Points clés
- Le 29 octobre 2026, les commissaires à la protection de la vie privée fédéral, provinciaux et territoriaux du Canada et les ombudsmans ont publié une résolution conjointe, adoptée le 15 septembre à Ottawa, sur l’utilisation responsable de l’intelligence artificielle dans les soins de santé et la recherche en santé. Quatorze organismes l’ont signée.
- La résolution énonce six principes fondamentaux pour l’IA en santé : protection de la vie privée, validité et fiabilité, sécurité, affirmation des droits de la personne, transparence et responsabilité. Elle confie des tâches précises aux gouvernements, aux fournisseurs, aux établissements de santé et au milieu de la recherche.
- Pour les fournisseurs et les établissements, les points les plus tranchants sont contractuels : interdire à vos sous-traitants de commercialiser les données des patients, nommer une personne-ressource pour les objections liées à l’IA et traiter les outils d’IA apportés par les employés comme de l’IA fantôme jusqu’à leur approbation.
Hier, quatorze chiens de garde canadiens de la vie privée ont parlé d’une seule voix. La résolution conjointe sur l’utilisation responsable de l’IA en santé et en recherche en santé, adoptée à la réunion annuelle du 15 septembre à Ottawa et publiée le 29 octobre, confie des tâches aux gouvernements, aux fournisseurs d’IA, aux établissements de santé et au milieu de la recherche. C’est une résolution, pas une loi. Et c’est précisément là que se trouve votre risque.
Six principes, aucune loi nouvelle
Les six principes : protection de la vie privée, validité et fiabilité, sécurité, affirmation des droits de la personne, transparence et responsabilité. Les organismes demandent aux gouvernements de revoir, de modifier ou d’adopter des lois pour que l’IA en santé respecte les six principes, et d’obliger par la loi toutes les parties qui conçoivent, achètent ou utilisent ces systèmes à mettre en place des cadres efficaces de gouvernance et de reddition de comptes en IA. Les gouvernements doivent aussi consulter leur organisme de réglementation de la vie privée au moment de rédiger les règles, et entendre le public pendant qu’ils le font, en portant une attention particulière aux communautés marginalisées.
Les quatorze se sont aussi engagés à quatre choses : continuer de réclamer des lois fiables sur l’IA, faire respecter les lois sur la protection des renseignements personnels, coordonner l’application de la loi entre les provinces et les territoires, et sensibiliser le secteur de la santé. Les signataires vont du CPVP et de la CAI du Québec au CIPVP de l’Ontario, au commissariat de la Colombie-Britannique et aux organismes du Nord et de l’Atlantique. L’application conjointe n’est plus un sujet de conversation; c’est un engagement signé.
Ce que les fournisseurs doivent prouver
La protection de la vie privée dès la conception, en détail. Minimisation des données, données dépersonnalisées ou synthétiques dans la mesure du possible, provenance documentée des données, mesures de protection proportionnelles à la quantité et à la sensibilité des données, paramètres les plus protecteurs par défaut, aucune conception manipulatrice, capacité d’audit et essais en conditions réelles.
Montrez votre travail. Les fournisseurs doivent fournir aux clients des preuves de la façon dont le système est entraîné et une explication claire de son fonctionnement et de son utilisation des renseignements, et démontrer que l’utilisation est conforme à la loi applicable sur la protection des renseignements personnels.
Évaluez pendant tout le cycle de vie, pas une seule fois. Des évaluations continues de la vie privée, de la sécurité et propres à l’IA, avec des mesures d’atténuation à la hauteur de la gravité. Les constats d’évaluation vont aux clients, avec les mesures d’atténuation en aval qu’ils devraient appliquer.
Prévoyez un mécanisme de contestation. Le cadre de gouvernance doit couvrir tout le cycle de vie du système, comprendre une surveillance avec intervention humaine et donner aux clients et aux utilisateurs finaux un moyen de contester les résultats de l’IA.
La clause qui appartient à vos contrats
C’est le passage que je porterais directement au service juridique. La résolution demande aux établissements de santé d’exiger cinq choses dans leurs contrats : la formation en matière de protection des renseignements personnels et de sécurité, la tenue de dossiers, l’audit, des limites sur les utilisations et les communications de renseignements, et l’interdiction pour un entrepreneur ou un sous-traitant de commercialiser ou de communiquer des renseignements sans autorisation. Relisez ce dernier point. Quatorze chefs de la protection de la vie privée veulent qu’il soit écrit noir sur blanc que votre fournisseur ne peut pas monétiser les données des patients. Si votre contrat de fournisseur d’IA ne le dit pas explicitement, il a une lacune que les organismes de réglementation du pays viennent de signaler.
Nommez une personne pour les objections liées à l’IA. Les établissements doivent désigner une personne-ressource pour les préoccupations et les objections concernant l’utilisation de l’IA, et offrir un moyen pratique de contester les décisions ou les inférences importantes.
Offrez le retrait lorsque c’est possible. Lorsque le consentement est requis, donnez une information claire sur l’utilisation des renseignements personnels avec le système d’IA et, lorsque c’est possible, offrez le choix de se retirer avant le déploiement.
L’IA fantôme, nommée par son nom. La résolution demande aux établissements de former leur personnel et de bloquer l’utilisation d’IA non approuvée. Elle nomme le scénario exact : un employé d’hôpital qui utilise un outil d’IA acheté personnellement, hors de la politique de l’hôpital. Quatorze organismes de réglementation viennent d’écrire « IA fantôme » dans une résolution officielle. La défense de l’utilisation discrète est terminée.
| À qui s’adresse la résolution | L’exigence centrale | Votre action |
|---|---|---|
| Gouvernements | Modifier les lois selon les six principes; exiger des cadres de gouvernance par la loi | Suivez la législation sur l’IA en santé de votre province comme un dossier de conformité ouvert |
| Fournisseurs et prestataires de services | Protection dès la conception, preuves d’entraînement, évaluations du cycle de vie, mécanismes de contestation | Ajoutez ces quatre points à votre questionnaire fournisseur |
| Établissements de santé | Clauses contractuelles, personne désignée, contrôles contre l’IA fantôme, surveillance humaine | Vérifiez l’interdiction de commercialisation dans vos contrats; nommez la personne-ressource |
| Milieu de la recherche | Mettre à jour l’EPTC 2, renforcer la capacité des CER, partager les résultats | Demandez si votre CER est prêt pour les projets de recherche en IA |
La voie de la recherche : l’EPTC 2 et les CER
La recherche en santé a sa propre voie. Les organismes demandent au Groupe consultatif interagences en éthique de la recherche et aux trois organismes fédéraux de financement, les IRSC, le CRSNG et le CRSH, de mettre à jour l’Énoncé de politique des trois Conseils, l’EPTC 2, pour la recherche en IA : le risque de réidentification quand des données dépersonnalisées, anonymisées ou synthétiques alimentent un système d’IA, et les biais découlant de populations sous-représentées. Les comités d’éthique de la recherche ont besoin des ressources et de la formation pour cette diligence, et les CER devraient exiger une démonstration convaincante que les avantages attendus l’emportent sur les risques. Les chercheurs devraient affiner leurs évaluations des risques et des avantages, et partager publiquement les résultats.
La question à laquelle personne ne peut répondre pour l’instant
Les bases sur les scribes existent déjà : le guide d’évaluation d’impact sur la vie privée pour les scribes IA de l’Alberta, les considérations clés de l’Ontario sur les scribes IA pour le secteur de la santé et les pratiques exemplaires de la Colombie-Britannique sur la PIPA et les scribes IA, tous cités dans la résolution. Ce qui reste ouvert, c’est le volet législatif. Aucune province n’a modifié sa loi selon les six principes, et la première mesure d’application conjointe n’existe pas encore. Le document est une promesse. Le test, c’est qui la tiendra le premier.
Mesure concrète : Sortez votre contrat de fournisseur d’IA en santé le plus risqué et vérifiez trois lignes : une interdiction écrite de la commercialisation non autorisée des données des patients, une personne nommée pour les objections liées à l’IA et une clause sur l’IA fantôme qui couvre les outils achetés par les employés. Puis inscrivez la date de la résolution à votre calendrier. La première mesure d’application conjointe la citera.