IA en santé : la CAI et ses homologues réclament un encadrement légal

Une résolution commune des commissaires à la vie privée est une prise de position adoptée par l'ensemble des autorités fédérale, provinciales et territoriales chargées de la protection des renseignements personnels au Canada. Le 29 octobre 2026, le Commissariat à la protection de la vie privée du Canada (CPVP) et la Commission d'accès à l'information du Québec (CAI) ont rendu publique une résolution sur l'utilisation responsable de l'intelligence artificielle (IA) dans la santé et la recherche en santé.

Adoptée à Ottawa le 15 septembre 2026, lors de la rencontre annuelle des organismes de réglementation, elle porte la signature de 14 autorités, dont la CAI. Elle s'adresse aux gouvernements, aux développeurs, aux établissements de santé et au milieu de la recherche.

Pourquoi les régulateurs ciblent-ils l'IA en santé ?

La résolution part d'un constat : la hausse des coûts, le vieillissement de la population et la pénurie de main-d'œuvre poussent les gouvernements et les soignants vers des outils d'IA (aide au diagnostic, agents conversationnels, scribes numériques). Les régulateurs y voient deux familles de risques :

• la collecte, l'utilisation ou la communication non autorisées de renseignements, y compris la réidentification de jeux de données dépersonnalisés, l'entraînement sur des données obtenues illégalement et les vulnérabilités aux cyberattaques ;
• les biais algorithmiques et la discrimination systémique, qui peuvent mener à de faux diagnostics ou à des traitements inadaptés, en particulier pour les groupes marginalisés.

Les renseignements de santé figurant parmi les plus sensibles, le CPVP rappelle dans son communiqué que les gouvernements, les régulateurs et les fournisseurs doivent collaborer pour que ces outils respectent des normes rigoureuses de protection des données.

Que demande la résolution aux gouvernements ?

Le texte énonce six principes que tout système d'IA en santé devrait respecter : protéger la vie privée, être valide et fiable, être sûr, respecter les droits de la personne, être transparent et faire l'objet d'une reddition de comptes. Les régulateurs demandent aux gouvernements fédéral, provinciaux et territoriaux :

1. de réviser, modifier ou adopter des lois et règlements qui concilient innovation et respect de ces six principes, sur tout le cycle de vie des systèmes ;
2. de consulter véritablement l'autorité de protection de la vie privée de leur juridiction lors de l'élaboration de ces cadres ;
3. d'associer le public, notamment les comités d'usagers et les communautés vulnérables ;
4. d'obliger légalement les parties qui développent, acquièrent ou utilisent l'IA en santé à se doter d'un cadre de gouvernance et de responsabilisation fondé sur l'évaluation des risques.

Cette dernière demande est la plus structurante : elle transformerait en obligation ce qui relève aujourd'hui, pour une large part, de bonnes pratiques volontaires.

Quelles attentes pour les établissements et les fournisseurs ?

Pour les développeurs, la résolution exige la protection de la vie privée dès la conception (minimisation des données, recours aux données dépersonnalisées ou synthétiques, sources licites, paramètres protecteurs par défaut), des évaluations continues et la transmission aux clients des risques détectés.

Pour les prestataires de soins, elle énumère dix attentes, dont la désignation d'une personne-ressource, un moyen concret de contester une décision importante, une diligence contractuelle envers les fournisseurs (audit, limites d'utilisation et de commercialisation), la formation du personnel pour prévenir l'« IA fantôme » (outils non approuvés) et une supervision humaine des résultats produits par l'IA.

Côté recherche, les régulateurs invitent le Groupe consultatif interagences en éthique de la recherche et les trois organismes fédéraux de financement à mettre à jour l'Énoncé de politique des trois Conseils (EPTC 2) pour encadrer la recherche fondée sur l'IA, et à renforcer la formation des comités d'éthique de la recherche.

Qu'est-ce que cela change au Québec ?

La résolution n'a pas de force contraignante, mais la CAI l'a signée et elle annonce une coordination des mesures d'application entre juridictions. Au Québec, plusieurs attentes recoupent déjà des obligations en vigueur :

1. Loi 25 : l'évaluation des facteurs relatifs à la vie privée (EFVP) est obligatoire avant d'acquérir ou de développer un système qui traite des renseignements personnels, et toute décision fondée exclusivement sur un traitement automatisé doit être divulguée à la personne concernée.
2. Loi sur les renseignements de santé et de services sociaux : en vigueur depuis le 1er juillet 2024, elle encadre l'accès aux renseignements de santé, y compris pour la recherche.
3. Scribes numériques : le Québec tient déjà une liste d'outils de transcription par IA autorisés, mise à jour en juillet 2026, qui illustre ce que pourrait être une gouvernance par certification (voir notre analyse).

Pour le nouveau ministère de l'Intelligence artificielle et du Numérique, créé le 21 octobre 2026, et pour le ministère de la Santé, la résolution fournit une liste de vérification prête à l'emploi en vue d'un éventuel encadrement législatif. Le discours d'ouverture de la nouvelle législature, prévu le 17 novembre 2026, indiquera si l'IA en santé figure parmi les priorités. La démarche fait aussi écho aux orientations de l'Organisation mondiale de la santé sur les comités d'éthique (lire l'article).

Questions fréquentes

La résolution des commissaires est-elle obligatoire ?

Non. Une résolution commune n'a pas force de loi. Elle exprime la position concertée des 14 autorités signataires, dont la CAI, et annonce leurs priorités : plaider pour des lois claires, faire respecter les lois existantes, coordonner leurs actions et sensibiliser le secteur de la santé. Elle oriente donc les futures enquêtes et lignes directrices.

Quels outils d'IA en santé sont visés ?

Tous les systèmes qui produisent des prédictions, du contenu ou des recommandations à partir de données de santé. La résolution cite explicitement les outils d'aide au diagnostic, les agents conversationnels et les scribes numériques, ainsi que les projets de recherche qui utilisent l'IA avec des participants humains.

Que doit faire un établissement québécois dès maintenant ?

Il peut vérifier que chaque outil d'IA a fait l'objet d'une EFVP, recenser les usages non approuvés par le personnel, revoir ses contrats avec les fournisseurs (audit, limites d'utilisation des données) et désigner une personne-ressource capable de répondre aux questions des usagers sur l'IA.

Qu'est-ce que l'EPTC 2 ?

L'Énoncé de politique des trois Conseils (EPTC 2) est la politique canadienne d'éthique de la recherche avec des êtres humains, adoptée par les trois organismes fédéraux de financement de la recherche. Les commissaires demandent qu'il soit mis à jour pour traiter les risques propres à l'IA, notamment la réidentification et les biais.

Sources

• Les commissaires et ombuds à la protection de la vie privée du fédéral, des provinces et des territoires réclament une utilisation responsable de l'IA dans le domaine de la santé (CPVP, 29 octobre 2026)
• Responsible use of artificial intelligence in health and health research, résolution commune (CPVP, 15 septembre 2026)
• Résolution commune : utilisation responsable de l'IA en santé (Commission d'accès à l'information du Québec, octobre 2026)
• Loi sur les renseignements de santé et de services sociaux, RLRQ c. R-22.1 (LégisQuébec)
• Énoncé de politique des trois Conseils : éthique de la recherche avec des êtres humains, EPTC 2 (Groupe en éthique de la recherche, 2022)