Une journée à forte densité réglementaire
Le 4 mai 2026, à l'occasion de l'ouverture de la Semaine de sensibilisation à la vie privée et de son discours d'ouverture au Symposium IAPP Canada, le Commissaire à la vie privée du Canada, Philippe Dufresne, a enchaîné trois annonces qui dessinent l'agenda canadien de la gouvernance des données numériques pour les prochains mois. Deux nouvelles directives encadrant les technologies de vérification d'âge en ligne, une décision conjointe imminente sur l'enquête ChatGPT menée depuis 2023, et une enquête accélérée sur la plateforme X concernant la diffusion d'hypertrucages intimes non consensuels.
Cette séquence n'est pas anodine. Elle place le Commissaire fédéral et ses homologues provinciaux, dont la Commission d'accès à l'information du Québec (CAI), en position de premier rappel concret de ce que les lois en vigueur imposent déjà aux fournisseurs d'IA, sans attendre la réforme fédérale annoncée par le ministre Evan Solomon dans le cadre de sa stratégie en six piliers.
Vérification d'âge : deux directives, une logique de minimisation
Les deux documents publiés par le Commissariat fédéral s'adressent à des publics distincts mais cohérents. La première directive, destinée aux plateformes et aux fournisseurs de services en ligne, fixe les conditions d'opportunité d'un dispositif de vérification d'âge : nécessité, proportionnalité, démonstration que des mesures moins intrusives ne suffisent pas. La seconde s'adresse aux développeurs des technologies elles-mêmes (estimation par image, comparaison documentaire, attestation par tiers de confiance) et impose des standards de minimisation des données, l'interdiction de tout usage secondaire après vérification et des pratiques de suppression effectives.
Le commissaire Dufresne a résumé l'objectif lors de son discours : permettre une expérience en ligne plus sécuritaire pour les enfants sans créer d'effets de bord disproportionnés sur la vie privée. Sur le plan technique, le message est limpide. Une vérification qui exigerait de transmettre une pièce d'identité complète, de la conserver et de la croiser avec d'autres profils n'est plus acceptable. Les architectures privilégiées seront celles qui produisent une simple attestation booléenne (l'utilisateur a, ou non, dépassé un seuil) sans exfiltrer le détail de l'identité.
Pour le Québec, ces directives arrivent dans un contexte particulièrement dense. Le projet de loi 24, déposé fin avril, encadre déjà l'usage des hypertrucages et la responsabilité des plateformes. Le Manitoba, à la fin avril également, a interdit les chatbots d'IA aux mineurs, une orientation que plusieurs observateurs québécois jugent inspirante. Et l'avis du CCTM sur l'IA dans les milieux de travail, rendu public la semaine précédente, insistait déjà sur la nécessité de protéger les populations vulnérables. Les directives fédérales s'inscrivent donc dans un mouvement plus large : celui de transformer la vérification d'âge en levier de gouvernance plutôt qu'en outil de profilage.
ChatGPT : la décision conjointe attendue le 6 mai
L'annonce qui retiendra sans doute le plus l'attention des juristes et des responsables de conformité concerne l'enquête conjointe ouverte en 2023 par le CPVP, la CAI, l'Office of the Information and Privacy Commissioner of Alberta et son homologue de la Colombie-Britannique. Les conclusions seront rendues publiques le 6 mai 2026, à 11h, lors d'une conférence de presse au National Press Theatre à Ottawa, en présence de Naomi Ayotte, vice-présidente de la CAI, ainsi que des commissaires Michael Harvey (C.-B.) et Diane McLeod (Alberta).
L'enquête portait sur une question simple en apparence : OpenAI a-t-elle obtenu un consentement valide et éclairé pour la collecte, l'utilisation et la divulgation des renseignements personnels des Canadiens dans le cadre de l'entraînement et de l'exploitation de ChatGPT ? Au-delà du verdict, c'est la jurisprudence administrative qui s'écrira ici. La décision posera des balises sur la manière dont les grands modèles de langage doivent traiter les données scrappées sur le Web, sur les obligations de transparence et, possiblement, sur les droits d'accès et de rectification dans des systèmes dont la nature stochastique rend ces concepts délicats à appliquer.
Pour la CAI, c'est une étape importante. La Loi 25 contient déjà un régime spécifique sur les décisions automatisées et sur le consentement à la collecte. Une position commune avec trois autres autorités donnera un poids particulier aux orientations québécoises et limitera la fragmentation jurisprudentielle entre provinces, un point que les entreprises canadiennes appellent régulièrement de leurs vœux.
Une troisième annonce : enquête accélérée sur X
Le commissaire a également indiqué qu'une enquête accélérée a été ouverte concernant la plateforme X, à propos de la diffusion d'images intimes générées par IA sans consentement (deepfake porn). La cadence retenue, qualifiée d'expéditive par Dufresne, signale que le CPVP cherche à éviter les délais habituels lorsque la victimisation est en cours. C'est aussi une réponse implicite aux critiques sur la lenteur des procédures administratives face aux dynamiques virales propres aux plateformes.
Cette annonce complète logiquement la trajectoire québécoise : le projet de loi 24 et le projet de loi fédéral C-16, en chantier depuis le début de l'année 2026, partent du même constat. Sans capacité d'enquête rapide, sans coordination interprovinciale et sans coopération du fédéral, les réponses arrivent trop tard.
Ce que les organisations doivent en retenir
Trois éléments concrets ressortent pour les organisations québécoises qui déploient de l'IA générative ou qui exposent leurs services à un public mineur.
D'abord, la vérification d'âge n'est plus un sujet purement commercial : elle devient un test de gouvernance. Les fournisseurs de chatbots, de plateformes éducatives, de jeux et de services de contenus doivent revoir leurs flux d'authentification à la lumière des principes de nécessité, de proportionnalité et de minimisation publiés par le CPVP.
Ensuite, la décision conjointe sur ChatGPT modifiera, dès le 6 mai, le paysage contractuel. Les services informatiques et juridiques devront prévoir une revue rapide des contrats avec OpenAI et, par extension, avec les autres fournisseurs de modèles fondationnels. Les politiques d'usage interne des outils d'IA générative pourraient devoir être ajustées en conséquence.
Enfin, l'enquête accélérée sur X annonce un changement de tempo. Les organisations dont les produits peuvent être détournés à des fins d'hypertrucage doivent intégrer dès maintenant des mécanismes de provenance, de filigranage et de signalement. Attendre la version finale de la Loi sur l'IA et les données ou des règlements d'application est une stratégie risquée.
Pour le Québec, le 6 mai sera donc une date à surveiller : c'est, peut-être, la première grande décision administrative pancanadienne sur un grand modèle d'IA générative, et elle aura été coécrite par sa propre Commission d'accès à l'information.
Sources
- Office of the Privacy Commissioner of Canada, « News release: Privacy Commissioner of Canada launches new age assurance guidance to support organizations », 4 mai 2026 : https://www.priv.gc.ca/en/opc-news/news-and-announcements/2026/nr-c_260504/
- Office of the Privacy Commissioner of Canada, « Media advisory: Privacy regulators to discuss findings of joint investigation into ChatGPT », 4 mai 2026 : https://www.priv.gc.ca/en/opc-news/news-and-announcements/2026/ma_260504/
- IAPP, « OPC's Dufresne touts new age assurance guides, teases AI enforcement updates », 4 mai 2026 : https://iapp.org/news/a/privacy-commissioner-of-canada-delivers-keynote-address-at-iapp-canada-symposium-2026
- Office of the Privacy Commissioner of Canada, « Assessing whether and how to use age assurance – Guidance for websites and online services » : https://www.priv.gc.ca/en/privacy-topics/age-assurance/aa-gd-web/
- Office of the Privacy Commissioner of Canada, « Designing age assurance to be privacy-protective – Guidance for age assurance developers » : https://www.priv.gc.ca/en/privacy-topics/age-assurance/aa-gd-developers/
- MLex, « Canada's Privacy Commissioner emphasizes data minimization in age-assurance guidance », 4 mai 2026 : https://www.mlex.com/mlex/articles/2473395/canada-s-privacy-commissioner-emphasizes-data-minimization-in-age-assurance-guidance
