Les points de vue des intervenants de l'industrie présentés dans cet article ont été recueillis lors du projet de leadership éclairé sur la gestion des risques liés à l'IA du Vector Institute à l'automne 2022.
Le débat sur la réglementation canadienne en matière d'IA ne fait que commencer.
Le premier projet de loi canadien sur l'utilisation commerciale de l'IA, la Loi sur l'intelligence artificielle et les données (LIAAD), a été déposé en juin 2022. Dans le cadre du projet de loi C-27, la LIAAD était associée à deux lois sur la protection de la vie privée : la Loi sur la protection des renseignements personnels des consommateurs (LPRC) et la Loi sur le Tribunal de la protection des renseignements personnels et des données (LPRPDD).
L'AIDA s'inscrit dans la lignée d'autres propositions récentes de réglementation de l'IA, notamment la loi européenne sur l'intelligence artificielle (2021) et la loi américaine sur la responsabilité algorithmique de 2022. Cependant, alors que ces deux lois sont exhaustives, celle du Canada adopte une approche plus schématique, faisant référence à des réglementations supplémentaires qui restent à élaborer.
L'objectif de l'AIDA est manifestement d'établir une chaîne de responsabilité pour les systèmes d'IA, en particulier les systèmes à fort impact, c'est-à-dire ceux susceptibles de causer un préjudice considérable aux consommateurs. Les personnes et les organisations jugées responsables des systèmes d’IA seront tenues d’anonymiser les données, d’évaluer et d’atténuer les risques, de publier des informations sur les systèmes à fort impact et s’exposeront à des sanctions en cas de non-respect de ces obligations.
Rassembler la communauté de l'IA
Lors de sa présentation, la loi AIDA a suscité des réactions mitigées au sein de la communauté canadienne de l'IA. Une partie des inquiétudes est que le projet de loi prévoit des amendes en cas de non-conformité, sans toutefois définir clairement ce que signifierait ou exiger la conformité, renvoyant à une réglementation ultérieure.
Pour explorer l’approche de l’AIDA et analyser ces préoccupations, Vector a intégré le projet de loi C-27 à son projet de réflexion sur la gestion des risques liés à l’IA de l’automne 2022. Ce projet a réuni des acteurs de l’écosystème canadien de l’IA provenant de divers secteurs, notamment des représentants d’organismes de réglementation, de gouvernements et d’entreprises de toutes tailles. Lors des discussions sur l’AIDA, les participants ont exprimé leurs appréhensions et leurs points de vue sur les possibilités offertes par le projet de loi, partageant ainsi un éventail d’idées constructives pour le préciser et l’améliorer afin qu’il profite à tous les Canadiens.
Préoccupations courantes
De nombreux participants au projet de Vector sur la gestion des risques liés à l'IA estimaient que l'ambiguïté de la Loi sur l'IA et les sanctions proposées présentaient des risques considérables pour quiconque participe au développement, à la distribution ou à l'utilisation de systèmes d'IA, risquant de freiner l'innovation en IA au Canada. Dans le projet de loi, l'IA est présentée comme un risque sans que les occasions qu'elle représente ne soient reconnues. Sachant qu'il y aura des sanctions, mais sans connaître précisément les règles, on s'entendait généralement pour dire que tout investissement supplémentaire dans l'IA devenait difficile. Le Canada pourrait ainsi laisser entendre que l'IA est devenue trop risquée pour être poursuivie.
Parmi les principales préoccupations soulevées par Vector concernant la formulation du projet de loi, figurait l'imprécision de la définition d'un « système d'IA » – l'objet même que la loi AIDA vise à réglementer. De même, des inquiétudes ont été exprimées quant à l'absence de critères permettant de définir la nature des systèmes d'IA « à fort impact », présentant les risques de préjudice les plus élevés.
La définition de « personne responsable » des systèmes d'IA proposée par l'AIDA – organisations et individus tenus de respecter la réglementation et passibles de sanctions – a également suscité l'inquiétude des participants. Parmi les préoccupations soulevées, on note que cette définition large semble englober toute entreprise et toute personne impliquée, de quelque manière que ce soit, dans la collecte de données, le codage, l'ingénierie, la formation, la distribution et l'utilisation des systèmes d'IA. En créant un vaste réseau de personnes potentiellement responsables, le projet de loi brouille les frontières entre les responsabilités de chacun. Les participants ont également souligné que l'AIDA ne précise pas les conditions dans lesquelles les individus travaillant au sein d'organisations (et non les organisations elles-mêmes) peuvent être tenus responsables des préjudices liés à l'utilisation des systèmes d'IA.
Parmi les autres exigences clés qui, selon les participants, nécessitent des éclaircissements, figurent l'évaluation des risques, ou la probabilité qu'un système cause un préjudice important ; l'instauration de l'équité (c'est-à-dire l'évitement des résultats biaisés) ; l'établissement de normes pratiques pour l'anonymisation des données ; et la spécification de la limite juridictionnelle de l'AIDA à l'activité commerciale internationale et interprovinciale.
Au-delà du manque de clarté de l'AIDA, les participants au projet de Vector sur la gestion des risques liés à l'IA ont exprimé leur malaise ou leur incompréhension quant à la mise en œuvre de la réglementation fédérale en matière d'IA. Par exemple, le projet de loi propose de confier à une seule autorité fédérale le pouvoir de constater les infractions à la réglementation et d'imposer des sanctions financières. Certains participants ont estimé que la séparation de ces deux fonctions entre deux organismes distincts pourrait favoriser un environnement réglementaire plus responsable.
Enfin, bien que l’AIDA propose d’adapter les sanctions à la taille de l’organisation, certains participants craignent que le risque de sanctions ne rende beaucoup plus difficile pour les jeunes entreprises et les PME d’attirer des investisseurs, tout en créant de nouveaux avantages pour les grandes entreprises technologiques internationales capables de payer les amendes canadiennes ou de les contester en justice. Les nouvelles entreprises pourraient choisir de s'intégrer dans un autre territoire, où la réglementation est plus claire, plutôt que de prendre le risque d'exercer leurs activités sans connaître la réglementation future. Le fardeau des mécanismes de déclaration prévus par la loi semble également peser plus lourdement sur les petites organisations que sur les grandes entreprises internationales, qui sont en mesure de gérer ces exigences.
Un chemin à suivre
Une des solutions envisagées par certains participants était de demander au gouvernement de dissocier la LIA du projet de loi C-27. Cela permettrait l'adoption de la LPRP et de la LPRPD – deux mises à jour importantes de la législation canadienne sur la protection des renseignements personnels – pendant que la LIA serait révisée avec le même soin que celui apporté au reste du projet de loi.
« L’IA transformatrice exige de nouvelles façons de penser la réglementation gouvernementale. »
Que l’AIDA soit ou non intégrée au projet de loi C-27, les intervenants de l’écosystème canadien de l’IA ont démontré qu’ils ont beaucoup à apporter aux discussions sur les prochaines étapes. Les participants ont constaté un intérêt général parmi les experts et les praticiens canadiens de l’IA à faire part au gouvernement fédéral de leurs commentaires sur l’AIDA et de leurs idées précises concernant la réglementation de l’IA, afin de servir au mieux les intérêts du Canada.
L'une des recommandations d'un commanditaire industriel de Vector est d'harmoniser la définition des systèmes d'IA de l'AIDA avec celles de l'OCDE et de la loi européenne sur l'IA. Il a également été recommandé de suivre l'approche de cette loi en matière de distinction des responsabilités des différentes parties prenantes et de définition des critères relatifs aux systèmes à haut risque. Cette harmonisation des définitions offrirait à l'écosystème canadien de l'IA une plus grande clarté et compatibilité juridiques, tout en ouvrant la voie à une collaboration et à des échanges commerciaux accrus avec les partenaires de l'UE.
Certains participants ont également recommandé d'adapter la réglementation aux jeunes entreprises et aux autres petites et moyennes entreprises afin de leur faciliter la réalisation des objectifs de l'AIDA, tandis que d'autres ont plaidé pour une évaluation minutieuse de la façon dont le projet de loi s'inscrit dans le contexte réglementaire canadien et international plus large.
Du point de vue des participants au projet, il est essentiel d'aborder ces questions et d'autres enjeux connexes dans la version préliminaire actuelle de l'AIDA afin d'élaborer une réglementation efficace et pratique en matière d'IA. Les participants ont vu là une occasion pour l'écosystème canadien de l'IA de prendre de l'ampleur, de s'impliquer, de créer des normes et de susciter des échanges importants au sein des industries et entre elles.
Inscrivez-vous à notre liste de diffusion pour participer au prochain projet Vector Thought Leadership et découvrez les avantages de participer à des conversations comme celle-ci en tant que commanditaire industriel.
