En français

Analyses

Des réflexions de praticien sur la protection des renseignements personnels, la sécurité et la gouvernance responsable de l'IA, ancrées dans la réalité canadienne. Traductions professionnelles des articles « Insights ».

Par Mohammad Movahedi · Mississauga, Ontario, Canada
Aussi disponible en anglais

88 articles, du plus récent au plus ancien.

Privacy
Interdire d'abord, exempter ensuite : ce que trois jours de débat à la Chambre révèlent sur le projet de loi C-34
Trois jours de débat à la Chambre ont donné à l'interdiction des comptes de médias sociaux aux moins de 16 ans du projet de loi C-34 une nouvelle étiquette, le « modèle d'exemption méritée », sans changer la mécanique : une interdiction qui commence avant l'existence du régulateur, sans critères d'exemption, et une vérification de l'âge pour des millions de Canadiens. Ce que le débat signifie pour les équipes de protection de la vie privée avant l'ouverture des audiences en comité le 16 novembre.
6 novembre 20265 min de lecture
Privacy
Public ne veut pas dire libre : les cinq constats de l'OSSNR sur la collecte de renseignements de source ouverte par les militaires
Le 29 octobre 2026, l'OSSNR a publié son examen de la collecte de renseignements de source ouverte du MDN et des Forces armées canadiennes sur internet : la collecte est légale, mais l'encadrement ne l'est pas. Quinze fournisseurs de données sur des personnes n'ont pas été évalués, les évaluations des risques sont périmées, et la collecte n'était pas liée à des opérations approuvées. Ce que les cinq constats signifient pour toute équipe qui fait du RSO.
5 novembre 20265 min de lecture
Privacy
Le commissaire veut que le Sénat réécrive l'ordonnance sur les renseignements d'abonné du projet de loi C-22. Trois changements, un seul calendrier.
Le 2 novembre 2026, le commissaire à la protection de la vie privée Philippe Dufresne a demandé au comité sénatorial de la sécurité nationale de restreindre la nouvelle ordonnance de communication de renseignements sur l'abonné du projet de loi C-22 : resserrer la définition, limiter les personnes visées, ou du moins exclure les dossiers médicaux et les renseignements protégés par un privilège. Ce que ces trois demandes changent pour vos dossiers de fournisseurs et de traitement des demandes.
4 novembre 20265 min de lecture
AI Governance
ChatGPT va désormais clore ses propres conversations : le rapport sur la sécurité communautaire d'OpenAI est un nouveau document à surveiller
Dans une annonce publiée le 30 octobre, OpenAI s'engage à publier tous les six mois un rapport sur la sécurité communautaire à compter du début 2027 et resserre la protection des adolescents : aucune information pratique sur les armes ou les systèmes de sécurité pour les comptes de moins de 18 ans, même sans intention violente, et un modèle capable de mettre fin à une conversation qui montre une fixation sur la violence. Ce que ce nouvel artefact de transparence change pour vos dossiers de fournisseurs d'IA.
3 novembre 20265 min de lecture
AI Governance
Signé à Montréal : ce que le premier accord de commerce numérique du Canada change vraiment
Le 30 octobre 2026, le Canada a conclu avec l'UE son premier accord de commerce numérique à Montréal, avec un engagement d'accès réciproque aux marchés de l'infonuagique et de l'IA et l'étude d'un câble de données transatlantique. Voici ce que le traité règle, ce qu'il laisse ouvert et les questions qu'il remet sur votre bureau.
2 novembre 20265 min de lecture
Privacy
Toutes les méthodes mènent à la pièce d'identité : ce que le rapport d'Ofcom annonce pour le projet de loi C-34
Selon l'évaluation rapide d'Ofcom, quatre méthodes permettent de vérifier qu'une personne a 16 ans, et toutes s'appuient sur une pièce d'identité. Le Royaume-Uni a fait l'évaluation technique avant de légiférer. Le projet de loi C-34, lui, prévoit appliquer l'interdiction d'abord et régler le comment ensuite.
1 novembre 20265 min de lecture
Security
Votre MFA a déjà dit oui : ce que l'alerte AL26-028 du Centre canadien pour la cybersécurité change
Le 28 octobre 2026, le Centre canadien pour la cybersécurité a publié l'alerte AL26-028 sur une campagne d'hameçonnage vocal qui contourne l'AMF classique dans des cabinets d'avocats canadiens. Comment fonctionne le relais, pourquoi votre MFA l'a approuvé et le dossier d'atteinte que vous devez maintenant ouvrir.
31 octobre 20265 min de lecture
AI Governance
Quatorze organismes de réglementation, une résolution : six critères pour tous les fournisseurs d'IA en santé au Canada
Le 29 octobre 2026, les commissaires à la protection de la vie privée fédéral, provinciaux et territoriaux du Canada ont publié une résolution conjointe sur l'utilisation responsable de l'IA dans les soins de santé et la recherche en santé. Six principes fondamentaux, des attentes précises pour les fournisseurs, les établissements et les chercheurs, et une clause contractuelle qui manque probablement à vos dossiers fournisseurs.
30 octobre 20265 min de lecture
AI Governance
OpenAI veut faire annuler l'ordonnance de production du commissaire à la vie privée. Le test contesté est un test que vous devriez appliquer.
Le 26 octobre 2026, OpenAI a demandé à la Cour suprême de la Colombie-Britannique d'annuler une ordonnance de production du commissaire à l'information et à la protection de la vie privée de la province, émise en septembre dans le cadre d'une enquête ouverte en juin 2026 sur l'utilisation par ChatGPT des renseignements personnels liés au tireur de Tumbler Ridge. Ce que ce bras de fer signifie pour la gouvernance de vos fournisseurs d'IA.
29 octobre 20265 min de lecture
Privacy
Le Commissaire a trouvé sa cible : le CPVP enquête sur Navigate360
Le 27 octobre 2026, le Commissaire à la protection de la vie privée a ouvert une enquête sur Navigate360, l'entreprise commerciale derrière la plateforme de signalement de Crime Stoppers, après une atteinte qui a exposé plus de 1,5 million de signalements canadiens. L'enquête règle la question de compétence qui planait sur le dossier et met les mesures de sécurité du fournisseur à l'épreuve.
28 octobre 20265 min de lecture
Privacy
Loblaw a signé la lettre. Son enquête n'est pas close.
Le 26 octobre 2026, le Commissaire à la protection de la vie privée a annoncé que Loblaw a signé une lettre de conformité à la suite de la cyberattaque de février qui a touché environ deux millions de Canadiens. Contrairement à WestJet deux semaines plus tôt, le dossier de Loblaw reste ouvert jusqu'à ce que le Commissaire soit satisfait. Ce que cette différence change pour la réponse aux atteintes.
27 octobre 20265 min de lecture
AI Governance
Le test de transparence de l'IA du Commissariat : disponible ne suffit pas, compréhensible est la norme
Le 23 octobre 2026, le Commissaire à la protection de la vie privée a publié sa réponse à la consultation d'ISDE sur la transparence de l'IA. Son test central est simple : l'information sur un système d'IA doit être compréhensible et arriver au moment de la décision, et pas seulement exister quelque part. Ce que cela change pour les équipes de protection de la vie privée.
26 octobre 20265 min de lecture
Privacy
Ottawa a choisi le mauvais interdit : le comité visait les pubs, le projet de loi vise les comptes
Le Comité du patrimoine a étudié pendant un an les effets des médias sociaux sur les enfants et a recommandé d'interdire les publicités ciblées aux mineurs. La réponse du gouvernement cette semaine refuse cet interdit et maintient plutôt l'interdit des comptes pour les moins de 16 ans. Ce que ce revirement change pour les équipes de protection de la vie privée.
25 octobre 20265 min de lecture
Privacy
Vos clés ne se réveillent qu'en Allemagne : à l'intérieur du gestionnaire GeoKey post-quantique de Cloudflare
Le nouveau gestionnaire GeoKey PQ de Cloudflare enveloppe les clés de déchiffrement des clients pour qu'elles ne puissent être déballées qu'à l'intérieur d'une zone géographique choisie, et les enveloppe avec une cryptographie post-quantique hybride pour qu'un adversaire qui récolte aujourd'hui et déchiffre plus tard n'y gagne rien. Voici comment le mécanisme fonctionne, où il échoue de façon sécuritaire, et ce que les équipes canadiennes de protection des renseignements personnels devraient demander avant de faire confiance à une promesse de région.
24 octobre 202611 min de lecture
Privacy
L'anonymat a été piraté : 1,5 million de dénonciations « anonymes », en clair
L'enquête de CBC sur la fuite de données de Crime Stoppers révèle 1,5 million de dénonciations canadiennes sur 25 ans exposées via la plateforme P3 du fournisseur américain Navigate360, dont des noms en clair et des données personnelles. Le fournisseur a changé de version pendant des mois, et une note interne demandait aux sections de ne pas appeler le commissaire à la protection de la vie privée. Ce que ce dossier enseigne sur la diligence raisonnable envers les fournisseurs quand l'anonymat est le produit.
23 octobre 20265 min de lecture
Privacy
La déclaration relative à la Charte est arrivée. Elle plaide contre son propre projet de loi.
Justice Canada a déposé le 19 octobre 2026 la déclaration relative à la Charte pour l'interdiction des comptes de médias sociaux aux moins de 16 ans du projet de loi C-34. La preuve à l'appui de l'interdiction tient en une phrase sans fondement, le dossier de la vérification de l'âge en matière de vie privée tient au mot « perçu », et les garanties qui rendraient l'interdiction conforme arrivent après l'interdiction elle-même. Ce que les équipes de protection de la vie privée doivent surveiller.
22 octobre 20265 min de lecture
Privacy
Le premier code canadien pour les enfants est en vigueur. Cinq règles, et votre produit est visé
Le 20 octobre 2026, Philippe Dufresne a lancé le premier Code sur la protection des renseignements personnels des enfants au Canada : consentement valable avec consentement parental pour les moins de 13 ans, communication adaptée à l'âge, suppression sur demande, aucune profilisation marketing des enfants, et confidentialité par défaut. Voici ce que les équipes produit et vie privée doivent vérifier.
21 octobre 20265 min de lecture
Privacy
Les caméras, pas les témoins : ce que 10 mesures d'application révèlent sur les priorités des régulateurs
Analyse de données de 10 mesures d'application publiées par la CAI et le Commissariat à la protection de la vie privée : aucune amende, aucune bannière de témoins, et un motif clair. Les régulateurs visent les caméras, les visages, les données d'entraînement de l'IA et les vieilles données qui auraient dû être détruites.
20 octobre 20265 min de lecture
Privacy
Du discours au béton : la vague de souveraineté du Canada est devenue votre problème de fournisseurs
Michael Geist publie aujourd'hui sa conférence sur la souveraineté numérique, pendant que le campus souverain d'IA de Bell à 50 milliards de dollars et le cadre de propriété de la Saskatchewan transforment le débat en béton coulé. Voici ce que cette vague signifie pour vos dossiers de fournisseurs, votre carte de résidence des données et vos questions d'accès gouvernemental.
19 octobre 20265 min de lecture
AI Governance
Chaque dossier de protection de la vie privée est devenu un dossier d'IA. Quatre signaux en une semaine.
Entre le 8 et le 14 octobre, quatre dossiers canadiens ont imposé des obligations liées à l'IA aux équipes de protection de la vie privée : les lignes directrices du Commissariat sur les empreintes vocales, les obligations de la C-34 sur les systèmes de recommandation, le mémoire de Terre-Neuve nommant l'IA, et les règles de la C-36 sur la prise de décision automatisée. La gouvernance de l'IA, autrefois discipline à part, se fond dans le droit de la vie privée.
18 octobre 20265 min de lecture
Security
La contrefaçon venue de demain : signer sa chaîne logicielle avec ML-DSA
AWS a publié une série en deux volets sur la signature post-quantique de la chaîne logicielle : clés ML-DSA dans KMS, hiérarchie de certificats ML-DSA dans Private CA, identité de charge de travail via IAM Roles Anywhere, SBOM liées par des déclarations in-toto, et la moitié que la plupart des équipes sautent : transformer la politique d'algorithmes en SCP et en contrôles IAM grâce à la clé de condition kms:KeySpec. Comment la menace fonctionne, comment le pipeline se construit, et l'unique clé de condition qui rend la politique réelle.
17 octobre 202611 min de lecture
Privacy
La commissaire de Terre-Neuve a déposé sa liste de correctifs. Privilège, partis politiques et IA en tête.
Le 14 octobre 2026, la commissaire à l'information et à la protection de la vie privée de Terre-Neuve-et-Labrador a publié son mémoire dans le cadre de l'examen quinquennal de l'ATIPPA de 2015, la loi qu'elle qualifie de régime d'accès le plus solide au Canada. Ses quatre demandes, sur le privilège, les données des partis politiques, l'IA et les pouvoirs de surveillance, annoncent la direction que prendra chaque province.
16 octobre 20265 min de lecture
Privacy
Le dossier WestJet est clos. C'est la lettre qui a fait le travail, pas une amende
Le 14 octobre 2026, le Commissariat à la protection de la vie privée a clos son enquête sur l'atteinte de WestJet après que la compagnie eut respecté tous les engagements de sa lettre de conformité de juillet. Ce dossier est le modèle public le plus clair de la façon dont le commissaire règle une atteinte majeure dans le secteur privé, et la cause profonde, une ingénierie sociale ayant contourné l'authentification multifacteur sur un compte administrateur, est la partie que les équipes de protection de la vie privée devraient étudier.
15 octobre 20265 min de lecture
Privacy
Le projet de loi C-22 demande au Sénat de signer une page blanche, et c'est le ministre qui tient le crayon
Le débat au Sénat de la semaine dernière a révélé la caractéristique la plus étrange du projet de loi C-22 : les pouvoirs policiers entrent en vigueur 180 jours après la sanction royale, tandis que les obligations de capacité et de conservation des métadonnées de la LSIAR attendent des règlements pendant des années. Pendant ce temps, l'article 7 permet au ministre d'imposer les mêmes obligations à tout fournisseur par décret secret avant même que les règles publiques existent.
14 octobre 20265 min de lecture
Privacy
Des médecins au Parlement : réglementez l'algorithme de recommandation, pas seulement la publication
Une nouvelle analyse du CMAJ par des chercheurs de SickKids appuie le projet de loi C-34, la Loi sur la sécurité des médias sociaux, et prescrit des obligations axées sur la conception : réglementer les systèmes de recommandation et les paramètres par défaut, et doter la nouvelle Commission de réels pouvoirs d'exécution. Le hic pour la vie privée, c'est la vérification de l'âge pour chaque utilisateur, et les équipes de protection des renseignements personnels devraient lire cette partie attentivement.
13 octobre 20265 min de lecture
Privacy
Le maire qui ne cessait de divulguer des dossiers du personnel doit désormais obtenir une autorisation écrite avant tout partage
Le commissaire à la protection de la vie privée de la Colombie-Britannique a conclu que le maire de Kamloops, Reid Hamer-Jackson, avait divulgué les renseignements personnels de quatre personnes en violation de la FIPPA et lui a ordonné d'obtenir une autorisation écrite avant tout partage de renseignements personnels du personnel. Ce que cette ordonnance apprend aux équipes municipales de protection des renseignements personnels.
12 octobre 20265 min de lecture
Privacy
Quatre mois plus tard, le projet de loi C-34 n'a toujours pas de déclaration relative à la Charte. Ce silence en dit long.
Quatre mois après la première lecture du projet de loi C-34, Justice Canada n'a toujours pas déposé la déclaration relative à la Charte qu'exige la Loi sur le ministère de la Justice pour chaque projet de loi gouvernemental, alors que des projets de loi déposés après, comme le C-36, ont la leur. Ce que ce document manquant révèle sur le risque constitutionnel de l'interdiction des réseaux sociaux pour les moins de 16 ans, et ce que les équipes de protection des renseignements personnels devraient suivre de près.
11 octobre 20265 min de lecture
AI Governance
Le filigrane qui s'efface : à l'intérieur de textGrain d'OpenAI
La réponse d'OpenAI à la règle européenne sur la provenance des textes est textGrain, un filigrane statistique invisible dont les modes de défaillance sont publiés : 10 % de synonymes remplacés font passer la détection de 92 % à 66 %, 25 % la font tomber à 17 %. Comment fonctionne le mécanisme, ce que les chiffres disent vraiment, et les devoirs de conformité pour les équipes qui servent des utilisateurs européens.
10 octobre 202611 min de lecture
Privacy
Le Commissariat vient de nommer votre empreinte vocale pour ce qu'elle est : une donnée biométrique sensible. Vérifiez vos scripts d'appels.
Le 8 octobre, le Commissariat a mis à jour ses lignes directrices sur l'enregistrement des appels clients : les empreintes vocales sont désormais traitées comme des données biométriques sensibles, et il précise quand un consentement valable est requis. Le message générique « cet appel peut être enregistré » ne suffit plus. Ce que la mise à jour change pour vos scripts de SVI, vos flux d'inscription et vos contrats de centres d'appels.
9 octobre 20265 min de lecture
Privacy
Le test en quatre volets du Commissaire pour les enquêtes de sécurité (et l'enquête sur les polygraphes qui suit son cours)
Le 7 octobre, le commissaire à la protection de la vie privée Philippe Dufresne a déclaré au Parlement que les enquêtes de sécurité fédérales doivent répondre à quatre critères : nécessité, proportionnalité, efficacité et intrusion minimale. Il a ciblé les vérifications en sources ouvertes, les polygraphes et le maintien des cotes de sécurité. Si vous menez des vérifications d'antécédents, son test devient votre repère.
8 octobre 20265 min de lecture
Security
Enfin sur un site de fuite : ce que l'inscription de l'hôpital de Nipigon signifie pour les petits hôpitaux
Trois semaines après que l'hôpital Nipigon District Memorial a divulgué un incident de rançongiciel, un groupe identifié comme Storm l'a ajouté à son site de fuite. Pour les dépositaires de la santé en Ontario, la phase de publication est celle où la double extorsion coûte cher. Ce que la loi exige, et un plan de match pour les 72 premières heures.
7 octobre 20265 min de lecture
Privacy
Le verrou de 15 ans de la Nouvelle-Écosse : de bons chiffres, plus de secret
La nouvelle loi sur l'accès à l'information de la Nouvelle-Écosse entre en vigueur le 1er avril 2027 et rend obligatoire le refus d'accès à tous les documents du Conseil exécutif pendant 15 ans. Le commissaire affirme que rien ne justifiait ce changement. Ce que ces mécanismes signifient pour votre gestion des dossiers.
6 octobre 20265 min de lecture
Privacy
L'UE a classé les infonuages souverains par niveaux. Le virage européen du Canada en fait votre problème de fournisseurs.
La proposition de loi européenne sur le développement de l'infonuagique et de l'IA classerait les fournisseurs selon quatre niveaux d'assurance de souveraineté, et une fuite de la déclaration du sommet UE-Canada des 29 et 30 octobre laisse entrevoir un statut de pays associé pour le Canada. Ce que ces conditions changent pour votre diligence fournisseurs, votre résidence des données et l'adéquation canadienne.
5 octobre 20265 min de lecture
AI Governance
Votre fournisseur d'IA a des fournisseurs
J'ai cartographié les listes de sous-traitants de 87 entreprises technos, sur deux niveaux : 1 498 nœuds, 2 518 liens. Trois hyperinfonuagiques portent tout, les labos d'IA arrivent un étage plus bas, et 58 entreprises ne publient aucune liste utilisable.
5 octobre 2026
Security
L'avis de violation de la police de Kingston est honnête sur ses limites. Le vôtre devrait l'être aussi.
Le 2 octobre 2026, la police de Kingston a publié son avis final sur une violation de 160 Go découverte en janvier 2025. Le délai de 21 mois, le jeu de données légales corrompu et les limites de la surveillance du web clandestin offrent aux équipes de protection des renseignements personnels un exercice de réponse aux incidents à faire dès maintenant.
4 octobre 20265 min de lecture
AI Governance
Concevez en prévision du déraillement : ce que le manuel de sécurité des agents de Perplexity réussit
Le nouveau billet d'ingénierie de Perplexity décrit des incidents réels où des agents d'IA serviables ont franchi seuls des limites de sécurité, puis énonce trois règles de conception de défense en profondeur pour bâtir des agents qui échouent sans danger. Voici ce que ces règles exigent en pratique, et les questions que les équipes canadiennes de protection des renseignements personnels et de sécurité devraient poser à tout fournisseur qui leur vend un agent.
3 octobre 202611 min de lecture
Security
Mois de la cybersécurité 2026 : l'IA a rendu les arnaques plus futées, les défenses restent les classiques
Le Mois de la sensibilisation à la cybersécurité 2026 a commencé le 1er octobre sous le thème « Votre meilleure défense, c'est vous », avec un angle IA assumé. Voici comment les équipes de protection des renseignements personnels et de sécurité peuvent transformer les quatre thèmes hebdomadaires en vrai programme interne plutôt qu'en campagne d'affichage.
2 octobre 20265 min de lecture
AI Governance
Un agent d'IA a tenté de pirater Bibliothèque et Archives Canada. Votre modèle de menace vient d'accueillir un nouvel acteur.
La firme de recherche en IA Transluce a découvert des agents d'IA autonomes sondant Bibliothèque et Archives Canada avec des charges d'injection SQL ce printemps. Les sondes ont échoué, mais l'incident offre aux équipes de protection des renseignements personnels et de sécurité un nouvel acteur de menace : la machine qui agit à vitesse machine et ne répond à aucune entrevue.
1 octobre 20265 min de lecture
Privacy
Personne ne croit au compromis du projet de loi C-22 sur le chiffrement. Les équipes de protection des renseignements personnels devraient se préparer aux deux scénarios.
Le projet de loi C-22 se dirige vers le Sénat cet automne avec un compromis sur le chiffrement que les forces de l'ordre et les entreprises technologiques rejettent. Ce que les équipes de protection des renseignements personnels devraient faire maintenant : cartographier leurs fournisseurs face à la catégorie incertaine de « fournisseurs de services essentiels » et au mandat de conservation des métadonnées de six mois, avant que la réglementation soit rédigée.
30 septembre 20265 min de lecture
Privacy
Semaine du droit à l'information 2026 : trois paliers de transparence à copier
Le commissaire à la protection de la vie privée de la Colombie-Britannique a profité de la Semaine du droit à l'information 2026 pour réclamer trois paliers de transparence : l'ouverture par défaut, la diffusion proactive et un régime de demandes doté de ressources réelles. Avec les arriérés de demandes volumineuses et le délai de 30 jours de la Loi 25, les équipes de protection des renseignements personnels du secteur privé devraient s'inspirer du modèle.
29 septembre 20265 min de lecture
Privacy
Enfoui dans le projet de loi C-39 : un pouvoir de partage de données qui écarte neuf lois sur la confidentialité
Le projet de loi C-39, déposé le 21 septembre 2026, édicterait la Loi sur le commerce numérique habilitant, première loi fédérale canadienne sur les documents commerciaux électroniques. Son article 26 permettrait aux fonctionnaires fédéraux de partager les renseignements d'importation et d'exportation avec d'autres ministères, sans limitation des fins, sans consentement ni avis, écartant les dispositions de confidentialité de neuf lois. Le projet de loi est en première lecture : la fenêtre d'étude en comité est ouverte.
28 septembre 20265 min de lecture
Privacy
Le chien de garde ontarien ne peut pas faire exécuter ses propres ordonnances. Les équipes de protection des renseignements devraient s'en inquiéter.
Le 25 septembre 2026, CTV News rapportait que la commissaire à l'information et à la protection de la vie privée de l'Ontario constate une hausse du non-respect de ses ordonnances et ne peut pas saisir les tribunaux pour les faire exécuter. Regard sur ce que la LPRPDE (FIPPA) lui donne réellement, comparé à la Colombie-Britannique et au Québec.
27 septembre 20265 min de lecture
AI Governance
Testez votre pipeline RAG comme si un organisme de réglementation vous surveillait
Une mini-évaluation RAG sur des textes réglementaires canadiens : 12 questions, trois métriques Ragas, et un changement de segmentation qui a fait passer la fidélité de 0,95 à 1,00. Ce que la Directive sur la prise de décisions automatisée et la ligne directrice E-23 du BSIF exigent, en pratique.
26 septembre 20266 min de lecture
AI Governance
DraftKings entraîne son IA à repérer ses joueurs perdants. En Ontario, le régulateur veut que ces mêmes données les protègent.
Le 24 septembre 2026, l'EFF a rapporté que DraftKings entraîne des modèles d'apprentissage automatique sur les historiques de paris de ses clients pour repérer les joueurs les plus susceptibles de perdre, puis les cible avec des promotions. En Ontario, où DraftKings est un exploitant enregistré, le régulateur exige que ces mêmes données de surveillance servent à la réduction des méfaits, pas à la réactivation.
25 septembre 20265 min de lecture
AI Governance
La Colombie-Britannique poursuit OpenAI. Voici ce que cela change pour vos dossiers de fournisseurs.
Le 21 septembre 2026, la Colombie-Britannique a poursuivi OpenAI et Sam Altman devant un tribunal fédéral de San Francisco au sujet de la fusillade de l'école de Tumbler Ridge. La province allègue que les conversations ChatGPT signalées de l'assaillante auraient dû être transmises aux forces de l'ordre. La leçon opérationnelle porte sur l'escalade chez les fournisseurs : ce que vos fournisseurs d'IA font des signalements de contenu dangereux est maintenant une question de diligence raisonnable.
24 septembre 20265 min de lecture
AI Governance
La consultation fédérale sur la transparence de l'IA vient de se clôturer. Voici ce qui s'en vient.
La consultation fédérale sur la transparence de l'intelligence artificielle s'est déroulée du 23 juillet au 23 septembre 2026, couvrant cinq domaines, du signalement des incidents aux agents IA. Un mémoire publié par Michael Geist propose une loi sur la transparence de l'IA. Voici ce que ce processus signale pour les équipes canadiennes de protection de la vie privée et de gouvernance de l'IA.
23 septembre 20265 min de lecture
Privacy
Quand le lecteur à la porte devient la faille : le CPVP enquête sur IDScan.net
Le 21 septembre 2026, le commissaire Philippe Dufresne a ouvert une enquête du CPVP sur la fuite d'images de permis de conduire chez IDScan.net. La leçon opérationnelle concerne le risque lié aux fournisseurs : les pièces d'identité de vos clients vivent dans la base de données de quelqu'un d'autre, et c'est vous qui répondez des conséquences.
22 septembre 20265 min de lecture
Privacy
L'Europe vient de publier son guide de vérification de l'âge. Les équipes canadiennes de protection de la vie privée devraient le lire.
Proposée le 17 septembre 2026, la loi européenne sur les enfants ferait de la vérification de l'âge le billet d'entrée des médias sociaux, des jeux et des agents conversationnels d'IA. Pour les équipes canadiennes, c'est un avant-goût de la direction prise par le projet de loi C-34 et de ce que l'effet Bruxelles exigera.
21 septembre 20264 min de lecture
CIPP/CFeatured
Prorogation du projet de loi C-27 et scission législative stratégique
C-27 est mort à la prorogation : la vie privée et l'IA suivent des voies séparées. Bâtissez sur la LPRPDE et la Loi 25 dès maintenant, sans attendre.
13 juillet 20265 min de lecture
SecurityFeatured
Les plateformes de sécurité de l'IA ne sont pas une catégorie de fournisseurs à ignorer
L'IA générative et agentique brise les contrôles SaaS. Les plateformes de sécurité de l'IA unifient découverte de l'IA fantôme, défense et identité.
10 juillet 20267 min de lecture
CIPP/CFeatured
R. c. Bykovets : les adresses IP et l'article 8 de la Charte
R. c. Bykovets (2024 CSC 6) : les adresses IP sont protégées par l'art. 8 de la Charte. Cartographiez collecte, conservation et divulgation aux policiers.
6 juillet 20265 min de lecture
SecurityFeatured
Supervision de l'IA agentique : traitez les agents comme des utilisateurs que vous ne pouvez pas interroger
L'IA agentique exige une identité de niveau utilisateur : moindre privilège, pistes d'audit et interrupteurs d'arrêt pour les agents qui agissent.
3 juillet 20267 min de lecture
CIPP/C
Del Giudice et les limites de l'intrusion dans la vie privée
Del Giudice limite l'intrusion dans la vie privée après un piratage : être victime n'est pas une intrusion intentionnelle. Revoyez vos cartes de risque.
29 juin 20265 min de lecture
Security
La volatilité réglementaire fait de la cyber une affaire de responsabilité personnelle
La cyber est devenue une affaire de responsabilité personnelle : règles multijuridictionnelles, devoirs du conseil et preuves des décisions.
26 juin 20267 min de lecture
CIPP/C
Clearview et la BCCA : l'application extraterritoriale de la protection des renseignements personnels
La BCCA confirme les ordonnances extraterritoriales : moissonner les images de Canadiens crée un lien réel et substantiel.
22 juin 20265 min de lecture
Security
Arrêtez d'apporter des crayons de cire à un combat de bilan
Les conseils financent des chiffres, pas des cartes thermiques. La quantification du cyberrisque transforme les cotes en fourchettes de pertes comparables.
19 juin 20267 min de lecture
CIPP/C
Utilisation interne abusive intentionnelle des données et recours collectifs en vie privée
Après Del Giudice, l'intrusion externe est plus dure, mais l'abus interne et les vérifications de crédit douces nourrissent encore les recours collectifs.
15 juin 20265 min de lecture
Security
CTEM : de la fatigue des analyses à la décision d’exposition
La CTEM remplace les PDF mensuels par des décisions continues d’exposition : cadrer, découvrir, prioriser, valider et mobiliser. Fini les arriérés.
12 juin 20267 min de lecture
CIPP/C
La LPPDC et le projet de loi C-36 : remplacer la LPRPDE pour une nouvelle ère de la vie privée
C-36 / LPPDC pourrait remplacer la LPRPDE : consentement, portabilité, suppression, anonymisation et recours privés comme cibles dès aujourd'hui.
8 juin 20265 min de lecture
Security
La DSPM explose parce que les données ont déjà quitté le périmètre
Le périmètre n’est plus la carte : la DSPM révèle où vivent vraiment les renseignements personnels, du SaaS aux copies en passant par les invites d’IA.
5 juin 20266 min de lecture
CIPP/C
La Loi 25 du Québec en plein régime : portabilité, paramètres par défaut et sanctions réelles
La Loi 25 est pleinement en vigueur : portabilité des données, confidentialité par défaut et sanctions de la CAI jusqu'à 4 % du chiffre d'affaires mondial.
1 juin 20265 min de lecture
Security
Réduire l’écart visibilité-contrôle : quand la DSPM doit faire plus qu’analyser
Découvrir sans contrôler, c’est du bruit de billets. Une DSPM mature impose accès, quarantaine et politique aux données sensibles, pas que des analyses.
29 mai 20266 min de lecture
CIPP/C
Enquêtes conjointes et moissonnage par l'IA générative : public ne veut pas dire permis
Enquêtes conjointes canadiennes : le web public n'égale pas des données gratuites. Provenance, filtrage et contrats avant moissonnage ou affinage d'IA.
25 mai 20264 min de lecture
Security
L'IA fantôme : des données non structurées qui sortent par la porte d'entrée
L'IA fantôme est banale : le personnel colle des brouillons dans des modèles publics. Traitez-la comme de l'exfiltration de données non structurées.
22 mai 20267 min de lecture
CIPP/C
Les services bancaires axés sur le consommateur : API, consentement et fin du grattage d'écran
La Loi sur les services bancaires axés sur le consommateur remplacerait le grattage d'écran par des API consenties et auditables.
18 mai 20265 min de lecture
Security
Les données en cours d'utilisation, l'éternelle enfant du milieu : les TEE comblent l'écart
Chiffrer au repos et en transit laisse les données en clair en mémoire. Les TEE font enfin des données en cours d'utilisation un contrôle de premier ordre.
15 mai 20267 min de lecture
CIPP/C
Recours privé fédéral : quand les atteintes à la vie privée deviennent des recours civils
Le recours privé fédéral décentraliserait l'application de la LPRPDE. Préparez des preuves dignes d'un tribunal, pas seulement des lettres au commissaire.
11 mai 20264 min de lecture
Security
L'infonuagique souveraine n'est pas un menu déroulant de régions, surtout quand les algorithmes s'en mêlent
La résidence des données n'est pas un menu déroulant. L'infonuagique souveraine pour l'IA exige le contrôle des clés, des opérateurs et du traitement.
8 mai 20268 min de lecture
CIPP/C
Le projet de loi C-34 et la Commission de la sécurité numérique : le nouveau super-régulateur du Canada
C-34 créerait la Commission canadienne de la sécurité numérique : audits, ordonnances et SAP fondées sur le revenu.
4 mai 20265 min de lecture
Security
La cryptographie post-quantique n'est pas un projet futur, c'est un problème de remplacement
La récolte-maintenant-déchiffrement-plus-tard fait de la PQC un chantier d'inventaire crypto et de migration : cartographiez RSA/ECC, planifiez l'hybride.
1 mai 20267 min de lecture
CIPP/C
Des obligations de 24 heures pour le MESE et les images intimes non consensuelles : rapidité, processus et hypertrucages
C-34 imposerait des obligations de retrait en 24 heures pour le MESE et les images intimes non consensuelles, hypertrucages inclus.
27 avril 20265 min de lecture
Security
Informatique confidentielle GPU pour l’IA : ce que le matériel change vraiment
Le chiffrement au repos laisse les données d’IA exposées en mémoire GPU. GPU confidentiels et TEE ferment la brèche des données en cours d’utilisation.
24 avril 20266 min de lecture
CIPP/C
Le paradoxe de la vérification de l'âge : prouvez que vous avez 16 ans, puis faites-vous oublier
Le seuil des 16 ans du projet de loi C-34 crée un paradoxe : vérifier l'âge efficacement, puis détruire les données pour ne jamais créer un registre.
20 avril 20265 min de lecture
Security
Confiance vérifiable pour l'IA confidentielle : l'attestation est le contrôle, pas la conférence TED
La souveraineté de l'IA confidentielle sans attestation n'est qu'espoir. Attestation à distance, TEE et clés liées aux politiques la rendent vérifiable.
17 avril 20267 min de lecture
CIPP/C
L'application de la vie privée après C-27 : modèles de commission, pouvoirs d'ordonnance et la fusion sécurité
Après C-27, la réforme pousse toujours ordonnances, SAP et modèles de commission, plus une fusion sécurité qui chevauche les préjudices numériques.
13 avril 20265 min de lecture
Security
La confiance zéro 2.0 exige une couche matérielle : les TEE contre l'infrastructure non fiable
La confiance zéro 1.0 a tué la confiance réseau. La 2.0 ajoute TEE et attestation quand l'hôte et l'admin infonuagique ne sont plus dignes de confiance.
10 avril 20267 min de lecture
CIPP/C
Intégration des données en Ontario (LAIPVP) : quand la gouvernance prédictive se heurte à la friction de la vie privée
UID ontariennes (LAIPVP) : l'analyse liée sous la partie III.1 exige désidentification rigoureuse et garde-fous contre la dérive prédictive.
6 avril 20265 min de lecture
Security
CISA Secure by Design : cessez de faire des clients la dernière ligne de défense
Secure by Design transfère la charge de sécurité aux fournisseurs : réglages sûrs par défaut, sûreté de la mémoire, fin du durcissement héroïque.
3 avril 20267 min de lecture
CIPP/C
Décision 298 sur la LPRPS : les premières SAP en santé de l'Ontario
Décision 298 (LPRPS) : premières SAP santé de l'Ontario pour usage commercial abusif du DSE, mobile économique et programmes faibles en cause.
30 mars 20264 min de lecture
Security
Wi-Fi 7 et WPA3 : pourquoi le 6 GHz a fermé la porte au WPA2
Le 6 GHz du Wi-Fi 7 exige WPA3, sans repli vers WPA2. Planifiez l'authentification Entreprise et la préparation des clients avant la migration forcée.
27 mars 20266 min de lecture
CIPP/C
La motivation économique comme facteur aggravant : 146 recherches et un pipeline commercial
Décision 298 : 146 recherches ciblées, un motif économique aggravant des PAP. L'accès clinique n'est pas un pipeline marketing.
23 mars 20264 min de lecture
Security
GCMP-256 et WPA3-Enterprise : quand « WPA3 » ne suffit pas pour le Wi-Fi 7
« WPA3 » ne suffit pas pour le Wi-Fi 7. GCMP-256 et les vraies suites WPA3-Enterprise comptent quand le haut débit relève la barre cryptographique.
20 mars 20265 min de lecture
CIPP/C
Décision 334 : 436 dossiers, un commis, et pourquoi l'hôpital a été épargné
Décision 334 (PHIPA) : furetage de 436 dossiers, PAP personnelle pour le commis; la réponse du CHEO a pesé. L'accès non autorisé n'exige aucun profit.
16 mars 20265 min de lecture
Security
PMF obligatoire + SAE au lieu du PSK : combler les brèches de désauthentification et de dictionnaire hors ligne
PMF obligatoire contre les désauthentifications usurpées; SAE remplace le PSK contre le dictionnaire hors ligne. Améliorations clés du WPA3 personnel.
13 mars 20266 min de lecture
CIPP/C
L'obligation de rendre compte démontrable : la preuve l'emporte sur les politiques papier
Décision 298 (PHIPA) : l'obligation de rendre compte démontrable est le test : formation, audits et preuves doivent montrer que les politiques marchent.
9 mars 20264 min de lecture
Security
Sécuriser le fonctionnement multi-liens (MLO) : quand un client utilise plusieurs radios à la fois
Le MLO du Wi-Fi 7 permet à un client d'utiliser plusieurs radios à la fois, les équipes de sécurité doivent repenser association, clés et surveillance.
6 mars 20266 min de lecture
CIPP/C
Confidentialité dans les règlements du personnel professionnel : l'agrément est un contrôle
Décision 298 (LPRPS) : les devoirs de confidentialité dans les règlements du personnel professionnel : l'agrément, un contrôle d'accès privilégié au DME.
2 mars 20265 min de lecture
Security
OWE / Enhanced Open : chiffrer le Wi-Fi invité sans mot de passe partagé
OWE / Enhanced Open chiffre le Wi-Fi invité sans mot de passe partagé : l'écoute passive disparaît, mais l'isolement et le portail restent essentiels.
27 février 20266 min de lecture