Conformité IA au Canada : LPRPDE, Loi 25 (Québec), règles ontariennes
Au Canada, la conformité IA associe chaque usage à ses règles : LPRPDE pour les renseignements personnels, Loi 25 pour les décisions automatisées et les transferts, règles ontariennes pour l’embauche et les organismes publics, directives fédérales pour les systèmes gouvernementaux.
En bref
- Le Canada n’a aucune loi fédérale sur l’IA en vigueur : la LIAD est morte avec le projet de loi C-27 en janvier 2025. Aujourd’hui, les règles de vie privée, d’emploi et du secteur public encadrent l’usage de l’IA.
- La Loi 25 (Québec) fixe les obligations les plus précises liées à l’IA en vigueur : informer la personne des décisions fondées exclusivement sur un traitement automatisé (art. 12.1), réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) pour les nouveaux systèmes (art. 3.3) et avant que des renseignements personnels quittent le Québec (art. 17).
- Depuis le 1er janvier 2026, les employeurs ontariens de 25 employés ou plus doivent indiquer dans leurs offres d’emploi publiques s’ils utilisent l’IA pour présélectionner, évaluer ou choisir les candidats.
- Les institutions fédérales doivent publier une évaluation de l’incidence algorithmique (EIA) avant la mise en production d’un système décisionnel automatisé (Directive sur la prise de décisions automatisée, version 2025).
- Remolda associe vos usages de l’IA à ces règles et prépare les documents opérationnels ; les avis juridiques viennent de vos conseillers juridiques. Pour commencer : Revue de maturité IA, 490 $ CA + TVH.
Votre situation
Les questions de conformité arrivent habituellement avec un déclencheur concret :
- Un questionnaire d’un client ou d’un assureur demande comment vous encadrez l’usage de l’IA et où vont les données.
- Une clientèle au Québec. Votre agent conversationnel (chatbot), votre outil de notation ou de tri prend des décisions au sujet de résidents du Québec.
- L’embauche en Ontario. Vous utilisez l’IA pour présélectionner ou classer des candidats et vous publiez des offres d’emploi.
- Un contrat dans le secteur public. Un ministère, une municipalité, un hôpital ou un conseil scolaire demande des évaluations d’incidence et de la documentation.
- Le personnel utilise l’IA avec des données clients. Personne n’a vérifié les conditions du fournisseur ni l’endroit où les requêtes sont traitées.
Les règles applicables en septembre 2026
| Règle | Qui est visé | Ce que ça signifie pour l’IA | Statut |
|---|---|---|---|
| LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques) | Organisations du secteur privé qui traitent des renseignements personnels dans le cadre d’activités commerciales | Autorité légale et consentement valable, fins limitées, transparence, responsabilité ; les neuf principes des commissaires à la protection de la vie privée pour l’IA générative (déc. 2023) les appliquent à l’IA | En vigueur. Projet de loi C-36 de remplacement déposé le 15 juin 2026, en attente de la deuxième lecture |
| Loi québécoise sur le secteur privé (Loi 25) | Entreprises qui traitent des renseignements personnels au Québec | Avis et explication des décisions fondées exclusivement sur un traitement automatisé (art. 12.1) ; EFVP pour les systèmes nouveaux ou refondus (art. 3.3) ; EFVP et entente écrite avant que des renseignements personnels quittent le Québec (art. 17) | En vigueur depuis le 22 sept. 2023 |
| Loi de 2000 sur les normes d’emploi (Ontario), offres d’emploi | Employeurs ontariens de 25 employés ou plus | Les offres d’emploi publiques doivent indiquer si l’IA sert à présélectionner, évaluer ou choisir les candidats | En vigueur depuis le 1er janv. 2026 |
| Projet de loi 194 de l’Ontario (loi sur la sécurité et la confiance en matière de numérique et modifications à la Loi sur l’accès à l’information et la protection de la vie privée, LAIPVP) | Entités du secteur public ontarien | La loi permet à la province d’exiger des cadres de responsabilisation en IA, la gestion des risques, la divulgation et la supervision humaine ; les règlements pris jusqu’ici portent sur la cybersécurité et les données des élèves. Les institutions visées par la LAIPVP doivent faire des EFVP et déclarer les atteintes | Modifications à la LAIPVP en vigueur le 1er juill. 2025 ; règlements de la loi sur la sécurité numérique à partir du 1er juill. 2026 |
| Directive sur la prise de décisions automatisée | Institutions fédérales visées par la Politique sur les services et le numérique | Publier une évaluation de l’incidence algorithmique avant la mise en production ; les exigences augmentent selon les niveaux d’incidence I–IV | Version en vigueur du 24 juin 2025 ; les systèmes existants avaient jusqu’au 24 juin 2026 |
| LIAD (projet de loi C-27) | — | Aurait réglementé les systèmes d’IA à incidence élevée | Morte au Feuilleton, janvier 2025 |
Les organismes de réglementation sectoriels ajoutent leurs propres attentes, par exemple en services financiers et en santé ; nous les intégrons lorsqu’ils visent votre organisation.
Ce que fait Remolda
Inventaire des usages de l’IA. Chaque outil et chaque flux de travail qui utilise l’IA, les données touchées, le responsable et le fournisseur qui traite les données.
Cartographie des obligations. Pour chaque usage : les règles applicables, ce qui est déjà en place et ce qui manque. Le tableau ci-dessus sert de point de départ ; votre secteur s’y ajoute.
Documents opérationnels. Ébauches d’avis pour les décisions automatisées, intrants d’EFVP pour le Québec et les organismes publics ontariens, libellés d’offres d’emploi, registres de l’emplacement des données par fournisseur et une politique d’utilisation de l’IA pour le personnel.
Conditions des fournisseurs et emplacement des données. Où les requêtes sont stockées et traitées pour chaque outil. Les détails varient beaucoup d’un fournisseur à l’autre ; voir la sélection de fournisseurs IA.
Des correctifs intégrés à la réalisation. Quand nous bâtissons un agent conversationnel ou une automatisation, les avis, les points de révision et les journaux font partie de la conception.
Remolda s’occupe du volet technique et opérationnel. Les avis juridiques viennent de vos conseillers juridiques, avec qui nous travaillons.
Combien de temps ça prend
La Revue de maturité IA d’une semaine donne un premier portrait de l’usage actuel de l’IA. D’après notre expérience, une cartographie complète des obligations avec documents prend habituellement de deux à quatre semaines. Cela dépend du nombre d’usages de l’IA, des provinces touchées et du cycle de révision avec les équipes juridique et de protection de la vie privée.
Ce que ça coûte
La Revue de maturité IA coûte 490 $ CA + TVH : la séance couvre l’usage actuel de l’IA et le sommaire signale les questions de vie privée. L’Audit des opportunités IA de deux semaines (2 900 $) ajoute des notes de risque pour chaque cas d’usage. Une cartographie complète des obligations avec documents fait l’objet d’une soumission après un appel. Voir la page des tarifs.
Les règles pour le personnel viennent d’habitude en premier. Notre modèle de politique d’utilisation de l’IA traduit ces règles canadiennes en une politique de 12 sections, en Word et en PDF.
Pourquoi Remolda pour la conformité IA
- Chaque règle avec sa source. Chaque point réglementaire de nos documents renvoie au texte officiel, avec la date de vérification.
- Le statut à jour. Les projets de loi morts, les projets de loi à l’étude au Parlement et les règles en vigueur sont traités séparément.
- La conformité intégrée à la livraison. Remolda conçoit le flux de travail IA avec ses avis, ses points de révision et ses journaux.
- Prêt pour le Québec et le fédéral. Travail et documents en français ou en anglais.
- Un partage clair des rôles. Le travail opérationnel par Remolda, les avis juridiques par vos conseillers juridiques.
Le déroulement
Le travail de conformité couvre les étapes Audit, Stratégie et Évolution du cycle Remolda.
- Inventaire. Outils IA, flux de travail, données et fournisseurs.
- Cartographie. Règles par usage, lacunes classées selon le risque.
- Documents. Avis, intrants d’EFVP, politique, registres des fournisseurs.
- Révision. Avec vos responsables juridique et de la protection de la vie privée.
- Suivi. Dans le cadre d’un mandat mensuel, les changements de règles sont suivis et la cartographie est mise à jour quand un projet de loi comme C-36 progresse.
Questions fréquentes
Quelles lois sur l’IA s’appliquent aux entreprises au Canada en 2026 ?
En septembre 2026, aucune loi fédérale sur l’IA n’est en vigueur. L’usage de l’IA est encadré par les lois sur la vie privée (la LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques) au fédéral, la loi québécoise sur le secteur privé modifiée par la Loi 25 et d’autres lois provinciales), par des règles d’emploi comme l’obligation de divulgation dans les offres d’emploi en Ontario, par les organismes de réglementation sectoriels et, pour les organismes publics, par la Directive sur la prise de décisions automatisée et les directives provinciales.
La LIAD (projet de loi C-27) est-elle en vigueur ?
Non. Le projet de loi C-27, qui contenait la Loi sur l’intelligence artificielle et les données, est mort au Feuilleton lors de la prorogation du Parlement en janvier 2025. En juin 2026, le gouvernement a déposé le projet de loi C-36, une réforme de la vie privée qui prévoit la transparence de la prise de décisions automatisée, et a lancé la stratégie nationale en IA L’IA pour tous.
Qu’exige la Loi 25 (Québec) quand l’IA prend des décisions ?
Une entreprise qui utilise des renseignements personnels pour rendre une décision fondée exclusivement sur un traitement automatisé doit en informer la personne au plus tard au moment où elle l’informe de la décision. Sur demande, elle doit lui communiquer les renseignements utilisés ainsi que les raisons et les principaux facteurs de la décision. La personne doit aussi pouvoir présenter ses observations à un membre du personnel en mesure de réviser la décision.
Faut-il une évaluation des facteurs relatifs à la vie privée pour un projet d’IA ?
Au Québec, oui, pour tout projet d’acquisition, de développement ou de refonte d’un système d’information qui touche des renseignements personnels (art. 3.3), et avant de communiquer des renseignements personnels à l’extérieur du Québec, y compris à un fournisseur infonuagique ou d’IA (art. 17). En Ontario, depuis le 1er juillet 2025, les institutions publiques visées par la LAIPVP doivent réaliser une EFVP avant de recueillir des renseignements personnels.
Notre personnel peut-il utiliser ChatGPT ou Copilot avec des renseignements personnels ?
Seulement dans le cadre d’un contrat d’entreprise et de règles adaptées à vos obligations. Vérifiez où les données sont stockées et traitées : par exemple, OpenAI offre le stockage au repos au Canada aux clients Enterprise et API admissibles, alors que le traitement se fait à l’extérieur du Canada. Pour des renseignements personnels québécois, ce transfert déclenche l’évaluation prévue à l’article 17.
Quelles sont les sanctions prévues par la Loi 25 (Québec) ?
Les sanctions administratives pécuniaires pour les entreprises peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu. Les amendes pénales vont de 15 000 $ à 25 millions de dollars ou 4 % du chiffre d’affaires mondial, et elles doublent en cas de récidive.
La Directive fédérale sur la prise de décisions automatisée s’applique-t-elle aux entreprises privées ?
Elle s’applique aux institutions fédérales assujetties à la Politique sur les services et le numérique, pour les systèmes automatisés utilisés dans les décisions administratives concernant leurs clients. Les entreprises privées sont hors de sa portée.
Combien coûte une revue de conformité IA ?
Le point d’entrée est la Revue de maturité IA d’une semaine, à 490 $ CA + TVH : la séance couvre votre usage actuel de l’IA et le sommaire signale les questions de vie privée. Une cartographie complète des obligations, avec documents, fait l’objet d’une soumission après un appel de 30 minutes.
Sources
- Commissariat à la protection de la vie privée du Canada — Principes pour des technologies de l’intelligence artificielle (IA) générative responsables, dignes de confiance et respectueuses de la vie privée (déc. 2023)
- Commissariat à la protection de la vie privée du Canada — Rapport annuel 2024-2025 (état du projet de loi C-27)
- Parlement du Canada, LEGISinfo — Projet de loi C-36 (45e législature, 1re session)
- Premier ministre du Canada — L’IA pour tous, la stratégie nationale du Canada en matière d’intelligence artificielle (4 juin 2026)
- LégisQuébec — Loi sur la protection des renseignements personnels dans le secteur privé (art. 3.3, 12.1, 17, 90.12, 91)
- Commission d’accès à l’information du Québec — Principaux changements de la Loi 25
- Assemblée législative de l’Ontario — Projet de loi 194, Loi de 2024 visant à renforcer la cybersécurité et la confiance dans le secteur public
- Ontario — Loi visant à renforcer la sécurité et la confiance en matière de numérique
- Information and Privacy Commissioner of Ontario — Bill 194 guidance
- Ontario — Exigences relatives aux annonces publiques de postes (guide de la Loi sur les normes d’emploi)
- Secrétariat du Conseil du Trésor du Canada — Directive sur la prise de décisions automatisée
- OpenAI — Business data privacy, security and compliance
- OpenAI Help Center — Data residency and inference residency for ChatGPT
Faits vérifiés :
Services liés
Phases d'approche
Perspectives connexes
Intégration LLM dans votre CRM ou ERP au Canada : architecture, résidence des données et coûts
L’avantage IA de Mitacs : Ottawa engage 162 M$ pour 10 000 stages en IA
IA pour les municipalités canadiennes : où elle apporte réellement de la valeur en 2026
Parler à un consultant en transformation IA
Un appel de 30 minutes : vous décrivez la situation, nous vous disons par où commencer et ce que cela coûterait.
Réserver un appel de 30 min30 minutes. En français ou en anglais.