Projet de loi C-36 : comprendre la réforme canadienne sur la vie privée et ce que le C-27 avait prévu pour l’IA

L’essentiel du projet de loi C-27 en un coup d’œil

Le projet de loi C-27 ne se limite pas à une simple mise à jour de la législation sur la vie privée des consommateurs. Il introduit un cadre entièrement nouveau pour l’encadrement de l’IA au Canada, une première dans l’histoire législative canadienne. Ce projet de loi se compose de trois lois distinctes, chacune remplit un rôle précis dans la protection des droits des Canadiens :

Le parcours législatif du projet de loi C-27

Comprendre où en est le projet de loi C-27 dans le processus parlementaire canadien est essentiel pour évaluer l’urgence d’agir. Voici les étapes clés de ce projet de loi depuis son dépôt à la Chambre des communes.

Le projet de loi C-27 a fait l’objet d’un examen approfondi par le Comité permanent de l’industrie et de la technologie de la Chambre des communes. Les principales critiques portaient sur le manque de précision dans la définition des systèmes d’IA à incidence élevée, les pouvoirs étendus du Commissaire à l’IA, et l’absence de référence explicite aux droits fondamentaux dans le texte de la loi.

Depuis le dépôt du projet de loi C-36 le 15 juin 2026, un successeur au C-27 est en cours d’étude parlementaire. Il reprend l’essentiel de la LPVPC mais adopte une approche différente : pas de LIAD, un nouveau régulateur (la Commission canadienne de la sécurité numérique et de la protection des données), et l’encadrement de l’IA limité aux décisions automatisées au sein de la loi sur la vie privée. Au Québec, la Loi 25 est d’ores et déjà en vigueur. Les organisations qui ont commencé à s’y conformer sont bien positionnées pour le C-36 également.

Ce que le projet de loi C-27 change pour les Canadiens ?

Un renforcement concret des droits des consommateurs

La Loi sur la protection de la vie privée des consommateurs (LPVPC) introduit des droits que les Canadiens n’ont pas encore dans la législation fédérale actuelle, mais que les résidents québécois connaissent déjà grâce à la Loi 25. Ces droits protègent la vie privée dans l'économie numérique :

• Droit à l’effacement : toute personne peut demander à une organisation de supprimer ses renseignements personnels lorsqu’ils ne sont plus nécessaires aux fins pour lesquelles ils ont été collectés.
• Droit à la portabilité : les individus peuvent demander à recevoir leurs données dans un format structuré et lisible par machine, pour les transférer vers un autre fournisseur de service.
• Contrôle renforcé sur le consentement : le consentement doit être explicite pour les usages sensibles des renseignements personnels, et les individus peuvent le retirer plus facilement.
• Droit de contester les décisions automatisées : toute personne affectée par une décision entièrement automatisée peut demander une explication humaine et contester la décision.

Pour les organisations du secteur privé, ces droits se traduisent par des obligations concrètes : cartographier les données collectées, documenter les bases du traitement des renseignements personnels, et mettre en place des mécanismes de réponse aux demandes d’accès dans des délais stricts.

Un premier encadrement canadien de l’IA

La Loi sur l’intelligence artificielle et les données (LIAD) est la pièce maîtresse du projet de loi C-27 pour les entreprises technologiques. Elle introduit la notion centrale de « système d’IA à incidence élevée » : tout système dont les décisions ou recommandations peuvent avoir des répercussions significatives sur la santé, la sécurité, les droits fondamentaux ou les libertés d’une personne. La LIAD vise exclusivement les activités commerciales. Les activités gouvernementales et de sécurité nationale restent hors de son champ d’application.

Décryptage des composantes du projet de loi C-27

La Loi sur la protection de la vie privée des consommateurs (LPVPC)

La LPVPC modernise la LPRPDE, soit la loi de 2000 sur la protection des renseignements personnels dans le secteur privé, dont les amendes plafonnent actuellement à 100 000 $ pour les infractions délibérées. La LPVPC s’inspire largement du RGPD européen tout en conservant une approche canadienne fondée sur la gestion du risque plutôt que sur une liste exhaustive d’obligations.

Nouvelles obligations pour les organisations

• Politique de vie privée en langage clair : la loi exige une communication simple et compréhensible sur les pratiques de collecte et d’utilisation des renseignements personnels.
• Programme de gestion de la vie privée : les organisations devront mettre en place des politiques internes, désigner un responsable, et documenter leurs pratiques de protection.
• Analyse d’impact relative à la vie privée (AIVP) : obligatoire avant le déploiement de tout nouveau produit ou service traitant des renseignements personnels sensibles.
• Signalement des atteintes : toute violation présentant un risque réel de préjudice doit être signalée au Commissaire à la vie privée et aux personnes touchées.

Des sanctions qui font réfléchir

Pour une PME québécoise dont le chiffre d’affaires annuel est de 10 M$, une infraction grave au projet de loi C-27 pourrait théoriquement entraîner une sanction de 500 000 $. Ce n’est plus un risque théorique.

La Loi sur l’intelligence artificielle et les données (LIAD)

La Loi sur l'intelligence artificielle et les données est la première loi fédérale canadienne à encadrer l'IA dans le secteur privé. Cet encadrement législatif s’applique aux organisations qui conçoivent, développent, mettent sur le marché ou exploitent des systèmes d’IA dans le cadre d’activités commerciales. La loi crée également un nouveau Commissaire à l’IA doté de pouvoirs d’enquête et de surveillance.

Secteurs commerciaux les plus concernés

La LIAD vise exclusivement les activités commerciales interprovinciales ou internationales. Les activités gouvernementales et de sécurité nationale sont hors de son champ. Les secteurs commerciaux les plus susceptibles d’être touchés incluent :

• Ressources humaines et recrutement algorithmique
• Services financiers : crédit, assurance, investissement automatisé
• Soins de santé et services sociaux
• Commerce et services essentiels (logement, transport, télécommunications)
• Plateformes numériques à grande échelle (recommandation de contenu, publicité ciblée)

Obligations pour les systèmes à incidence élevée

• Évaluation des risques : identifier et documenter les risques de préjudice avant le déploiement de tout système d’IA.
• Mesures d’atténuation : mettre en place des mécanismes concrets pour réduire les risques identifiés, notamment les biais algorithmiques.
• Surveillance continue : monitorer les performances du système après déploiement et conserver les données de surveillance.
• Transparence : informer les personnes concernées lorsqu’elles interagissent avec un système d’IA à incidence élevée.
• Registres : tenir une documentation détaillée sur les systèmes, accessible au Commissaire à l’IA sur demande.

Le Commissaire à l’IA : un nouveau chien de garde

Dans le cadre du C-27, la LIAD aurait créé un Commissaire à l'IA doté de pouvoirs d'enquête, d'audit et de recommandation de sanctions, pouvant exiger la communication des registres, ordonner la cessation d'un système problématique et transmettre des cas au Tribunal. Ce rôle a été l'un des points les plus critiqués en comité, notamment pour l'étendue de ses pouvoirs. Le C-36 ne reprend pas ce poste : la surveillance de la vie privée est confiée à la Commission canadienne de la sécurité numérique et de la protection des données.

Le Tribunal de la protection des renseignements personnels et des données

Dans le cadre du C-27, ce Tribunal aurait rempli deux fonctions : offrir un mécanisme d'appel des décisions du Commissaire et imposer les sanctions administratives pécuniaires. Le C-36 abandonne ce modèle ; ces fonctions sont confiées à la Commission canadienne de la sécurité numérique et de la protection des données, un nouvel organisme dont les membres sont nommés par le gouverneur en conseil plutôt que par le Parlement.

IA générative en entreprise : ChatGPT, Copilot et la Loi C-27

L’adoption massive d’outils d’IA générative (ChatGPT, Microsoft Copilot, Google Gemini, GitHub Copilot) dans les entreprises canadiennes soulève des questions spécifiques que les projets de loi C-27 et C-36 contribuent à encadrer.

Ce que l’utilisation de l’IA générative implique sous C-27

Lorsqu’un employé utilise ChatGPT pour rédiger une communication client, ou que Microsoft Copilot accède aux courriels et documents internes d’une organisation, des renseignements personnels de clients, partenaires ou employés sont potentiellement traités par un système tiers. Le projet de loi C-36, qui remplace le C-27, encadre ces usages via ses dispositions sur les décisions automatisées et l’intérêt légitime, plutôt que par une loi dédiée à l’IA. Sous le projet de loi C-27, cela entraîne plusieurs obligations :

• Consentement et transparence : si des renseignements personnels de clients sont soumis à un système d’IA générative, l’organisation reste responsable de l’utilisation qui en est faite. Le consentement des personnes concernées peut être requis.
• Contrats avec les fournisseurs d’IA : Microsoft, OpenAI et Google sont des sous-traitants au sens de la LPVPC. Des clauses contractuelles de protection des renseignements personnels doivent encadrer ces relations.
• Évaluation des risques : si un système d’IA générative est utilisé pour des tâches à incidence élevée comme la rédaction de décisions RH ou l’analyse de dossiers clients, une évaluation des risques s’impose.
• Hallucinations et décisions automatisées : les résultats d’un système d’IA générative ne doivent pas être présentés comme des décisions définitives sans supervision humaine, surtout lorsqu’ils affectent des droits individuels.

Bonnes pratiques immédiates pour les entreprises

• Rédiger une politique d’utilisation acceptable des outils IA couvrant explicitement les outils génératifs.
• Lister les outils d’IA générative autorisés et interdits pour le traitement de renseignements personnels.
• Former les équipes sur les cas où l’utilisation de l’IA générative nécessite une anonymisation préalable des données.
• Vérifier les paramètres de confidentialité des outils utilisés (ex. : Microsoft Copilot a un mode « entreprise » avec des garanties de confidentialité plus strictes).

Comparaison avec les réglementations internationales sur la vie privée

Parallèles avec le RGPD européen

Pour quiconque a déjà navigué dans le Règlement général sur la protection des données de l’Union européenne, le projet de loi C-27 ressemble à un cousin canadien, avec toutefois des différences notables.

Positionnement face aux lois américaines

Les États-Unis n'ont pas de cadre fédéral sur la vie privée. Pour les organisations canadiennes qui y exportent, la conformité au C-27 facilite les relations avec des partenaires européens soumis au RGPD.

IA en entreprise : ce que vous devez savoir

Impacts sur les PME et les startups

Le projet de loi C-27 touche aussi bien les PME que les grandes organisations. Les PME qui collectent des renseignements personnels de leurs clients, utilisent des outils d’analyse comportementale ou déploient des outils de recommandation sont directement concernées.

• Cartographie des données : identifier où se trouvent tous les renseignements personnels dans l’organisation.
• Gouvernance documentaire : maintenir des registres de traitement, des analyses d’impact et des politiques internes à jour.
• Contrats avec les tiers : les fournisseurs de services infonuagiques, SaaS et marketing doivent être encadrés contractuellement.
• Privacy by design : intégrer la protection de la vie privée dès la conception, principe explicitement reconnu par la LPVPC, constitue un avantage structurel pour les startups.

Risques et responsabilités liés à l’usage de l’IA en entreprise

La gestion des biais algorithmiques

Un système d’IA entraîné sur des données historiques reflète les biais de ces données. Si vos décisions passées sous-représentaient certains groupes, votre système d’IA reproduira ce schéma, et vous en serez légalement responsable sous la LIAD. L’évaluation des biais est une obligation légale pour les systèmes à incidence élevée.

Les décisions automatisées et les droits fondamentaux

Lorsqu’un système d’IA prend une décision qui affecte significativement une personne (refus de crédit, élimination d’une candidature, modification d’une prime d’assurance), cette personne aura le droit de demander une explication et de contester la décision. Les droits fondamentaux des individus face aux systèmes automatisés sont au cœur de la LIAD.

Responsabilités légales et réputationnelles

• Responsabilité civile : une personne lésée par un système d’IA déficient ou une violation de ses renseignements personnels pourrait intenter une action en dommages-intérêts.
• Atteinte à la réputation : une violation de données ou un biais algorithmique rendu public peut nuire durablement à la marque et à la relation client.
• Sanctions administratives : les sanctions prévues par le projet de loi C-27 peuvent atteindre 5 % du chiffre d’affaires mondial.

Défis de mise en œuvre pour les entreprises

La cartographie des données : votre point de départ

Avant de pouvoir protéger des renseignements personnels, vous devez savoir où ils se trouvent, qui y a accès, pourquoi ils ont été collectés, et combien de temps ils sont conservés. Les étapes pratiques de cet exercice de mise en œuvre comprennent :

1. Inventorier tous les systèmes qui collectent, traitent ou stockent des renseignements personnels.
2. Documenter pour chaque flux de données : base légale du traitement, destinataires, durées de conservation.
3. Identifier les lacunes de sécurité et les traitements potentiellement non conformes à la loi sur la protection de la vie privée.
4. Prioriser les actions correctives selon le risque et l’impact potentiel.

Formation et culture d’entreprise

• Sensibilisation du personnel : former à la reconnaissance des renseignements personnels, aux obligations de signalement, et à l’utilisation responsable des technologies d’IA générative.
• Privacy by design : collecter uniquement les données nécessaires, chiffrer les renseignements sensibles, intégrer les contrôles d’accès dès la conception des systèmes.
• Mise à jour des contrats : politique de confidentialité à jour, clauses de protection des données avec les sous-traitants, politique d’utilisation acceptable des outils IA.

Loi C-36 et protection des données : faites-vous accompagner

Avec le projet de loi C-36 déposé le 15 juin 2026 (troisième tentative de réforme en six ans), la direction est claire : les organisations du secteur privé canadien devront se conformer à des exigences renforcées en matière de protection des renseignements personnels. Le C-36 reprend l’essentiel de ce que prévoyait le C-27, tout en abandonnant la LIAD. L’encadrement de l’IA passe par les dispositions sur les décisions automatisées et l’évaluation d’impact (Sources : Fasken, Norton Rose Fulbright, Canada.ca).

En attendant, la Loi 25 au Québec impose déjà une partie de ces obligations. Les organisations qui s’y sont conformées ont une longueur d’avance significative sur les exigences futures du projet de loi C-36. Et la conformité n’est pas qu’un coût : elle génère de la confiance, protège la réputation, et constitue un avantage concurrentiel durable dans un marché où l’éthique de l’IA est de plus en plus scrutée.

Chez Baseline, notre équipe accompagne les PME et organisations dans l’intégration responsable de l’IA et la mise en œuvre de la conformité : évaluation de la conformité, cartographie des renseignements personnels, conception de systèmes d’IA explicables et auditables, politique d’utilisation des outils d’IA générative, et formation des équipes.