Loi Fédérale sur l'IA au Canada (AIDA) : Où en Est-on en 2027 ?

L'AIDA — la Loi sur l'intelligence artificielle et les données — est-elle en vigueur au Canada ? Non. Elle est morte au feuilleton en janvier 2025, en même temps que le projet de loi C-27 qui la contenait, lors de la prorogation du Parlement. Il n'existe aujourd'hui, à l'été 2027, aucune loi fédérale spécifique à l'intelligence artificielle au Canada, et rien n'indique qu'une telle loi horizontale — comparable au AI Act européen — soit sur le point d'être adoptée. Cela ne veut toutefois pas dire que l'usage de l'IA dans votre PME échappe à tout encadrement légal : c'est même tout le contraire, et c'est précisément ce qui rend la situation actuelle si mal comprise par les dirigeants d'entreprise.

Ce guide fait le point, sans détour, sur ce qui s'est réellement passé avec l'AIDA, sur ce que propose le projet de loi C-36 déposé en juin 2026, sur la stratégie nationale « L'IA pour tous », et surtout sur les obligations bien réelles qui touchent déjà votre PME québécoise dès qu'un outil d'intelligence artificielle traite des renseignements personnels — que ce soit un chatbot de service à la clientèle, un outil de présélection de candidatures ou un système de tarification automatisée. Nous couvrons un tableau comparatif détaillé AIDA vs Loi 25 vs RGPD, une checklist de préparation, trois études de cas de PME québécoises et un budget réaliste en dollars CAD. Nos techniciens certifiés appliquent la même rigueur d'analyse lorsqu'ils réalisent un audit de sécurité informatique ou déploient des mesures de cybersécurité en entreprise pour des PME québécoises qui adoptent des outils d'IA sans toujours mesurer les implications de conformité.

L'AIDA est morte : ce qui s'est vraiment passé avec le projet de loi C-27

Pour comprendre où en est l'encadrement fédéral de l'IA en 2027, il faut d'abord comprendre ce qui n'a jamais abouti. En juin 2022, le gouvernement fédéral avait déposé le projet de loi C-27, un texte omnibus en trois volets : la Loi sur la protection de la vie privée des consommateurs (LPVPC), destinée à remplacer les dispositions de protection de la vie privée de la LPRPDE ; la Loi sur le tribunal de la protection des renseignements personnels et des données ; et, en troisième partie, l'AIDA — la Loi sur l'intelligence artificielle et les données. C'était la première tentative canadienne de créer une loi horizontale consacrée spécifiquement à l'IA, avec des obligations de gestion des risques, de tenue de dossiers et de divulgation pour les systèmes d'IA « à incidence élevée », assorties de sanctions administratives et même d'infractions criminelles pour les usages les plus graves.

Le projet de loi C-27 a franchi l'étape de la deuxième lecture et a été renvoyé en comité pour étude détaillée. C'est là qu'il est resté bloqué : le comité de l'industrie a reçu des centaines d'amendements proposés, et l'AIDA en particulier a été critiquée de toutes parts — jugée trop vague par certains experts en droit, insuffisamment protectrice par des groupes de défense des droits, et rédigée sans consultation publique suffisante par plusieurs témoins entendus en comité. Le processus d'étude détaillée n'était toujours pas terminé lorsque le Parlement a été prorogé en janvier 2025. Cette prorogation a eu un effet automatique et définitif sur le plan procédural : tous les projets de loi non adoptés meurent au feuilleton, y compris ceux déjà avancés en comité. Le projet de loi C-27 — et l'AIDA avec lui — a donc cessé d'exister comme texte législatif en cours d'étude, sans avoir jamais été adopté ni promulgué.

Ce point mérite d'être répété clairement, parce que la confusion est fréquente chez les dirigeants de PME : l'AIDA n'a jamais été une loi en vigueur, même partiellement, même de façon transitoire. Elle n'a jamais créé une seule obligation exécutoire pour aucune entreprise canadienne. Toute référence à des « obligations de l'AIDA » que rencontrerait votre PME renvoie soit à une confusion avec la Loi 25 québécoise, soit à une anticipation de ce qu'une future loi pourrait exiger — jamais à une exigence légale actuellement applicable.

2026 : le projet de loi C-36 et la stratégie « L'IA pour tous »

Après l'élection qui a porté Mark Carney au poste de premier ministre, le gouvernement fédéral a créé un ministère entièrement nouveau : celui de l'Intelligence artificielle et de l'Innovation numérique, confié à Evan Solomon, devenu le tout premier titulaire de ce portefeuille au Canada. Sa position, exprimée publiquement à plusieurs reprises, a été claire dès le départ : le gouvernement ne comptait pas simplement redéposer une version réchauffée de l'AIDA. L'approche retenue s'est révélée être fondamentalement différente, et elle s'est concrétisée en deux temps au cours de l'été 2026.

Le 4 juin 2026, le premier ministre Carney et le ministre Solomon ont dévoilé « L'IA pour tous », la stratégie nationale d'intelligence artificielle du Canada, fruit d'une consultation ayant mobilisé plus de 11 000 Canadiens. Il s'agit d'un plan d'investissement de plus de 2,3 milliards de dollars, structuré autour de six piliers — protection des droits, souveraineté technologique, formation de la main-d'œuvre, adoption par les entreprises, confiance du public et partenariats internationaux — avec un objectif affiché de 200 milliards de dollars de croissance économique et jusqu'à 250 000 nouveaux emplois sur cinq ans. Un volet retient particulièrement l'attention des PME : 700 millions de dollars destinés à rendre la capacité de calcul infonuagique plus abordable pour les petites et moyennes entreprises qui souhaitent développer ou déployer leurs propres outils d'IA. Il est essentiel de comprendre la nature de ce document : « L'IA pour tous » est une stratégie d'investissement et d'orientation politique, pas une loi. Elle ne crée, à elle seule, aucune obligation légale nouvelle pour votre entreprise.

Le second développement, plus directement pertinent sur le plan légal, est arrivé le 15 juin 2026 : le dépôt du projet de loi C-36, qui propose la Loi sur la protection de la vie privée et des données des consommateurs (LPVPDC). Il s'agit de la refonte la plus importante de la législation fédérale sur la vie privée du secteur privé depuis plus de 25 ans, destinée à remplacer les dispositions de protection de la vie privée actuellement contenues dans la LPRPDE. Le texte contient plusieurs mesures qui touchent directement l'usage de l'IA en entreprise : une exigence de transparence renforcée lorsqu'un système automatisé prend une décision importante à l'égard d'une personne, des règles encadrant la dépersonnalisation et l'anonymisation des données — un enjeu central pour toute entreprise qui entraîne ou paramètre des modèles d'IA à partir de données de clientèle — ainsi que des droits d'effacement élargis et une protection renforcée des renseignements des mineurs.

Ce qui encadre réellement l'usage de l'IA dans votre PME en ce moment

L'absence d'une loi fédérale spécifique à l'IA ne signifie absolument pas un vide juridique. Trois couches de règles s'appliquent déjà, aujourd'hui, à toute PME québécoise qui utilise l'intelligence artificielle — que ce soit un assistant de rédaction, un outil de génération de contenu marketing, un chatbot de service à la clientèle ou un système de présélection de candidatures.

La première couche, et de loin la plus contraignante pour une entreprise établie au Québec, est la Loi 25. Cette loi ne mentionne pas explicitement le mot « intelligence artificielle », mais elle encadre tout traitement de renseignements personnels, peu importe la technologie utilisée pour ce traitement — y compris un modèle d'IA générative ou prédictive. Concrètement, dès qu'un outil d'IA a accès à des renseignements personnels de clients, de candidats ou d'employés, l'ensemble des obligations habituelles de la Loi 25 s'appliquent : consentement, finalités précises, durée de conservation, mesures de sécurité, et surtout — un point trop souvent ignoré — les dispositions spécifiques sur les décisions automatisées, que nous détaillons plus loin.

La deuxième couche est la LPRPDE fédérale, qui continue de s'appliquer comme filet de protection de base pour les organisations à activité commerciale dans les provinces qui n'ont pas de loi jugée équivalente, et qui encadrera éventuellement, si elle est adoptée, sous sa forme modernisée par le projet de loi C-36. Une PME québécoise qui traite des données de clients dans d'autres provinces canadiennes doit garder cette couche fédérale à l'œil, en plus de la Loi 25.

La troisième couche, souvent négligée, est la réglementation sectorielle existante, qui continue de s'appliquer aux usages de l'IA sans qu'il soit nécessaire d'adopter une loi spécifique. Une institution financière qui utilise l'IA pour évaluer le risque de crédit reste soumise à la réglementation applicable aux institutions financières. Un cabinet professionnel qui utilise l'IA pour assister une décision touchant un client reste soumis à ses obligations déontologiques habituelles. L'approche du gouvernement fédéral, telle qu'exprimée dans la stratégie « L'IA pour tous », consiste précisément à s'appuyer sur ces instruments existants plutôt que de créer un régime horizontal unique — une différence fondamentale avec l'approche européenne du AI Act, qui classe les systèmes d'IA par niveau de risque dans une seule loi transversale.

Tableau comparatif : AIDA (projet mort) vs Loi 25 vs RGPD

Le tableau suivant met en perspective ce que l'AIDA aurait exigé si elle avait été adoptée, ce que la Loi 25 exige réellement aujourd'hui au Québec, et ce que le RGPD européen exige déjà de toute organisation qui traite des données de résidents européens — y compris, potentiellement, une PME québécoise qui exporte en Europe. Ce comparatif illustre un point souvent contre-intuitif : sur les usages de l'IA touchant des personnes, la Loi 25 est aujourd'hui plus opérante pour une PME québécoise que ne l'aurait été l'AIDA, précisément parce qu'elle est en vigueur.

La conclusion pratique de ce tableau est simple : une PME québécoise qui veut savoir « ce que la loi exige » de son usage de l'IA doit regarder la Loi 25 en priorité, pas l'AIDA. Notre guide sur la conformité RGPD pour PME québécoises qui exportent en Europe détaille par ailleurs le régime européen pour les entreprises dont l'activité touche des clients de l'Union européenne.

L'obligation Loi 25 sur les décisions automatisées : ce qu'elle exige déjà de votre PME

C'est la disposition la plus directement pertinente pour l'usage de l'IA en entreprise au Québec, et pourtant l'une des moins connues des dirigeants de PME. Depuis septembre 2023, la Loi 25 prévoit que toute organisation qui rend une décision fondée exclusivement sur un traitement automatisé de renseignements personnels doit, au moment de la décision ou avant, en informer la personne concernée. Cette dernière peut ensuite demander que l'organisation l'informe des renseignements personnels utilisés pour rendre la décision, des raisons et des principaux facteurs et paramètres ayant mené à la décision, et du droit de faire rectifier ces renseignements. Elle a également le droit de soumettre des observations à un membre du personnel qui est en mesure de réviser la décision.

Concrètement, cette obligation touche potentiellement plusieurs usages courants de l'IA en PME : un outil d'évaluation automatisée du risque de crédit ou de solvabilité, un système de présélection automatisée de candidatures qui rejette certains profils sans intervention humaine, un moteur de tarification dynamique qui ajuste automatiquement un prix selon le profil du client, ou un système de détection de fraude qui bloque automatiquement une transaction. Le critère clé est le mot « exclusivement » : si une personne humaine examine et valide la recommandation de l'IA avant qu'une décision finale soit rendue, l'obligation spécifique de l'article 12.1 ne s'applique généralement pas de la même façon — ce qui explique pourquoi de nombreuses entreprises choisissent délibérément d'intégrer un point de contrôle humain dans leur processus, non seulement par prudence éthique, mais aussi pour simplifier leur conformité.

Checklist de préparation IA pour PME québécoise

Voici une checklist pratique pour structurer la gouvernance de l'IA dans votre PME, indépendamment de l'incertitude qui entoure la future loi fédérale. Elle ne remplace pas un avis juridique pour les situations complexes, mais elle couvre les étapes concrètes que la plupart des PME québécoises qui utilisent l'IA doivent accomplir.

Inventaire des outils d'IA

• ☐ Dresser la liste de tous les outils d'IA utilisés dans l'entreprise (assistants de rédaction, chatbots, outils marketing, systèmes de présélection, analytique prédictive)
• ☐ Identifier, pour chaque outil, s'il a accès à des renseignements personnels de clients, de candidats ou d'employés

Décisions automatisées

• ☐ Déterminer si un outil d'IA rend une décision exclusivement automatisée touchant une personne (crédit, embauche, tarification, admissibilité)
• ☐ Mettre en place, le cas échéant, un mécanisme d'information préalable et un processus de révision humaine sur demande, conformément à l'article 12.1 de la Loi 25

Politique d'usage interne

• ☐ Rédiger une politique interne d'usage de l'IA précisant quels outils sont approuvés, quelles données peuvent y être soumises et quelles décisions requièrent une validation humaine
• ☐ Former le personnel sur les risques de fuite de renseignements personnels ou confidentiels dans un outil d'IA public (ex. copier-coller de données clients dans un chatbot grand public)

Fournisseurs et contrats

• ☐ Vérifier les conditions d'utilisation des outils d'IA employés : où sont hébergées les données, sont-elles utilisées pour entraîner le modèle du fournisseur, combien de temps sont-elles conservées
• ☐ Privilégier, pour les usages sensibles, des offres d'entreprise avec garanties contractuelles plutôt que des versions grand public gratuites

Veille réglementaire

• ☐ Suivre l'évolution du projet de loi C-36 et de tout futur projet de loi fédéral spécifique à l'IA
• ☐ Réviser cette checklist au minimum une fois par année, ou dès qu'un nouvel outil d'IA à incidence significative est déployé

Trois études de cas de PME québécoises face à l'IA

Cas 1 — Cabinet Comptable Rive-Sud, un chatbot IA sur le portail client

Cabinet Comptable Rive-Sud, un cabinet de dix employés basé à Longueuil, a déployé un chatbot d'IA générative sur son portail client pour répondre aux questions courantes des clients (échéances fiscales, documents requis, statut d'un dossier). Le chatbot a accès aux dossiers clients pour personnaliser ses réponses. Après analyse, le cabinet détermine que le chatbot ne rend aucune décision automatisée au sens de la Loi 25 — il ne fait qu'informer — mais qu'il traite tout de même des renseignements personnels et fiscaux sensibles. Le cabinet met à jour sa politique de confidentialité pour mentionner explicitement l'usage de l'IA, négocie une clause contractuelle avec le fournisseur du chatbot garantissant que les conversations ne servent pas à entraîner un modèle partagé avec d'autres clients, et forme son personnel à ne jamais coller de renseignements fiscaux complets dans un outil d'IA grand public non approuvé. Coût de cette mise à niveau : environ 2 200 $ CAD, incluant la révision contractuelle et une session de formation du personnel.

Cas 2 — RecrutePro Québec, présélection automatisée de candidatures

RecrutePro Québec, une agence de recrutement de Trois-Rivières, utilise un outil d'IA pour présélectionner automatiquement les candidatures reçues pour le compte de ses clients employeurs, en éliminant les profils jugés non pertinents avant qu'un recruteur humain ne voie le reste. Cette pratique déclenche directement l'article 12.1 de la Loi 25 : les candidats écartés font l'objet d'une décision exclusivement automatisée. L'agence ajoute une mention claire dans ses avis de collecte informant les candidats de l'usage d'un système automatisé de présélection, met en place un processus permettant à tout candidat de demander une explication et une révision humaine de son dossier dans un délai raisonnable, et documente les critères et paramètres utilisés par l'outil pour pouvoir répondre à ces demandes. Coût de mise en conformité : environ 5 800 $ CAD, incluant un avis juridique ciblé sur l'article 12.1, la refonte des avis de collecte et la mise en place du processus de révision.

Cas 3 — Boutique Nordika, génération de contenu marketing par IA

Boutique Nordika, un détaillant en ligne de vêtements d'extérieur basé à Québec, utilise des outils d'IA générative pour produire des descriptions de produits, des infolettres et des visuels publicitaires. Aucune décision automatisée touchant des personnes n'est en cause : l'IA sert uniquement à la création de contenu marketing. Après évaluation, l'entreprise conclut que son exposition réglementaire directement liée à l'IA demeure faible, mais elle documente tout de même cette analyse et met à jour sa politique de confidentialité pour mentionner l'usage d'outils d'IA dans la production de contenu, par transparence envers ses clients et par précaution en vue d'une éventuelle évolution réglementaire. Coût de cette mise à niveau légère : environ 900 $ CAD, principalement pour la mise à jour des mentions légales.

Budget réaliste pour une gouvernance IA de base au Québec (en dollars CAD)

Le coût d'une mise en conformité liée à l'usage de l'IA varie fortement selon que l'entreprise utilise l'IA pour des tâches de productivité générale ou pour des décisions automatisées touchant directement des personnes. Voici des fourchettes réalistes observées pour des PME québécoises.

Comme pour la Loi 25 et le RGPD, il faut distinguer une PME dont l'usage de l'IA se limite à des tâches de productivité et de création de contenu, pour qui un budget d'entrée de gamme suffit généralement, d'une entreprise qui utilise l'IA pour évaluer, filtrer ou tarifer automatiquement des personnes, où l'investissement dans la documentation, la révision humaine et l'accompagnement juridique devient rapidement justifié face au risque réglementaire et réputationnel.

Erreurs fréquentes des PME québécoises face à l'IA

Croire qu'« il n'y a pas encore de loi sur l'IA, donc pas de risque »

C'est l'erreur la plus courante et la plus coûteuse. L'absence d'une loi fédérale spécifique à l'IA ne dispense en rien une PME québécoise de ses obligations existantes en vertu de la Loi 25 dès qu'un outil d'IA traite des renseignements personnels. La CAI n'a pas besoin d'une nouvelle loi sur l'intelligence artificielle pour sanctionner un manquement à l'article 12.1 : cette disposition est en vigueur depuis 2023.

Coller des renseignements confidentiels dans un outil d'IA grand public

Une pratique répandue et rarement encadrée consiste, pour un employé, à copier des renseignements de clients, des contrats ou des données financières dans un outil d'IA générative gratuit pour obtenir un résumé ou une reformulation rapide, sans savoir si ces données seront conservées ou utilisées pour entraîner le modèle du fournisseur. Cette pratique peut constituer, selon les conditions d'utilisation de l'outil, une communication de renseignements personnels à un tiers sans consentement adéquat.

Déployer un outil de présélection ou de tarification automatisée sans révision juridique

Plusieurs PME adoptent des outils d'IA commerciaux — souvent intégrés à un logiciel de gestion des candidatures ou de tarification déjà utilisé — sans réaliser que la fonctionnalité d'automatisation qu'ils activent déclenche l'article 12.1 de la Loi 25. Le fournisseur du logiciel n'assume généralement pas cette conformité à la place de l'entreprise cliente.

Pour approfondir les enjeux de conformité provinciale plus larges, notre guide sur la Loi 25 pour PME détaille les cinq obligations concrètes applicables au Québec, tandis que notre article sur la conformité RGPD pour PME québécoises qui exportent en Europe couvre le régime applicable si votre entreprise touche une clientèle européenne. Nos équipes accompagnent également ces démarches via un audit de sécurité informatique et des mesures de cybersécurité en entreprise adaptées aux PME qui adoptent des outils d'IA.

Ressources gouvernementales pour accompagner votre PME

Plusieurs organismes québécois et canadiens peuvent appuyer une PME dans sa démarche de gouvernance de l'IA et de mise en conformité.

La Commission d'accès à l'information du Québec (CAI) demeure la référence provinciale pour toute question relative à la Loi 25, y compris son application aux systèmes automatisés et à l'IA. Elle publie régulièrement des lignes directrices utiles pour interpréter des dispositions comme l'article 12.1.

Innovation, Sciences et Développement économique Canada (ISED) est le ministère responsable du dossier de l'IA au fédéral, y compris le suivi de la stratégie « L'IA pour tous » et du cheminement du projet de loi C-36. Une PME qui souhaite comprendre l'évolution du cadre fédéral a intérêt à consulter directement les publications de ce ministère plutôt que de se fier à des résumés de tiers.

Investissement Québec et la Banque de développement du Canada (BDC) offrent des services-conseils et, dans certains cas, du financement pour appuyer les investissements technologiques liés à l'adoption responsable de l'IA en entreprise, incluant potentiellement l'accès à la capacité de calcul abordable annoncée dans le cadre de la stratégie « L'IA pour tous ».

Ce qui s'en vient d'ici la fin de 2027

Sur la base de la trajectoire observée depuis le dépôt du projet de loi C-36, quelques tendances se dessinent pour les mois à venir. D'abord, le projet de loi C-36 devrait poursuivre son cheminement parlementaire — deuxième et troisième lecture, étude en comité, passage au Sénat — un processus qui prend généralement plusieurs mois, voire plus d'un an, avant l'adoption finale d'un texte de cette ampleur. Rien ne garantit son adoption dans sa forme actuelle : des amendements sont probables, notamment en réponse aux critiques des groupes de défense des droits.

Ensuite, l'approche fédérale continue de privilégier des instruments ciblés plutôt qu'une loi horizontale unique sur l'IA. Aucun signal clair n'indique qu'un projet de loi comparable à l'AIDA, avec classification par niveau de risque et commissaire dédié, soit en préparation à court terme. Les PME québécoises devraient donc s'attendre à ce que la Loi 25 demeure, pour l'avenir prévisible, le principal cadre légal opérant réellement sur leurs usages de l'IA touchant des personnes, complétée par la réglementation sectorielle existante et, éventuellement, par le projet de loi C-36 une fois adopté.

Enfin, la pression ne viendra pas uniquement de la loi. Les exigences contractuelles imposées par les grands donneurs d'ordre, les assureurs en cyber-responsabilité et les partenaires financiers intègrent de plus en plus des clauses de gouvernance de l'IA — indépendamment de ce que la loi exige formellement. Une PME qui documente déjà sa gouvernance de l'IA, même en l'absence d'obligation légale stricte, se positionne mieux pour répondre à ces exigences commerciales à mesure qu'elles se généralisent.

Questions fréquentes — Loi fédérale sur l'IA au Canada