Pour les agents d'IA et les humains qui les supervisent
Index des actions à conséquences
Douze moments où un agent d'IA manipulant des renseignements personnels peut causer un préjudice juridique réel. Chaque fiche nomme le déclencheur législatif, le dossier d'application ou d'orientation qui l'étaye, ce qu'un agent peut préparer et ce qu'il ne doit jamais faire sans la signature d'un humain. Corpusv2026.12.0, vérifié aux sources primaires le 4 novembre 2026.
Il s'agit d'information générale à des fins de gouvernance et d'exploitation, pas d'un avis juridique. La personne signe chaque étape à conséquences. Les renvois au projet de loi C-36 visent le texte de première lecture; le projet n'est pas une loi.
Guide de lecture
Comment lire une fiche
Chaque renvoi législatif porte un statut. « En vigueur » signifie que la disposition est une loi aujourd'hui. « LPVDAC première lecture » signifie que le numéro d'article du projet de loi C-36 a été vérifié dans le texte de première lecture du 15 juin 2026; le projet est à l'étape de la deuxième lecture et la numérotation peut encore changer en comité. « Vérification en attente » signifie que la citation vient du plan de construction et que la vérification à la source primaire est toujours en cours; à traiter comme non vérifiée jusqu'à confirmation.
Une citation n'a pas survécu à la vérification et a été corrigée avant publication : le plan indiquait l'art. 41 du projet de loi C-36 pour la notification des atteintes, mais l'art. 41 du texte de première lecture porte sur les communications en matière de blanchiment d'argent. La fiche renvoie maintenant aux art. 58 à 61, les véritables dispositions sur la notification des atteintes. Pas de citation, pas de publication.
Les identifiants comme OPC-2023-001 sont des identifiants de dossiers du corpus. Les hôtes qui appellent l'outil MCP doivent transmettre uniquement des identifiants de dossiers et des paramètres législatifs, jamais de noms de clients, d'identifiants de clients, de récits d'incidents ni de renseignements personnels.
Cette page est entièrement rédigée en français. La traduction est un premier jet et la terminologie juridique française est en cours de révision. Cet avis unique couvre les douze fiches; une fiche ne reçoit son propre signalement que si elle est réellement incomplète.
CA-01
Intégration d'un nouveau fournisseur ou sous-traitant qui reçoit des renseignements personnels
Déclencheurs législatifs
LPRPDE, ann. 1, pr. 4.1.3 En vigueur
La responsabilité s'étend aux renseignements personnels confiés à un tiers pour traitement.
Loi 25, art. 18.3 En vigueur
Le mandat écrit conclu avec un fournisseur de services doit décrire les mesures de protection qu'il appliquera.
LPVDAC, art. 11 LPVDAC première lecture
L'organisation qui confie des renseignements personnels à un fournisseur de services doit assurer une protection équivalente, par contrat ou autrement.
BSIF, ligne directrice B-10, principe 8 (art. 2.3.3) En vigueur
Les ententes avec des tiers doivent donner à l'institution un accès en temps utile à de l'information exacte et le droit de réaliser ou de commander un audit indépendant du tiers (B-10, principe 8, art. 2.3.3).
Dossiers d'application et d'orientation
OPC-2023-001, OPC-2019-004
Ce qu'un agent peut préparer
Analyser l'accord de traitement, repérer les clauses manquantes (art. 18.3 de la Loi 25, droits d'audit B-10) et préparer le sceau d'approbation qu'un humain signera.
Ce qu'un agent ne doit jamais faire
- Signer le contrat ou en accepter les conditions
- Créer une clé d'API ou un identifiant d'accès
- Transmettre des renseignements personnels de production vers un point d'accès non approuvé
Territoires : CA-FED, CA-QC, CA-ON, CA-BC, CA-AB, OSFI-FRFI.
CA-02
Transfert transfrontalier de renseignements personnels hors du Québec ou du Canada
Déclencheurs législatifs
Loi 25, art. 17 En vigueur
Une évaluation des facteurs relatifs à la vie privée (ÉFVP) est exigée avant de communiquer des renseignements personnels hors du Québec.
LPVDAC, art. 57 LPVDAC première lecture
Évaluation d'impact sur la vie privée obligatoire avant de communiquer ou de transférer des renseignements personnels hors du Canada, avec mesures d'atténuation.
Dossiers d'application et d'orientation
CAI-EFVP-GUIDE-2023, BILL-C36-S57
Ce qu'un agent peut préparer
Déterminer le territoire destinataire, compiler les données d'équivalence et rédiger les facteurs d'ÉFVP (art. 17) ou d'EIVP (art. 57) pour révision.
Ce qu'un agent ne doit jamais faire
- Acheminer des données vers une nouvelle région étrangère, un nouveau compartiment ou un point d'accès de modèle transfrontalier sans un sceau signé par un humain
Territoires : CA-FED, CA-QC, CA-ON, CA-BC, CA-AB.
CA-03
Décision de notification d'atteinte à la sécurité et d'incident de confidentialité
Déclencheurs législatifs
LPRPDE, art. 10.1 En vigueur
Déclarer au Commissariat et aviser les personnes touchées lorsqu'une atteinte crée un risque réel de préjudice grave.
Loi 25, art. 3.5 à 3.8 En vigueur
Tenir un registre des incidents; aviser la CAI et les personnes concernées en cas de risque sérieux de préjudice.
LPVDAC, art. 58 à 61 LPVDAC première lecture
Déclarer à la Commission et aviser la personne en cas de risque réel de préjudice grave; tenir des registres d'atteintes; le fournisseur de services doit aviser l'organisation responsable.
Dossiers d'application et d'orientation
CAI-INCIDENT-REG, OPC-BREACH-2018
Ce qu'un agent peut préparer
Calculer l'échéancier de l'atteinte, consigner les faits localement et rassembler les facteurs de risque réel de préjudice grave pour une décision humaine.
Ce qu'un agent ne doit jamais faire
- Décider si le seuil de notification est atteint
- Transmettre seul des avis externes aux organismes de réglementation ou aux personnes concernées
Territoires : CA-FED, CA-QC, CA-ON, CA-BC, CA-AB.
CA-04
Prise de décision automatisée et profilage visant une personne
Déclencheurs législatifs
Loi 25, art. 12.1 En vigueur
Sur demande, informer la personne d'une décision automatisée, des renseignements personnels utilisés et des motifs de la décision.
LPVDAC, art. 62(2)c) LPVDAC première lecture
Les politiques doivent décrire de façon générale tout système décisionnel automatisé utilisé pour des prédictions, recommandations ou décisions ayant des effets juridiques ou d'importance comparable.
LPVDAC, art. 63(4) à (6) LPVDAC première lecture
Sur demande, expliquer la prédiction, la recommandation ou la décision; la personne peut présenter des observations écrites à un employé en mesure de la réviser.
BSIF, ligne directrice E-23, pr. 3.4 En vigueur
Attentes en matière de gestion du risque lié aux modèles pour les institutions financières fédérales, dont la validation indépendante du bien-fondé conceptuel et du rendement (E-23, principe 3.4). Ligne directrice finale publiée le 11 septembre 2025; en vigueur le 1er mai 2027.
Ligne directrice de l'AMF sur l'IA 2026-PDG-0016 En vigueur
Ligne directrice sur l'IA pour le secteur financier québécois : décision 2026-PDG-0016 de l'AMF datée du 30 mars 2026, publiée le 2 avril 2026, en vigueur le 1er mai 2027. Identifiant et dates vérifiés au bulletin de l'AMF.
Dossiers d'application et d'orientation
CAI-LOI25-S12.1, BILL-C36-ADS, OSFI-E23-2027, AMF-2026-PDG-0016
Ce qu'un agent peut préparer
Rédiger l'explication en langage clair des paramètres et des données utilisés, et acheminer les contestations à un réviseur humain.
Ce qu'un agent ne doit jamais faire
- Rendre une décision défavorable finale et incontestable
- Rejeter une contestation sans révision humaine
Territoires : CA-FED, CA-QC, CA-ON, CA-BC, CA-AB, OSFI-FRFI, AMF-QC.
CA-05
Activation d'un nouveau traceur, pixel ou flux de conversion côté serveur
Déclencheurs législatifs
Loi 25, art. 8.1 En vigueur
Confidentialité par défaut : toute technologie de localisation, d'identification ou de profilage doit être désactivée jusqu'à son activation par la personne.
Orientations de la CAI sur les interfaces trompeuses En vigueur
Les interfaces de consentement ne doivent pas recourir à des designs trompeurs qui orientent la personne vers l'acceptation.
LPVDAC, art. 18(1)b), (3)b) LPVDAC première lecture
Les exceptions au consentement pour activités d'entreprise et intérêt légitime ne s'appliquent jamais lorsque les renseignements personnels sont recueillis, utilisés ou communiqués pour influencer le comportement ou les décisions de la personne.
Dossiers d'application et d'orientation
OPC-2023-001, CAI-INTERFACES-TRUQUEES, OPC-2019-002
Ce qu'un agent peut préparer
Comparer les scripts du DOM et les manifestes du gestionnaire de balises au registre des traceurs, classifier l'hôte destinataire et préparer le sceau.
Ce qu'un agent ne doit jamais faire
- Publier un conteneur de balises
- Modifier les pondérations ou les choix par défaut de la bannière
- Activer seul un flux côté serveur
Territoires : CA-FED, CA-QC, CA-ON, CA-BC, CA-AB.
CA-06
Retrait, suppression, anonymisation ou désindexation à la suite d'une demande de droits
Déclencheurs législatifs
Loi 25, art. 23 En vigueur
Règles de conservation et de destruction sous la loi québécoise sur le secteur privé.
Loi 25, art. 28.1 En vigueur
Droit d'exiger la cessation de la diffusion de renseignements personnels et la désindexation ou réindexation d'hyperliens.
LPVDAC, art. 52 à 54 LPVDAC première lecture
Conservation limitée au nécessaire; retrait sur demande écrite de la personne lorsque les motifs légaux sont réunis.
LPVDAC, art. 74 LPVDAC première lecture
Mesures que l'organisation doit appliquer lorsqu'elle dépersonnalise des renseignements personnels.
Dossiers d'application et d'orientation
CAI-AVIS-ANONYMISATION, OPC-2024-001
Ce qu'un agent peut préparer
Suivre l'échéancier de réponse, rédiger les lettres de réponse bilingues et compiler la liste de vérification du retrait.
Ce qu'un agent ne doit jamais faire
- Exécuter une suppression irréversible
- Déclarer des données anonymisées sans vérifier les critères d'anonymisation
- Correspondre avec une personne concernée sans supervision
Territoires : CA-FED, CA-QC, CA-ON, CA-BC, CA-AB.
CA-07
Demande d'exportation au titre de la portabilité et de la mobilité des données
Déclencheurs législatifs
Loi 25, art. 27 En vigueur
Droit à la portabilité des renseignements personnels informatisés, en vigueur depuis le 22 septembre 2024.
LPVDAC, art. 72 LPVDAC première lecture
Cadre de mobilité des données : sur demande de la personne, communiquer les renseignements personnels recueillis à une organisation désignée lorsque les deux sont assujetties à un cadre.
Dossiers d'application et d'orientation
CAI-PORTABILITE-2024, BILL-C36-MOBILITY
Ce qu'un agent peut préparer
Mettre en forme les dossiers vérifiés en JSON ou CSV structuré et exclure les renseignements personnels de tiers.
Ce qu'un agent ne doit jamais faire
- Vérifier seul des pièces d'identité
- Diffuser une archive à l'externe sans approbation
Territoires : CA-FED, CA-QC, CA-ON, CA-BC, CA-AB.
CA-08
Utilisation à des fins secondaires, entraînement de modèle d'IA ou profilage inféré
Déclencheurs législatifs
Loi 25, art. 12 En vigueur
Les fins de la collecte de renseignements personnels doivent être déterminées avant ou au moment de la collecte.
LPVDAC, art. 2(1) LPVDAC première lecture
Les renseignements personnels comprennent les renseignements inférés au sujet de la personne.
LPVDAC, art. 12 LPVDAC première lecture
Collecte, utilisation ou communication uniquement à des fins qu'une personne raisonnable jugerait acceptables.
LPVDAC, art. 14(1) LPVDAC première lecture
Aucune utilisation ni communication à des fins autres que celles déterminées et consignées, sauf exception légale.
Dossiers d'application et d'orientation
OPC-2021-002, OPC-2019-002, BILL-C36-S14
Ce qu'un agent peut préparer
Signaler les clauses de conservation des invites et d'entraînement dans les fiches de cadrage et évaluer si la nouvelle fin correspond à la fin initiale.
Ce qu'un agent ne doit jamais faire
- Verser des données de production dans l'entraînement d'un modèle sans consentement exprès
- Réutiliser des dossiers à des fins de profilage comportemental sans consentement exprès
Territoires : CA-FED, CA-QC, CA-ON, CA-BC, CA-AB.
CA-09
Création d'une banque de caractéristiques biométriques ou déploiement de vérification d'identité
Déclencheurs législatifs
Loi 25, art. 44 et 45 En vigueur
Déclarer la banque de caractéristiques biométriques à la CAI au moins 60 jours avant sa mise en service et obtenir un consentement exprès.
Dossiers d'application et d'orientation
CAI-BIOMETRIE-60J
Ce qu'un agent peut préparer
Repérer les éléments biométriques dans les spécifications, calculer l'échéance de dépôt de 60 jours et préparer le projet d'avis.
Ce qu'un agent ne doit jamais faire
- Déployer l'empreinte vocale, la reconnaissance faciale ou la biométrie comportementale avant le dépôt à la CAI et l'obtention du consentement
Territoires : CA-QC.
CA-10
Collecte ou traitement de renseignements personnels de mineurs (moins de 14 ans)
Déclencheurs législatifs
Loi 25, art. 4.1 et 14 En vigueur
Le consentement d'une personne de moins de 14 ans doit être donné par un parent ou un tuteur; des obligations renforcées s'appliquent aux renseignements des enfants.
LPVDAC, art. 2(1) LPVDAC première lecture
Est enfant toute personne de moins de 18 ans; les renseignements personnels d'un enfant sont des renseignements sensibles assortis d'une attente accrue de confidentialité.
Dossiers d'application et d'orientation
CAI-MINEURS-14, OPC-BA-CHILDREN-2011
Ce qu'un agent peut préparer
Détecter les lacunes du contrôle de l'âge et signaler tout contact publicitaire ou conversationnel avec des utilisateurs de moins de 14 ans.
Ce qu'un agent ne doit jamais faire
- Profiler des mineurs
- Cibler des enfants par de la publicité comportementale
- Accepter le consentement personnel d'un mineur de moins de 14 ans au Québec
Territoires : CA-FED, CA-QC, CA-ON, CA-BC, CA-AB.
CA-11
Déploiement en production ou modification importante d'un modèle d'IA/AA réglementé
Déclencheurs législatifs
BSIF, ligne directrice E-23, pr. 2.2, 3.4, 3.5 En vigueur
Attentes en matière de gestion du risque lié aux modèles pour les institutions financières fédérales : cotation du risque (pr. 2.2), validation indépendante (pr. 3.4) et évaluation des risques avant déploiement (pr. 3.5). Numérotation vérifiée au texte final d'E-23 (publié le 11 septembre 2025; en vigueur le 1er mai 2027).
BSIF, ligne directrice B-13, art. 3.1.2 En vigueur
Gestion du risque technologique et cybernétique : les institutions devraient adopter une approche fondée sur le risque pour l'évaluation des menaces et les tests dirigés par le renseignement, y compris les tests d'intrusion et l'équipe rouge, selon des déclencheurs et fréquences qu'elles établissent (B-13, art. 3.1.2). Appliquer cela à la configuration d'applications LLM en production, aux API, aux pipelines de recherche et aux permissions de rôles et d'outils est une interprétation appliquée, pas une exigence de B-13.
Ligne directrice de l'AMF sur l'IA 2026-PDG-0016 En vigueur
Ligne directrice sur l'IA pour le secteur financier québécois : décision 2026-PDG-0016 de l'AMF datée du 30 mars 2026, publiée le 2 avril 2026, en vigueur le 1er mai 2027. Identifiant et dates vérifiés au bulletin de l'AMF.
Dossiers d'application et d'orientation
OSFI-E23-2027, OSFI-B13-S3.1.2, AMF-2026-PDG-0016
Ce qu'un agent peut préparer
Ouvrir une ébauche de dossier de preuves évolutif, déterminer le niveau de risque et surveiller les changements de hachage des gabarits d'invites.
Ce qu'un agent ne doit jamais faire
- Valider seul la solidité conceptuelle (le pr. 3.4 d'E-23 exige une validation indépendante)
- Mettre un modèle en production sans l'approbation d'un humain
Territoires : CA-FED, OSFI-FRFI, AMF-QC.
CA-12
Modification d'une politique de confidentialité publique ou avis sur les pratiques de gouvernance
Déclencheurs législatifs
Loi 25, art. 8 et 8.2 En vigueur
Informer les personnes des fins de la collecte et maintenir les paramètres par défaut au plus haut niveau de confidentialité.
LPVDAC, art. 62 LPVDAC première lecture
Rendre les politiques et pratiques facilement accessibles en langage clair : types de données, utilisations, systèmes décisionnels automatisés, transferts, conservation et exercice des droits.
Dossiers d'application et d'orientation
CAI-POLITIQUE-CONFIDENTIALITE, OPC-2023-001
Ce qu'un agent peut préparer
Comparer le comportement réel, les fiches de cadrage et le registre des témoins au texte publié de la politique, et rédiger l'avis en français et en anglais.
Ce qu'un agent ne doit jamais faire
- Publier des modifications unilatérales
- Élargir silencieusement et rétroactivement les communications de renseignements
Territoires : CA-FED, CA-QC, CA-ON, CA-BC, CA-AB.
Lisible par machine
Utiliser cet index dans du code
Les mêmes douze fiches sont publiées comme fichier JSON statique versionné et comme outil MCP. L'outil est en lecture seule, sans état et idempotent; tout changement incompatible arrive sous un nouveau nom versionné, jamais par modification sur place.
Outil MCP : canadian_privacy_consequential_action_lookup_v1 à POST https://movahedi.ca/mcp. Ressource : movahedi://corpus/v2026.12.0/consequential-actions.
Projet de loi C-36 (Loi visant à protéger la vie privée et les données des consommateurs) : texte de première lecture, 15 juin 2026, 45e législature, 1re session. À l'étape de la deuxième lecture; pas encore une loi. La numérotation des articles peut changer en comité.