La Loi européenne sur l'IA pour les PME canadiennes : quand elle s'applique vraiment à vous

Oui — une loi rédigée à Bruxelles peut réellement rejoindre une entreprise exploitée depuis Halifax. Mais seulement dans des situations précises. La Loi européenne sur l'IA vous vise si vous mettez un système d'IA sur le marché de l'UE, si le résultat de votre IA finit par être utilisé par des personnes dans l'UE, ou si vous déployez un système à haut risque qui touche des résidents de l'UE. Si vos clients, votre personnel et vos utilisateurs sont tous au Canada ou aux États-Unis, la Loi ne vous atteint presque certainement pas aujourd'hui.

La Loi européenne sur l'IA s'applique-t-elle aux entreprises canadiennes?

La Loi européenne sur l'IA — officiellement le Regulation (EU) 2024/1689 — est la première loi exhaustive du genre au monde. Elle est entrée en vigueur en 2024 et se met en œuvre progressivement sur plusieurs années, différentes obligations s'activant à différentes dates jusqu'en 2026 et 2027. La plupart des propriétaires canadiens entendent « UE » et classent discrètement le tout sous « pas mon problème ». Cet instinct est habituellement erroné.

Comme le RGPD avant elle, la Loi porte au-delà des frontières européennes. Peu lui importe où votre entreprise est constituée. Ce qui compte, c'est où aboutissent les résultats de votre IA et qui ils touchent. Alors oui, une règle rédigée à Bruxelles peut retomber sur un commerce de Calgary ou une jeune pousse de Mississauga.

Voici la partie rassurante. La plupart des PME canadiennes ne sont pas visées du tout, et celles qui le sont tombent habituellement dans les niveaux les plus légers. Tout l'enjeu est de savoir dans quel groupe vous vous situez avant qu'un client, un partenaire ou un organisme de réglementation européen ne force la question.

Les trois façons dont une PME canadienne est visée

Il y a essentiellement trois déclencheurs. Si aucun ne vous décrit, fermez l'onglet et retournez au travail.

Un — vous mettez un système d'IA sur le marché de l'UE. Vendez, cédez sous licence ou rendez autrement disponible un produit ou service alimenté par l'IA à des clients de l'UE et vous devenez un « fournisseur » dans le langage de la Loi. Une entreprise SaaS canadienne comptant des abonnés payants en Allemagne ou aux Pays-Bas en est le cas d'école.

Deux — le résultat de votre IA est utilisé dans l'UE. C'est celui qui prend les gens au dépourvu. Vos serveurs, votre équipe, votre siège social peuvent tous être au Canada, mais si vous générez un résultat d'IA — un candidat évalué, un contrat traduit, une recommandation, une image générée — et qu'une personne au sein de l'UE l'utilise ensuite, vous pouvez tomber dans le champ d'application. Imaginez une firme de recrutement canadienne qui trie des CV par IA pour le bureau parisien d'un client. Ça compte.

Trois — vous êtes un déployeur ayant une empreinte dans l'UE ou des utilisateurs de l'UE. Si vous utilisez (plutôt que de construire) un système d'IA à haut risque et que vous exercez vos activités dans l'UE, ou que les personnes touchées s'y trouvent, vous pouvez être visé en tant que « déployeur » avec votre propre ensemble d'obligations.

Pour la plupart des PME canadiennes, l'auto-évaluation honnête tient en une seule question : est-ce qu'une IA que je construis ou utilise produit des résultats qui touchent des personnes physiquement dans l'UE? Si la réponse est un non clair — tout le monde est au Canada ou aux États-Unis — la Loi ne vous atteint presque certainement pas aujourd'hui.

Les niveaux de risque en un coup d'œil

La Loi classe l'IA en quatre niveaux de risque, et vos obligations augmentent avec le niveau.

Risque inacceptable — interdit. Une courte liste de pratiques est bannie carrément : la notation sociale par les autorités publiques, certains systèmes manipulateurs qui exploitent les vulnérabilités, le moissonnage non ciblé d'images faciales pour constituer des bases de données de reconnaissance. Très peu de PME s'en approchent.

Risque élevé — fortement réglementé. Ce sont des systèmes dans des contextes sensibles : l'embauche et la gestion des travailleurs, l'accès à l'éducation, l'évaluation du crédit, les services essentiels privés et publics, la biométrie et les composants de sécurité de produits réglementés. Construisez ou déployez l'un d'eux et vous sentez le poids réel de la Loi — gestion des risques, gouvernance des données, documentation, supervision humaine et évaluation de la conformité.

Risque limité — obligations de transparence. C'est là que se situe la plupart de l'IA d'affaires quotidienne. Un agent conversationnel doit dire aux gens qu'ils parlent à une machine. Le contenu généré ou manipulé par IA — images, audio, vidéo synthétiques — doit généralement être divulgué. L'effort est modeste, mais réel.

Risque minimal — essentiellement non réglementé. Filtres antipourriel, prévision des stocks, moteur de recommandation pour votre propre catalogue. La grande majorité de l'IA d'affaires se situe ici, sans obligation précise en vertu de la Loi.

Quelle est une liste de vérification réaliste pour la Loi européenne sur l'IA?

Vous avez donc conclu que la Loi pourrait vous toucher. Voici une manière proportionnée de vous préparer sans retenir les services d'un cabinet d'avocats bruxellois.

Inventoriez votre IA. Notez chaque outil d'IA que votre entreprise intègre à un produit ou pointe vers de vraies personnes — y compris les outils à usage général que votre personnel utilise chaque jour. Vous ne pouvez pas classer ce que vous n'avez pas répertorié, et un inventaire de gouvernance de l'IA structuré vaut mieux qu'un tableur périmé dès vendredi.

Cartographiez les résultats. Pour chaque système, demandez où va le résultat et qui il touche. Signalez tout ce qui atteint des personnes dans l'UE. Cette seule étape règle la question du champ d'application pour la plupart des entreprises.

Classez par niveau. Placez chaque système visé dans l'un des quatre niveaux. Soyez honnête au sujet des cas d'embauche, de crédit et de biométrie — ce sont ceux qui bondissent au risque élevé.

Activez la transparence. Pour tout ce qui est à risque limité, ajoutez les divulgations simples dès maintenant. Étiquetez votre agent conversationnel comme étant une IA. Marquez le contenu généré par IA. C'est peu coûteux, et cela bâtit la confiance quelle que soit la juridiction.

Conservez la documentation. Même aux niveaux plus légers, un bref registre de ce que fait un système, des données qu'il utilise et de la façon dont vous le supervisez vous épargnera bien des ennuis le jour où l'équipe d'approvisionnement d'un client ou un organisme de réglementation le demande.

Surveillez les dates. La Loi se met en œuvre progressivement. Les règles sur les pratiques interdites et les attentes en matière de littératie de l'IA sont venues en premier; les obligations pour l'IA à usage général et les systèmes à haut risque suivent à des dates échelonnées ultérieures. Notez les échéances qui s'appliquent à vos systèmes.

Le portrait d'ensemble pour le Canada

Rien de tout cela ne se passe en vase clos. Les propres règles du Canada en matière d'IA prennent forme par l'entremise du projet de Loi sur l'intelligence artificielle et les données, et vos obligations existantes au titre de la LPRPDE et de la Loi 25 du Québec régissent déjà une grande partie des renseignements personnels qui circulent dans votre IA — une rapide vérification de préparation à la LPRPDE est une étape complémentaire sensée. Cartographiez votre IA en fonction des niveaux de l'UE et vous aurez accompli la majeure partie du travail que le régime canadien exigera aussi. Développez le muscle une fois, servez-vous-en dans plusieurs marchés.

Cet article constitue de l'information générale et non un avis juridique — si vous croyez pouvoir être visé par la Loi européenne sur l'IA, confirmez votre situation particulière auprès d'un professionnel qualifié.

Obtenir un portrait clair, niveau par niveau, de votre propre IA est précisément le genre de chose qu'une plateforme comme Valdra a été conçue pour rendre courant plutôt qu'intimidant : un inventaire vivant, une classification des risques et la trace documentaire pour l'étayer.