Que demandent les commissaires à la protection de la vie privée du Canada sur l’IA en santé?

Le 29 octobre 2026, le Commissariat fédéral à la protection de la vie privée a publié une résolution conjointe des autorités fédérale, provinciales et territoriales chargées de la vie privée sur l’intelligence artificielle en santé et en recherche en santé. Les commissaires et ombuds l’avaient adoptée le 15 septembre 2026, lors de leur réunion annuelle à Ottawa. Au Québec, la Commission d’accès à l’information (CAI) a diffusé la même annonce en français le même jour.

Le message se résume simplement : les outils d’IA se répandent dans les cliniques, les hôpitaux et les laboratoires de recherche plus vite que les règles qui les encadrent, et les autorités veulent que les gouvernements comblent cet écart par la loi, pas seulement par des lignes directrices. Cet article est de l’information générale, pas un avis juridique.

Qu’ont adopté les autorités?

La résolution part de la pression sur les systèmes de santé : hausse des coûts, vieillissement de la population, longues attentes et pénurie de personnel. Elle reconnaît que l’IA peut aider et énumère les types de systèmes visés : des outils de diagnostic et de classification, et l’IA générative comme les robots conversationnels et les AI scribes (scribes d’IA), qui écoutent un rendez-vous médical et rédigent la note clinique.

Elle nomme ensuite les risques d’attendre :

• Utilisation non autorisée des renseignements de santé. Par exemple, un système d’IA peut combiner un jeu de données dépersonnalisées avec d’autres renseignements et rendre des personnes de nouveau identifiables, ou être entraîné sur des données obtenues illégalement.
• Sécurité. De grands volumes de données sensibles mal protégées sont une cible pour les cyberattaques.
• Biais et préjudices aux patients. Un modèle entraîné sur des données où certains groupes sont sous-représentés peut faire des prédictions moins justes pour eux, ce qui peut mener à de mauvais diagnostics ou à des plans de traitement inadéquats.

Face à ces risques, les autorités fixent six principes que l’IA en santé devrait respecter pendant toute sa vie, de la conception au retrait :

Que demandent-elles aux gouvernements, aux développeurs et aux cliniques?

Aux gouvernements, la résolution adresse quatre demandes : examiner, modifier ou adopter des lois pour que l’IA en santé respecte les six principes; consulter leur autorité de protection de la vie privée pendant la rédaction; associer le public, en particulier les personnes de groupes marginalisés et vulnérables; et obliger par la loi tous ceux qui développent, acquièrent ou utilisent de l’IA en santé à avoir des cadres de gouvernance et de reddition de comptes fondés sur des évaluations des risques. Ce dernier point en fait un appel à des règles contraignantes : aujourd’hui, une bonne partie de tout cela reste volontaire.

Aux développeurs et fournisseurs, elle demande une protection de la vie privée dès la conception : utiliser des données dépersonnalisées ou synthétiques quand c’est possible, connaître la provenance des données d’entraînement et s’assurer qu’elles ont été obtenues légalement, régler par défaut les paramètres les plus protecteurs, permettre les audits et les tests en conditions réelles, éviter les conceptions qui poussent les utilisateurs à renoncer à leur vie privée, et donner aux clients une explication générale du fonctionnement du système.

Aux fournisseurs de soins qui achètent et utilisent ces outils, elle demande de :

• informer clairement les patients de l’usage fait de leurs renseignements et, quand c’est possible, leur offrir de refuser avant le déploiement d’un système;
• désigner une personne-ressource pour les questions ou les objections, et offrir un moyen pratique de contester les décisions importantes;
• rédiger des contrats qui interdisent aux fournisseurs d’utiliser ou de vendre les données à d’autres fins;
• former le personnel et empêcher l’IA fantôme (shadow AI), c’est-à-dire l’usage d’outils d’IA personnels que l’organisation n’a pas approuvés, comme un employé qui colle des notes dans son propre robot conversationnel;
• garder une personne qui révise les résultats.

Aux chercheurs, elle demande aux organismes canadiens d’éthique de la recherche de mettre à jour la politique nationale d’éthique de la recherche avec des êtres humains (EPTC 2) pour tenir compte de l’IA, et de donner aux comités d’éthique de la recherche la formation et les ressources pour évaluer les projets en IA.

Qu’est-ce que ça signifie au Québec et ailleurs au Canada?

Une résolution d’autorités de contrôle ne change aucune loi. Au Canada, les renseignements de santé relèvent d’un ensemble de lois fédérales, provinciales et territoriales, et les autorités s’engagent seulement à coordonner l’orientation, l’application de la loi et l’information du public « dans la mesure du possible », chacune dans les limites de son mandat.

Au Québec, la version de l’annonce publiée par la CAI ajoute une déclaration de sa présidente, Lise Girard. Elle rappelle que la loi québécoise de 2023 qui encadre les renseignements du réseau de la santé et des services sociaux a déjà changé la façon dont ces renseignements circulent, sont utilisés et sont protégés, et que l’IA soulève des questions nouvelles auxquelles les gouvernements devront répondre. Elle renvoie au rapport quinquennal 2026 de la CAI, qui demande une nouvelle approche de la protection des renseignements personnels à l’ère numérique. Pour les règles québécoises générales qui s’appliquent aux outils d’IA en entreprise, voyez l’article du guide sur la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels).

Exemple concret : une clinique qui envisage un scribe d’IA

Imaginons une clinique familiale qui veut essayer un scribe d’IA. En se servant de la résolution comme liste de vérification, la clinique poserait au fournisseur des questions comme celles-ci :

Un assistant peut aider à préparer cette discussion, à condition de traiter ce qu’il produit comme une ébauche :

Je travaille dans une petite clinique de santé au Canada qui envisage un scribe d’IA. Rédige une liste de questions à envoyer au fournisseur, regroupées sous ces titres : emplacement et conservation des données, usage des données pour l’entraînement, tests de précision et audits, avis aux patients et possibilité de refus, révision humaine, et clauses du contrat sur la réutilisation ou la vente des données. Ne donne pas de conclusions juridiques; signale chaque point où nous devrions vérifier la loi provinciale sur les renseignements de santé ou consulter notre autorité de protection de la vie privée.

Que pouvez-vous faire comme patient dès maintenant?

Vous pouvez poser des questions. Si une clinique ou un hôpital utilise un scribe d’IA ou un autre outil d’IA dans vos soins, la résolution s’attend à ce qu’il explique l’usage fait de vos renseignements, qu’il nomme une personne qui peut répondre à vos questions et, quand c’est possible, qu’il vous laisse refuser avant que l’outil soit utilisé. Demander « Est-ce qu’un outil d’IA enregistre ou résume ce rendez-vous, et puis-je refuser? » est tout à fait raisonnable.

Soyez prudent avec ce que vous confiez vous-même à des outils d’IA grand public. La résolution vise les organisations du système de santé; elle ne couvre pas ce que vous choisissez de coller de votre propre chef dans un robot conversationnel général. Et si vous croyez que vos renseignements de santé ont été mal utilisés, l’organisme chargé de la vie privée dans votre province ou de votre territoire (la CAI au Québec) peut vous indiquer vos options.