Ce que la LIAD exige réellement
Le projet de loi C-27 est dans le processus législatif canadien depuis suffisamment longtemps que de nombreuses organisations ont développé une fatigue LIAD — surveillant sa progression tout en reportant la préparation substantielle jusqu'à la sanction royale. Il s'agit d'une stratégie de conformité avec un risque significatif. Les obligations de la LIAD ne sont pas de simples mises à jour de politique ; elles nécessitent des modifications techniques des systèmes d'IA, de nouvelles pratiques de documentation, et une infrastructure de gouvernance qui prend des mois à construire correctement.
Portée de la LIAD : quels systèmes sont réglementés
La LIAD s'applique aux entités qui « conçoivent, développent, utilisent ou mettent à disposition » des systèmes d'IA dans le cadre du commerce international ou interprovincial. Pour la plupart des entreprises canadiennes déployant l'IA, c'est le déclencheur applicable.
Les secteurs mentionnés dans les orientations de la LIAD comme contextes à impact élevé comprennent : emploi et ressources humaines (embauche, licenciement, conditions de travail), services financiers (décisions de crédit, souscription d'assurance, scoring de fraude), soins de santé (aide au diagnostic, recommandations de traitement), services gouvernementaux (admissibilité aux prestations), et génération de contenu affectant la sécurité publique.
Pour les organisations en gouvernement, finance et santé, pratiquement chaque déploiement d'IA important qualifiera comme à impact élevé.
Les quatre obligations fondamentales de la LIAD
1. Évaluation d'impact : Avant de déployer un système d'IA à impact élevé, l'organisation doit réaliser et documenter une évaluation des risques que pose le système pour les individus et la société.
2. Atténuation des risques : Là où l'évaluation d'impact identifie des risques, l'organisation doit mettre en œuvre des mesures d'atténuation proportionnelles. Cela crée une obligation technique : l'atténuation doit être intégrée dans la conception du système.
3. Documentation et tenue de registres : Les organisations doivent maintenir la documentation de la conception du système d'IA, des données d'entraînement, des résultats des tests et de la surveillance continue.
4. Transparence envers les personnes concernées : Quand un système d'IA à impact élevé prend ou assiste une décision importante affectant un individu, cette personne doit être notifiée qu'une IA était impliquée, avoir accès à une explication des facteurs considérés, et avoir accès à un examen humain de la décision.
La LIAD et l'intersection vie privée
La LPRPC — la législation sur la vie privée que le projet de loi C-27 remplacerait la LPRPDE par — crée des obligations parallèles ciblant spécifiquement l'utilisation de l'information personnelle par l'IA. Les dispositions de prise de décision automatisée de la LPRPC exigent : un consentement éclairé avant que l'information personnelle soit utilisée dans la prise de décision automatisée, un droit à l'explication pour les décisions automatisées importantes, et un droit de demander l'examen humain des décisions automatisées.
Le travail de développement de politique IA requis ici va au-delà de l'analyse juridique : il nécessite de concevoir les interfaces d'explication et d'examen directement dans le système IA.
Construire un cadre de gouvernance IA avant l'échéance
Un programme de préparation à la LIAD pratique implique :
Inventaire IA : Un catalogue complet des systèmes IA en production ou développement qui prennent ou influencent des décisions sur les individus.
Classification d'impact : Évaluation de chaque système inventorié par rapport aux critères d'impact élevé de la LIAD.
Analyse des lacunes de gouvernance : Pour les systèmes à impact élevé, évaluation de ce qui existe versus ce que la LIAD exigera.
Feuille de route de remédiation : Un plan priorisé pour construire les capacités de gouvernance manquantes.
Les services de conformité IA requis pour exécuter ce programme ne sont pas exclusivement juridiques : la gouvernance IA technique (fiches modèles, documentation des tests, évaluation des biais), la conception des processus (flux de travail d'examen humain, processus d'appel), et la conception organisationnelle sont tous des composantes.