ChatGPT est-il conforme à la LPRPDE ? Ce que les entreprises canadiennes doivent savoir

Ce que le Commissariat à la protection de la vie privée a réellement dit

Le CPVP n'émet pas de certificats de conformité pour les produits logiciels. Ce qu'il fait, c'est enquêter sur les plaintes et publier des conclusions qui établissent comment la LPRPDE s'applique à des situations précises. Depuis 2023, ces conclusions ont clarifié plusieurs choses sur les outils d'IA et les renseignements personnels.

Les transferts transfrontaliers de renseignements personnels exigent des mesures de protection appropriées et, dans la plupart des cas, un consentement significatif des personnes dont les données sont transférées. Lorsque vous envoyez un document contenant des renseignements de clients à ChatGPT, ces renseignements voyagent vers les serveurs d'OpenAI aux États-Unis. Le Canada et les États-Unis n'ont aucun accord bilatéral de confidentialité équivalent aux décisions d'adéquation de l'UE.

L'enquête du CPVP sur Clearview AI a établi quelque chose d'important : recueillir et traiter des renseignements personnels sans consentement significatif constitue une infraction à la LPRPDE même si aucune atteinte ne se produit et même si les données ne sont jamais utilisées à mauvais escient. Le transfert lui-même est l'infraction.

Là où les dix principes de la LPRPDE créent de vrais problèmes

Trois des principes de la LPRPDE créent les problèmes les plus immédiats pour l'utilisation non modifiée de ChatGPT avec des données clients.

La responsabilité signifie que votre organisation demeure responsable des renseignements personnels même après les avoir confiés à un fournisseur pour traitement. Satisfaire à la responsabilité exige une relation contractuelle avec les fournisseurs qui garantit une protection appropriée — ce que les conditions d'utilisation standards de ChatGPT ne fournissent pas.

Le consentement signifie que vos clients ont accepté que vous déteniez leurs renseignements pour votre relation professionnelle, et non qu'ils soient traités par une entreprise d'IA américaine. À moins que vos lettres de mission ne traitent explicitement du traitement par l'IA — et presque aucune ne le fait actuellement — il y a une lacune.

Les mesures de sécurité exigent une protection adaptée à la sensibilité des renseignements. Envoyer des données clients à un outil d'IA grand public qui les utilise par défaut pour l'entraînement de modèles échoue à ce test.

Niveau grand public vs entreprise : Une véritable différence à comprendre

Le produit grand public — y compris ChatGPT Plus — utilise vos conversations pour améliorer les modèles d'OpenAI par défaut. Vous pouvez vous désinscrire dans les paramètres, mais le réglage par défaut est activé et la plupart des utilisateurs ne l'ont pas changé. Les renseignements de clients que vous collez dans ChatGPT au niveau grand public peuvent être utilisés pour entraîner un modèle desservant des millions d'autres utilisateurs.

ChatGPT Enterprise est différent de façons significatives. L'entente d'entreprise d'OpenAI inclut des engagements à ne pas utiliser les données pour l'entraînement, et le contrat fournit un cadre qui commence à traiter les exigences de responsabilité de la LPRPDE. Ce n'est pas une solution complète — l'enjeu du transfert transfrontalier et la lacune du consentement demeurent — mais c'est nettement mieux que le produit grand public.

Le problème est que la tarification de ChatGPT Enterprise a du sens pour les grandes organisations. La plupart des PME canadiennes, des comptables, des cliniques médicales et des petits cabinets d'avocats ne sont pas en mesure de négocier des ententes d'IA d'entreprise.

Ce qui comble réellement la lacune

L'architecture qui résout ce problème pour les organisations qui ne peuvent se permettre des ententes d'IA d'entreprise est l'anonymisation avant que les données ne quittent le Canada. Retirez tous les renseignements identificatoires d'un document avant de l'envoyer à tout outil d'IA et vous avez éliminé le problème de la LPRPDE à sa racine. Aucun renseignement personnel n'est transféré, donc il n'y a aucun enjeu de consentement, aucune préoccupation de transfert transfrontalier, aucune lacune de responsabilité. La capacité analytique de l'IA s'applique à la substance du document sans l'exposition réglementaire.

Le Québec mérite son propre paragraphe

Si vous opérez au Québec ou manipulez des renseignements sur des résidents québécois, la Loi 25 ajoute des exigences qui vont nettement au-delà de la LPRPDE. Un consentement explicite pour les transferts transfrontaliers. Une évaluation des facteurs relatifs à la vie privée avant de transférer des renseignements personnels à l'extérieur du Québec. Une entente écrite avec le destinataire. Les sanctions atteignent jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial pour les infractions graves.

Les organisations québécoises utilisant ChatGPT grand public avec des données clients ne sont pas conformes à la Loi 25. La Commission d'accès à l'information applique activement la loi, et « Je ne savais pas » n'a pas été bien reçu comme réponse.

En résumé

ChatGPT sous sa forme grand public n'est pas conforme à la LPRPDE pour un usage avec des renseignements personnels sur des personnes canadiennes. Le produit d'entreprise avec des arrangements contractuels appropriés s'en approche davantage, mais exige tout de même que vous traitiez les enjeux de consentement et de transfert transfrontalier de façon indépendante.

La voie pratique à suivre pour la plupart des entreprises canadiennes n'est pas d'attendre un outil d'IA certifié LPRPDE — c'est de bâtir un flux de travail qui garde les renseignements personnels entièrement hors des outils d'IA. Anonymisez-les d'abord. Utilisez l'IA sur la version épurée. Restaurez le contexte dans votre propre environnement ensuite. Ce flux de travail existe, il fonctionne, et les outils pour le mettre en œuvre n'exigent pas un service juridique ni un budget logiciel à six chiffres.