L'IA est-elle réglementée au Canada? Ce qui est arrivé à la LIAD, et ce qui s'applique maintenant

Oui — l'utilisation de l'IA au Canada est réglementée, mais pas par une loi qui affiche « IA » sur sa page couverture. Une bonne partie de la confusion vient de la LIAD, la Loi sur l'intelligence artificielle et les données qui était proposée. La LIAD faisait partie du projet de loi C-27, et le projet de loi C-27 est mort au moment de la prorogation du Parlement en janvier 2025. Il n'a jamais été adopté. Il n'existe donc aujourd'hui aucune loi fédérale propre à l'IA en vigueur au Canada. Ce qui encadre réellement la façon dont vous déployez l'IA — agents conversationnels, agents vocaux, outils de pointage, analytique — c'est la loi sur la protection des renseignements personnels qui existait déjà : la LPRPDE au fédéral, et la Loi 25 du Québec pour les organisations qui exercent leurs activités au Québec.

Information générale, pas un avis juridique. Les règles en matière de protection des renseignements personnels et d'IA évoluent et dépendent des faits propres à chaque situation; confirmez vos obligations auprès d'un avocat canadien qualifié avant d'agir.

L'IA est-elle donc non réglementée au Canada?

Non. « Il n'y a pas de loi sur l'IA » ne veut pas dire « tout est permis ». Tout système d'IA qui touche au nom, au numéro de téléphone, à la voix, à un rendez-vous ou au comportement d'un client traite des renseignements personnels — et les renseignements personnels sont réglementés. Les règles s'appliquent au résultat (la façon dont vous recueillez, utilisez et communiquez les données, et à quel point vous êtes transparent et responsable), pas à l'étiquette technologique. Une réceptionniste virtuelle qui répond aux appels est assujettie aux mêmes principes de protection des renseignements personnels qu'un employé humain qui ferait le même travail.

Cela prend de l'importance chaque année. Statistique Canada a rapporté que 19,2 % des entreprises canadiennes utilisaient l'IA au 2^e trimestre de 2026, en hausse par rapport à 6,1 % au 2^e trimestre de 2024. Parmi les entreprises qui utilisaient déjà l'IA, 28,2 % avaient recours à des agents virtuels ou à des agents conversationnels — une proportion des entreprises qui ont adopté l'IA, pas de l'ensemble des entreprises canadiennes. L'adoption grimpe rapidement; les questions de conformité rattrapent les déploiements réels.

Ce qui est arrivé à la LIAD

La LIAD était la tentative du gouvernement fédéral de créer un cadre d'IA fondé sur le risque — des obligations pour les systèmes « à incidence élevée », des exigences de transparence et un commissaire à l'intelligence artificielle et aux données. Elle cheminait à l'intérieur du projet de loi C-27, aux côtés d'une refonte proposée de la loi fédérale sur la protection des renseignements personnels. À la prorogation du Parlement en janvier 2025, tous les projets de loi au Feuilleton — dont le C-27 — sont morts au Feuilleton. La LIAD n'est pas une loi. Elle n'est jamais entrée en vigueur, et les obligations dont vous avez peut-être entendu parler durant le débat de 2023-2024 ne lient personne à l'heure actuelle.

En 2026, le véhicule législatif fédéral actuel est le projet de loi C-36. Il vaut la peine de le surveiller, mais c'est un projet de loi — considérez-le comme une proposition qui pourrait changer ou rester bloquée, pas comme un droit établi. Planifier votre entreprise en fonction d'une loi non adoptée est une bonne façon de construire deux fois la mauvaise chose.

Ce qui encadre réellement l'utilisation de l'IA aujourd'hui

La LPRPDE (au fédéral)

La LPRPDE — la Loi sur la protection des renseignements personnels et les documents électroniques — demeure la loi fédérale en vigueur sur la protection des renseignements personnels dans le secteur privé. Son cœur, c'est la responsabilité : vous devez avoir un fondement légitime pour recueillir des renseignements personnels, être transparent quant à leur utilisation, ne recueillir que ce dont vous avez besoin, les protéger et en demeurer responsable même lorsqu'un tiers les traite pour votre compte. Le Commissariat à la protection de la vie privée du Canada (CPVP, priv.gc.ca) applique et interprète la LPRPDE. Si votre outil d'IA enregistre les appels, transcrit les conversations ou établit le profil des clients, les principes de la LPRPDE s'appliquent déjà.

La Loi 25 du Québec

Si vous exercez vos activités au Québec, la Loi 25 (administrée par la Commission d'accès à l'information, la CAI) est le régime de protection des renseignements personnels le plus strict au pays, et il est pleinement en vigueur. Elle ajoute des obligations en matière de consentement, de transparence, de protection par défaut, de déclaration des incidents de confidentialité et d'évaluation des facteurs relatifs à la vie privée. Les sanctions sont réelles et structurées en deux régimes — des sanctions administratives pécuniaires, et des infractions pénales distinctes. Pour les infractions pénales, les amendes vont de 15 000 $ à 25 000 000 $ ou, si ce montant est plus élevé, à une somme correspondant à 4 % du chiffre d'affaires mondial de l'exercice financier précédent. En clair : les sanctions peuvent atteindre des dizaines de millions de dollars, ou un pourcentage du chiffre d'affaires mondial si ce chiffre est plus élevé. Ce n'est pas un régime à prendre à la légère.

Les décisions automatisées — article 12.1 de la Loi 25

La Loi 25 prévoit une règle précise pour l'automatisation. En vertu de l'article 12.1, lorsqu'une entreprise prend une décision fondée exclusivement sur un traitement automatisé de renseignements personnels, elle doit en informer la personne concernée et, sur demande, lui permettre de présenter ses observations en vue de faire réviser la décision. Le mot clé, c'est « exclusivement ». L'automatisation courante et à faibles enjeux — un agent d'IA qui prend un rendez-vous ou répond à une question fréquente — ne constitue généralement pas une « décision exclusivement automatisée » ayant un effet juridique ou un effet important comparable. Les décisions automatisées de présélection, de pointage ou d'admissibilité sont beaucoup plus susceptibles de déclencher l'article 12.1. Sachez de quel côté de cette ligne se trouve votre système avant de le déployer.

La question de la langue française

Une idée fausse répandue : que la Loi 96 et la Charte de la langue française imposeraient une règle vous obligeant à « répondre au téléphone en français ». Elles ne créent pas d'obligation propre au téléphone. Ce qu'elles établissent, c'est un droit plus large pour les consommateurs d'être servis et informés en français. Une capacité bilingue dans vos outils en contact avec la clientèle — y compris un agent d'IA capable de converser en français — appuie ces obligations de service en français; elle ne satisfait pas à une règle propre au téléphone, parce qu'aucune règle distincte de ce genre n'existe. Voyez-le comme bien servir la clientèle au Québec, pas comme cocher une seule case législative.

Qu'en est-il de l'endroit où vos données sont traitées?

Un autre mythe à mettre au rancart : que la LPRPDE interdirait de traiter les renseignements personnels des Canadiens à l'extérieur du Canada. Ce n'est pas le cas. Le CPVP considère la communication de renseignements personnels à un tiers aux fins de traitement comme une utilisation de ces renseignements — encadrée par le principe de responsabilité plutôt qu'interdite. Vous demeurez responsable des données. Concrètement, cela veut dire : recourir à des contrats qui exigent un niveau de protection comparable, et être transparent avec la clientèle sur le fait que ses renseignements peuvent être traités à l'extérieur du Canada et, de ce fait, être accessibles à des tribunaux ou à des autorités étrangères. C'est la position honnête et citable — voyez les lignes directrices du CPVP à priv.gc.ca. Si votre clientèle se trouve au Québec, la Loi 25 ajoute ses propres obligations d'évaluation avant de communiquer des renseignements personnels à l'extérieur de la province.

Ce qu'une entreprise canadienne devrait faire dès maintenant

Vous n'avez pas besoin d'attendre le projet de loi C-36 pour bien faire les choses. Peu importe ce qui sera adopté, les fondements tiennent :

• Cartographiez vos données. Sachez quels renseignements personnels votre IA recueille, où ils vont et qui les traite.
• Soyez transparent. Dites à la clientèle quand elle interagit avec une IA, ce que vous enregistrez et pourquoi. Divulguez le traitement à l'étranger.
• Obtenez le consentement et minimisez. Ne recueillez que ce que la tâche exige; n'accumulez pas d'enregistrements ou de transcriptions « au cas où ».
• Surveillez les décisions automatisées. Si l'IA attribue des pointages, présélectionne ou classe des personnes, intégrez la divulgation prévue à l'article 12.1 et un mécanisme de révision humaine.
• Encadrez vos fournisseurs par contrat. Exigez une protection comparable, la notification des incidents et des modalités claires de traitement des données de la part de tout fournisseur.
• Gardez un humain dans la boucle. La responsabilité ne peut pas être sous-traitée à un modèle.

Ce sont les mêmes obligations qui survivraient à la plupart des versions d'une future loi sur l'IA, et c'est exactement pourquoi c'est le bon endroit où investir. À titre de partenaire canadien d'implantation de l'IA, ALMA Intelligence conçoit ses déploiements — dont notre produit de réceptionniste virtuelle, ALMATalk — autour de la transparence, de la minimisation des données et du service à la clientèle bilingue, de sorte que les bases de la conformité sont en place, peu importe ce que le Parlement fédéral fera ensuite.