La LIAD expliquée : ce que la Loi canadienne sur l'IA et les données signifie pour votre entreprise

La LIAD est le projet de Loi sur l'intelligence artificielle et les données du Canada, présenté dans le cadre du projet de loi C-27. Elle réglementerait les systèmes d'IA à « incidence élevée » — le genre utilisé pour l'embauche, le crédit ou la biométrie — en obligeant les entreprises à évaluer, atténuer, surveiller et documenter leurs risques. Ce n'est pas encore une loi. Mais le geste avisé est de constituer votre inventaire de l'IA et votre documentation des risques dès maintenant, car ce même travail satisfait aussi à la LPRPDE, à la Loi 25 et à la Loi européenne sur l'IA.

Qu'est-ce que la LIAD et d'où vient-elle?

La Loi sur l'intelligence artificielle et les données — la LIAD — est le cadre proposé par le Canada pour réglementer l'intelligence artificielle. Elle est arrivée comme troisième pièce du projet de loi C-27, la Loi de mise en œuvre de la Charte du numérique, aux côtés de réformes proposées à la loi fédérale sur la protection des renseignements personnels du secteur privé. Le projet de loi a été présenté en 2022 et a cheminé au Parlement et en étude de comité au cours des années suivantes.

Soyez précis quant au statut, car cela compte : la LIAD est une proposition, pas une loi en vigueur. Elle a fait l'objet de débats approfondis, de discussions d'amendements et d'un examen en comité, et sa forme finale exacte a évolué en cours de route. Malgré tout, l'orientation stratégique est suffisamment établie pour qu'attendre la sanction royale avant d'y réfléchir soit une erreur. Les organismes de réglementation, les tribunaux et les clients traitent déjà l'IA responsable comme une attente, pas comme un simple atout.

Si vous dirigez une entreprise canadienne qui construit, déploie ou s'appuie sur l'IA, la LIAD vous indique où le gouvernement fédéral entend tracer ses lignes. Vous familiariser avec ces lignes dès maintenant est une assurance bon marché.

L'idée centrale : se concentrer sur les systèmes à « incidence élevée »

La LIAD ne tente pas de réglementer chaque parcelle d'IA. Un filtre antipourriel, un correcteur orthographique, un widget de recommandation dans votre boutique en ligne — rien de tout cela n'est visé. La Loi se concentre sur ce qu'elle appelle les systèmes d'IA à « incidence élevée » : les usages où un mauvais résultat peut gravement toucher les droits, la santé, la sécurité ou les intérêts économiques des gens.

Les contours précis de l'« incidence élevée » devaient être définis par voie de règlements et d'orientations d'accompagnement plutôt que fixés dans la loi elle-même, ce qui explique en partie pourquoi le cadre a continué d'évoluer. Mais les cibles visées sont cohérentes et reconnaissables : l'IA utilisée dans les décisions d'emploi, dans la détermination de l'accès aux services, dans l'identification biométrique, dans la modération de contenu à grande échelle, et dans d'autres contextes où les décisions automatisées ont un poids réel pour les personnes.

La règle du pouce est simple. Si votre IA aide à décider qui est embauché, qui obtient un prêt, qui reçoit un service, ou comment une personne est identifiée, présumez que vous êtes dans la zone qui préoccupe le plus la LIAD. Si votre IA aide à prévoir les stocks ou à acheminer les camions de livraison, vous n'y êtes presque certainement pas.

Que devraient réellement faire les entreprises?

Les obligations au titre de la LIAD tournent autour d'un thème familier de la réglementation moderne de l'IA : connaissez votre système, gérez ses risques et soyez en mesure de démontrer votre travail. Dans les grandes lignes, les organisations responsables de systèmes à incidence élevée seraient tenues de :

Évaluer si un système est à incidence élevée. La première obligation est une classification honnête. Vous ne pouvez pas gérer un risque que vous n'avez pas admis avoir.

Cerner, évaluer et atténuer les risques de préjudice et de résultats biaisés. Cela signifie examiner attentivement comment un système pourrait produire des résultats discriminatoires ou préjudiciables, puis prendre de véritables mesures pour réduire ces risques avant et pendant le déploiement.

Surveiller les systèmes en production. La gestion des risques n'est pas une barrière ponctuelle qu'on franchit au lancement. La LIAD envisage une surveillance continue de la façon dont un système se comporte réellement une fois en service.

Tenir des registres. La documentation de la façon dont un système a été évalué, des données qu'il utilise et des mesures d'atténuation en place est au centre. Si vous ne pouvez pas décrire votre système sur papier, vous ne pouvez pas démontrer la conformité.

Être transparent. Publier de l'information en langage clair sur les systèmes à incidence élevée — ce qu'ils font et comment ils sont gérés — fait partie de la posture attendue.

La Loi envisageait aussi un mécanisme de surveillance, y compris un commissaire ou un rôle semblable pour administrer et faire appliquer le cadre, ainsi que la possibilité de sanctions importantes pour les violations graves. Ces détails d'application, comme bien d'autres choses, faisaient partie du raffinement législatif en cours.

Pourquoi « attendre de voir » est le mauvais choix

Il est tentant de mettre tout cela de côté jusqu'à ce que la LIAD soit réellement en vigueur. Trois raisons de ne pas le faire.

D'abord, le travail que demande la LIAD est celui que demande de toute façon une bonne gouvernance. Un inventaire de l'IA, une évaluation des risques, une supervision humaine, une documentation claire — tout cela rend votre entreprise plus résiliente, peu importe ce qu'une loi finit par dire. Rien n'est gaspillé.

Ensuite, la LIAD n'est pas la seule pression sur vous. Vos obligations existantes au titre de la LPRPDE s'appliquent déjà aux renseignements personnels qui circulent dans votre IA, et une évaluation de la LPRPDE structurée montre où vous en êtes. La Loi 25 du Québec impose de véritables devoirs, notamment autour de la prise de décision automatisée. La Loi européenne sur l'IA atteint les firmes canadiennes ayant une exposition européenne. La LIAD est un brin dans une corde, et la corde se resserre déjà.

Enfin, vos clients le demandent en ce moment même. Les équipes d'approvisionnement des grandes entreprises veulent de plus en plus que les fournisseurs démontrent des pratiques d'IA responsables avant de signer. L'entreprise qui peut déjà présenter un inventaire de l'IA et une documentation des risques remporte des contrats que l'entreprise qui se démène pour les assembler perd.

Une longueur d'avance pratique

Vous n'avez pas besoin d'un service de conformité pour commencer. Commencez par trois gestes.

Constituez l'inventaire. Répertoriez chaque système d'IA que votre entreprise construit ou utilise sur de vraies personnes. Notez ce que chacun fait, quelles données il touche et quelles décisions il façonne — un registre de gouvernance de l'IA vivant garde cela à jour plutôt que périmé.

Signalez ceux à incidence élevée. À l'aide des catégories reconnaissables — emploi, crédit et accès financier, services essentiels, biométrie, décisions ayant des conséquences importantes pour les personnes — marquez lesquels de vos systèmes tomberaient vraisemblablement sous l'attention de la LIAD.

Documentez la supervision pour ceux-là. Pour chaque système signalé, notez comment un humain révise ses résultats, comment vous détecteriez un résultat biaisé ou préjudiciable, et qui en est responsable. Ce court exercice vous place en avance sur la plupart de vos pairs.

L'orientation est claire

Quelle que soit la forme finale de la LIAD, la trajectoire de la politique canadienne est difficile à manquer : les entreprises devront gouverner leur IA, et non seulement l'utiliser. Les organisations qui traitent cela comme une discipline d'exploitation courante — comme la tenue de livres ou la sécurité au travail — absorberont les règles éventuelles à peine sans remous. Celles qui l'ignorent jusqu'à ce que l'application se présente paieront davantage, et plus tard.

Cet article constitue de l'information générale et non un avis juridique — pour savoir comment la LIAD ou toute règle canadienne sur l'IA s'applique à vos systèmes particuliers, consultez un professionnel qualifié.

Transformer cette discipline d'inventaire, de risque et de documentation en quelque chose qu'une petite équipe peut réellement tenir à jour est toute la raison d'être de plateformes comme Valdra — pour que la paperasse se tienne à jour d'elle-même au lieu de devenir une course contre la montre le jour où un organisme de réglementation ou un client le demande.