LPRPDE et décisions automatisées : ce qu'il faut divulguer quand l'IA influence les décisions concernant les personnes

La LPRPDE n'emploie pas encore l'expression « décision automatisée », mais ses principes de transparence, de consentement et d'accès s'appliquent pleinement dès que l'IA se met à influencer des décisions concernant des personnes. Concrètement, cela veut dire informer les personnes qu'il y a de l'automatisation, expliquer en termes généraux quelles données l'alimentent et quels facteurs elle soupèse, être franc sur les conséquences, et offrir une véritable voie vers une révision humaine et vers la correction des données que vous avez utilisées.

Pourquoi les décisions automatisées posent un problème de confidentialité

Quand un système d'IA aide à décider qui est approuvé pour du crédit, quels CV parviennent à un recruteur humain, quel prix un client voit ou quelle réclamation d'assurance est signalée, il prend des décisions concernant des personnes à partir de leurs renseignements personnels. Ce seul fait fait entrer tout l'exercice dans le champ de la LPRPDE, la loi fédérale canadienne sur la protection des renseignements personnels dans le secteur privé — même si la LPRPDE a été rédigée bien avant que ce type d'automatisation ne soit courant.

Aucun article de la LPRPDE n'emploie l'expression « décision automatisée ». Ce qu'elle contient plutôt, c'est un ensemble de principes qui s'appliquent à toute utilisation de renseignements personnels, et ces principes sont plus exigeants pour une automatisation opaque et à forte incidence que la plupart des entreprises ne le croient. Le Commissariat à la protection de la vie privée du Canada (CPVP) a été clair dans ses orientations : la transparence et le consentement valable s'étendent aux usages algorithmiques des données personnelles. Vous n'êtes pas dispensé du fait qu'un modèle a tranché à la place d'une personne.

Les principes de la LPRPDE qui entrent en jeu

Quatre des principes d'équité en matière d'information font ici l'essentiel du travail.

Transparence. Les organisations doivent faire preuve de transparence sur la façon dont elles gèrent les renseignements personnels. Si un algorithme façonne concrètement une décision au sujet d'une personne, décrire honnêtement votre gestion des données suppose de nommer cette automatisation, et non de la dissimuler derrière un vague « nos systèmes ».

Détermination des fins. Vous devez déterminer pourquoi vous recueillez des renseignements personnels, au plus tard au moment de la collecte. « Pour évaluer votre demande » est plus mince que nécessaire quand une partie de cette évaluation consiste en un modèle qui note discrètement le demandeur. Les gens ont le droit de comprendre ce qu'alimentent réellement leurs données.

Consentement et consentement valable. Le consentement ne compte que s'il est valable — la personne a compris à quoi elle consentait. Les orientations du CPVP sur le consentement valable demandent aux organisations de préciser, entre autres, quels renseignements sont recueillis, avec qui ils sont partagés et les conséquences raisonnablement prévisibles de la collecte. Une décision automatisée qui peut refuser un service à quelqu'un? C'est exactement le genre de conséquence que les gens ont le droit de comprendre.

Accès des personnes et exactitude. Les gens ont le droit de voir les renseignements personnels que vous détenez à leur sujet et d'en contester l'exactitude — le type de demande de droits relatifs à la vie privée pour laquelle vous voudrez un processus reproductible. Lorsqu'une décision repose sur des données — un historique de crédit, un revenu déclaré, un attribut collecté — la personne touchée peut demander quelles données ont été utilisées et insister pour les corriger si elles sont erronées.

Ce que « transparence » signifie concrètement

La transparence au sujet des décisions automatisées ne signifie pas publier votre code source ni exposer un modèle protégé par un secret commercial. Les organismes de réglementation ne vous demandent pas de remettre votre algorithme à vos concurrents. Ils demandent une explication utile : assez pour qu'une personne raisonnable saisisse qu'il y a de l'automatisation, quels facteurs généraux orientent le résultat et comment obtenir une révision humaine ou une correction.

Voici un test utile. Un client ordinaire, en lisant votre avis, serait-il surpris d'apprendre qu'une machine était en cause? Si oui, l'avis n'est pas assez transparent. Vous visez l'absence de mauvaises surprises.

Il vaut aussi la peine de séparer les décisions entièrement automatisées de celles où un humain examine réellement le résultat. Un modèle qui recommande et une personne qui décide, c'est une situation plus légère qu'un modèle qui approuve ou refuse sans personne dans la boucle. Les deux mettent en jeu les principes de la LPRPDE, mais les décisions entièrement automatisées et à forte incidence méritent le plus d'explication et le chemin le plus clair vers un recours humain.

Ce qu'il faut inscrire dans votre avis de confidentialité

Voici un ensemble pratique de divulgations pour une entreprise canadienne dont les produits utilisent l'IA pour influencer des décisions concernant des personnes. Vous n'aurez pas besoin de chaque ligne pour chaque cas — voyez-le comme un menu où puiser.

• Que l'automatisation est utilisée. Indiquez clairement qu'un traitement automatisé ou l'IA aide à prendre ou à appuyer certaines décisions, et nommez lesquelles (par exemple l'admissibilité, la tarification, le filtrage de la fraude ou le classement de contenu).
• Quels renseignements personnels l'alimentent. Décrivez les catégories de données utilisées en entrée — pas chaque champ, mais des catégories honnêtes qu'une personne reconnaîtrait.
• La finalité et la logique en termes généraux. Expliquez ce que le système cherche à faire et les grands facteurs qu'il soupèse, sans dévoiler de détails propriétaires.
• Les conséquences pour la personne. Soyez franc sur ce qu'un résultat automatisé peut signifier — approbation, refus, prix plus élevé ou plus bas, examen additionnel.
• La présence ou non d'un humain. Précisez si les décisions sont entièrement automatisées ou examinées par une personne, car cela façonne les attentes de la personne et ses droits.
• Comment demander une révision, une correction ou une explication. Offrez un véritable canal — une personne-ressource nommée ou un processus de demande — où quelqu'un peut contester le résultat, demander quelles données ont été utilisées et demander la correction de renseignements inexacts.

Rédigez tout cela en langage clair, et à paliers : un résumé court et lisible en amont, avec un lien vers plus de détails pour qui le souhaite.

Vers où s'oriente la loi

Connaître la tendance compte, car elle explique pourquoi prendre les devants est payant. La Loi sur la protection de la vie privée des consommateurs proposée dans le projet de loi C-27, si elle devient loi, ajouterait un droit explicite pour les personnes de demander une explication des prédictions, recommandations ou décisions prises à leur sujet par un système décisionnel automatisé. La Loi 25 du Québec exige déjà des organisations qu'elles informent les personnes lorsqu'une décision est fondée exclusivement sur un traitement automatisé, et qu'elles leur permettent de présenter des observations et de demander une révision. Et toute entreprise active en Europe fait face à l'EU AI Act (Regulation (EU) 2024/1689), qui superpose des obligations de transparence et de supervision humaine aux systèmes à risque plus élevé.

Le fil conducteur? La même attente que les principes de la LPRPDE impliquent déjà aujourd'hui : les personnes touchées par des décisions automatisées ont le droit de savoir que cela se produit et d'avoir une voie pour les contester. Bâtissez dès maintenant une divulgation claire et un canal de révision humaine, et vous bâtissez vers chacun de ces régimes à la fois. (Pour l'angle du consentement propre au Québec, voir notre liste de vérification du consentement sous la Loi 25 pour les produits d'IA.)

Un point de départ raisonnable

Faites l'inventaire des endroits où vos produits laissent un algorithme façonner un résultat pour une personne — une autoévaluation LPRPDE est un moyen rapide de les repérer. Pour chacun, posez trois questions : la personne est-elle informée, y a-t-il un humain qu'elle peut joindre, et peut-elle connaître et corriger les données que vous avez utilisées? Chaque « non » est votre premier correctif — et il s'agit généralement d'un changement de formulation et de processus, pas d'une refonte.

Cet article constitue de l'information générale et non un avis juridique; la façon dont la LPRPDE et les lois connexes s'appliquent à vos décisions automatisées dépend de votre situation, et vous devriez consulter un professionnel qualifié avant d'agir.

Cartographier chaque décision automatisée de votre produit au regard des obligations de transparence et d'accès est fastidieux à faire à la main. C'est le genre de travail que Canuckt a conçu Valdra pour simplifier — faire ressortir où l'IA touche les personnes et le transformer en tâches de divulgation claires et priorisées, avec vos données conservées au Canada.