Le 21 janvier 2026
L’intelligence artificielle (IA) recèle le potentiel d’améliorer considérablement le quotidien de toute la population ontarienne. Pour concrétiser ce potentiel, il est essentiel que les systèmes d’IA soient conçus, acquis, utilisés et mis hors service dans le respect des droits de la personne, y compris le droit à la vie privée. C’est pourquoi le Bureau du commissaire à l’information et à la protection de la vie privée de l’Ontario (CIPVP) et la Commission ontarienne des droits de la personne (CODP) continuent de souligner l’importance, pour le secteur public et parapublic de l’Ontario, d’adopter l’IA de façon responsable et digne de confiance. Les principes énoncés plus loin, que le CIPVP et la CODP ont élaborés conjointement, décrivent des concepts clés sur lesquels nous nous appuierons pour déterminer si les organisations implantent des systèmes d’IA en respectant leurs obligations en matière de protection de la vie privée et de droits de la personne.
Les principes conjoints CIPVP-CODP en matière d’IA constituent un cadre souple et évolutif pour la gouvernance responsable de l’IA. Ils aident les institutions à implanter de façon responsable des innovations fondées sur l’IA, tout en protégeant la vie privée, les droits de la personne et la dignité humaine des Ontariennes et des Ontariens, et en favorisant la confiance du public.
Il est fortement recommandé aux institutions d’adopter les principes conjoints CIPVP-CODP en matière d’IA afin d’utiliser les systèmes d’IA de façon responsable, transparente et conforme aux lois ontariennes sur les droits de la personne et la protection de la vie privée. Ces principes forment un cadre clair, crédible et rigoureux qui permet d’évaluer les risques, d’orienter la conception et le déploiement des systèmes et d’intégrer la reddition de comptes dans l’ensemble de leur cycle de vie. En adhérant à ces principes, les institutions peuvent protéger les particuliers et communautés contre les préjudices éventuels, afficher leur souci de l’équité et de l’égalité réelle et favoriser la confiance du public. En définitive, l’application des principes conjoints CIPVP-CODP en matière d’IA contribue à faire en sorte que les systèmes d’IA respectent les droits et la dignité des personnes concernées, tout en favorisant une innovation responsable lors de leur conception, de leur mise en œuvre et de leur utilisation.
Les organisations canadiennes et internationales sont de plus en plus nombreuses à adopter des principes en matière d’IA pour relever les défis associés à l’adoption de systèmes d’IA. Mentionnons notamment les Lignes directrices en matière d’éthique pour une IA digne de confiance[i] de l’Union européenne (UE), les principes directeurs internationaux pour les organisations qui développent des systèmes d'IA avancés établis par le processus d’Hiroshima du Groupe des sept (G7)[ii] et les Principes de l’Organisation de coopération et de développement économiques (CODE) sur l’IA[iii]. Au Canada, le gouvernement fédéral a présenté une stratégie en matière d’IA pour la fonction publique fédérale[iv], et l’Ontario a établi une directive à l’intention de tous les ministères et organismes provinciaux sur l’utilisation responsable de l’IA[v]. Les principes conjoints CIPVP-CODP qui sont décrits dans le présent document représentent un complément à ces principes provinciaux, nationaux et internationaux, tout en mettant l’accent sur la protection des droits de la personne, y compris le droit à la vie privée.
Qu’est-ce que l’intelligence artificielle?
D’après la Loi de 2024 visant à renforcer la sécurité et la confiance en matière de numérique (LRSCMN) de l’Ontario, « système d’intelligence artificielle » s’entend de ce qui suit :
(a) un système automatisé qui, pour des objectifs explicites ou implicites, fait des déductions à partir d’entrées qu’il reçoit afin de générer des résultats tels que des prévisions, des contenus, des recommandations ou des décisions qui peuvent influer sur des environnements physiques ou virtuels;
(b) les autres systèmes prescrits.
Aux fins des principes conjoints CIPVP-CODP, nous avons adopté cette définition de la LRSCMN, qui est conforme à celle de l’OCDE[vi]. La définition de l’OCDE a été élaborée à l’issue d’un processus mondial de recherche de consensus ayant mobilisé un vaste éventail de parties intéressées; elle reflète donc une conception élargie de ce que peut constituer un système d’IA.
Plus précisément, la définition de l’OCDE s’applique entre autres aux éléments suivants :
- les systèmes de prise de décision automatisée;
- les systèmes conçus pour accomplir des tâches qui nécessitent habituellement l’intelligence et des compétences humaines;
- les systèmes d’IA générative;
- les modèles de langage fondamentaux et leurs applications;
- les technologies traditionnelles de l’IA (p. ex., les filtres antipourriels ou d’autres ressources de cybersécurité, ou les systèmes de vision artificielle);
- toute autre utilisation novatrice émergente des technologies de l’IA.
Le cycle de vie de l’IA
Le cycle de vie de l’IA comprend les étapes suivantes :
- Conception, données et modélisation : Il s’agit de la première étape, au cours de laquelle sont définis les objectifs du système, les hypothèses sous-jacentes, le contexte et les exigences. Les données destinées à alimenter le système d’IA sont recueillies, traitées et soumises à un contrôle de qualité. Les développeurs du système d’IA créent ou choisissent ensuite un modèle ou un algorithme, lequel est entraîné ou calibré à partir de l’ensemble de données.
- Vérification et validation : À cette deuxième étape, les développeurs évaluent le modèle en regard des objectifs fixés, par exemple en examinant les faux positifs, les faux négatifs et son rendement dans diverses situations.
- Déploiement : Le modèle et le système dans son ensemble sont mis en service dans un environnement donné. Le système peut commencer à surveiller cet environnement, à analyser les données recueillies au moyen de ses modèles et à produire des extrants tels que des prédictions, des catégorisations, des décisions et des évaluations.
- Exploitation et surveillance : Le système d’IA est en exploitation, et ses extrants sont utilisés pour réaliser ses objectifs. Le système fait l’objet d’une surveillance fondée sur des critères d’évaluation du rendement et de la qualité. Compte tenu des résultats de cette surveillance, les exploitants peuvent ramener le système à des étapes antérieures pour réévaluer sa conception et son entraînement[vii].
- Mise hors service : Le cycle de vie comprend la mise hors service éventuelle du système d’IA. Elle peut avoir lieu lorsque le système a atteint la fin de sa vie utile ou lorsqu’il produit régulièrement des extrants inattendus, et que ce comportement ne peut pas être corrigé. Le système d’IA et les données utilisées, y compris les extrants déjà produits, sont conservés conformément aux exigences légales applicables afin de justifier, de rationaliser ou d’expliquer les actions passées, ainsi que d’évaluer les extrants inattendus et leur incidence éventuelle sur des personnes ou communautés.
Chaque étape du cycle de vie de l’IA devrait être évaluée en regard des principes pertinents énoncés dans le présent document. Les évaluations effectuées aux étapes pertinentes doivent être réalisées en tenant compte du rôle de l’institution, à savoir développeur, fournisseur[viii] ou utilisateur[ix] d’un système d’IA donné.
Principes pour une utilisation responsable de l’IA
Ces principes doivent être considérés comme étant interreliés et d’importance égale.
Principe : Les systèmes d’IA doivent être valides et fiables
Les systèmes d’IA doivent donner des résultats valides, fiables et exacts pour les fins auxquelles ils sont conçus, utilisés ou mis en œuvre.
Pour être valide, un système d’IA doit répondre à des normes relatives à des essais indépendants, et il doit être possible de démontrer de façon objective qu’il est conforme aux exigences établies pour une utilisation ou une application donnée. La fiabilité de ce système doit être démontrée en s’assurant qu’il présente, pendant une période déterminée et dans les environnements pour lesquels il a été conçu, un rendement constant qui répond aux exigences. Il doit également être assez robuste pour afficher ce niveau de rendement dans différentes conditions d’exploitation, particulièrement dans des situations où les effets et les résultats peuvent différer selon les communautés ontariennes concernées.
Les normes de validité et de fiabilité contribuent à l’exactitude des observations, des calculs ou des estimations, afin qu’il soit raisonnablement possible de tenir les résultats pour exacts. Cependant, l’exactitude des résultats repose également dans une grande mesure sur l’exactitude, l’exhaustivité et la qualité des données d’entrée fournies au système d’IA. Même un outil valide et fiable peut produire des résultats médiocres s’il se fonde sur des données inexactes, biaisées ou incomplètes.
La validité et la fiabilité du système d’IA doivent donc être vérifiées avant son déploiement et faire l’objet d’évaluations régulières tout au long de son cycle de vie pour confirmer que les résultats demeurent exacts et que le système fonctionne comme prévu dans une variété de situations.
Principe : Les systèmes d’IA doivent être sûrs
Les systèmes d’IA doivent être élaborés, acquis, adoptés et gérés de façon à prévenir les préjudices ou les résultats préjudiciables indésirables qui portent atteinte aux droits de la personne, y compris le droit à la vie privée et à la non-discrimination.
Les systèmes d’IA doivent faire l’objet d’une surveillance visant notamment à protéger la vie humaine, la santé physique et mentale, la sécurité économique et l’environnement. Ils doivent être surveillés et évalués tout au long de leur cycle de vie afin de confirmer qu’ils peuvent résister à des événements imprévus ou à des tentatives délibérées de causer des préjudices. Pour ce faire, il faut notamment démontrer que des mesures de cybersécurité rigoureuses sont en place et que des mesures solides de protection des droits de la personne et de la vie privée sont prises.
Toute nouvelle utilisation d’un système d’IA doit faire l’objet d’un processus d’évaluation approfondi afin de s’assurer qu’elle est sûre dans le nouveau contexte. Un système d’IA sûr doit également permettre de déceler clairement la production d’extrants inattendus. Il doit être temporairement ou définitivement désactivé ou mis hors service lorsqu’il devient dangereux, et tout impact négatif sur des personnes ou des groupes doit alors être soumis à un examen approprié.
Principe : Les systèmes d’IA doivent être respectueux de la vie privée
Les systèmes d’IA devraient être élaborés selon une approche de protection de la vie privée dès la conception. Les développeurs, fournisseurs ou utilisateurs de ces systèmes devraient prendre dès le départ des mesures proactives pour protéger la vie privée, la sécurité des renseignements personnels et le droit à l’information.
Les systèmes d’IA devraient être élaborés selon une approche de protection de la vie privée dès la conception afin de prévoir et d’atténuer les risques pour la vie privée de personnes et de groupes. Cette approche intègre des mesures de protection de la vie privée dans les systèmes dès le départ, pour assurer la protection proactive des données personnelles et le respect de la vie privée de tous les particuliers, surtout ceux qui sont vulnérables ou incapables d’accorder leur consentement éclairé. Au cours de leur développement, de leur entraînement ou de leur exploitation, les systèmes d’IA interagissent fréquemment avec d’importants volumes de renseignements personnels ou en traitent de grandes quantités. Pour que ces systèmes soient respectueux de la vie privée, il faut disposer de l’autorité légale claire de recueillir, de traiter, de conserver et d’utiliser ces données. Les développeurs, fournisseurs ou utilisateurs de systèmes d’IA doivent donc respecter les lois, directives, règlements ou autres instruments juridiques fédéraux ou provinciaux en vigueur en matière de protection de la vie privée[x].
Les renseignements personnels devraient être utilisés uniquement aux fins prévues. Les institutions qui développent, fournissent ou utilisent des systèmes d’IA devraient recourir à des technologies d’amélioration de la confidentialité, notamment des méthodes de dépersonnalisation ou des données synthétiques, pour réduire le besoin de recourir à de grandes quantités de renseignements personnels.
Pour être respectueux de la vie privée, les systèmes d’IA doivent prévoir des mesures permettant de rajuster les données d’entraînement afin d’atténuer tout biais inhérent et d’assurer l’exactitude des extrants de ces systèmes, surtout lorsque des décisions ou des inférences ayant des conséquences importantes sont formulées à l’égard de personnes ou de groupes en s’appuyant sur ces extrants.
Les particuliers devraient être informés si et à quel moment leurs renseignements personnels sont utilisés pour le développement, la mise au point ou l’exploitation d’un système d’IA, et connaître les fins ainsi que l’utilisation escomptée de ce système. Le cas échéant, les particuliers devraient se voir offrir la possibilité d’accéder à leurs renseignements personnels ou de les faire rectifier, y compris les renseignements les concernant qui sont générés par un système d’IA. Ils devraient bénéficier à tout le moins du droit d’examiner les processus décisionnels automatisés ne comportant pas de risque élevé, et de se soustraire aux processus décisionnels automatisés à risque élevé susceptibles d’avoir une incidence importante sur leur bien-être pour que la décision soit prise par une personne[xi].
Les systèmes d’IA doivent également être conçus pour empêcher l’accès non autorisé aux renseignements personnels. Il est essentiel de prendre des mesures de sécurité rigoureuses pour protéger les renseignements personnels contre un accès non autorisé ou une utilisation abusive tout au long du cycle de vie des systèmes d’IA.
Principe : Les systèmes d’IA doivent protéger les droits de la personne
Les droits de la personne sont inaliénables, et leur protection doit être intégrée dans la conception des systèmes d’IA et les procédures connexes. Les institutions qui utilisent des systèmes d’IA doivent prévenir la discrimination ou y remédier, et veiller à ce que les avantages tirés du recours à l’IA soient universels et accessibles sans discrimination.
En vertu des lois sur les droits de la personne, les développeurs, fournisseurs et institutions doivent s’assurer de ne pas porter atteinte au droit à l’égalité réelle. Ils peuvent le faire en relevant et en éliminant la discrimination systémique fondée sur des motifs protégés par le Code des droits de la personne de l’Ontario (le Code)[xii] dans le cadre de la conception et du déploiement de systèmes d’IA. Les institutions devraient veiller à atténuer les effets discriminatoires des systèmes d’IA et des ensembles de données qui y sont associés, notamment en rajustant les données d’entraînement pour éliminer les biais inhérents éventuellement décelés au cours de la surveillance continue. Les institutions devraient également éviter d’utiliser les mêmes systèmes d’IA auprès de groupes différents, car bien que cette approche semble neutre, elle pourrait donner lieu à une discrimination par suite d’un effet préjudiciable.
Pour respecter leurs obligations en matière de protection de la vie privée et de droits de la personne, les institutions doivent s’assurer que la collecte, le traitement et la communication de renseignements personnels ou de données pseudonymes ou anonymes n’ont pas pour effet de perpétuer ou de renforcer les inégalités ou la discrimination.
De même, les pouvoirs publics doivent respecter les droits garantis par la Charte canadienne des droits et libertés, comme la liberté d’expression, de réunion pacifique et d’association. Ils doivent notamment s’assurer que les systèmes d’IA ne ciblent pas indûment les personnes qui participent à des mouvements publics ou sociaux, et ne soumettent pas des collectivités marginalisées à une surveillance excessive qui entrave leur liberté d’association.
Principe : Les systèmes d’IA doivent être transparents
Les institutions qui développent, fournissent et utilisent des systèmes d’IA doivent s’assurer qu’ils sont visibles, compréhensibles, traçables et explicables.
La transparence consiste à donner un avis clair de l’utilisation de systèmes d’IA et à adopter des politiques et des pratiques qui rendent visible, explicable et compréhensible le fonctionnement de ces systèmes. Les institutions qui conçoivent, fournissent ou utilisent des systèmes d’IA doivent également veiller à ce que ces systèmes soient traçables et explicables. La transparence favorise la confiance du public en permettant aux parties intéressées de comprendre le fonctionnement d’un système d’IA, la manière dont il produit ses extrants et les mesures prises pour garantir son fonctionnement sûr et son exactitude. La transparence comporte les caractéristiques suivantes.
Premièrement, les systèmes d’IA doivent être visibles. Ainsi, les institutions doivent fournir au public des documents qui décrivent le fonctionnement du système tout au long de son cycle de vie : conception, développement, déploiement et mise en service, notamment des évaluations de l’impact sur la vie privée, des évaluations de l’impact algorithmique ou d’autres documents. Les institutions doivent aussi faire preuve de transparence quant aux sources des données personnelles recueillies et utilisées pour entraîner ou exploiter le système, aux fins prévues de ce système, à son mode d’utilisation et à l’incidence possible de ses extrants sur des particuliers ou communautés. Surtout, ces documents devraient être rédigés en langage clair et accessible, dépourvu de jargon et de termes techniques complexes. En outre, les institutions doivent aviser les particuliers des situations où ils interagissent avec un système d’IA et du fait que des renseignements qui leur sont fournis ont été générés par un tel système.
Deuxièmement, les systèmes d’IA doivent être compréhensibles. Ainsi, les institutions doivent pouvoir expliquer comment fonctionne la technologie et pourquoi des erreurs pourraient se produire. Pour ce faire, elles devraient documenter leurs systèmes et conserver des renseignements techniques suffisants à leur sujet afin de pouvoir rendre compte de façon exhaustive et transparente du fondement des décisions ou des mesures prises.
Les fournisseurs de systèmes d’IA devraient concevoir leurs systèmes et communiquer à leur sujet de façon à permettre aux institutions qui les déploient et les utilisent de comprendre leur fonctionnement, ainsi que la manière dont leurs extrants sont produits et les motifs qui les sous-tendent.
Troisièmement, les systèmes d’IA doivent être explicables. Ainsi, les institutions doivent être en mesure de décrire le processus et les motifs de la production d’extrants, et de communiquer ces renseignements de façon claire et accessible, avec un niveau de détail pouvant varier selon l’auditoire cible : grand public, profanes, particuliers, groupes touchés directement par les systèmes d’IA ou autorités régissant les pratiques des institutions.
Quatrièmement, les systèmes d’IA doivent être traçables, c’est-à-dire que les institutions doivent pouvoir rendre compte de façon exhaustive de leur fonctionnement en disposant entre autres des renseignements suivants :
- des renseignements sur le modèle : utilisation prévue du système d’IA, types d’algorithmes ou de réseau neuronal, hyperparamètres et étapes de prétraitement et de post-traitement;
- des données d’entraînement et de validation, notamment des précisions sur les processus de collecte des données, la composition des données, les protocoles d’acquisition ainsi que les modalités d’étiquetage des données;
- des données sur la surveillance des outils d’IA, qui peuvent comprendre des indicateurs de rendement, les défaillances et des évaluations périodiques[xiii].
Principe : Les systèmes d’IA doivent être responsables
Les organismes devraient se doter d’une structure de gouvernance interne rigoureuse assortie de rôles et responsabilités et de procédures de surveillance clairement définis, et prévoir une intervention humaine afin d’assurer la responsabilisation tout au long du cycle de vie des systèmes d’IA.
L’intégration de structures rigoureuses de gouvernance interne, et notamment d’une approche fondée sur l’intervention humaine, permet d’assurer une surveillance humaine tout au long du cycle de vie du système d’IA et d’assurer, au besoin, des interventions en temps réel.
Des évaluations des risques devraient être effectuées au préalable afin de relever et d’évaluer les risques associés au système d’IA et d’élaborer les mesures nécessaires pour les atténuer. Ces évaluations devraient comprendre, selon le cas, des évaluations de l’impact sur la vie privée, des évaluations de l’impact algorithmique ainsi que toute autre évaluation pertinente et appropriée.
Les institutions devraient désigner une ou plusieurs personnes qui superviseront le développement, le déploiement ou l’utilisation du système d’IA, et qui seront chargées de suspendre son utilisation ou de le mettre hors service s’il produit des extrants dangereux ou si son fonctionnement n’est pas valide ou fiable.
Les institutions devraient documenter leurs décisions relatives à leurs choix en matière de conception et d’application des systèmes d’IA. Lorsque ces décisions se répercutent sur des communautés ou groupes particuliers, ceux-ci devraient en être informés de manière pertinente et se voir offrir la possibilité de contester des décisions de même que tout extrant ou résultat connexe, et d’obtenir un redressement approprié.
Les institutions devraient être disposées sur demande à expliquer le fonctionnement du système d’IA à un organisme de surveillance indépendant et à lui fournir une documentation en langage clair, ainsi qu’à prendre toute mesure corrective ou de redressement requise. Elles doivent établir un mécanisme leur permettant de recevoir et de traiter les questions ou préoccupations liées à la protection de la vie privée, à la transparence ou aux droits de la personne, ainsi que les demandes d’accès à l’information, de même que toute contestation concernant la manière dont le système d’IA est parvenu à une décision ou a été utilisé dans le cadre d’un processus décisionnel.
Les membres des institutions devraient pouvoir, grâce à des mécanismes de protection des lanceurs d’alerte, signaler les cas où un système d’IA ne respecte pas les exigences juridiques, techniques ou stratégiques établies. Les lanceurs d’alerte devraient pouvoir signaler les cas de non-conformité à un organisme de surveillance indépendant chargé de l’examen ou de la supervision du système d’IA, sans craindre de représailles. Les institutions devraient être soumises à l’examen d’un organisme de surveillance indépendant habilité à faire respecter ce principe, ainsi que les autres principes de l’IA, et à exiger qu’elles prennent toute mesure corrective ou de redressement associée au système d’IA.
Notes de fin
[i] Lignes directrices en matière d’éthique pour une IA digne de confiance : https://ec.europa.eu/newsroom/dae/document.cfm?doc_id=60427
[ii] Processus d’Hiroshima. International Guiding Principles for Organizations Developing Advanced AI systems : https://www.soumu.go.jp/hiroshimaaiprocess/pdf/document04_en.pdf
[iii] Principes de l’OCDE sur l’IA : https://www.oecd.org/fr/themes/principes-de-l-ia.html
[iv] Stratégie en matière d’intelligence artificielle pour la fonction publique fédérale 2025-2027 : https://www.canada.ca/fr/gouvernement/systeme/gouvernement-numerique/innovations-gouvernementales-numeriques/utilisation-responsable-ai/gc-ai-strategie-apercu.html
[v] Directive sur l’utilisation responsable de l’intelligence artificielle de l’Ontario : https://www.ontario.ca/fr/page/directive-sur-lutilisation-responsable-de-lintelligence-artificielle
[vi] Définition de l’OCDE (en anglais) : https://oecd.ai/en/wonk/ai-system-definition-update
[vii] Organisation de coopération et de développement économiques. « Le paysage technique ». L’intelligence artificielle dans la société. 11 juin 2019. https://www.oecd.org/fr/publications/l-intelligence-artificielle-dans-la-societe_b7f8cd16-fr.html
[viii] Un fournisseur est défini comme étant une personne ou une organisation qui développe (et entraîne) des systèmes d’IA, ou qui commercialise ces services.
[ix] Un utilisateur est défini comme étant un membre du personnel ou un mandataire d’une organisation qui utilise un système d’IA dans l’exercice de ses fonctions. L’utilisateur ne conçoit pas et ne fournit pas le système, mais il interagit avec lui, s’en sert ou utilise ses extrants aux fins de la prise de décision, de la prestation de services ou de l’exercice de fonctions organisationnelles.
[x] Les systèmes d’IA peuvent remettre en question de façon fondamentale les principes qui sous-tendent généralement les lois sur la protection de la vie privée. Le principe voulant que la collecte de renseignements soit limitée est mis à l’épreuve, étant donné que les systèmes d’IA nécessitent couramment de grandes quantités de données et de renseignements diversifiés pour un fonctionnement optimal. Ces données et renseignements sont parfois réutilisés pour entraîner des systèmes d’IA, ce qui compromet le principe qui limite les fins auxquelles ils sont utilisés; de plus, ce que l’on apprend au cours de l’entraînement des systèmes d’IA peut être conservé après la suppression des données d’entraînement, ce qui remet en cause le principe limitant la période de conservation des données. Enfin, même lorsque des organisations tentent d’anonymiser les renseignements, les données résultantes peuvent parfois être réidentifiées par des systèmes d’IA.
[xi] Les évaluations de l’impact comptent parmi les principales stratégies visant à relever et à évaluer les risques associés aux systèmes d’IA. La CODP (en collaboration avec la Commission du droit de l’Ontario) et le CIPVP décrivent dans leurs sites Web des évaluations de l’impact visant à relever, à évaluer et atténuer les risques pour les droits de la personne et la vie privée.
Pour la CODP, consulter la page Évaluation de l’impact de l’intelligence artificielle sur les droits de la personne : https://www3.ohrc.on.ca/fr/evaluation-de-limpact-de-lintelligence-artificielle-sur-les-droits-de-la-personne.
Pour le CIPVP, consulter le Guide d’évaluation de l’impact sur la vie privée : https://www.ipc.on.ca/fr/ressources/planifier-pour-reussir-guide-devaluation-de-limpact-sur-la-vie-privee-pour-les-institutions.
[xii] Code des droits de la personne de l’Ontario : https://www.ontario.ca/lois/loi/90h19.
[xiii] Service de recherche du Parlement européen. 2023. « Artificial Intelligence in Healthcare: Applications, risks, and ethical and societal impacts. »