Ce que la décision du CPVP sur ChatGPT signifie pour votre entreprise canadienne

Le 6 mai 2026, les autorités canadiennes de protection de la vie privée ont publié une conclusion que toute entreprise utilisant l'IA devrait lire. Le Commissariat fédéral à la protection de la vie privée, avec les autorités du Québec, de la Colombie-Britannique et de l'Alberta, a conclu qu'OpenAI a recueilli des renseignements personnels pour entraîner ChatGPT sans consentement valide, ne pouvait pas rendre compte clairement de ce qu'elle détenait sur les Canadiens, et n'offrait aucun moyen réel de corriger ou de supprimer ces données. La décision vise OpenAI. La leçon retombe sur nous tous.

Voici le point à méditer : les autorités n'ont pas dit que l'IA est illégale, ni que moissonner le Web est interdit par défaut. Elles ont dit que les règles ordinaires — consentement, finalité, accès, correction — s'appliquent toujours quand le produit est un modèle plutôt qu'une liste d'envoi. C'est toute l'histoire, et c'est plus utile à votre entreprise que le titre de journal.

Qu'ont réellement conclu les autorités ?

L'enquête conjointe s'est penchée sur la façon dont ChatGPT a été bâti et exploité au Canada, et trois problèmes sont ressortis.

• Collecte sans consentement valide. OpenAI a moissonné d'énormes volumes de contenu Web — dont une bonne part contenait des renseignements personnels — pour entraîner ses modèles, sans mécanisme de consentement que le droit canadien reconnaîtrait. Les autorités ont rejeté l'idée que « accessible publiquement » signifie « libre de prendre ».
• Un déficit de transparence. Quand des personnes demandaient ce que ChatGPT savait à leur sujet, OpenAI ne pouvait souvent pas donner de réponse claire et fiable. Si vous ne pouvez pas dire quels renseignements personnels vous détenez, vous ne pouvez pas vraiment les protéger ni répondre à une demande.
• Aucun véritable chemin de correction ou de suppression. Les personnes n'avaient aucun moyen réel de corriger une information erronée qu'un modèle produisait à leur sujet, ni de faire retirer leurs données. En droit canadien, ce ne sont pas des courtoisies facultatives.

Rien de tout cela n'est exotique. Retirez le mot « IA » et vous avez un problème classique de consentement et d'accès. Les autorités ont simplement refusé de laisser la technologie servir d'excuse.

Cette décision s'applique-t-elle à une entreprise comme la mienne ?

Vous n'êtes pas OpenAI, donc la conclusion directe ne vous vise pas. Le raisonnement qui la sous-tend, lui, vous vise. Chaque fois que votre organisation recueille des renseignements personnels pour bâtir, entraîner, peaufiner ou alimenter un système d'IA, il vous faut un fondement juridique valide, et si vous vous appuyez sur le consentement, il doit être significatif — éclairé, précis, et non enfoui dans un mur de conditions que personne ne lit.

Deux situations touchent la plupart des entreprises canadiennes :

1. Vous entraînez ou personnalisez un modèle avec vos propres données. Transcriptions de soutien, dossiers clients, notes de CRM. Si ces données contiennent des renseignements personnels — c'est presque toujours le cas — votre consentement d'origine doit réellement couvrir leur usage pour bâtir de l'IA. « Nous recueillons des données pour fournir notre service » ne s'étire habituellement pas jusque-là.
2. Vous utilisez un outil tiers comme ChatGPT. Ici le risque s'inverse. Vous alimentez peut-être le système d'un autre en renseignements personnels chaque fois qu'un employé colle le courriel d'un client ou le CV d'un candidat dans une fenêtre de clavardage. Où vont ces données, servent-elles à un entraînement ultérieur, et pourrez-vous répondre plus tard à une demande d'accès à leur sujet ?

Cartographier ces flux est le travail ingrat qui vous garde hors d'ennui, et c'est le point de départ de toute véritable pratique de gouvernance de l'IA. Notre rapport État de la conformité en IA au Canada 2026 a révélé que la plupart des organisations ne peuvent pas énumérer avec assurance les outils d'IA que leur personnel utilise déjà — et on ne peut pas gouverner ce qu'on ne voit pas.

Puis-je encore utiliser ChatGPT après cela ?

Oui. Rien dans la conclusion n'interdit ChatGPT ni ses concurrents au Canada. Ce qu'elle fait, c'est relever la barre sur le soin avec lequel vous les utilisez. Quelques garde-fous concrets :

L'erreur que nous voyons le plus souvent n'est pas une entreprise qui agit imprudemment à dessein. C'est un employé bien intentionné qui dépose un tableur de coordonnées de clients dans un outil gratuit pour « le nettoyer vite fait », sans la moindre idée d'où ces données vivent désormais.

Que devriez-vous faire ce trimestre ?

Vous n'avez pas besoin d'un service de gouvernance pour bien réagir. Commencez ici :

• Repérez l'IA déjà en usage. Posez la question autour de vous, vérifiez les dépenses, regardez les extensions de navigateur. L'IA fantôme — les outils adoptés sans approbation — est là où se cache l'essentiel de l'exposition.
• Connaissez vos flux de données. Pour chaque outil d'IA qui touche des renseignements personnels, notez ce qui entre, où cela vit, et si cela alimente un entraînement ultérieur.
• Corrigez le consentement et la finalité. Si vous entraînez sur des données clients, confirmez que votre avis de confidentialité et votre consentement les couvrent réellement. Sinon, mettez-les à jour correctement ou cessez d'utiliser ces données pour l'IA.
• Donnez une porte d'entrée aux personnes. Assurez-vous que quelqu'un peut répondre à « que détenez-vous à mon sujet, et pouvez-vous le corriger ou le supprimer ? » — la question exacte sur laquelle OpenAI a trébuché.
• Consignez le tout. Une fiche d'une page par système d'IA — objet, données, supervision — vaut mieux qu'un classeur que personne n'ouvre.

La vraie leçon

La conclusion sur OpenAI n'est pas un avertissement sur ChatGPT en particulier. C'est une déclaration nette des autorités canadiennes : l'IA n'a pas droit à son propre code de règles. Le consentement, la finalité, la transparence et le droit de corriger ou de supprimer — les mêmes principes qui régissaient une liste d'envoi en 2005 — régissent un modèle en 2026. Les entreprises qui intègrent cela dès maintenant trouveront la prochaine décision, et la suivante, bien moins alarmantes.

Le présent article constitue de l'information générale et non un avis juridique; l'application de ces règles dépend de vos systèmes, de vos données et du territoire où vous exercez.

Chez Canuckt, nous avons conçu Valdra pour rendre cela visible plutôt que théorique — un endroit où consigner quels systèmes d'IA votre entreprise utilise, quels renseignements personnels ils touchent, et comment le consentement et la supervision sont gérés, afin qu'une question d'une autorité ou d'un client trouve une vraie réponse qui l'attend.