IA en santé : les 6 principes exigés par les commissaires

2026-11-02 · 5 min de lecture · Gouvernance IA

Le 29 octobre 2026, les commissaires et ombuds à la protection de la vie privée du Canada ont rendu publique une résolution conjointe qui fixe six principes pour l'IA en santé. Voici ce qu'elle attend des fournisseurs, des établissements et des chercheurs, et comment l'appliquer au Québec.

La résolution conjointe sur l'utilisation responsable de l'intelligence artificielle (IA) dans le domaine de la santé est un texte adopté par les commissaires et ombuds à la protection de la vie privée du fédéral, des provinces et des territoires. Adoptée à Ottawa le 15 septembre 2026 et rendue publique le 29 octobre 2026, elle fixe six principes et des attentes précises pour les gouvernements, les fournisseurs de systèmes d'IA, les prestataires de soins et les chercheurs.

La résolution n'a pas force de loi. Elle indique toutefois comment les autorités de protection des renseignements personnels liront les lois existantes lors de leurs enquêtes et de leurs avis. Pour un CTO (Chief Technology Officer) qui vend ou déploie un outil d'IA en santé, c'est la grille d'analyse la plus récente des régulateurs canadiens en novembre 2026.

Quels sont les 6 principes de la résolution sur l'IA en santé ?

Les régulateurs reprennent les principes publiés en janvier 2026 par la Commissaire à l'information et à la protection de la vie privée de l'Ontario (CIPVP) et la Commission ontarienne des droits de la personne. Ils s'appliquent à tout le cycle de vie du système, de la conception au retrait :

Protection de la vie privée : limiter la collecte, l'utilisation, la communication et la conservation des renseignements à ce que la loi permet.
Validité et fiabilité : démontrer que le système produit des résultats exacts dans le contexte clinique réel.
Sécurité : prévenir les préjudices pour les patients et protéger les données contre les accès non autorisés.
Respect des droits de la personne : détecter et corriger les biais qui touchent des groupes vulnérables.
Transparence : informer les patients et les cliniciens de l'usage de l'IA et de ses limites.
Responsabilité : désigner qui répond des décisions et maintenir une supervision humaine.

Que demandent les commissaires aux fournisseurs et aux établissements ?

Les attentes envers les entreprises sont concrètes. Selon la résolution publiée par le Commissariat à la protection de la vie privée du Canada (CPVP), les développeurs et fournisseurs doivent intégrer la protection de la vie privée dès la conception, réduire au minimum les renseignements personnels utilisés et privilégier les données dépersonnalisées ou synthétiques. Ils doivent aussi confirmer que les données d'entraînement ont été obtenues légalement.

Les fournisseurs sont appelés à partager avec leurs clients les résultats de leurs évaluations de risques en continu, et à recommander des mesures d'atténuation en aval. Les prestataires de soins, eux, doivent mettre en place des contrôles, former leur personnel et conserver une supervision humaine des systèmes.

Que change la résolution pour la recherche en santé ?

La résolution demande aux trois organismes fédéraux de financement de la recherche de mettre à jour l'Énoncé de politique des trois Conseils (EPTC 2) afin de couvrir les enjeux propres à l'IA, notamment le risque de réidentification et les biais. Elle demande aussi que les comités d'éthique de la recherche aient la capacité d'évaluer les projets utilisant l'IA, et que les chercheurs rendent publics leurs résultats.

Comment appliquer la résolution au Québec en 2026 ?

Au Québec, la résolution s'ajoute à un cadre déjà contraignant. Trois textes encadrent un projet d'IA en santé :

La Loi sur les renseignements de santé et de services sociaux (RLRQ, chapitre R-22.1), en vigueur depuis le 1er juillet 2024, qui régit les renseignements détenus par les organismes du réseau et certains cabinets privés.
La Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1), modifiée par la Loi 25, qui impose une évaluation des facteurs relatifs à la vie privée (EFVP) avant tout projet de système d'information impliquant des renseignements personnels (article 3.3).
L'article 12.1 de cette même loi, qui oblige à informer une personne lorsqu'une décision est fondée exclusivement sur un traitement automatisé de ses renseignements.

La Commission d'accès à l'information du Québec (CAI) demeure l'autorité qui applique ces lois au Québec. La résolution offre une liste de contrôle commune aux entreprises actives dans plusieurs provinces. Pour mesurer l'écart entre vos pratiques et ces attentes, un diagnostic de maturité IA permet de cibler les chantiers prioritaires.

Quelles actions prioriser d'ici le premier trimestre 2027 ?

Les entreprises du secteur de la santé peuvent traduire la résolution en quatre gestes : inventorier les systèmes d'IA qui traitent des renseignements de santé, exiger des fournisseurs leurs évaluations de risques et la provenance des données d'entraînement, documenter une EFVP pour chaque outil, et nommer un responsable de la supervision humaine. Les scribes médicaux automatisés, analysés par la CIPVP de l'Ontario en janvier 2026, sont un bon point de départ.

Questions fréquentes

La résolution des commissaires sur l'IA en santé est-elle obligatoire ?

Non. La résolution adoptée le 15 septembre 2026 et publiée le 29 octobre 2026 n'a pas force de loi. Elle exprime toutefois l'interprétation commune des commissaires et ombuds à la protection de la vie privée du Canada, qui s'en serviront pour orienter leurs enquêtes et leurs avis sur l'IA en santé.

Quels sont les six principes de l'IA responsable en santé au Canada ?

Les six principes sont la protection de la vie privée, la validité et la fiabilité, la sécurité, le respect des droits de la personne, la transparence et la responsabilité. Ils proviennent des principes publiés en janvier 2026 par la Commissaire à l'information et à la protection de la vie privée de l'Ontario et la Commission ontarienne des droits de la personne.

Un fournisseur québécois d'outils d'IA médicale doit-il faire une EFVP ?

Oui, dans la plupart des cas. L'article 3.3 de la Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25, exige une évaluation des facteurs relatifs à la vie privée pour tout projet de système d'information impliquant des renseignements personnels.

Sources

Commissariat à la protection de la vie privée du Canada, « Utilisation responsable de l'intelligence artificielle dans le domaine de la santé et de la recherche en santé », résolution conjointe FPT adoptée le 15 septembre 2026 : https://www.priv.gc.ca/en/about-the-opc/what-we-do/provincial-and-territorial-collaboration/joint-resolutions-with-provinces-and-territories/res_20260915_aihealth/
Communiqué conjoint des commissaires et ombuds FPT, 29 octobre 2026 (Cision) : https://www.newswire.ca/fr/news-releases/les-commissaires-et-ombuds-a-la-protection-de-la-vie-privee-du-federal-des-provinces-et-des-territoires-reclament-une-utilisation-responsable-de-l-intelligence-artificielle-dans-le-domaine-de-la-sante-et-de-la-recherche-en-sante-858302453.html
Commissaire à l'information et à la protection de la vie privée de l'Ontario, communiqué sur la résolution, octobre 2026 : https://www.ipc.on.ca/en/media-centre/news-releases/canadas-federal-provincial-and-territorial-privacy-commissioners-and-ombuds-call-responsible-use
LégisQuébec, Loi sur les renseignements de santé et de services sociaux (RLRQ, c. R-22.1) : https://www.legisquebec.gouv.qc.ca/fr/document/lc/R-22.1
LégisQuébec, Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) : https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1
Groupe consultatif interagences en éthique de la recherche, Énoncé de politique des trois Conseils (EPTC 2, 2022) : https://ethics.gc.ca/fra/policy-politique_tcps2-eptc2_2022.html

Voir tous les articles