Le moment réglementaire de l'IA est arrivé. Partout à la fois.

La Loi sur l'intelligence artificielle et les données (AIDA) originale est morte au feuilleton en janvier 2025 lors de la prorogation du Parlement. En juin 2026, aucun projet de loi successeur n'a été déposé et aucune session ni date de dépôt n'est confirmée. Un futur cadre fédéral demeure possible, mais il n'est ni programmé ni arrêté dans son architecture. Nous suivons la direction fédérale et n'encoderons les obligations applicables que si et quand un projet de loi est réellement déposé, pas avant.

Ce qui rapporte, peu importe le calendrier fédéral, c'est l'inventaire qu'exigent déjà les cadres en vigueur. Les organisations qui ont déjà réalisé un inventaire d'IA et une classification des risques sous la Loi 25, en vigueur aujourd'hui, détiennent la documentation sur laquelle s'appuierait tout futur cadre fédéral. L'inventaire n'est pas la conformité, mais il est le prérequis à tout le reste, et il se justifie par la Loi 25 et OSFI E-23 à eux seuls.

La Commission d'accès à l'information du Québec est en mode d'application complète depuis septembre 2023, lorsque les dispositions les plus exigeantes de la Loi 25, y compris la transparence en matière de prise de décision automatisée sous l'article 12.1, sont entrées en vigueur. Deux ans et demi plus tard, la CAI a ouvert des enquêtes, publié des orientations sur les évaluations d'impact et diffusé des attentes détaillées quant aux avis sur les systèmes automatisés.

La question n'est plus de savoir si la CAI agira, mais envers qui et dans quel ordre. La posture réglementaire est cohérente avec ce que le CPVP a démontré avant elle : un accent initial sur les grandes organisations du secteur privé, un traitement systématique des plaintes et des sanctions croissantes pour les organisations qui ne parviennent pas à démontrer des efforts de conformité de bonne foi.

L'article 12.1 demeure la disposition la plus à risque pour la plupart des organisations. Il exige d'informer les personnes, avant ou au moment d'une décision, que celle-ci est prise par des moyens automatisés, et de divulguer les renseignements personnels utilisés. L'obligation d'offrir un droit réel à une révision humaine, et d'expliquer les principaux facteurs derrière une décision dans un délai de 30 jours, est fréquemment incomplète en pratique.

La ligne directrice E-23 de l'OSFI sur la gestion du risque lié aux modèles s'applique à toutes les institutions financières sous réglementation fédérale qui utilisent des modèles, y compris des modèles d'IA et d'apprentissage automatique, pour éclairer des décisions. La ligne directrice exige un inventaire des modèles, des cadres de validation, une documentation de gouvernance et un suivi continu de la performance. Elle entre en vigueur le 1er mai 2027, mais l'OSFI signale déjà ses attentes avant cette date, et les attentes en matière de risque lié aux modèles propre à l'IA se sont nettement affinées.

Les institutions qui arriveront à la date d'entrée en vigueur sans inventaire complet de leurs modèles, ou pire, sans documentation démontrant que les modèles d'IA fantôme ont été repérés et évalués, seront exposées à des attentes de mesures correctives. Les équipes de surveillance de l'OSFI posent déjà des questions sur l'usage des LLM, les abonnements d'IA tiers et la gouvernance entourant les modèles intégrés sans validation formelle.

L'intersection de l'OSFI E-23 et de la Loi 25 est particulièrement aiguë : un modèle de pointage de crédit, un système de détection de fraude aux réclamations ou un modèle d'approbation hypothécaire peut être simultanément assujetti aux exigences de gouvernance des modèles de l'OSFI et aux obligations de transparence de l'article 12.1 de la Loi 25. Gérer cela en parallèle, avec un seul dossier de preuves, est le problème central que Veille a été conçu pour résoudre.

La Loi visant à renforcer la cybersécurité et à bâtir la confiance dans le secteur public a reçu la sanction royale en novembre 2024. La Loi exige que les organismes désignés du secteur public en Ontario établissent des cadres de responsabilité en matière d'IA, réalisent des évaluations des risques avant le déploiement de systèmes d'IA, et rendent compte publiquement de leur utilisation de l'IA. Elle est entrée en vigueur par étapes, les normes techniques, qui définiront comment la conformité est mesurée, étant encore en cours d'élaboration au moment d'écrire ces lignes.

La posture actuelle pour les organisations du secteur privé qui fournissent des systèmes d'IA aux organismes publics de l'Ontario consiste à suivre la consultation sur les normes techniques et à se préparer aux exigences de documentation des fournisseurs. La Loi crée des obligations pour le client du secteur public, mais ces obligations se répercuteront en aval sur les fournisseurs de technologie par le biais des exigences d'approvisionnement et de contractualisation.

Note : les normes techniques ne sont pas finalisées, et les obligations du projet de loi 194 encodées dans Veille sont des brouillons en attente de révision par un conseiller juridique, pas encore validées par un cabinet.

Le décret du président Biden sur l'IA (octobre 2023) a établi un cadre fédéral ambitieux : évaluations de sécurité obligatoires pour les modèles de pointe, exigences de déclaration pour l'IA à double usage, et plans de mise en œuvre propres à chaque agence. L'administration Trump est entrée en fonction en janvier 2025 et a révoqué le décret, enjoignant aux agences de privilégier le développement de l'IA plutôt qu'une surveillance de précaution.

En pratique, cela signifie que la réglementation fédérale de l'IA aux États-Unis est désormais largement sectorielle et pilotée par les agences. La FTC continue d'appliquer les lois sur la protection des consommateurs à la tromperie et à la discrimination pilotées par l'IA. Les régulateurs bancaires maintiennent leurs cadres de risque lié aux modèles et de prêt équitable. La SEC impose des exigences de divulgation sur l'IA aux conseillers en placement. L'absence d'un cadre fédéral unifié n'a pas produit un vide réglementaire, elle a produit une mosaïque fragmentée que les organisations à exposition multisectorielle doivent naviguer séparément.

Pour les entreprises canadiennes ayant une exposition au marché américain, l'implication pratique est que la conformité aux exigences américaines en matière d'IA dépend presque entièrement du secteur, de la géographie et du type de clientèle. Il n'existe pas de liste de vérification fédérale unique, mais il existe de multiples actions d'application en cours.

Le Colorado SB 205, signé en mai 2024 et en vigueur en février 2026, impose des obligations aux développeurs et aux déployeurs de « systèmes d'intelligence artificielle à haut risque », définis comme des systèmes qui prennent, ou influencent substantiellement, des décisions importantes en matière d'emploi, de logement, de crédit, d'éducation, de services gouvernementaux, de soins de santé et d'assurance. Les définitions sont larges et les seuils sont plus bas que ce que de nombreuses organisations avaient initialement présumé.

Les déployeurs, les organisations qui utilisent des systèmes d'IA à haut risque pour prendre des décisions importantes concernant les consommateurs du Colorado, doivent réaliser des évaluations annuelles des risques, mettre en place des politiques de gestion des risques, fournir un avis aux personnes concernées et offrir un droit réel d'appel des décisions automatisées. La loi s'applique sans égard au lieu du siège social du déployeur. Une institution financière québécoise ayant une clientèle de détail au Colorado est visée si elle recourt à une prise de décision automatisée en matière de crédit.

La ressemblance avec les exigences de la Loi 25 en matière de prise de décision automatisée est notable : avis avant ou au moment de la décision, droit d'appel, explication sur demande. Les organisations déjà conformes à l'article 12.1 de la Loi 25 présentent un chevauchement structurel important avec les exigences du Colorado, bien que les formats de documentation et les seuils précis diffèrent.

La prolifération au niveau des États à la suite du Colorado est importante. Le Texas, la Virginie, le Connecticut et l'Illinois ont présenté des projets de loi assortis de cadres d'IA à haut risque similaires. Le Texas HB 1709, calqué de près sur le Colorado, a été adopté par la Chambre en avril 2026 et est devant le Sénat. S'il est adopté, il serait la deuxième loi d'État sur l'IA et le plus peuplé des États couverts. Le VAIA de la Virginie crée des obligations similaires avec un mécanisme d'application différent, un droit d'action privé plutôt qu'une application par le procureur général.

Pour les organisations canadiennes ayant une exposition aux États-Unis, le défi pratique est le suivi juridictionnel. Une entreprise présente au Colorado, au Texas et en Virginie pourrait faire face à trois régimes de conformité distincts en 18 mois, chacun avec des définitions, des échéanciers et des exigences de documentation légèrement différents. Les obligations sous-jacentes sont structurellement similaires, inventaire, évaluation des risques, avis, droits d'appel, mais les seuils précis et les mécanismes d'application varient.

En l'absence d'une loi fédérale dédiée à l'IA, la Federal Trade Commission sévit contre les préjudices liés à l'IA en vertu de l'article 5 du FTC Act (pratiques déloyales ou trompeuses) et de l'Equal Credit Opportunity Act. De récentes actions d'application ont visé : du contenu généré par IA présenté comme créé par un humain, des systèmes automatisés produisant des résultats de crédit discriminatoires sans surveillance adéquate, et des systèmes de tarification algorithmique créant des effets anticoncurrentiels.

Les orientations de la FTC sur l'IA précisent clairement que l'agence considère le droit existant comme suffisant pour couvrir la plupart des préjudices liés à l'IA, et que les organisations ne peuvent éviter leur responsabilité en prétendant qu'un résultat discriminatoire ou trompeur a été produit par un algorithme plutôt que par une décision humaine. La défense « nous ignorions que le modèle faisait cela » n'est pas recevable.

L'AI Act européen est entré en vigueur le 1er août 2024. Le calendrier de mise en œuvre est échelonné : les pratiques d'IA interdites sont devenues exécutoires en février 2025. Les obligations relatives aux modèles d'IA à usage général (GPAI) ont pris effet en août 2025. Le chapitre le plus substantiel, les obligations pour les systèmes d'IA à haut risque visés à l'annexe III, est désormais applicable le 2 décembre 2027, reporté du 2 août 2026 par le Digital Omnibus sur l'IA (accord du 7 mai 2026, endossé par le Parlement européen le 16 juin 2026 ; adoption formelle du Conseil en attente), les obligations préparatoires demeurant actives. À noter : les obligations de transparence de l'article 50 restent au calendrier d'origine du 2 août 2026.

Les systèmes à haut risque de l'annexe III comprennent l'IA utilisée dans : les infrastructures critiques, l'éducation, l'emploi et la gestion de la main-d'œuvre, l'accès aux services privés essentiels (crédit, assurance), les forces de l'ordre, la migration et l'administration de la justice. Les obligations sont substantielles : évaluations de conformité, documentation technique, mesures de supervision humaine, normes d'exactitude et de robustesse, et enregistrement dans la base de données européenne des systèmes d'IA avant le déploiement.

La portée extraterritoriale de l'AI Act est sans ambiguïté : tout fournisseur ou déployeur dont la sortie du système d'IA est utilisée au sein de l'UE est assujetti, sans égard au lieu d'établissement du fournisseur. Les institutions financières, les assureurs et les entreprises SaaS canadiennes qui servent des entreprises ou des particuliers établis dans l'UE sont visés si leurs systèmes entrent dans les catégories de l'annexe III. Ce n'est pas théorique, c'est déjà actif pour plusieurs organisations canadiennes.

Les fournisseurs de modèles d'IA à usage général, principalement les développeurs de modèles de pointe, sont assujettis aux obligations de l'AI Act européen depuis août 2025. Le code de pratique élaboré par le Bureau de l'IA, qui opérationnalise ces obligations, a été finalisé en février 2026 après une consultation approfondie réunissant plus de 1 000 participants. Les fournisseurs de modèles GPAI utilisés dans des applications tournées vers l'UE doivent tenir à jour une documentation technique, mettre en place des politiques en matière de droit d'auteur et mener des tests adversariaux à intervalles définis.

Pour la plupart des entreprises canadiennes, le chapitre GPAI importe surtout parce que les services d'IA tiers qu'elles déploient, provenant de grands fournisseurs de LLM américains, sont assujettis à ces obligations. Cela crée une chaîne de responsabilité : les fournisseurs doivent produire une documentation sur laquelle leurs clients d'entreprise peuvent s'appuyer pour leurs propres évaluations de conformité. Suivre lesquels de vos outils d'IA tiers sont conformes à l'AI Act européen est désormais une exigence de diligence raisonnable en matière d'approvisionnement.

Le Bureau européen de l'IA a été créé en mars 2024 comme organe central d'application pour les modèles GPAI et comme pôle de coordination des autorités nationales de surveillance du marché. Il a publié des orientations sur les obligations GPAI, amorcé des évaluations de modèles dans le cadre du dispositif de sécurité, et émis des communications informelles au marché sur ce qu'il considère comme une conduite conforme et non conforme. Sa posture d'application se précise avec chaque document publié.

Les autorités nationales de surveillance du marché, l'équivalent des autorités de protection des données pour l'application de l'AI Act, sont à divers stades de préparation à travers les États membres de l'UE. La BNetzA allemande, la CNIL française (agissant en double capacité) et l'ACM néerlandaise ont publié leurs cadres initiaux. Les premières actions formelles d'application sont attendues pour la seconde moitié de 2026, visant les cas de non-conformité les plus visibles dans les catégories à haut risque.

Le gouvernement britannique a explicitement choisi de ne pas adopter un équivalent horizontal de l'AI Act, du moins pour l'instant. Son approche s'appuie sur les régulateurs sectoriels existants, la FCA pour les services financiers, la CMA pour la concurrence, l'ICO pour la protection des données, chacun appliquant ses propres orientations sur l'IA dans son champ de compétence. Le Plan d'action sur l'IA du gouvernement (janvier 2026) a réaffirmé cette position, privilégiant une réglementation « favorable à l'innovation » plutôt qu'une législation horizontale de précaution.

En pratique, cela signifie que la conformité de l'IA tournée vers le Royaume-Uni est sectorielle, propre à chaque régulateur, et évolue plus vite que toute loi unique. Les orientations de la FCA sur l'IA dans les services financiers sont substantielles. Les travaux de l'ICO sur la prise de décision automatisée sous le RGPD britannique sont suivis de près. Pour les organisations canadiennes ayant des activités au Royaume-Uni, la posture de conformité s'apparente davantage à « de multiples relations réglementaires » qu'à « une seule loi ».

Depuis le Brexit, les cadres britannique et européen divergent, mais les organisations servant les deux marchés doivent tenir une documentation parallèle, et ne peuvent présumer que la conformité à l'AI Act européen satisfait les attentes réglementaires britanniques, ou inversement.