Rédiger une politique de confidentialité pour une fonction d'IA au Canada

Lorsque vous ajoutez une fonction d'IA, le droit canadien attend que votre politique de confidentialité divulgue les fins précises, les renseignements personnels que l'IA utilise, tout modèle tiers vers lequel les données circulent, si des décisions sont automatisées, et combien de temps les entrées sont gardées. Les principes de transparence et de détermination des fins de la LPRPDE ainsi que la Loi 25 du Québec veulent tous que la politique soit un portrait exact et à jour de ce que vous faites réellement — et une fonction d'IA change presque toujours ce portrait.

Vous avez lancé une fonction d'IA le trimestre dernier — un assistant conversationnel, un résumeur intelligent, une recommandation automatisée. Voici le risque discret qui l'accompagne : votre politique de confidentialité décrit presque certainement encore le produit que vous aviez avant l'IA. En droit canadien, cet écart compte, parce que tout le rôle d'une politique de confidentialité est d'offrir un compte rendu exact et à jour de ce que vous faites réellement avec les renseignements personnels des gens.

Le principe de transparence de la LPRPDE demande aux organisations de rendre leurs pratiques de gestion de l'information faciles à trouver et à comprendre. Son principe de détermination des fins vous demande d'énoncer pourquoi vous recueillez des renseignements personnels au moment de la collecte ou avant. La Loi 25 du Québec va plus loin en matière de transparence, et elle ajoute des attentes précises sur les décisions automatisées. Introduisez l'IA et vous changez quelles données vous utilisez et pourquoi — la politique doit donc suivre le rythme.

Que doit divulguer une politique de confidentialité pour l'IA ?

Au minimum, une fonction d'IA devrait vous pousser à mettre à jour cinq éléments :

Voici chacun tour à tour.

Les fins : dites à quoi sert réellement l'IA

Des fins vagues passaient dans un produit plus simple. Avec l'IA, elles sont une véritable faiblesse. Si votre assistant utilise les messages des clients pour rédiger des réponses, si votre modèle lit des documents téléversés, si votre fonction profile le comportement des utilisateurs pour recommander des choses — dites-le, précisément. « Nous utilisons vos renseignements pour fournir et améliorer nos services » n'indique pas à une personne que sa conversation de soutien est lue par un modèle d'IA. Nommez la fin en des mots qu'un client reconnaîtrait vraiment.

Les données utilisées : soyez concret quant aux entrées

Dites aux gens quels renseignements personnels la fonction d'IA absorbe réellement. Est-ce le texte qu'ils saisissent dans l'assistant ? Les fichiers qu'ils téléversent ? L'historique de leur compte, leur comportement sur le site, leurs achats passés ? Les gens comprennent de plus en plus que les fonctions d'IA carburent aux données, et le coût en confiance de rester évasif dépasse celui d'être clair. Là où c'est pertinent, séparez ce que l'utilisateur remet volontairement de ce que le système infère à son sujet.

Les modèles tiers : divulguez le fournisseur dans la boucle

C'est la divulgation que la plupart des politiques ratent. Si votre fonction d'IA roule sur un modèle tiers — un fournisseur de modèle de fondation, une API hébergée, un moteur d'analytique — alors des renseignements personnels circulent vers ce tiers, et souvent au-delà d'une frontière. L'approche de la LPRPDE à l'égard des transferts aux fins de traitement attend une certaine transparence quant au fait que vous recourez à des fournisseurs de services et que les renseignements peuvent être traités hors du Canada. Dites aux gens, clairement, que la fonction repose sur des fournisseurs tiers et, idéalement, que vous avez des mesures de protection contractuelles en place. Et si votre fournisseur pouvait utiliser les entrées pour entraîner ses propres modèles — c'est exactement le genre de chose qu'une personne voudrait savoir avant de saisir quelque chose de sensible.

Décisions automatisées : l'attente précise du Québec

Si votre IA prend ou façonne de façon importante une décision concernant une personne fondée uniquement sur un traitement automatisé — approuver ou refuser quelque chose, classer, évaluer, filtrer — la Loi 25 fixe une barre précise. Au moment de la décision ou avant, vous devez informer la personne qu'elle repose exclusivement sur un traitement automatisé. Sur demande, elle a le droit de connaître les renseignements personnels utilisés, les raisons et principaux facteurs derrière la décision, et son droit de les faire rectifier — et de présenter des observations à un membre de votre personnel en mesure de la réviser. Bâtir un parcours clair pour ces demandes de droits fait partie d'un déploiement responsable de la fonction.

Même hors du Québec, c'est un signal fort de la direction que prennent les attentes canadiennes. Si votre fonction prend des décisions automatisées conséquentes au sujet de personnes, bâtissez la divulgation et le parcours de révision humaine dès maintenant, et décrivez-les dans votre politique. La personnalisation banale — suggérer un produit, ordonner un fil — ne porte pas le même poids; les véritables décisions concernant les personnes, oui.

Conservation : combien de temps, et qu'advient-il des entrées

Dites combien de temps vous conservez les renseignements personnels que la fonction d'IA utilise, et soyez franc sur ce qu'il advient des entrées. Les requêtes et le contenu téléversé sont-ils stockés, et pour combien de temps ? Disparaissent-ils lorsque l'utilisateur supprime son compte ? Le principe de conservation de la LPRPDE attend que vous ne gardiez les renseignements personnels que le temps qu'en ont besoin les fins déterminées. Les fonctions d'IA ont l'habitude de retenir discrètement les entrées « pour la qualité » — si la vôtre le fait, divulguez-le; si elle n'en a pas besoin, désactivez-le.

Quelques conseils pratiques de rédaction

Rédigez pour une personne, pas pour un avocat. La LPRPDE comme la Loi 25 privilégient un langage clair et compréhensible. Une politique que personne ne peut lire ne satisfait les droits de personne.

Gardez la divulgation sur l'IA facile à trouver. Vous pouvez ajouter une section IA à votre politique existante ou déposer un avis ciblé au point d'utilisation. Ce qui compte, c'est qu'une personne raisonnable puisse la trouver avant de décider d'utiliser la fonction.

Mettez à jour la date d'entrée en vigueur, et signalez les changements importants. Une politique qui change en silence est une politique sur laquelle les gens ne peuvent pas compter. Lorsque vous ajoutez une fonction d'IA qui déplace vos pratiques de données de façon importante, rafraîchissez la date et, quand le changement est significatif, soulignez-le.

Alignez la politique sur la réalité. La faute la plus courante — et la plus dommageable — est une politique qui décrit des pratiques que l'entreprise ne suit pas réellement, ou qui en omet qu'elle suit. Régulateurs et clients traitent tous l'écart entre ce que vous dites et ce que vous faites comme le véritable problème.

Une fonction d'IA est une véritable amélioration de votre produit. Traitée à la légère, elle est aussi une expansion discrète de votre empreinte en matière de vie privée que vos engagements publics ne décrivent plus. Combler cet écart n'est pas qu'une tâche de conformité — c'est ainsi que vous gardez la confiance que la fonction était censée vous faire gagner au départ.

*Le présent article constitue de l'information générale et non un avis juridique; consultez un professionnel qualifié au sujet de votre situation particulière.*

Chez Canuckt, nous concevons de l'IA axée sur la vie privée pour les entreprises canadiennes, et Valdra vous aide à garder votre politique de confidentialité et vos documents encadrants alignés sur un processus de droits des personnes fonctionnel — en anglais et en français, avec vos données au Canada — pour que ce que vous publiez corresponde à ce que votre produit fait réellement.