La réglementation de l’intelligence artificielle (IA) au Canada pourrait être imminente et pourrait avoir une incidence sur tous les types d’organisations qui participent aux systèmes d’IA dans des contextes commerciaux. Un
Dans notre blog précédent,
Si le projet de loi C-27 reçoit la sanction royale, un processus de consultation pour la réglementation supplémentaire de l’IA sera lancé. Le présent document d’accompagnement vise donc à fournir un cadre pour toute consultation future.
Comme il est indiqué dans le document d’accompagnement, le gouvernement a l’intention d’adopter une approche souple à l’égard de la réglementation de l’IA en élaborant et en évaluant des règlements et des lignes directrices en étroite collaboration avec les intervenants sur un cycle régulier, et en adaptant l’application de la loi aux besoins de l’environnement changeant. La mise en œuvre de l’ensemble initial de règlements de l’ACRA devrait suivre la voie suivante :
Par conséquent, il est prévu qu’il y aura une période d’au moins deux ans après la sanction royale du projet de loi C-27, avant l’entrée en vigueur de la nouvelle loi. Cela signifie que les dispositions de l’ACRA entreraient en vigueur au plus tôt en 2025.
L’ACRA s’appliquera aux « systèmes d’IA à fort impact ». Mais ce que les « systèmes d’IA à fort impact » incluent exactement n’est pas clairement défini par l’AIDA. À son tour, ce terme nécessitera une définition plus approfondie par la réglementation de l’IA.
Le document d’accompagnement propose des exemples de facteurs clés qui peuvent être utilisés pour évaluer si un système est considéré comme « à fort impact » et, par conséquent, réglementé par l’ACRA. Il s’agit notamment d’examiner, pour un système d’IA donné:
Par conséquent, les systèmes qui présentent des préoccupations pour ces facteurs peuvent être réglementés par l’ACRA, en tant que « systèmes à fort impact ».
De plus, le document d’accompagnement fournit les exemples suivants de types de systèmes d’IA à fort impact qui présentent un intérêt pour la réglementation par l’ACRA (p. ex., en termes d’impact potentiellement nuisible et /ou biaisé) :
Les documents d’accompagnement décrivent la possibilité que chacun de ces systèmes fournisse des extrants nuisibles et/ou discriminatoires.
Dans le projet de règlement sur l’IA, le document d’accompagnement prévoit que les organisations qui s’occupent de systèmes d’IA à fort impact seront probablement guidées par les exemples de principes et d’obligations suivants. On s’attendra à ce que ces organisations instaurent des mécanismes de responsabilisation appropriés pour assurer le respect de leurs obligations.
| Proposed Regulatory Requirements | Exemples d’obligations pour les organisations |
| Surveillance humaine et surveillance | Identifier et traiter les risques en ce qui concerne les préjudices et les préjugés, documenter l’utilisation et les limites appropriées, et ajuster les mesures au besoin. |
| Transparence | Fournir au public des informations appropriées sur la façon dont les systèmes d’IA à fort impact sont utilisés. |
| Justice et équité | Construire des systèmes d’IA à fort impact avec une conscience du potentiel de résultats discriminatoires. |
| Sécurité | Évaluer de façon proactive le système afin de déterminer les préjudices qui pourraient découler de l’utilisation du système, y compris par une mauvaise utilisation raisonnablement prévisible. |
| Responsabilisation | Mettre en place les mécanismes de gouvernance nécessaires pour assurer le respect de toutes les obligations légales des systèmes d’IA à fort impact dans le contexte dans lequel ils seront utilisés. |
| Validité et robustesse | Le système d’IA à fort impact fonctionne conformément aux objectifs prévus. |
Le document d’accompagnement prévoit que les obligations d’une organisation en vertu de la future réglementation de l’IA dépendront probablement proportionnellement de la façon dont elle est impliquée dans un système d’IA à fort impact. Pour plus de clarté, le document d’accompagnement fournit les exemples suivants d’obligations proposées pour les organisations impliquées dans différentes activités associées au système d’IA à fort impact. Les organisations peuvent participer à une ou plusieurs des activités réglementées énumérées.
| Proposed Regulated Activity | Example Obligations | Exéchantillons des mesures d’évaluation et d’atténuation des risques |
| Conception du système (p. ex., il faut déterminer les objectifs du système d’IA et les besoins en données, les méthodologies ou les modèles en fonction de ces objectifs).) | Identifier et traiter les risques en ce qui concerne les préjudices et les préjugés, documenter l’utilisation et les limites appropriées, et ajuster les mesures au besoin. |
|
| Élaboration du système (p. ex., il faut traiter les ensembles de données, former les systèmes à l’aide des ensembles de données, modifier les paramètres du système, élaborer et modifier des méthodologies ou des modèles utilisés dans le système, ou mettre à l’essai le système).)
|
Identifier et traiter les risques en ce qui concerne les préjudices et les préjugés, documenter l’utilisation et les limites appropriées, et ajuster les mesures au besoin. |
|
| La mise à disposition (p. ex., comprend le déploiement d’un système entièrement fonctionnel, que ce soit par la personne qui l’a développé, par le biais d’une transaction commerciale, d’une interface de programmation d’applications (API) ou en rendant le système fonctionnel accessible au public.) | Envisager des utilisations potentielles lors du déploiement et prendre des mesures pour s’assurer que les utilisateurs sont au courant de toute restriction sur la façon dont le système est censé être utilisé et comprennent ses limites. |
|
| Gestion des opérations du système d’IA (p. ex., comprend la supervision du système pendant son utilisation, y compris le début ou la cessation de son fonctionnement, la surveillance et le contrôle de l’accès à sa sortie pendant qu’il est en fonctionnement, la modification des paramètres relatifs à son fonctionnement dans son contexte).) | Utiliser les systèmes d’IA comme indiqué, évaluer et atténuer les risques et assurer une surveillance continue du système. |
|
Enfin, le document de consultation suggère que, dans les premières années suivant l’entrée en vigueur de l’ACRA, l’accent sera mis sur l’éducation, l’établissement de lignes directrices et l’aide aux organisations à se conformer par des moyens volontaires.
Par la suite, on s’attend à ce que l’accent soit mis sur le recours à des mécanismes d’application de la loi pour traiter les cas de non-conformité. Celles-ci sont envisagées pour inclure deux types de peines pour les infractions réglementaires, ainsi que divers types d’infractions criminelles véritables :
La substance d’un certain nombre de ces mécanismes d’application devra être clarifiée davantage par les règlements supplémentaires sur l’IA. Toutefois, dans sa version actuelle, une contravention à l’ACRA peut avoir des conséquences importantes. Selon les circonstances, une organisation peut être passible d’une amende ne dépassant pas 25 000 000 $ et 5 % de ses revenus bruts mondiaux.
Le document de consultation indique qu’à la suite de la sanction royale du projet de loi C-27, le gouvernement a l’intention de mener une vaste consultation inclusive auprès de l’industrie, du milieu universitaire, de la société civile et des collectivités canadiennes afin d’éclairer la mise en œuvre de l’ACRA et de ses règlements.
S’il est adopté tel qu’il est actuellement rédigé, nous prévoyons que l’ACRA aura une incidence importante sur l’étendue de l’examen réglementaire des organisations en ce qui a trait à leur utilisation de l’intelligence artificielle. Par conséquent, les organisations devraient entreprendre un examen exhaustif de la façon dont elles mènent leurs activités et gèrent les systèmes d’IA.
Le groupe Bennett Jones Privacy & Data Protection group est disponible pour discuter de la façon dont les changements peuvent affecter les obligations d’une organisation en matière de confidentialité.