Защита персональных данных при работе с ИИ в Канаде строится на PIPEDA, квебекском Законе 25 и, для найма в Онтарио, на Законе о трудовых стандартах. AIDA утратил силу в январе 2025 года, Bill C-36 пока на первом чтении.
Значит, в сентябре 2026 года важны законы, которые уже действуют. OPC в годовом отчёте за 2024–2025 годы прямо написал, что существующие законы о приватности применяются и к генеративному ИИ. Ниже обзор для руководителей. Юридическую консультацию он не заменяет.
Какие законы применяются к ИИ в Канаде в 2026 году?
Для частной компании главных закона три, и один федеральный законопроект ждёт рассмотрения.
| Закон | На кого распространяется | Что значит для ИИ | Статус, сентябрь 2026 |
|---|---|---|---|
| PIPEDA | Коммерческая деятельность по всей Канаде; данные сотрудников федерально регулируемых компаний | Согласие, цель, точность и защита данных для входов и выходов ИИ | Действует |
| Закон 25 Квебека (CQLR c. P-39.1) | Компании, обрабатывающие персональные данные в Квебеке | Оценка влияния (PIA) для новых систем, уведомление об автоматических решениях и о функциях профилирования | Действует, ИИ-нормы с 22 сентября 2023 |
| Онтарио, ESA, правило о вакансиях | Работодатели Онтарио с 25+ сотрудниками | Публичная вакансия сообщает, используется ли ИИ для отбора | С 1 января 2026 |
| Bill C-36 (PPCDA) | Заменит PIPEDA | Прозрачность автоматических решений, новые штрафы и новая комиссия | Первое чтение 15 июня 2026 |
| Bill C-27 / AIDA | Регулировал бы «высокорисковый» ИИ | Нет | Утратил силу в январе 2025 |
Как соотносятся Закон 25 и PIPEDA?
Законы пересекаются, и одна ИИ-система может подпадать под оба. OPC признаёт квебекский закон о частном секторе в целом аналогичным PIPEDA. Компания, на которую он распространяется, обычно освобождена от PIPEDA для данных внутри Квебека. Когда данные пересекают границы провинции или страны в коммерческой деятельности, PIPEDA продолжает действовать.
Пример: онтарийская компания обслуживает клиентов из Квебека через ИИ-модель на серверах в США. Для неё действуют оба закона. Проще проектировать систему под более строгий Закон 25: так закрывается и большая часть требований PIPEDA.
Что требует Закон 25 от ИИ-систем?
Закон 25 конкретнее PIPEDA в четырёх пунктах.
- Оценка влияния на приватность (ст. 3.3) обязательна для любого проекта по приобретению, разработке или переделке информационной системы с персональными данными. Внедрение ИИ-инструмента сюда попадает.
- Функции идентификации, геолокации и профилирования (ст. 8.1). О них нужно заранее сообщить и объяснить, как их включить. Профилирование включает анализ работы, финансового положения, здоровья, предпочтений и поведения.
- Полностью автоматические решения (ст. 12.1): уведомление человека, объяснение основных факторов по запросу и пересмотр сотрудником.
- Передача данных за пределы Квебека (ст. 17): сначала оценка влияния и письменный договор. Это касается ИИ- и облачных провайдеров за пределами провинции.
Как это работает при найме?
Требования зависят от провинции и типа работодателя. PIPEDA распространяется на данные сотрудников только в федерально регулируемых компаниях, например в банках и у авиаперевозчиков.
- Онтарио. С 1 января 2026 года публичная вакансия работодателя с 25 и более сотрудниками должна сообщать, использует ли он ИИ, чтобы «отбирать, оценивать или выбирать» кандидатов. Исключения: общие кампании по найму, внутренние вакансии и работа за пределами Онтарио.
- Квебек. Если кандидату отказали решением, основанным исключительно на автоматической обработке, действует ст. 12.1. Нужны уведомление, объяснение по запросу и пересмотр живым сотрудником.
- Федеральный уровень. Bill C-36 в случае принятия потребует прозрачности автоматизированных решений по значимым вопросам о человеке. Решения о найме, скорее всего, к ним отнесут.
Что с AIDA и что такое Bill C-36?
AIDA больше нет. По данным OPC, Bill C-27 с AIDA утратил силу при пророгации парламента в январе 2025 года. Bill C-36, внесённый министром искусственного интеллекта и цифровых инноваций, прошёл первое чтение 15 июня 2026 года. Если его примут, закон PPCDA создаст Комиссию по цифровой безопасности и защите данных, введёт штрафы до 10 млн долларов или 3% мирового оборота и обяжет раскрывать использование автоматизированных решений. Пока закон не принят, ориентир один: PIPEDA и Закон 25.
Что встроить в ИИ-системы уже сейчас?
Пять мер закрывают большую часть действующих и ожидаемых требований.
- Записанная цель и правовое основание для каждого сценария ИИ с персональными данными, до запуска.
- Оценка влияния на приватность как стандартный шаг для новой системы.
- Раскрытие и пересмотр человеком для решений о людях, включая строку о ИИ в вакансиях Онтарио.
- Минимизация данных в промптах, поиске и логах, со сроками удаления.
- Назначенный владелец ИИ-решений: юристы, приватность, ИТ и операционный блок.
Проверка ИИ-систем на соответствие PIPEDA и Закону 25 сопоставляет эти меры с вашими реальными системами. Политика использования ИИ для сотрудников переводит их в понятные инструкции. Экспресс-оценка готовности к ИИ стоит 490 CAD + HST, все пакеты с фиксированной ценой опубликованы.
Источники
- OPC: PIPEDA in brief
- OPC: Annual report 2024-25
- Квебек: Act respecting the protection of personal information in the private sector, CQLR c. P-39.1
- CAI: Principaux changements de la Loi 25
- Онтарио: требования к публичным вакансиям (ESA)
- LEGISinfo: Bill C-36 (45-1)
- ISED: законопроект о защите данных, июнь 2026