunal canadien pourrait conclure que ce contenu n'est pas protégé par le droit d'auteur. En effet, les idées seules ne sont pas protégées et, dans cet exemple, vous n'auriez pas contribué à l'expression de l'Suvre; c'est le modèle d'IA qui a apporté toute la contribution expressive, et il est tout à fait possible qu'une contribution humaine à l'expression de l'Suvre soit obligatoire. Cette difficulté concerne moins les droits relatifs aux marques de commerce, puisque la propriété de ces marques dépend surtout de la première utilisation ou de l'enregistrement, et non de la manière dont elles sont créées. Tenez un registre précis de vos contributions et de celles de vos collègues : séquences de requêtes utilisées pour générer du contenu, étapes de modification du contenu généré par l'IA, etc. Vous devrez vous assurer qu'il y a une contribution humaine significative à tout contenu essentiel à la valeur de votre entreprise.

• Devrais-je m'inquiéter de la manière dont mes fournisseurs utilisent l'IA pour créer du contenu destiné à mon entreprise?

Oui. Comme indiqué ci-dessus, il existe un risque que le contenu généré par l'IA générative ne donne lieu à aucun droit de propriété intellectuelle. Vos contrats devraient obliger vos fournisseurs à vous informer s'ils comptent recourir à l'IA générative et vous permettre de vous opposer à une telle utilisation. Vous pourrez ainsi évaluer si une telle utilisation peut vous priver de droits de propriété intellectuelle à l'égard d'actifs clés en raison d'un manque de contribution humaine. C'est une question importante à considérer en ce qui concerne certains types de contenu, mais pas tous les types de contenu. De plus, une plateforme d'IA générative peut produire du contenu imitant les créations d'autrui, ce qui pourrait entraîner des réclamations pour contrefaçon. Ne pas avoir eu connaissance de la contrefaçon ne vous exonère pas nécessairement de toute responsabilité à cet égard. Savoir qu'un tel outil sera utilisé vous aide à exercer une vigilance accrue et à comprendre la valeur réelle que vous obtenez en échange des sommes que vous versez.

• J'ai mis au point un système innovant basé sur l'IA. Peut-il être breveté?

De nombreux demandeurs de brevet parviennent à protéger des innovations utilisant l'IA sous diverses formes. La protection de certaines inventions informatiques a suscité plusieurs enjeux au Canada, notamment dans certains secteurs comme celui des méthodes commerciales fondées sur les TI. Ces questions peuvent se poser également à l'égard de certaines inventions basées sur l'IA. De manière générale, de nombreuses parties ont obtenu des brevets pour des systèmes basés sur l'IA au cours des dernières années, dans la mesure où ces systèmes sont nouveaux, utiles et non évidents. Les demandes de brevet concernant des systèmes basés sur l'IA qui ont abouti décrivent généralement en détail un problème technique rencontré auquel le système apporte une solution technique. Si un système basé sur l'IA est innovant par rapport aux autres produits disponibles sur le marché, il est pertinent d'évaluer s'il peut être breveté avant d'en divulguer les détails. Si vous déposez une demande de brevet après avoir rendu votre invention publique, vous pouvez encore obtenir un brevet au Canada si la divulgation remonte à moins de 12 mois, mais dans de nombreux autres pays, cette divulgation vous prive de protéger votre invention par brevet. Il est donc prudent de consulter un conseiller en brevets avant de divulguer les détails de votre invention.

• Si j'utilise un outil d'IA pour développer des inventions, par exemple pour déterminer les composés permettant de résoudre un problème industriel, pourrai-je breveter ces inventions?

Une protection par brevet peut être possible. Notez toutefois que, selon la jurisprudence canadienne, un inventeur inscrit sur une demande de brevet doit être une « personne ». Il serait difficile de soutenir qu'un outil d'IA est une personne au sens juridique, et donc qu'il pourrait être un « inventeur » (contrairement à une personne physique ou morale, par exemple). En revanche, lorsque la conception de l'idée provient d'un humain et que l'outil d'IA sert à confirmer ou fournir des données expérimentales, on peut soutenir que l'humain demeure l'inventeur. C'est la position qui a été adoptée par le commissaire aux brevets à la mi-2025. Cela complique la possibilité de soutenir que les contributions d'un outil d'IA générative à des concepts inventifs, comme la sélection d'un composé pour résoudre un problème, sont protégeables. Néanmoins, si les efforts combinés d'un humain et d'un outil d'IA donnent lieu à une invention brevetable, il est alors possible d'obtenir une protection de celle-ci. L'utilisation d'un outil d'IA ne dispense pas du respect des exigences traditionnelles applicables à l'obtention d'un brevet, notamment la nouveauté et le caractère non évident de l'invention par rapport aux inventions antérieures. Si l'outil d'IA se contente de reformuler des documents publics existants décrivant des usages possibles de composés chimiques, sa contribution pourrait avoir peu de valeur.

• Quelles mesures puis-je prendre pour empêcher un système d'IA de générer du contenu qui viole mes brevets, droits d'auteur ou marques de commerce?

Les brevets sont des documents publics accessibles en ligne auprès des bureaux de brevets et d'autres sources. Il est difficile d'empêcher un système d'IA d'utiliser ces documents comme données d'entraînement en vue de produire des résultats. Il en va de même pour les marques de commerce, qui figurent également dans des bases de données publiques et sont habituellement largement utilisées en ligne. Si vous estimez qu'un tiers porte atteinte à vos droits, vous devrez utiliser les moyens juridiques appropriés pour obtenir réparation, à commencer par la préparation et l'envoi d'une mise en demeure. Pour ce qui est des Suvres protégées par le droit d'auteur et disponibles en ligne, il peut être utile d'inclure des conditions d'utilisation qui interdisent l'utilisation de leur contenu à des fins d'entraînement de systèmes d'IA. Cette mesure pourrait empêcher d'autres personnes de générer au moyen de l'IA du contenu dérivé de vos propres créations. Des avis à cet effet apposés sur des exemplaires physiques peuvent également avoir un certain impact, même s'il peut être plus difficile de s'en prévaloir comme conditions contractuelles contraignantes.

Si vous contrôlez l'entraînement et la programmation d'un système d'IA ou si vous participez à ces activités, sélectionner soigneusement les données utilisées peut vous aider à réduire le risque de réclamations liées à la propriété intellectuelle ou aux obligations contractuelles. À défaut d'une telle sélection, il est plus difficile de prévenir ce genre de réclamation.

Considérations d'ordre réglementaire :

• Existe-t-il des lois spécifiquement en matière d'IA au Canada?

Le Canada n'a pas adopté de loi fédérale complète sur l'IA. Le gouvernement fédéral a proposé la Loi sur l'intelligence artificielle et les données dans le cadre du projet de loi C-27 (Loi de 2022 sur la mise en Suvre de la Charte du numérique), qui a expiré au Feuilleton. Aucune province n'a, à ce jour, proposé sa propre loi sur l'IA applicable au secteur privé. Par conséquent, l'IA dans le secteur privé canadien est encadrée par des lois plus générales, notamment sur la protection des renseignements personnels, du consommateur et des droits de la personne, ainsi que par des règlements sectoriels.

Dans le secteur public, l'Ontario a adopté une loi concernant l'utilisation de l'IA dans le secteur public (en anglais). Le gouvernement fédéral a également édicté la Directive sur la prise de décisions automatisée.

• Dans quelle mesure les lois canadiennes sur la protection des renseignements personnels s'appliquent-elles à l'utilisation de l'IA au Canada?

Les lois canadiennes sur la protection des renseignements personnels applicables au secteur privé, y compris la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), s'appliquent aux organisations et à leur utilisation de systèmes d'IA qui recueillent et utilisent des renseignements personnels dans le cadre d'activités commerciales. Certaines provinces ont également adopté des lois sur la protection des renseignements personnels applicables au secteur privé (Alberta, Colombie-Britannique et Québec). En général, ces lois exigent l'obtention du consentement valide et éclairé des personnes concernées, la responsabilisation, le maintien de la transparence, la réduction au minimum de la collecte de données, le maintien de l'exactitude des renseignements et la mise en Suvre de mesures de sécurité appropriées.

La loi québécoise sur la protection des renseignements personnels exige que les organisations informent les particuliers lorsqu'une décision à leur sujet est prise exclusivement par un processus automatisé et qu'elles leur fournissent des renseignements sur la technologie et les facteurs qui ont mené à la décision ainsi que l'occasion de la faire réviser par un humain.

• Comment le droit canadien traite-t-il les questions de biais liées à l'IA?

Les questions de biais et de discrimination liées à l'IA sont principalement traitées par les lois existantes sur les droits de la personne, notamment la Loi canadienne sur les droits de la personne au niveau fédéral et des lois provinciales similaires. Si les résultats ou les décisions d'un système d'IA entraînent une discrimination fondée sur un motif illicite (comme la race, le sexe, l'âge ou le handicap), cela peut constituer une violation des lois sur les droits de la personne. Ces lois s'appliquent à la prise de décisions fondée sur l'IA tout comme à la prise de décisions humaine, interdisant les pratiques de discrimination illicite relative à ces motifs. De plus, la Charte canadienne des droits et libertés (la « Charte ») peut s'appliquer si l'utilisation de l'IA par un organisme public ou la législation entraîne une violation des droits garantis par la Charte. Les organismes canadiens de réglementation de la protection de la vie privée ont déclaré qu'il est interdit d'utiliser des renseignements personnels d'une manière qui crée un risque de discrimination fondée sur des motifs illicites, peu importe si la personne a fourni son consentement.

• Les lois régissant l'utilisation de l'IA s'appliquent-elles de façon égale aux secteurs privé et public?

En général, non. Au Canada, les lois qui s'appliquent au secteur public sont généralement distinctes de celles qui s'appliquent au secteur privé. L'utilisation de l'IA dans le secteur privé est régie principalement par des lois d'application générale, comme les lois sur la protection des renseignements personnels, la propriété intellectuelle et la protection du consommateur, tandis que l'utilisation de l'IA dans le secteur public est assujettie à des obligations de droit public, y compris celles imposées par la Charte et les principes du droit administratif.

• Certains secteurs ont-ils leurs propres lois sur l'utilisation des systèmes d'IA?

En date d'octobre 2025, il n'existe pas de lois propres à l'IA au Canada applicable au secteur privé. Toutefois, les organismes de réglementation des services financiers et des marchés des capitaux ont publié plusieurs lignes directrices concernant l'utilisation de l'IA :

1. Le Bureau du surintendant des institutions financières (BSIF) a publié en septembre 2025 la ligne directrice E-23 – Gestion du risque de modélisation, qui énonce ses attentes en matière de gestion efficace des risques découlant de l'utilisation de modèles d'IA ou d'apprentissage automatique, applicables à partir du 1er mai 2027.
2. L'Autorité des marchés financiers (Québec) a publié en juin 2025 la Ligne directrice sur l'utilisation de l'intelligence artificielle, recommandant aux organisations d'adopter une approche basée sur les risques pour encadrer l'utilisation des systèmes d'IA dans le secteur des services financiers au Québec.
3. Les Autorités canadiennes en valeurs mobilières ont publié en décembre 2024 un Avis 11-348 du personnel des ACVM et de consultation : Applicabilité du droit canadien des valeurs mobilières à l'utilisation des systèmes d'intelligence artificielle dans les marchés des capitaux, qui traite des principales questions visant les personnes inscrites, les émetteurs, les marchés boursiers et les autres participants aux marchés susceptibles d'utiliser des systèmes d'IA, et souligne l'importance de la transparence, de la responsabilisation et de la gestion des risques.
4. La BC Financial Services Authority a publié en février 2024 des lignes directrices sur l'intelligence artificielle (en anglais) à l'intention des professionnels de l'immobilier utilisant l'IA.

• Existe-t-il des règles spécifiques concernant l'utilisation des systèmes d'IA dans le secteur de la santé?

Les organisations doivent accorder une attention particulière aux lois en matière de protection des renseignements personnels dans le secteur de la santé, notamment la Loi de 2004 sur la protection des renseignements personnels sur la santé de l'Ontario. Les renseignements personnels sur la santé sont des renseignements personnels sensibles, et les organisations qui développent des systèmes d'IA doivent s'assurer de respecter les exigences des lois et règlements sur la protection des renseignements personnels. Enfin, des lignes directrices ont été publiées, notamment les principes directeurs pancanadiens pour l'utilisation de l'IA au service de la santé et les lignes directrices préalables à la mise en marché pour les instruments médicaux fondés sur l'apprentissage machine de Santé Canada.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.