Liste de vérification LPRPS pour les prestataires de soins de santé ontariens utilisant l'IA en 2026

Ce qui constitue des renseignements personnels sur la santé en vertu de la LPRPS

Les renseignements personnels sur la santé (RPS) en vertu de la LPRPS sont des renseignements identificatoires sur une personne qui se rapportent à sa santé physique ou mentale, à la prestation de soins de santé qui lui sont fournis, ou à ses antécédents médicaux. Cela comprend les renseignements qui, seuls ou combinés à d'autres renseignements, pourraient identifier la personne.

Cette définition est plus large que ce à quoi beaucoup de gens s'attendent. Le nom d'un patient combiné au fait qu'il a fréquenté une clinique précise constitue des RPS, même si aucun diagnostic n'est mentionné. Le numéro de carte santé d'une personne à lui seul constitue des RPS. Les renseignements sur les ordonnances constituent des RPS. Les dossiers de santé mentale bénéficient de protections additionnelles. Les renseignements génétiques bénéficient de protections additionnelles.

La LPRPS s'applique aux « dépositaires de renseignements sur la santé » — une catégorie définie qui comprend les médecins, dentistes, infirmières, pharmaciens, hôpitaux, centres de santé communautaires, foyers de soins de longue durée et une variété d'autres prestataires de soins de santé.

La liste de vérification de conformité IA à la LPRPS

Section 1 : Inventaire et sensibilisation

• Avez-vous identifié tous les outils d'IA que votre cabinet utilise actuellement ? Cela inclut les outils utilisés par le personnel clinique, le personnel administratif et les sous-traitants. De nombreux cabinets utilisent des outils d'IA dont la direction n'est pas pleinement consciente.

• Pour chaque outil d'IA, savez-vous quelles données il traite et où ? La plupart des outils d'IA traitent les données sur des serveurs distants. La question pertinente est : des RPS touchent-ils cet outil, et si oui, où ce traitement a-t-il lieu ?

• Avez-vous examiné les conditions d'utilisation et les politiques de confidentialité de chaque outil d'IA que vous utilisez ? Les outils d'IA grand public n'offrent généralement pas de conditions de traitement des données conformes à la LPRPS.

• Disposez-vous d'un inventaire écrit des renseignements personnels sur la santé que votre cabinet recueille et traite ? La LPRPS exige que les dépositaires aient des politiques et des procédures régissant les RPS.

Section 2 : Consentement et transparence

• Vos patients savent-ils que leurs renseignements peuvent être traités à l'aide d'outils d'IA ? Les exigences de consentement de la LPRPS varient selon la finalité pour laquelle les RPS sont utilisés, mais les patients ont généralement le droit de savoir comment leurs renseignements sont traités.

• Avez-vous mis à jour votre avis de confidentialité pour refléter l'utilisation des outils d'IA ? La plupart des avis de confidentialité ont été rédigés avant que les outils d'IA ne fassent partie des opérations du cabinet.

• Disposez-vous d'un processus pour les patients qui ne consentent pas au traitement de leurs renseignements par l'IA ?

Section 3 : Mesures de protection et traitement des données

• Des RPS sont-ils transmis à l'extérieur du Canada pour le traitement par l'IA ? La LPRPS exige que les RPS soient adéquatement protégés, et la transmission transfrontalière crée un risque additionnel. Les outils d'IA basés aux États-Unis qui traitent des RPS de l'Ontario constituent un enjeu de conformité important.

• Disposez-vous d'ententes de traitement des données avec les fournisseurs d'outils d'IA ? La LPRPS exige des ententes avec les mandataires qui manipulent des RPS en votre nom. La plupart des outils d'IA grand public n'offrent pas d'ententes de mandataire conformes à la LPRPS.

• Les RPS sont-ils anonymisés ou dépersonnalisés avant d'être entrés dans les outils d'IA, lorsque possible ? Les renseignements dépersonnalisés ne constituent pas des RPS en vertu de la LPRPS et ne sont pas assujettis aux mêmes restrictions.

• Avez-vous mis en place des contrôles d'accès afin que les outils d'IA ne puissent être utilisés que par du personnel autorisé à des fins autorisées ?

Section 4 : Préparation aux incidents de confidentialité

• Disposez-vous d'un processus pour repérer et réagir aux atteintes à la protection des renseignements personnels impliquant des outils d'IA ? La LPRPS exige la notification des atteintes aux patients touchés et potentiellement au CIPVP.

• Savez-vous comment contacter les outils d'IA que vous utilisez en cas d'atteinte ? De nombreux outils d'IA grand public n'ont pas de processus de notification des atteintes simples.

• Avez-vous consigné votre utilisation des outils d'IA d'une manière qui vous permettrait d'identifier qui a été touché dans un scénario d'atteinte ?

Section 5 : Formation du personnel

• Le personnel clinique et administratif a-t-il reçu une formation sur l'utilisation appropriée des outils d'IA ? Le personnel qui comprend ce qu'il peut et ne peut pas mettre dans les outils d'IA constitue votre première ligne de défense.

• Le personnel sait-il qui contacter en cas de questions sur l'IA et les RPS ? Quelqu'un dans votre cabinet doit être responsable de la question de la conformité à l'IA.

Infractions courantes à la LPRPS qui se produisent en ce moment

Dicter des notes cliniques à l'aide d'outils vocaux d'IA grand public. Plusieurs applications de transcription populaires utilisent l'IA pour convertir la parole en texte et stockent les enregistrements sur des serveurs infonuagiques. Si un clinicien dicte des notes qui incluent des noms de patients et des renseignements cliniques, il s'agit de RPS traités par un outil grand public sans les mesures de protection de la LPRPS.

Utiliser des outils de clavardage IA pour rédiger des communications cliniques. Rédiger une lettre à un patient, une note de référence ou une réponse à une demande de patient à l'aide d'un outil d'IA implique souvent l'entrée de RPS.

Services de facturation et de codage tiers utilisant l'IA. Vos obligations en vertu de la LPRPS comprennent de garantir que vos mandataires manipulent les RPS de façon appropriée — ce qui signifie demander à votre service de facturation quels outils d'IA il utilise.

Outils de planification IA contenant des données de patients. Certaines plateformes de planification tierces utilisent maintenant des fonctionnalités d'IA. Si des renseignements sur la santé des patients sont traités par ces outils, la LPRPS s'applique.

La voie à suivre

L'objectif n'est pas d'arrêter d'utiliser les outils d'IA. L'objectif est de les utiliser d'une manière qui préserve la confiance que les patients vous ont accordée et qui maintient votre cabinet du bon côté de la LPRPS. En pratique, cela signifie une combinaison d'outils approuvés avec des mesures de protection appropriées, l'anonymisation lorsque possible et des politiques claires sur ce qui entre dans les systèmes d'IA.

Le CIPVP surveille la façon dont l'IA en santé évolue en Ontario. Les cabinets qui ont fait le travail de conformité de façon proactive seront dans une position beaucoup plus solide que ceux qui ne l'ont pas fait lorsque cet examen surviendra.