Le chapitre 9 introduit la souveraineté personnelle : la question de savoir si les individus conservent un contrôle significatif sur la façon dont les…

Le chapitre 9 introduit la souveraineté personnelle : la question de savoir si les individus conservent un contrôle significatif sur la façon dont les systèmes d'IA utilisent leurs données, leurs ressemblances et leurs décisions. Le présent chapitre s'intéresse en profondeur aux dimensions de la protection de la vie privée et de la surveillance de cette question : ce que les systèmes d'IA recueillent réellement à votre sujet, ce qu'ils affirment à votre égard que vous n'avez pas divulgué explicitement, qui a accès à ces collections et à ces inférences, quelles protections existent actuellement et ce que signifie l'absence d'une réglementation canadienne complète sur la protection des renseignements personnels dans la pratique. Le chapitre distingue deux concepts que le débat public s'effondre régulièrement. Vie privée est la question de savoir quelles informations spécifiques vous concernant sont recueillies et divulguées sans votre consentement. Surveillance est la question de savoir comment les systèmes construits autour de cette collecte d'information produisent une surveillance continue du comportement, de la prise de décisions et des chances de vie. Ils sont liés, mais pas identiques. Un système peut violer la vie privée sans produire de surveillance — une violation unique des données est le cas le plus simple. Et la surveillance peut se dérouler sans violer la vie privée au sens conventionnel : un regroupement des divulgations consenties qui, en combinaison, produisent une capacité inferentielle que les divulgations individuelles n'ont pas suggéré. L'IA est structurellement impliquée dans les deux, et plus dangereux quand les deux se produisent à la fois. Vous laisserez ce chapitre avec : les définitions de travail de la protection de la vie privée et de la surveillance dans leur application à l'IA; la couverture du Registre fédéral du Conseil du Trésor sur l'IA et les lacunes spécifiques dans ce qu'il révèle; la question de la supervision de l'intelligence artificielle en milieu de travail ancrée dans la documentation principale du SCFP; le cadre de la loi 25 du Québec comme modèle opérationnel Ottawa n'a pas été jumelé; l'écart réglementaire post-AIDA nommé honnêtement; et le test de travail pour évaluer toute demande de renseignements personnels sur une IA. ---

Ce que les systèmes d'IA recueillent réellement — et ce qu'ils en déduisent

La plupart des discussions publiques sur « l'IA et la protection de la vie privée » donnent lieu à la question suivante : quels renseignements précis ont été recueillis à mon sujet? C'est la bonne question de départ, mais le mauvais point d'arrêt. La question plus profonde, et celle que le moment de l'IA fait urgent, est : ce qui est déduit de moi à partir d'informations qui, à elles seules, semblaient sans rapport avec l'inférence?

Un exemple concret. Vous recherchez "symptômes de maux de tête persistants" sur un moteur de recherche majeur. Vous avez lu trois articles sur les traitements de la migraine. Vous regardez une vidéo YouTube sur la gestion de la douleur chronique. Vous commandez une plaque chauffante sur un grand détaillant. Au cours de ces quatre interactions, aucun point de données individuelle ne révèle une affection médicale. Dans l'ensemble, un système d'IA qui traite vos données comportementales a des preuves infernales compatibles avec une douleur chronique ou une migraine suffisante pour cibler la publicité, ajuster les profils de risque d'assurance, moduler les évaluations de solvabilité ou informer le dépistage de l'emploi, dont vous n'avez pas consenti.

🧌 GOBLIN CHECK — Vous n'avez jamais parlé des maux de tête. Vous avez dit à un bar de recherche, à un site vidéo et à un panier de caisse — séparément, innocemment, comme une personne qui vit une vie. L'ensemble du travail du moteur d'inférence consiste à introduire vos points de données l'un vers l'autre lors d'une fête à laquelle vous n'étiez pas invité. Les formulaires de consentement couvrent les points de données. Rien ne couvre actuellement les introductions.

C'est le problème structurel de la vie privée que crée l'IA. Des points de données individuels qui semblent inoffensifs deviennent très révélateurs lorsqu'ils sont traités à l'échelle par des systèmes conçus pour trouver des modèles inferentiels. Les points de données eux-mêmes peuvent avoir été collectés avec le consentement – contrats de conditions de service, bannières de cookies, divulgations d'opt-in. Les inférences qu'ils ont tirées n'étaient presque certainement pas.

Trois catégories de collecte de données pertinentes pour l'IA méritent d'être distinguées:

Collecte explicite. Ce que vous partagez activement : requêtes de recherche, messages de médias sociaux, photos téléchargées, notes vocales enregistrées, pins de localisation partagés. Vous savez que c'est collecté parce que vous avez pris l'action qui l'a partagée. Les questions de confidentialité sont ici conventionnelles : violation des données, utilisation secondaire au-delà du but communiqué, transfert à des tiers, conservation au-dessus de la durée nécessaire.

Collection implicite. Ce qui est recueilli sur vous sans votre action explicite : comportement de navigation, temps passé sur les pages, mouvements de souris et motifs de défilement, localisation déduite des signaux réseau, contacts déduits des schémas de communication, graphique social déduit de la co-occurrence. Les régimes de protection de la vie privée ont augmenté pour couvrir une grande partie de cette situation, mais ils comportent d'importantes lacunes en matière d'application.

Extraction inferentielle. Ce qui est déduit de vous à partir des données explicites et implicites, souvent en utilisant des techniques d'IA. C'est la couche que le moment d'IA rend différente. Les inférences sont souvent plus révélatrices que les données sous-jacentes, et souvent nettement différentes en termes de sensibilité. Vos antécédents de recherche ne comprennent peut-être pas « Je suis enceinte », mais le modèle de recherche au début de la grossesse est suffisamment reconnaissable pour que les systèmes puissent l'inférer avant que certaines grossesses ne soient humainesment reconnues. Votre historique d'achat peut ne pas inclure « Je suis politiquement actif autour du climat », mais la combinaison des abonnements, des dons et des modèles de lecture produit une inférence. Vos habitudes de communication ne comprennent peut-être pas des divulgations explicites sur la santé mentale, mais le rythme et le contenu de la communication engendrent des inférences au sujet de la dépression, de l'anxiété ou de la crise.

EXAMPLE — le panier le savait avant vous. Vous n'avez jamais dit au magasin que vous étiez enceinte. Vous avez acheté une lotion sans parfum et deux ou trois suppléments, et les coupons se sont mis à arriver quand même. Les systèmes d'IA apprennent rarement vos secrets par ce que vous leur dites : ils les déduisent de ce que vous faites. « Je n'ai jamais partagé ça » et « ils ne le savent pas » sont deux phrases bien différentes.

À l'ère de l'IA, la question de la protection de la vie privée tourne moins autour des données collectées que sur ce qui peut en être déduit après traitement de l'IA , et sur les protections qui existent contre ces inférences utilisées de manière à ce que la personne n'y consente pas.

Une découverte canadienne précise qui mérite d'être mise au point. Le Commissariat à la protection de la vie privée du Canada (CPVP) a publié des directives en vertu de la Loi canadienne sur la protection des renseignements personnels (LPRPDÉ, le droit fédéral du secteur privé), inférences Les renseignements personnels concernant une personne par un système d'IA sont des renseignements personnels sur cette personne, sous réserve des protections de la LPRPDE — même si les données sous-jacentes ont été recueillies avec le consentement. C'est la bonne position juridique, mais l'exécution a été limitée. Le CPVP a documenté les enquêtes sur le suivi des emplacements de l'application Tim Hortons (2022) et sur la suppression biométrique de Clearview IA (2021), parmi d'autres cas très médiatisés, mais il n'y a actuellement pas de ressources pour assurer l'exécution systématique à l'échelle du déploiement de la IA. La stratégie fédérale d'IA ne s'engage pas à accroître les ressources du CPVP.

L'opinion publique canadienne sur la protection des renseignements personnels est plus forte que ne le laisse entendre la réponse de la politique. La recherche d'opinion sur la protection des renseignements personnels menée par le CPVP en 2024-25 documentait que 88 % des Canadiens ont fait part de préoccupations au sujet de l'utilisation de leurs renseignements personnels pour former les systèmes d'IA, y compris 42 % qui ont déclaré être extrêmement préoccupés. . La même recherche a révélé que 28 % seulement avaient une confiance équitable ou importante dans « Big Tech » pour protéger les renseignements personnels, et 12 % seulement avait une confiance équivalente dans les entreprises de médias sociaux. . L'enquête de 2025 à 26 du CPVP a documenté séparément que 16 % des entreprises canadiennes déclarent utiliser l'IA dans leurs activités, le plus souvent pour la recherche/la rédaction de documents, le marketing, l'analyse de textes et de données et le service à la clientèle. L'écart entre 88 % des préoccupations du public au sujet des données sur la formation à l'IA et le cadre réglementaire qui n'exige pas la divulgation de la composition des données de formation est l'expression la plus claire du vide-réglementaire dans lequel le guide revient. Le public canadien s'inquiète de la protection des renseignements personnels d'IA; la réponse à la politique n'a pas encore été assortie.

GOBLIN FACTS — La préoccupation n'est pas hypothétique. La recherche d'opinion du CPVP a permis de documenter 88 % des préoccupations au sujet de l'utilisation de la formation sur l'IA et seulement 28 % ont confiance en Big Tech pour protéger les renseignements personnels. C'est le contexte de confiance du public pour la politique canadienne en matière de protection des renseignements personnels.

---

Le Registre fédéral de l'IA — ce qu'il divulgue et ce qu'il tait

En novembre 2025, le Conseil du Trésor du Canada a lancé la Registre de l'IA , la première liste publique canadienne de systèmes d'IA en usage au gouvernement fédéral. La documentation de lancement, publiée dans le cadre de la Stratégie d'IA pour la fonction publique fédérale (la voie d'utilisation interne distincte de IA pour tous — voir chapitre 5, 42 institutions et 400 systèmes d'IA utilisation active dans l'ensemble de la fonction publique fédérale.

Il s'agit d'un événement majeur de transparence. Il s'agit aussi d'une question partielle, et la partialité mérite une compréhension étroite.

Ce que le registre révèle. Pour chaque système d'IA énuméré, le Registre fournit à l'institution qui l'utilise, une description du but, le type de technique d'IA (classification, génération, prévision, etc.), le genre de décisions ou d'actions prises par le système, les entrées de données, le modèle de surveillance humaine et (dans bien des cas) la date à laquelle le système a été mis en service. Le Registre est consultable, filtré et téléchargeable sous forme lisible par machine, ce qui répond à des définitions raisonnables de la « transparence » en tant que question de procédure.

La découverte historique. La documentation de lancement indique explicitement que « L'IA est utilisée au gouvernement du Canada depuis des décennies, avec des systèmes datant de 1994. » Le chapitre 1 en a utilisé comme point d'entrée pour démythifier le moment de l'IA, et le Registre en est la principale source. L'utilisation fédérale canadienne de l'IA remonte à des décennies; ce qui est nouveau, c'est la divulgation publique.

Ce que le registre ne révèle pas, par choix de portée indiqué. Le Registre exclut explicitement :

IA intégré dans des « produits commerciaux à faible risque » tels que les assistants virtuels ou les vérificateurs orthographiques. Il s'agit de la plus grande exclusion. L'intégration du copilote de Microsoft Office, de plus en plus utilisée dans l'ensemble de la fonction publique fédérale, entrerait dans le champ d'application de cette exclusion en tant que « produit commercial ».

Sécurité nationale Utilisations de l'IA. Le SCRS, le CST, les systèmes de renseignement militaire et d'autres déploiements d'IA en matière de sécurité nationale sont absents du Registre ou présents avec un minimum de détails. La documentation du Registre ne précise pas ce que l'IA de sécurité nationale est exclue ou incluse.

Utilisation provinciale et municipale de l'IA. Le registre est seulement fédéral. Les déploiements provinciaux d'IA (systèmes algorithmiques d'évaluation des risques de Service BC, outils ontariens de protection de l'enfance d'IA, divers systèmes d'administration publique appuyés par l'IA) ne figurent dans aucun registre public équivalent. L'utilisation municipale de l'IA (pilotes de reconnaissance faciale au niveau de la ville, analyse des modes de transport, systèmes d'intervention en cas d'urgence) n'est pas non plus enregistrée.

Systèmes d'IA de tiers utilisés par les entrepreneurs fédéraux. Si un ministère fédéral conclut des contrats avec un fournisseur privé pour fournir un service, et que le fournisseur utilise l'IA pour fournir ce service, l'IA peut ne pas apparaître dans le registre parce qu'elle est déployée par le fournisseur plutôt que par le ministère fédéral directement.

La question de la couverture. Le gouvernement fédéral compte environ 300 institutions dans tous les ministères, organismes, sociétés d'État et autres organismes. Le registre au lancement couvrait 42 — environ 14 % du total des institutions. Les 86% restants ne utilisent pas l'IA (possible pour les petits organismes) ou ne déclarent pas (aussi plausible). Sans audit indépendant, l'écart ne peut être comblé.

Le bilan du Registre de l'IA : il s'agit d'un mécanisme beaucoup plus transparent que toute divulgation fédérale antérieure, il couvre environ un septième des institutions fédérales, il exclut les catégories où la transparence serait la plus importante (sécurité nationale, produits commerciaux à faible risque qui ne sont peut-être pas à faible risques, IA déployée par l'entrepreneur), et il se situe dans l'isolement des politiques, sans équivalent aux niveaux provincial, municipal ou privé. Le Registre est un bon premier pas que le gouvernement fédéral n'a pas suivi. IA pour tous ne s'est pas engagé à l'étendre.

---

L'affaire Marquee: IA en immigration et à la frontière

Si vous voulez un test plus clair sur la façon dont le Canada gouverne son propre usage de l'IA, surveillez la frontière. L'immigration est le plus grand volume et le plus important endroit où le gouvernement fédéral gère des outils automatisés sur les personnes individuelles, et c'est aussi là que la langue devient glissante de la façon dont la méthode du gobelin est construite.

Commencez par la confusion la plus courante. Les journalistes, les demandeurs et même certains dossiers judiciaires décrivent les refus de visa comme l'œuvre d'une IA appelée "Chinook". Chinook est réel, et ce n'est pas l'IA. C'est un outil basé sur Microsoft Excel qui retire le dossier d'un demandeur du système de gestion des cas et le présente pour qu'un agent puisse se déplacer plus rapidement, avec un module qui génère des notes de refus de plaque de chaudière. La position de l'IRCC est claire : Chinook « n'utilise pas l'intelligence artificielle, ni l'analyse avancée pour la prise de décisions. » Parce qu'elle est classée comme une aide au traitement non-IA, elle ne relève pas de la Directive fédérale sur le processus décisionnel automatisé, de sorte que l'outil qui façonne la façon dont un agent voit un fichier et rédige le refus ne comporte aucune évaluation des répercussions algorithmiques. C'est le manque de responsabilisation que les critiques continuent de pointer, et il est invisible si vous acceptez le cadre "Chinook est l'IA".

L'apprentissage automatique est un système distinct. Depuis 2018, et pour les demandes de tous les pays depuis janvier 2022, IRCC a utilisé des analyses avancées pour trier les demandes des résidents temporaires par complexité et pour faire des déterminations d'admissibilité positives sur les dossiers les plus courants, ce qui, selon elle, est traité environ 87 pour cent plus rapidement. La sauvegarde portante est une règle difficile : le modèle ne refuse jamais personne. Il peut être admissible au feu vert et tout le reste peut être acheminé vers les officiers, mais chaque refus est fait par un humain. Ce système, contrairement à Chinook, comporte des évaluations d'impact algorithmiques publiées, et IRCC en a déposé plus que tout autre ministère fédéral; il a depuis étendu l'approche aux dossiers des visiteurs, aux permis de travail et aux demandes de conjoint, et en février 2026 a publié sa première stratégie ministérielle d'IA.

Les tribunaux se sont surtout prononcés en faveur du gouvernement sur la question juridique étroite tout en laissant la porte ouverte sur la vraie. Dans l'affaire Haghshenas (2023), la Cour fédérale a jugé que le fait de savoir si l'IA a été utilisée est « sans pertinence », parce qu'un agent a rendu sa décision et que le contrôle judiciaire en a vérifié la décision, et non le logiciel. Mais les décisions subséquentes sont moins résolues : les juges ont averti que les refus sur modèle doivent toujours montrer à l'agent engagé dans le dossier, et que si un outil assisté donne à un agent une « vision tronquée » d'une demande, la décision qui en résulte « peut bien être déraisonnable ». La décision 2024 Mehrara est allée au-delà de la plus grande inquiétude au sujet des outils indicateurs de risque et de la pratique d'IRCC consistant à supprimer les matériaux générés par sa technologie de traitement. La trajectoire indique un défi futur fondé sur des données probantes qui pourrait se poser différemment.

La critique qui a commencé la conversation est plus ancienne. En 2018, le Citizen Lab de l'Université de Toronto et le Programme international des droits de la personne ont publié Des bots à la porte , signalant que l'automatisation des décisions dans un système discrétionnaire à fort taux d'intérêt construit pour les personnes ayant les protections juridiques les plus faibles risquait d'endiguer la discrimination, et appelant à un gel jusqu'à ce que des normes contraignantes et une surveillance indépendante soient en place. Une commission parlementaire a repris le fil en 2022, scrutant Chinook contre des taux de refus plus élevés pour les candidats des pays africains francophones. Ici, le gobelin doit être prudent dans les deux directions: les taux de refus ont augmenté à mesure que ces outils se propagent, mais l'augmentation suit également les capsules d'étude-permis et la répression de l'intégrité, et personne n'a établi que la technologie a causé les refus. La corrélation est sur le disque; la causalité ne l'est pas.

À la frontière physique, la version de surveillance de la même histoire est plus loin. L'Agence des services frontaliers du Canada a créé une application de reconnaissance faciale pour suivre les personnes faisant l'objet d'un arrêté d'expulsion, son algorithme correspondant étant retenu comme secret commercial, et a mis à l'essai un outil de « conformité des voyageurs » qui note les voyageurs pour leur attention, ce que les chercheurs mettent en garde porte un risque réel de partialité. Un détecteur de mensonges d'IA testé dans un laboratoire d'Ottawa est resté pour l'instant au laboratoire.

La synthèse honnête est que l'immigration est là où les instruments de gouvernance de l'IA du Canada répondent à leur cas le plus difficile. La pression d'efficacité est réelle, la croissance en volume qui l'a produite est réelle et la sauvegarde humaine dans la boucle est réelle sur papier. Les questions ouvertes sont de savoir si « l'homme dans la boucle » devient discrètement un tampon en caoutchouc, si le seul outil qui façonne le plus le point de vue de l'officier est exactement celui que le cadre de responsabilité ne couvre pas, et si les personnes les moins capables de contester une décision opaque sont celles qu'il tombe sur les plus dures.

---

Le même schéma, au-delà de la frontière : bien-être, police et tribunaux

L'immigration est le visage le plus litigieux de l'IA administrative, mais ce n'est pas le seul, et le reste du modèle rime. Chaque fois qu'un gouvernement canadien décide quelque chose au sujet d'une personne qui a peu de pouvoir pour se disputer, un système automatisé est maintenant dans la salle. Trois endroits montrent la portée, et les mêmes deux pièges.

Le premier piège est le mot "IA" faisant le travail que le logiciel ne peut pas. L'ordinateur d'aide sociale de l'Ontario, le SAMS, est le récit de la mise en garde. Lancé en 2014 pour gérer les prestations d'Ontario au travail et d'invalidité, il s'agit d'un système de gestion de cas fondé sur des règles, et non d'apprentissage automatique; rien dans ce système ne fait « Noter » un prestataire. Il a échoué de toute façon spectaculaire. Le vérificateur général de la province a constaté qu'il était en vie avec 16 % de ses fonctions non testées et un taux d'échec sur huit pour le reste, le seul système jamais relié à la comptabilité gouvernementale sans passer les tests de paiement, et il a produit environ 140 millions de dollars en erreurs de calcul des prestations. La leçon est celle que le fichier d'immigration a déjà enseignée : vous n'avez pas besoin d'un réseau neuronal pour faire des dommages algorithmiques, et appeler un système déterministe "IA" à la fois surestime sa sophistication et laisse les vrais systèmes d'apprentissage automatique se cacher derrière la confusion. La conclusion plus profonde, de la part des chercheurs qui étaient assis à l'intérieur d'Ontario Works, est que l'automatisation mange discrètement discrétion: un caseworker combattant le logiciel pour un client a moins de temps pour le prochain, de sorte que la sortie du système devient la décision en tout sauf le nom. D'autres pays montrent à quel point l'automatisation du bien-être basée sur des règles peut être pire : le système australien « Robodebt » a inventé des centaines de milliers de dettes illégales avant qu'une commission royale ne l'appelle cruelle et cruelle, et un algorithme néerlandais de fraude aux bénéfices a accusé à tort des dizaines de milliers des familles, dont beaucoup ont été identifiées par l'ethnicité, et ont aidé à faire tomber le gouvernement.

La police est l'endroit où apparaît la véritable IA, et la vraie surveillance. Le cas le plus clair est Clearview IA, la société de reconnaissance faciale qui a retiré des milliards d'images du web ouvert. En 2021, les commissaires à la protection de la vie privée du Canada l'appelaient conjointement surveillance de masse et la jugeaient illégale, et une conclusion distincte concluait que l'utilisation de celle-ci par la GRC avait enfreint la Loi sur la protection des renseignements personnels; la GRC a d'abord signalé 78 perquisitions, puis les dossiers du vendeur ont montré 521. La police de Toronto a nié l'utiliser, puis les agents admis avaient lancé des milliers d'images à travers elle. Au-delà de Clearview, les forces canadiennes font leur propre reconnaissance faciale contre les bases de données de photos (Calgary a été le premier en 2014) et ont adopté de nouveaux vendeurs depuis, dont l'un était lié à l'arrestation injustifiée d'un Noir aux États-Unis. Une poignée de services ont également essayé de prévoir des services de police, principalement le genre de localisation qui indique qu'il y a vraisemblablement eu effraction, et les meilleurs déploiements canadiens construits dans le cadre de mesures de protection et refusé de prédire des personnes individuelles. La critique récurrente n'est pas que les maths sont faux, mais qu'un modèle formé à des décennies de données policières apprend les biais dans ces données et vise plus d'attention aux communautés qui étaient déjà sur-police. La réponse à la surveillance a été réelle mais sans fondement : les commissaires à la protection de la vie privée et un comité parlementaire ont demandé un cadre juridique contraignant, voire un moratoire, et le Canada n'en a toujours pas.

Les tribunaux sont la version la plus populaire, et ils ont produit le cas principal du pays. Dans Ewert c. Canada (2018), un détenu métis a contesté les outils actuariels d'évaluation des risques utilisés par le Service correctionnel pour évaluer la dangerosité, au motif qu'ils n'avaient jamais été validés pour les Autochtones. La Cour suprême a reconnu que le Service avait manqué à son obligation légale de s'assurer que les renseignements sur lesquels il se fonde sont exacts. Lisez-le attentivement, parce qu'il est plus étroit qu'on ne le cite habituellement : la Cour a statué sur une loi et non sur la Charte, et elle n'a pas déclaré les outils invalides, mais seulement que leur exactitude pour les délinquants autochtones n'avait jamais été confirmée. Les arguments de la Charte en matière d'égalité et de liberté ont été rejetés. Cette distinction est importante dans un système où les adultes autochtones sont maintenant un tiers de la population carcérale à peu près dix fois plus nombreux que les non-Autochtones, et où un outil qui les qualifie de à risque élevé ne crée pas autant cette disparité que le blanchir en nombre. Depuis, le Service correctionnel a financé des travaux sur un outil culturellement informé; en 2026, il n'est pas encore utilisé.

Deux fils les relient. Le premier est celui qui est à l'arrivée: les bénéficiaires de l'aide sociale, les personnes criminalisées, les migrants, les communautés les moins équipées pour demander des raisons ou engager un avocat, la population de l'érudit américain Virginia Eubanks appelle les résidents de la «maison pauvre numérique». La Directive fédérale sur la prise de décisions automatisée, qui exige des évaluations d'impact et un examen humain, ne touche que les ministères fédéraux et seulement les systèmes publics. Le bien-être, la police et les tribunaux sont essentiellement provinciaux. Ainsi, les domaines où les décisions automatisées sont les plus difficiles pour les plus vulnérables sont en grande partie ceux que le principal instrument de responsabilité du pays ne peut pas toucher. La réponse de la Commission du droit de l'Ontario a été sans équivoque : cessez de déployer l'IA gouvernementale à risque élevé jusqu'à ce qu'il y ait un cadre juridique contraignant, car « les questions juridiques systémiques ne peuvent être réglées par des litiges individuels, des lignes directrices sur l'IA éthique ou une loi fragmentaire ». Pour l'instant, la sauvegarde du dernier recours est le droit ordinaire de l'administration à une explication réelle, ce qui est précisément ce qu'une boîte noire ne peut pas donner.

---

Surveillance de l'IA sur le lieu de travail — la documentation primaire du CUPE

La surveillance de l'IA en milieu de travail est le plus important problème canadien en 2026 : la mise en place d'outils de surveillance des IA par les employeurs pour suivre le comportement, la productivité, la communication et (dans certains cas) l'état émotionnel des employés. Le Syndicat canadien des employés de la fonction publique a été la voix institutionnelle canadienne la plus cohérente et la mieux dotée en ressources sur cette question, et le guide s'appuie sur la présentation du CUPE en mars 2026 comme source principale.

L'étendue de la surveillance de l'IA en milieu de travail comprend maintenant — tirée de la documentation du SCFP et de rapports plus généraux au Canada et aux États-Unis:

Surveillance des frappes. Systèmes alimentés par l'IA qui enregistrent toutes les frappes d'un employé, génèrent des scores de productivité basés sur les patrons de saisie et identifient le « temps mort » lorsque la saisie tombe en dessous des seuils. Déployé à l'échelle des grandes institutions financières canadiennes, des centres d'appels et des ministères. Le commissaire à la protection de la vie privée de l'Ontario a publié des lignes directrices sur cette pratique, mais aucune juridiction canadienne ne l'a interdite.

Les systèmes d'IA Surveillance de la communication. qui scannent les courriels, les conversations et (dans certains déploiements) les appels téléphoniques pour le couplage de contenu des modèles spécifiés — indicateurs de productivité, violations de conformité, « sentiment négatif », langage syndical organisateur. Déployé à l'échelle du secteur financier et de plus en plus dans d'autres industries réglementées.

Les systèmes d'IA Suivi des déplacements et de l'emplacement. qui utilisent l'accès aux badges, les images de caméras de sécurité et (dans les paramètres d'entrepôt) les appareils portables pour suivre les mouvements des employés, le temps sur la tâche et la durée de la pause. Aux États-Unis, la surveillance des travailleurs de l'entrepôt d'Amazon a été documentée en détail; le nombre de ces outils utilisés dans ses centres d'exécution canadiens est beaucoup moins documenté et rien dans la législation canadienne actuelle n'exige que la documentation existe.

Les systèmes d'IA Émotion et reconnaissance de l'attention. qui utilisent l'analyse de l'expression faciale, l' analyse du tonus vocal et les capteurs biométriques pour déduire l'état émotionnel, le niveau d'engagement et le stress. Commercialisation d'outils de « bien-être » ou d'« engagement », déployés dans les centres d'appels, dans les établissements de soins de santé et de plus en plus dans des rôles de service orientés vers la clientèle. La validité scientifique de la reconnaissance d'émotion IA est contestée (voir chapitre 15), mais le déploiement commercial se poursuit indépendamment.

Évaluation du rendement IA. Systèmes qui regroupent les intrants susmentionnés pour produire des « scores de productivité », des « cotes d'engagement » ou des « notes de risque » pour les employés individuels, souvent utilisés comme intrants pour l'examen du rendement, les décisions de promotion, les décision disciplinaires et les décisions relatives au licenciement. Au Canada, le statut juridique des décisions d'emploi fondées sur l'IA est essentiellement non réglementé. Ontario Loi sur le travail pour les travailleurs , à compter du 1er janvier 2026, exige que les employeurs de 25 employés et plus divulguer L'utilisation de l'IA dans la sélection des demandeurs d'emploi, mais ne réglemente pas l'utilisation d'IA dans les décisions d'embauche en cours.

Les exigences juridiques spécifiques de la CUPE dans le mémoire du Sénat de mars 2026, tiré du propre document du syndicat et présenté en ses propres termes :

Interdiction l'utilisation de systèmes d'IA biométriques, de reconnaissance faciale et de reconnaissance des émotions dans les lieux de travail.
Interdire décisions importantes d'emploi (embauche, promotion, discipline, licenciement, fixation des salaires) à partir de la production d'IA.
Notification Besoins aux travailleurs lorsque l'IA a été utilisée dans toute décision les concernant.
Mandat explication des décisions fondées sur l'IA et des mécanismes d'examen et d'appel humains.
Vérifications des biais et de la discrimination Besoins de tout système d'IA déployé sur les lieux de travail, tant avant le déploiement que chaque année après.
Stipuler que les entreprises et les organisations qui reçoivent des fonds publics pour le développement de l'IA ne peuvent pas utiliser ce financement tout en réduisant les emplois grâce au déploiement d'IA.

L'étiquette de partialité pour ces postes : la défense des intérêts de la société civile par une organisation représentant 800 000 travailleurs canadiens à son propre compte, avec une recherche primaire substantielle et un intérêt documenté pour les électeurs. Le biais est vers la protection des travailleurs. Les preuves sous-jacentes (pratiques de surveillance documentées, dommages documentés, capacités techniques documentées déjà utilisées) sont vérifiables indépendamment.

La réponse fédérale jusqu'à présent. IA pour tous ne s'engage à aucune des demandes du CUPE. L'IA et le Conseil consultatif du travail annoncés par le ministre Solomon (chapitre 5) est un mécanisme de consultation et non un engagement réglementaire. La question de savoir si le travail consultatif produit des règles contraignantes n'est pas résolue. Le tableau structurel : Le Canada en 2026 a une réglementation minimale de la surveillance de l'IA en milieu de travail et la stratégie fédérale ne s'engage pas à combler cette lacune. La Loi 25 du Québec (section suivante) offre une couverture partielle pour certaines pratiques grâce à son cadre plus large de protection de la vie privée, mais les protections en milieu de travail sont limitées.

---

La Loi 25 du Québec, le régulateur de dernier recours

Un modèle que le guide a noté dans plusieurs chapitres est que le Québec, dans les domaines de politique liés à l'IA, a toujours évolué plus tôt et de façon plus complète que le gouvernement fédéral. Le modèle tient dans la vie privée. **La Loi no 25 du Québec, Loi visant à moderniser les dispositions législatives en matière de protection des renseignements personnels, adoptée en septembre 2021 et mise en oeuvre progressive jusqu'en 2024, est le régime canadien de protection de la vie privée le plus complet en vigueur.*

Ce que la loi 25 prévoit, dans la pratique:

Exigences relatives au consentement pour la prise de décisions automatisées. Lorsqu'une entreprise utilise des renseignements personnels pour prendre une décision fondée exclusivement sur le traitement automatisé, elle doit en informer la personne au moment de la décision ou avant celle-ci et, sur demande, elle devra en informer l'individu des renseignements à caractère personnel utilisés, des motifs et des principaux facteurs qui ont mené à la décision, ainsi que du droit de faire corriger les renseignements. Il s'agit de la réglementation canadienne la plus proche d'un droit général d'explication des décisions en matière d'IA.

Exigences d'évaluation des facteurs relatifs à la vie privée. Les entreprises doivent effectuer des évaluations d'impact sur la vie privée avant tout projet impliquant l'acquisition, le développement ou un changement important d'un système d'information ou de prestation de services électroniques comportant des renseignements personnels. L'évaluation doit être proportionnelle à la sensibilité de l'information, aux fins, à la quantité, à sa distribution et au support utilisé.

Droit à la portabilité des données. Les personnes ont le droit de communiquer leurs renseignements personnels, dans un format technologique structuré et couramment utilisé, à une autre personne ou entité.

Notification obligatoire d'infraction. Les entreprises qui ont des motifs raisonnables de croire qu'un incident de confidentialité s'est produit doivent en aviser la Commission d'accès à l'information et les personnes concernées.

Sanctions financières importantes en cas de non-conformité. Jusqu'à 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial de l'entreprise pour l'exercice précédent, selon le plus élevé des deux. Il s'agit d'une échelle de mise en application équivalente au RGPD.

La prise. La loi 25 couvre environ 23 % de la population canadienne (part du Québec dans la population nationale), dans une province. Le gouvernement fédéral n'a pas adopté de protections équivalentes. AIDA, la tentative du gouvernement précédent de réglementation fédérale de l'IA, est décédée en janvier 2025 lorsque le Parlement a été prorogé. IA pour tous ne s'engage pas à relancer l'AIDA ni à adopter des protections fédérales équivalentes. Le ministre Salomon a déclaré publiquement qu'il ne relancerait pas l'AIDA sous sa forme précédente.

Pour les Canadiens à l'extérieur du Québec, le régime de protection de la vie privée qui régit l'utilisation de l'IA est LPRPDÉ (secteur privé fédéral) et les lois provinciales sur la protection des renseignements personnels du secteur privé (la Colombie-Britannique, l'Alberta et le Manitoba ont des commissaires au respect de la protection de cette vie privée; d'autres provinces sont couvertes par la LPRPDÉ fédérale). La LPRPDE a été rédigée en 2000 et date de l'ère de l'« IA » du consommateur de deux décennies auparavant. Le CPVP a émis des interprétations de la LPRPDE en vertu de lignes directrices spécifiques à l'IA, mais la loi sous-jacente ne contient pas de dispositions propres à l 'IA.

L'asymétrie pratique qui en résulte. Un résident du Québec qui interagit avec un système de décision fondé sur l'IA a, en principe, le droit d'être informé que la décision était fondée sur l 'IA, de savoir quelles données ont été utilisées, de connaître les principaux facteurs et de faire examiner la décision. Un résident d'une autre province canadienne n'a, dans la plupart des cas, aucun de ces droits en vertu d'un texte législatif. L'asymétrie n'est pas une caractéristique de la stratégie fédérale d'IA; c'est l'absence d'une stratégie fédérale sur cette question précise.

Un cadre utile pour le reste du guide : En ce qui concerne la protection des renseignements personnels en matière d'IA, le Québec est le point de départ pour déterminer à quoi ressemble une bonne réglementation canadienne, et Ottawa ne s'engage pas actuellement à la faire correspondre. Des gens raisonnables ne sont pas d'accord sur la question de savoir si Ottawa devrait correspondre à ce document (la considération fédéraliste), si le régime québécois fonctionne bien en pratique (les données sont mitigées mais généralement positives) et si le modèle s'adapterait à un cadre national. L'asymétrie entre le Québec et le reste du pays, cependant, est une question record.

Au-delà du Québec, plusieurs provinces se sont penchées sur des questions particulières liées à la protection de la vie privée et à la gouvernance en matière d'IA. Il ne s'agit pas d'un seul leadership québécois face à un vide fédéral uniforme autant qu'à un paysage provincial fragmenté, et une poignée de cadres méritent d'être connus par leur nom.

Ontario. Les Loi sur l'amélioration de la sécurité et de la confiance numériques (EDSTA), en vigueur depuis 2025, associe la gouvernance publique de l'IA à la cybersécurité; Utilisation responsable de la directive IA établit les exigences relatives au déploiement provincial; une proposition de mars 2026 étendrait encore le cadre de l'EDSTA; Loi sur le travail pour les travailleurs (à compter du 1er janvier 2026) exige que les employeurs comptant plus de 25 employés divulguent l'utilisation de l'IA dans le cadre de la présélection.
Manitoba. Projet de loi 51 , par l'entremise de l'Assemblée législative, créerait un cadre explicite pour l'IA et la cybersécurité dans le secteur public, faisant du Manitoba l'une des rares législatures canadiennes à avoir une loi spécifique à l'IA en jeu; son résultat n'est pas encore déterminé.
Nouvelle-Écosse. Les Renseignements personnels Loi sur la protection des renseignements personnels (PIIDPA) fournit ce qui est, dans les sources examinées, la règle législative de résidence des données du secteur public la plus claire parmi les grandes provinces canadiennes — les organismes publics et les municipalités doivent conserver des renseignements personnels au Canada sans exceptions particulières — ce qui fait de sa base de référence en matière de résidence des données la disposition provinciale la plus solide, même si sa gouvernance propre à l'IA accuse un retard par rapport à celle de l'Ontario.
Colombie-Britannique et Alberta. BC's Loi sur l'accès à l'information et la protection de la vie privée L'article 33.1 de la LPRPDÉ régit la divulgation au large des côtes par des organismes publics (l'interdiction générale antérieure a été abrogée en 2021, remplacée par un régime conditionnel), tandis que la Loi sur les Loi sur la protection des renseignements personnels (PIPA) et de l'Alberta Loi sur la protection des renseignements personnels (PIPA) couvrent leurs secteurs privés provinciaux respectifs; aucune de ces dispositions ne contient des dispositions spécifiques à l'IA équivalentes à la Loi 25 du Québec, et l'engagement de l'Alberta a surtout été lié à des compétences et à des investissements écosystémiques (Amii) plutôt qu'à une réglementation contraignante.

La ligne directrice : il n'y a pas de loi fédérale complète sur la protection des renseignements personnels dans le secteur privé, et la Loi 25 du Québec demeure le point de référence pour le reste du pays.

ALIGNMENT — dont les règles atteignent même cela? Lorsqu'un système d'IA prend une décision à votre sujet, votre protection dépend moins de la technologie que de l'endroit où vous vivez et pour qui vous travaillez. La Loi 25 du Québec vous donne droit à une explication; la LPRPDE fédérale, rédigée en 2000, ne le fait surtout pas; un organisme de réglementation sectoriel pourrait ou non. Avant de demander si la décision était juste, déterminez si une règle y parvient.

L'image structurelle. La réglementation canadienne sur la protection de la vie privée en matière d'IA est fragmentée dans l'ensemble de la LPRPDÉ fédérale (2000-vintage, aucune disposition spécifique à l'IA, avec des directives interprétatives du CPVP), de la Loi 25 du Québec (le cadre le plus solide, couvrant 23 % de la population), de l'EDSTA et de la Directive sur l'utilisation responsable de l 'Ontario (avec des propositions de modernisation du secteur public en mars 2026), du projet de loi 51 du Manitoba (à l'étude), du PIIDPA de la Nouvelle-Écosse (base de résidence la plus solide), de le FIPPA de Colombie-Britannique et du PIPA (cadre de divulgation extracôtière post-2021) et du PPPA de lAlberta (secteur privé général, sans détails sur lIA). La fragmentation est l'environnement réglementaire dans lequel vivent les Canadiens. L'endroit où vous vivez au Canada détermine de façon substantielle les protections de la vie privée contre l'IA que vous avez. La stratégie fédérale d'IA ne s'engage pas à mettre fin à cette fragmentation par une action fédérale-provinciale harmonisée.

---

La couche de reconnaissance biométrique et faciale

Une catégorie de surveillance mérite un traitement distinct car la capacité technique est maintenant largement supérieure au cadre réglementaire : identification biométrique et reconnaissance faciale IA.

La capacité technique, en 2026, est mature. Les systèmes commerciaux de reconnaissance faciale peuvent identifier les individus avec une précision presque parfaite dans de bonnes conditions (images frontales, bien éclairées, caméras de haute qualité) et avec une exactitude sensiblement réduite mais toujours utilisable dans des conditions dégradées (faible lumière, occlusion partielle, images de faible qualité, angles latéraux). Les systèmes peuvent correspondre à des bases de données de millions de visages en millisecondes. Les données sur la formation de ces systèmes sont, comme le chapitre 3 l'a couvert, tirées en grande partie d'images Internet publiques, y compris des images de personnes qui n'ont pas consenti à être dans les données de formation sur la reconnaissance faciale.

L'affaire Clearview IA est l'instance canadienne la plus documentée. Clearview IA, une entreprise américaine, a gratté environ 3 milliards d'images de sources publiques (Facebook, Instagram, Twitter/X, LinkedIn, sites web employeurs, sites de nouvelles, portfolios photographes) sans le consentement des personnes représentées ou des plateformes hébergeant le contenu. L'entreprise a construit un service commercial de reconnaissance faciale commercialisé principalement à l'application de la loi. En février 2021, le Commissariat à la protection de la vie privée du Canada, conjointement avec ses homologues provinciaux, a constaté que la collecte, l'utilisation et la communication de renseignements personnels sans consentement par Clearview IA violaient les lois canadiennes sur la protection des renseignements personnels. Clearview a reçu l'ordre de cesser d'offrir son service au Canada et de supprimer les images des Canadiens dans sa base de données. La société a contesté l'ordonnance. Plusieurs organismes canadiens d'application de la loi, dont la GRC et la police de Toronto, avaient utilisé Clearview IA avant l'ordonnance, dans certains cas sans l'autorisation expresse de leurs propres organes de surveillance. Il s'agit de la base de référence canadienne documentée : un système américain de reconnaissance faciale, formé aux images canadiennes non consentantes, utilisé par la police canadienne sans surveillance adéquate, a révélé une infraction à la loi canadienne sur la protection de la vie privée, et l'application des conclusions de violation n'a toujours pas été partiellement résolue.

Les questions structurelles qui en découlent soulèvent:

Qu'en est-il du déploiement consensuel? Le déploiement commercial de la reconnaissance faciale par les détaillants, les gestionnaires de bâtiments, les systèmes de transport en commun et les lieux d'événements est de plus en plus courant au Canada. Le statut juridique varie selon la province et le contexte de déploiement. La Loi 25 du Québec en couvre une partie; la LPRPDE en couvre d'autres; les règlements municipaux ne couvrent presque rien de tout cela. Le CPVP a publié des lignes directrices, mais les déploiements ont dépassé les lignes directrices.

Qu'en est-il de la reconnaissance faciale ? La reconnaissance faciale en temps réel (par opposition à la comparaison médico-légale des images stockées après le fait) soulève d'autres préoccupations concernant la surveillance de masse, les effets de refroidissement sur le rassemblement public et la concentration du pouvoir. La loi de l'Union européenne sur l'IA interdit catégoriquement l'identification biométrique en temps réel dans les espaces accessibles au public à des fins d'application de la loi, à des exceptions près. Le Canada n'a pas d'interdiction équivalente. L'application de la loi canadienne n'a pas divulgué publiquement un déploiement important en temps réel de reconnaissance faciale, mais la capacité technique existe, et l'absence réglementaire signifie que le déploiement peut se faire sans autorisation spécifique.

Qu'en est-il de la reconnaissance d'émotion IA? Déjà discuté dans la section 3 comme un problème de surveillance au travail, les mêmes systèmes sont déployés dans la sécurité frontalière, les systèmes antifraude et les services destinés aux clients. La validité scientifique est contestée (la recherche de Lisa Feldman Barrett et d'autres a considérablement compromis l'affirmation selon laquelle les expressions universelles du visage indiquent de façon fiable des émotions spécifiques), mais les systèmes commerciaux sont vendus et déployés indépendamment. La loi sur l'IA de l'UE interdit la reconnaissance des émotions sur les lieux de travail et dans les établissements d'enseignement. Canada n'a pas d'interdiction équivalente.

Le tableau cumulatif : reconnaissance faciale, identification biométrique et reconnaissance des émotions L'IA est une catégorie où la capacité technique a largement dépassé le cadre réglementaire au Canada. Le CPVP et les commissaires provinciaux font un travail significatif, mais ils sont limités par des lois antérieures à la technologie. La réglementation complète de la protection des renseignements personnels et de la biométrie est exactement ce que l'AIDA aurait fourni. L'échec de l'AIDA a laissé l'écart. IA pour tous ne s'engage pas à le remplir.

Un test en direct de ce qui est exactement arrivé avec la Coupe du monde FIFA 2026. Pour les matchs de Vancouver, la ville prévoit de se lever jusqu'à 200 nouvelles caméras surveillées et d'intégrer environ 1 000 caméras existantes, selon un budget de sécurité d'environ 242 millions de dollars. Ce qui le rend remarquable, c'est le garde-corps : le réseau de caméras interdit expressément la reconnaissance faciale, l'analyse biométrique et toute identification automatisée des personnes, avec une évaluation des répercussions sur la vie privée effectuée aux côtés du commissaire provincial. C'est l'un des cas canadiens les plus rares où la règle est arrivée avec les caméras plutôt que des années derrière elles. La question ouverte est de savoir si l'interdiction demeure sous pression opérationnelle, ou si elle érode discrètement la façon dont la surveillance « temporaire » devient si souvent permanente.

La plus grande histoire de surveillance de 2026 n'est pas spécifique à l'IA, et c'est exactement pourquoi elle appartient ici. Le projet de loi C-22, la Loi sur l'accès légal, exigerait que les fournisseurs conservent jusqu'à un an de métadonnées canadiennes (sondage, emplacement, heure et cibles des communications) et, dans sa partie 2, laisseraient le ministre de la Sécurité publique donner des ordres secrets aux fournisseurs pour qu'ils puissent accéder à leurs systèmes, en vertu de règles de bâillonnement permanentes et d'un contrôle judiciaire limité. Les groupes de la société civile (OpenMedia, Electronic Frontier Foundation, Center for Democracy and Technology) l'appellent un projet de loi sur le chiffrement et veulent qu'il soit retiré; le Commissaire à la protection de la vie privée a pris une ligne plus étroite, accueillant avec satisfaction certains des travaux d'élaboration du projet tout en appelant à des limites de nécessité et de proportionnalité et à une protection explicite contre l'affaiblissement du chiffrement. Lisez la distance entre ces deux positions comme carte de partialité en action: les deux sont protection de la vie privée, mais l'une est campagne et l'autre conseille, et ils ne disent pas la même chose. La connexion IA est le substrat. Les métadonnées conservées en masse sont précisément l'analyse de l'ensemble de données qui passe du stockage à la surveillance, de sorte qu'un projet de loi qui ne mentionne jamais l'IA fixe toujours la limite extérieure de ce que la surveillance des IA au Canada sera autorisée à voir.

---

Les compagnons IA — la surveillance à laquelle vous vous confiez

La plupart de ce chapitre a été sur les données collectées à propos vous, souvent sans votre participation active. Les compagnons de l'IA inversent ça. Ils sont construits pour vous avoir volontaires vos pensées les plus intimes, et pour vous garder revenir pour le faire.

Ce qu'ils sont: compagnon IA et "IA ami" applications (Replika, Character.IA, et un champ en croissance rapide) présentent une personne chatbot (un ami, un partenaire, un confident, parfois un thérapeute stand-in) qui converse naturellement, se souvient de ce que vous lui avez dit, et est disponible à 3 heures du matin. quand personne d'autre ne l'est. Ils sont associés à la «thérapie » de l'IA et aux chatbots en santé mentale commercialisés pour un soutien émotionnel. Pour certaines personnes seules ou isolées, le réconfort est réel, et ce guide ne rejette pas cela.

Mais regardez la relation de données, parce que c'est différent de rien dans ce chapitre. Une personne qui parle à un compagnon d'IA communique la solitude, la sexualité, les détails de relation, les luttes en santé mentale et les moments de crise, les catégories les plus sensibles de renseignements personnels qu'il y a, à un produit commercial dont le modèle d'affaires dépend habituellement de maximiser l'engagement. L'intimité est le mécanisme d'extraction. Chaque divulgation est une donnée; le système est optimisé pour en obtenir plus; et ce qui arrive à ces données (comment elles sont stockées, qui peut y accéder, si elle forme le modèle suivant du chapitre 3, ce qu'une violation révélerait) est régi au Canada par le même cadre vieillissant de la LPRPDE que l'article quatre a montré est déjà en retard sur des renseignements beaucoup moins sensibles.

🧌 GOBLIN CHECK — Une application gratuite qui veut être votre ami le plus proche n'est pas un organisme de bienfaisance; c'est une entreprise, et vos secrets sont l'inventaire. Avant de vous en confier une, le gobelin pose les questions non sentimentales : est-il optimisé pour vous aider ou pour vous garder ici ? Où va tout ce que tu lui dis ? Et si vous disiez que vous étiez en crise à 3 heures du matin, est-ce que quelqu'un — qui que ce soit — est responsable de ce qu'il dit?

Ensuite, il y a le mal qui n'est pas du tout sur les données: la dépendance et la manipulation, et il tombe le plus dur sur les jeunes. Un système conçu pour être le plus engageant, agréable, et toujours disponible est, pour un adolescent ou une personne isolée ou en difficulté, conçu pour avoir du mal à partir. Les enjeux ont cessé d'être hypothétiques avec Voir l'arrêt Garcia c. caractère.IA , un procès pour mort injustifiée déposé en 2024 après qu'un enfant de 14 ans est mort par suicide suite à un attachement intense à un robot compagnon ; Google et Character.IA a accepté de le régler en janvier 2026, et Character.IA interdit depuis aux utilisateurs de moins de 18 ans de discuter à bout ouvert. Les méfaits profonds du chapitre 13 sont les choses faites à l'image d'une personne; c'est un mal qui fonctionne à travers une relation que la personne valorise, ce qui rend à la fois plus difficile à voir et plus difficile de réglementer.

Le tableau de la réglementation canadienne est presque vide. Aucune loi canadienne ne régit spécifiquement les compagnons de l'IA : pas leurs pratiques en matière de données au-delà de la LPRPDE générale, pas les allégations de commercialisation (une application peut impliquer un avantage thérapeutique sans respecter aucune norme clinique), pas une conception adaptée à l'âge, pas une obligation de soins en cas de crise. Le projet de loi C-16 (Chapitre 13) atteint des rapaces sexuels, et non des robots compagnons. La Loi 25 du Québec donne aux utilisateurs du Québec des droits de données plus élevés que ceux des autres Canadiens, mais elle n'a pas été écrite dans cette optique. Ainsi, la catégorie de produits d'IA la plus intime, celle des personnes qui versent leur vie intérieure, est parmi les moins spécifiquement réglementées.

La synthèse : les compagnons de l'IA sont un réel réconfort pour certaines personnes et un risque réel pour d'autres; le risque se concentre sur les jeunes et les vulnérables; et le Canada réglemente actuellement la catégorie presque par accident, grâce à une loi sur la protection de la vie privée qui n'a pas été conçue pour elle et à un régime de sécurité des jeunes (C-16) qui pointe ailleurs. La question portable, quand une application offre d'être votre ami ou votre thérapeute: Pour quoi est-il optimisé, qu'arrive-t-il à tout ce que vous lui dites et qui est responsable s'il dit à une personne en crise la mauvaise chose?

---

L'écart réglementaire après l'AIDA

La Loi sur l'intelligence artificielle et les données (LAI) a été présentée en 2022 à titre de partie 3 du projet de loi C-27, la tentative du gouvernement Trudeau d'élaborer un ensemble complet de règlements sur la protection des renseignements personnels et l'IA. L'AIDA aurait fourni :

Un cadre fédéral pour les systèmes d'IA classés par niveau de risque
Exigences obligatoires pour les systèmes d'IA à « grand impact », y compris les évaluations d'impact algorithmique, les mesures de transparence et la surveillance humaine
Nouvelles infractions et peines pour les dommages graves causés par les systèmes d'IA
Un organisme de réglementation (le commissaire à l'intelligence artificielle et aux données proposé) avec autorité d'exécution
Exigences applicables aux fournisseurs d'IA opérant au Canada

Au cours de son examen parlementaire, l'AIDA a fait l'objet de critiques importantes de multiples façons. Les représentants de l'industrie ont critiqué l'ampleur des définitions et le fardeau réglementaire. Les voix de la société civile ont critiqué les consultations limitées, l'absence de perspectives autochtones en matière de développement et les lacunes dans la protection des communautés marginalisées. Des voix académiques ont critiqué l'incompatibilité avec la loi sur l'IA de l'Union européenne et le modèle d'application sous-financé. Presque tout le monde a critiqué l'AIDA pour différentes raisons, et le résultat a été que le projet de loi est mort lorsque le Parlement a été prorogé en janvier 2025, laissant le Canada sans règlement fédéral complet sur l'IA.

Le ministre Solomon a déclaré publiquement que IA pour tous n'inclura pas la relance de l'AIDA. Certains éléments pourraient figurer dans la législation future, mais aucun cadre spécifique n'a été annoncé. La situation réglementaire fédérale en matière d'IA au milieu des années 2026 :

Registre de l'IA du Conseil du Trésor — s'applique à l'utilisation des IA dans la fonction publique fédérale, avec les limites de portée indiquées à la section 2.
LPRPDÉ — Loi fédérale sur la protection des renseignements personnels du secteur privé, rédigée en 2000, avec les interprétations du CPVP s'appliquant à l'IA, mais aucune disposition spécifique à l 'IA.
Projet de loi C-16 (Loi sur la protection des victimes) — introduit en décembre 2025 et promulgué le 18 juin 2026, la plupart des dispositions entrant en vigueur le 18 juillet 2026; traite spécifiquement des rapaces sexuels (voir chapitre 13), et non de la protection de la vie privée ou de la surveillance de l'IA.
Réglementation sectorielle — Ontario Loi sur le travail pour les travailleurs (divulgation d'un examen préalable par l'IA), règlements provinciaux individuels sur des sujets particuliers.
Lois provinciales sur la protection de la vie privée — Loi du Québec 25 (la plus complète), lois du secteur privé de la Colombie-Britannique/Alberta/Manitoba.
Recours en common law — contestations constitutionnelles de la Charte, réclamations délictuelles, poursuites en matière de droit d'auteur, toutes procédures au cas par cas.

Il s'agit de l'un des environnements réglementaires les plus fragmentés d'une grande juridiction de l 'OCDE, avec seulement le patchwork états-unien offrant une concurrence sérieuse pour le titre. L'Union européenne a la loi sur l'IA (en vigueur en août 2024, avec mise en œuvre progressive). Le Royaume-Uni dispose d'un cadre favorable à l'innovation avec des régulateurs sectoriels. Les États-Unis ont un patchwork de lois d'État (Californie, Colorado, autres) et des décrets fédéraux. La Chine dispose d'une réglementation complète de l'IA par l'intermédiaire de plusieurs agences. L'Australie, Singapour, le Japon et la Corée du Sud ont toutes des stratégies nationales d'IA comportant des éléments réglementaires.

L'absence de réglementation au Canada est le résultat d'une voie politique précise, et non d'un accident : l'échec de l'AIDA, les choix politiques et économiques sur les priorités législatives à poursuivre, le calcul que la stratégie d'investissement de IA pour tous pourrait être avancée sans obliger le gouvernement fédéral à adopter un régime réglementaire. L'absence est aussi la condition structurelle à laquelle le reste du chapitre répond. Surveillance en milieu de travail, déploiement biométrique, extraction inferentielle, IA tierce dans les services contractuels : tous ces processus au Canada comportent des protections réglementaires beaucoup plus faibles que les pays pairs.

Une note sur ce que le Canada fait a que d'autres pays n'ont pas toujours. Le Commissariat à la protection de la vie privée, malgré les lois datées qu'il applique, a été un organisme de réglementation relativement affirmé et respecté. Les commissaires provinciaux à la protection de la vie privée, particulièrement au Québec, en Colombie-Britannique et en Ontario, ont accompli un travail considérable. Le Bureau du vérificateur général a commencé à examiner l'utilisation fédérale de l'IA. Le pouvoir judiciaire a commencé à recevoir des affaires liées à l'IA. Il s'agit là de ressources institutionnelles réelles, même en l'absence d'une législation fédérale complète sur l'IA. Le Canada a une réponse institutionnelle; l'écart est qu'il n'est pas proportionnel à l'échelle de déploiement.

---

Le test pratique

Le test de travail que le guide demande aux lecteurs de s'appliquer à toute demande de protection de la vie privée ou de surveillance de l'IA, qu'il s'agisse d'une société, d'un gouvernement ou d' une pièce de couverture :

Recouvrement. Quelles données sont collectées ? Explicite, implicite, inferentielle ? Est-ce que le consentement est significatif (c.-à-d. y avait-il une véritable solution de rechange au consentement) ou est-ce qu'il est perfunctory (une case à cocher requise pour accéder à un service)?

Inférence. Quelles sont les inférences tirées des données? Ces conclusions ont-elles été divulguées à la personne? Les inférences sont-elles soumises aux mêmes protections de la vie privée que les données sous-jacentes?

Utilise. Quelles décisions ou actions sont basées sur les données et les inférences ? Les utilisations sont-elles limitées aux fins divulguées au moment de la collecte ou ont-elles été élargies?

La divulgation. Qui a accès aux données, aux inférences et aux décisions ? Un employeur interne, un gouvernement, un entrepreneur, un tiers, une juridiction étrangère?

Contrôle. Le déploiement fait-il l'objet d'une surveillance réglementaire particulière? Y a-t-il une analyse d'impact algorithmique? Un commissaire à la protection de la vie privée l'examine-t-il? Y a-t-il un appel ou un recours sérieux?

Vérification. Les divulgations que l'entité déployante fait au sujet de la vie privée et de l'utilisation peuvent-elles être vérifiées indépendamment ou sont-elles autodéclarées?

Le test est structurellement similaire au test de travail du chapitre 3 (données de formation) et au test d'autonomie du chapitre 9, car la méthodologie sous-jacente est la même : nom de ce qui se passe réellement sur le terrain, nom des lacunes dans la divulgation, nom de l'écart dans la réglementation, et laisser le lecteur décider si les lacunes sont acceptables.

---

Où se trouve le vide de la vie privée

CHAPTER RECAP — vous avez maintenant: - La distinction entre la vie privée (information divulguée sans consentement) et la surveillance (systèmes de surveillance permanente fondés sur la collecte d'informations) a été clarifiée au niveau conceptuel, et la couche d'extraction inferentielle — ce que l'IA peut déduire des données qui n'étaient pas sensibles à elle seule — a été nommée comme le problème de la vie privé structurellement nouveau créé par l'IA. - La couverture du Registre d'IA du Conseil du Trésor fédéral (42 institutions, plus de 400 systèmes divulgués, l'ancrage historique de 1994) et ses limites de portée (sécurité nationale, produits commerciaux à faible risque, IA déployée par l'entrepreneur, IA sous-fédérale toutes exclues). - La surveillance de l'IA sur le lieu de travail a été ancrée dans la soumission du Sénat de mars 2026 de la CUPE, avec les catégories spécifiques de déploiement (suivi des frappes, suivi des communications, suivi du mouvement, reconnaissance des émotions, évaluation du rendement IA) et les demandes juridiques spécifiques de la CCPE nommées en leurs propres termes. - La Loi 25 du Québec, qui constitue la base opérationnelle de ce qu'est une bonne réglementation canadienne sur la protection des renseignements personnels en matière d'IA, couvrant 23 % de la population canadienne, a le droit d'expliquer les décisions automatisées et les pénalités équivalentes au RGPD pour non-conformité. - La couche de reconnaissance biométrique et faciale avec le cas d'IA Clearview comme base de référence canadienne documentée, les interdictions de la Loi sur l'IA de l'UE nommées comme comparateur international, et l'écart réglementaire dans le déploiement canadien de la reconnaissance faciale et de la sensibilisation aux émotions, l'IA a explicitement identifié. - L'écart réglementaire postérieur à l'AIDA est cité comme l'un des environnements réglementaires les plus fragmentés de l'OCDE, les ressources institutionnelles (OPC, commissaires provinciaux et judiciaires) étant créditées dans le fossé plus large. - Les compagnons d'IA et les chatbots de thérapie comme "la surveillance que vous confiez" — divulgation intime en tant que mécanisme d'extraction, plus dépendance et préjudices pour la sécurité des jeunes ( Voir l'arrêt Garcia c. caractère.IA poursuite pour mort injustifiée, réglée en janvier 2026), contre une image réglementaire canadienne presque blanche : la LPRPDÉ en général seulement, aucune donnée spécifique, le marketing, l'âge ou les règles de devoir de garde, et le projet de loi C-16 a indiqué ailleurs. - Le test de travail pour évaluer toute demande de renseignements personnels ou de surveillance concernant l'IA : collecte, inférence, utilisation, divulgation, surveillance, vérification.

Le chapitre suivant (Chapitre 11) traite de la question de la souveraineté personnelle, qui passe par le chapitre 9 et le présent chapitre, et s'inscrit dans le cadre du concours spécifique de PI et de droit d'auteur : les poursuites intentées par les journaux canadiens contre OpenAI, l'Union des écrivains du Canada et les positions d'ACTRA, le désaccord entre Carys Craig et Michael Geist sur les exceptions à l'extraction de texte et de données et l'argument du Traité de Beijing en faveur des droits des artistes interprètes ou exécutants. La couche de souveraineté personnelle que ce chapitre a étudiée au niveau de la protection de la vie privée et de la surveillance a pour effet d'approfondir la PI dans le chapitre 11.

Vous pouvez maintenant lire n'importe quelle demande canadienne de protection de la vie privée ou de surveillance d'IA avec l'équipement pour poser les bonnes questions et reconnaître les lacunes réglementaires comme structurelles plutôt que accessoires. La plupart des revendications actuelles ne répondront pas à la plupart de ces questions. La question de savoir si les échecs doivent être réglés par la politique, par la réglementation sectorielle, par le contentieux, par les négociations collectives ou par un choix individuel est contestée. Que les échecs existent est empirique.

---

Étiquette partiale pour ce chapitre : analyse axée sur la protection de la vie privée et la surveillance du contexte réglementaire canadien des IA, avec une désignation explicite des écarts entre les capacités techniques et la protection réglementaire. Auteur biais : sceptique quant aux cadres « nous respectons les lois applicables » qui éludent les lacunes des lois applicables; sympathiques aux modèles européens et québécois plus larges de réglementation complète de la vie privée et de l'IA; disposés à désigner la surveillance de l'IA en milieu de travail comme une zone de déploiement canadienne d'importance structurelle malgré son absence relative de la définition de la stratégie fédérale en matière d'IA; explicites sur les limites de la divulgation de détails de déploiement provenant principalement de documents de la société civile. L'élaboration par le gouvernement (Conseil du Trésor, déclarations ministérielles) a été considérée comme la principale question des engagements stratégiques et a été étiquetée en conséquence. La documentation de la société civile (CUPE) est considérée comme la principale question des pratiques de déploiement sur les lieux de travail des membres. Les documents réglementaires du Québec sont traités comme des documents primaires sur la loi 25. Les constatations du Commissariat à la protection de la vie privée du Canada (enquête sur l'IA, autres) ont été traitées comme étant les principales au dossier réglementaire canadien documenté.

Sources principales citées ou invoquées dans le présent chapitre : Secrétariat du Conseil du Trésor du Canada, Registre d'IA et Stratégie d'IA pour la fonction publique fédérale (28 novembre 2025); Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDÉ), Canada fédéral; Loi visant à moderniser les dispositions législatives en matière de protection des données personnelles (Loi 25) au Québec; Mémoire du Sénat du CUPE (2026); Commissariat à la protection de la vie privée du Canada; conclusions conjointes sur Clearview IA (2021); Documents d'orientation du Commissariat à l'information du Canada concernant l'IA; Commissariat de la protection la vie privé du Canada 2024-25; recherche d'opinion sur la vie personnelle et enquête commerciale 2025-26; Ontario Working for Workers Act (entrée en vigueur le 1er janvier 2026); Loi sur l'amélioration de la sécurité et de la confiance numériques de l'Ontario et propositions de modernisation de mars 2026; Directive ontarienne relative à la gestion responsable des renseignements; Projet de loi 51 du Manitoba; Loi de la Nouvelle-Écosse sur la divulgation internationale d'informations personnelles (PIIDPA); Loi canadienne sur la liberté d'information et la protection d'une personne (LIFPVP); article 33.1 de la Loi sur les renseignements personnels (LPRT); Loi de protéger les victimes de la police de la justice (version 2022); Loi des renseignements sur la Loi de décembre 1996; Citations détaillées dans l'annexe Sources.

---