Ottawa consulte sur la transparence de l'IA. L'Europe l'a livrée

Six jours avant que les règles de divulgation de la Loi européenne sur l'IA ne deviennent exécutoires avec un plafond de 15 millions d'euros, Innovation, Sciences et Développement économique Canada a ouvert un sondage demandant aux Canadiens à quoi devrait ressembler la divulgation en matière d'IA. Les deux gouvernements travaillent sur le même problème. Un seul des deux offre une réponse sur laquelle une entreprise peut bâtir.

Ce qu'ISDE a déposé le 23 juillet

La consultation fédérale sur la transparence de l'IA se déroule du 23 juillet au 23 septembre 2026. Elle a été annoncée par Evan Solomon, ministre de l'Intelligence artificielle et de l'Innovation numérique, et s'inscrit sous la Stratégie nationale sur l'intelligence artificielle publiée le 4 juin. La pièce maîtresse est un document de travail intitulé « Renforcer la confiance envers l'intelligence artificielle par une transparence accrue ». Les mémoires passent par un sondage anonyme ou par courriel, et ISDE prévoit publier un rapport « Ce que nous avons entendu » après la clôture.

Le document est plus franc que ne le sont habituellement ces textes. Il examine le filigrane invisible et les métadonnées de provenance, note que la Coalition for Content Provenance and Authenticity dispose d'une spécification technique fonctionnelle appuyée par Amazon, Google, Meta, Microsoft et OpenAI, puis dit tout haut ce que le secteur murmure : un acteur malveillant déterminé peut retirer ou contourner ces signaux, et les approches techniques peinent à suivre le rythme de la technologie. C'est une description exacte de l'état de l'art. C'est aussi un aveu que le mécanisme que Bruxelles vient de rendre obligatoire comporte des trous connus.

Les cinq questions que pose Ottawa

ISDE a structuré la consultation autour de cinq thèmes. Détecter le contenu généré par IA. Permettre aux personnes de savoir qu'elles ont affaire à un système d'IA. Améliorer la disponibilité de l'information sur ce qu'un système donné peut et ne peut pas faire. Suivre les incidents graves. Et suivre l'activité des agents d'IA.

Les deux premiers recoupent presque mot pour mot l'article 50 de la Loi européenne sur l'IA, désormais en vigueur. Le troisième rappelle les devoirs de documentation imposés il y a un an aux fournisseurs de modèles à usage général. Les deux derniers sont les plus intéressants, parce qu'ils ne portent pas vraiment sur l'étiquetage du contenu. Le suivi des incidents graves et le suivi de l'activité des agents sont des questions de journalisation. Ils demandent si quelqu'un peut reconstituer, après coup, ce qu'un système a fait et à quel moment.

Ce cadrage compte davantage pour une firme de services professionnels canadienne que le débat sur le filigrane. Une petite firme est rarement le fournisseur d'un modèle génératif. Elle en est presque toujours le déployeur, et l'exposition du déployeur est un problème de tenue de registres.

C'est le troisième document en trois mois

Ottawa a produit beaucoup de papier sur l'IA cette année et très peu de droit contraignant. La LIAD est morte au feuilleton en janvier 2025 et n'a pas été redéposée. La Stratégie nationale sur l'IA est arrivée le 4 juin, en même temps que le rapport annuel du commissaire à la protection de la vie privée sur l'IA. Le projet de loi C-36, la Loi sur la protection de la vie privée et des données des consommateurs, a été déposé en juin comme première véritable refonte du droit fédéral de la vie privée dans le secteur privé depuis vingt-cinq ans, avec des droits de suppression élargis et de nouveaux devoirs de transparence lorsqu'un système automatisé prend une décision importante au sujet d'une personne. Reste à savoir s'il survivra à un Parlement qui a tué son prédécesseur, une question toujours ouverte.

Une consultation qui ferme fin septembre, suivie d'un rapport, suivi d'un instrument de politique, suivi d'une rédaction législative, mène à 2028 dans le meilleur des cas. Les firmes qui choisissent des logiciels ce trimestre ne peuvent pas attendre jusque-là.

Ce qui lie vraiment une firme canadienne aujourd'hui

Trois choses le font. La Loi 25 québécoise est pleinement en vigueur depuis septembre 2024, et son article 12.1 exige déjà d'un organisme qui rend une décision fondée exclusivement sur un traitement automatisé qu'il en informe la personne, qu'il lui explique les renseignements personnels utilisés et les principaux facteurs ayant mené à la décision, et qu'il lui permette de présenter ses observations à une personne physique. Le plafond des sanctions atteint 25 millions de dollars ou 4 % du chiffre d'affaires mondial. C'est une obligation de transparence bien vivante, qui s'applique dès maintenant à une firme montréalaise, peu importe ce qu'ISDE conclura en septembre.

La LPRPDE fédérale et ses équivalents provinciaux régissent les renseignements personnels qui circulent dans ces systèmes. Et la Loi européenne sur l'IA atteint tout déployeur canadien dont le résultat est utilisé à l'intérieur de l'Union, une exclusion bien plus étroite que ne le supposent la plupart des firmes dès qu'un client a une clientèle européenne.

Le constat, c'est que les firmes canadiennes sont déjà encadrées en matière de transparence de l'IA, simplement pas par une loi canadienne sur l'IA. Attendre la règle fédérale revient à attendre au-delà d'obligations déjà exécutoires.

Acheter un logiciel contre une règle qui n'existe pas encore

Pour un praticien seul ou une firme de cinq avocats qui choisit ses systèmes en 2026, la vraie question n'est pas de savoir quel régime l'emportera. C'est de savoir quelles décisions de tenue de registres restent sûres sous tous les régimes à la fois. Placez les cinq thèmes d'ISDE à côté de l'article 12.1 de la Loi 25 et de l'article 50 européen, et le recoupement est étroit et constant : savoir quand un système a agi, savoir sur quoi il a agi, et pouvoir montrer ce registre à une personne plus tard.

C'est un argument en faveur des outils qui journalisent par construction plutôt que de ceux qui ajoutent une vue de vérification dans une version ultérieure. C'est la prémisse de conception derrière SupaCorp, la plateforme de gestion d'entités pour les firmes canadiennes solos et de petite taille, où le registre corporatif est le produit. Les constitutions, les déclarations annuelles, les livres de procès-verbaux et les registres portent déjà l'exigence juridique que chaque changement soit attribuable et reconstituable, et une firme qui dépose au fédéral, en Ontario, en Colombie-Britannique, en Alberta et au Québec laisse déjà la règle la plus stricte fixer la norme pour toutes. Un logiciel bâti ainsi répond à une question de transparence de l'IA comme à une question de registres corporatifs, parce que le journal est le même journal. Un logiciel qui traite la piste de vérification comme une fonction de rapport est réaménagé chaque fois qu'un régulateur change de question, et ce sont les petites firmes qui paient le réaménagement.

Ce qu'il faut surveiller d'ici le 23 septembre

Surveillez si le rapport « Ce que nous avons entendu » traite le suivi de l'activité des agents comme une obligation de registre ou le replie dans l'étiquetage de contenu, parce que les deux mènent à des exigences logicielles très différentes. Surveillez si C-36 franchit la deuxième lecture avant la fin de la session d'automne. Et surveillez combien de fournisseurs canadiens déposent un mémoire, parce que les règles de transparence qui finiront par atterrir ressembleront beaucoup à ce que les entreprises présentes auront dit pouvoir déjà faire.