Le Commissariat à la protection de la vie privée du Canada a raison de dire que la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) comporte des lacunes en matière d’intelligence artificielle (IA)1 . Les organisations commerciales des industries verticales du Canada adoptent l’IA pour remplacer ou compléter l’analyse et la prise de décisions par l’humain. Parallèlement, l’IA nécessite de grandes quantités de renseignements personnels pour bien fonctionner et donner des résultats prometteurs. Pour ces raisons, l’IA affecte profondément la façon dont nous utilisons les renseignements personnels, tant en ce qui concerne nos politiques que nos pratiques, ainsi que les types d’activités pour lesquels nous utilisons ces renseignements personnels.
Néanmoins, il est important de rester prudents dans notre approche pour réglementer l’IA. La surréglementation aurait de graves conséquences pour l’innovation au Canada, limitant les avantages potentiels de l’IA et gênant les efforts actuels pour positionner le Canada comme un chef de file international en matière d’IA. Parallèlement, une réponse réglementaire inadéquate priverait les particuliers des outils et des leviers explicites dont ils ont besoin pour se protéger et protéger leurs renseignements personnels dans le contexte de l’IA. À tout le moins, le CTIC suggère d’établir clairement les obligations et les droits suivants :
1) l’obligation de divulguer de façon proactive et responsable l’utilisation de systèmes de prise de décisions automatisés et semi-automatisés afin que les particuliers comprennent bien les répercussions associées à l’utilisation prévue de leurs renseignements;
2) le droit d’être informé lorsqu’un particulier fait l’objet d’un processus de décisions automatisé et semi-automatisé;
3) le droit d’avoir accès aux pratiques et politiques des organisations commerciales relatives à l’utilisation des renseignements personnels dans le cadre d’un processus de décisions automatisé et semi-automatisé;
4) le droit de demander une évaluation des facteurs relatifs à la vie privée et d’y avoir accès, ainsi qu’une obligation parallèle pour les organisations commerciales de mener ce genre d’évaluations pour certains types de systèmes de prise de décisions automatisés et semi-automatisés;
5) le droit d’avoir accès à des renseignements précis sur les systèmes de prise de décisions automatisés et semi-automatisés comme le degré de participation humaine au processus décisionnel, le degré de traçabilité des décisions, et les caractéristiques clés des données d’apprentissage, dont les biais potentiels;
6) le droit à l’oubli lié aux renseignements personnels, aussi appelé le droit d’effacement, une notion particulièrement importante puisque les applications de l’IA peuvent recueillir et utiliser des données inexactes, ou même créer des données sur des personnes en se fondant sur des algorithmes erronés ou biaisés.
Puisque la LPRPDE pourrait ne pas être la bonne voie à suivre pour faire ce travail, nous devons continuer d’explorer d’autres méthodes pour assurer le respect de la règle de droit, des droits de la personne, de la diversité et de la valeur démocratique dans le contexte de l’IA au Canada.
Lire le document au complet ici.