Ressources IA, confidentialité et conformité
Ce que les lois canadiennes sur la vie privée et les lignes directrices de 2026 exigent d’une clinique qui utilise un scribe IA : consentement, évaluations, ententes, enregistrements et entraînement.
Mahmoud ElHewaheyFondateur, PulseAI Solutions28 octobre 2026 · lecture de 6 min
L’essentiel
Les scribes IA écoutent une conversation clinique et rédigent la note de consultation. Les cliniciens canadiens les ont adoptés rapidement. Le programme national de scribes IA d’Inforoute Santé du Canada a inscrit 12 019 cliniciens de première ligne entre juin 2025 et février 2026, et son évaluation indépendante, publiée en juin 2026, a montré que la proportion de notes terminées le jour même est passée de 55,9 % à près de 75 %. L’Ontario a créé une entente de fournisseurs attitrés pour les scribes IA en juin 2025.
Un scribe enregistre aussi tout ce qui se dit dans la pièce, l’envoie à un fournisseur pour traitement et produit un dossier clinique. Chacune de ces étapes est réglementée, et c’est pourquoi les commissaires à la vie privée de l’Ontario, de la Colombie-Britannique et de l’Alberta ont tous publié des lignes directrices.
Les lois sur la confidentialité des renseignements de santé au Canada, en bref
| Où | Loi principale pour une clinique privée | Organisme de réglementation |
|---|---|---|
| Ontario | Loi sur la protection des renseignements personnels sur la santé (PHIPA) | Commissaire à l’information et à la protection de la vie privée de l’Ontario |
| Québec | Loi sur les renseignements de santé et de services sociaux, et Loi 25 pour le secteur privé | Commission d’accès à l’information |
| Alberta | Health Information Act (HIA) pour les dépositaires; PIPA pour les autres organisations privées | Commissariat à l’information et à la protection de la vie privée de l’Alberta |
| Colombie-Britannique | Personal Information Protection Act (PIPA) pour les cabinets privés | Commissariat à l’information et à la protection de la vie privée de la Colombie-Britannique |
| Ailleurs au Canada | La LPRPDE, ou la loi provinciale sur les renseignements de santé s’il y en a une | Commissariat à la protection de la vie privée du Canada, ou le commissaire provincial |
La LPRPDE (PIPEDA) est la loi fédérale du secteur privé. Elle s’applique aux renseignements personnels traités dans le cadre d’activités commerciales dans les provinces qui n’ont pas adopté de loi essentiellement similaire, et elle régit toujours les renseignements qui franchissent une frontière provinciale ou nationale. En Ontario, une clinique est régie principalement par la PHIPA pour les renseignements de santé.
Le document de janvier 2026 du commissaire ontarien est le plus détaillé. Les lignes directrices de la Colombie-Britannique et de l’Alberta vont dans le même sens. Lues ensemble, elles demandent six choses à une clinique.
Avant, pendant et après un scribe IA
Les lignes directrices de l’Ontario indiquent que la PHIPA ne contient actuellement aucune disposition qui permet expressément à un scribe IA de recueillir, d’utiliser ou de divulguer des renseignements personnels sur la santé sans consentement. Elles décrivent le consentement exprès, consigné au dossier de santé du patient, comme conforme aux exigences de plusieurs ordres professionnels. Le consentement doit être éclairé : le patient doit savoir qu’un scribe est utilisé, pourquoi, ce qui est transmis au fournisseur et les risques, y compris l’exactitude. Un patient qui refuse doit recevoir la même qualité de soins, documentée autrement. Les lignes directrices de la Colombie-Britannique insistent sur un véritable choix; celles de l’Alberta traitent du consentement écrit lorsqu’un appareil d’enregistrement pourrait ne pas être visible.
Les lignes directrices s’attendent à une évaluation des facteurs relatifs à la vie privée avant l’arrivée d’un scribe, et à une révision lorsqu’il change. Lorsqu’un outil soutient la prise de décision clinique, des juristes recommandent aussi une évaluation de l’incidence algorithmique.
Selon les lignes directrices de l’Ontario, l’entente de service devrait interdire au fournisseur de recueillir, de consulter, d’utiliser ou de divulguer des renseignements personnels sur la santé, sauf dans la mesure autorisée par la clinique en vertu de la PHIPA, et exiger une élimination sécuritaire sur demande. Des commentateurs ajoutent la déclaration des atteintes, des exigences de sécurité et des droits de vérification. Les essais gratuits sont visés aussi : les obligations de la PHIPA s’appliquent dès le premier enregistrement, et la clinique doit pouvoir assurer l’accès et la rectification après la fin d’un essai.
Un scribe capte chaque mot prononcé, et tout ne doit pas être conservé. Les lignes directrices de l’Ontario traitent la conservation des enregistrements et des transcriptions comme une décision que la clinique doit justifier, avec une durée de conservation définie et une destruction sécuritaire lorsqu’ils ne sont pas conservés. La Colombie-Britannique et l’Alberta penchent pour la suppression une fois la note validée par le clinicien.
C’est sur ce point que les lignes directrices sont les plus fermes. L’Ontario souligne qu’il peut être pratiquement impossible d’anonymiser un enregistrement vocal, et que retirer les noms et les numéros d’assurance maladie ne suffit pas à atteindre le très faible risque de réidentification exigé. Les lignes directrices de l’Alberta ne permettent pas d’entraîner un modèle sur des renseignements personnels sur la santé. En pratique, une clinique devrait exiger de son fournisseur un engagement contractuel que les renseignements des patients ne servent jamais à entraîner l’IA.
Notre position
Clinic Conductor n’utilise jamais les données des patients pour entraîner l’IA, ni nos modèles ni ceux de quiconque. C’est écrit dans notre entente avec chaque clinique.
Les trois provinces rejettent l’usage autonome. Un clinicien révise et vérifie chaque dossier généré par l’IA avant qu’il soit utilisé ou divulgué, les dossiers créés ou modifiés par l’IA devraient être identifiables comme tels, et les politiques d’une clinique devraient prévoir l’arrêt d’un outil dont le rendement sort d’une plage acceptable. Le clinicien demeure responsable du dossier.
La LPRPDE n’exige pas en soi que les renseignements personnels restent au Canada. Elle tient l’organisation responsable des renseignements qu’elle transfère à un fournisseur de services, y compris à l’étranger, et s’attend à ce qu’elle en informe les patients. Le Québec exige une évaluation des facteurs relatifs à la vie privée avant que des renseignements de santé soient communiqués hors de la province. Beaucoup de cliniques se donnent pour règle que les renseignements des patients restent au Canada, et elles ont raison de demander à chaque fournisseur où l’information est stockée et traitée, et par qui.
Un scribe retire le fardeau de la documentation de la consultation elle-même. Le reste du travail administratif d’une clinique, de la première demande à la recommandation reçue par télécopieur et au rapport d’évaluation, entoure la consultation et porte les mêmes obligations de confidentialité. Notre guide sur les scribes IA et l’automatisation de la clinique présente ce que chacun retire à une équipe.
Un outil ne peut pas être conforme à lui seul : la conformité dépend de l’usage qu’en fait la clinique. Une clinique a besoin d’un fondement légal (habituellement le consentement), d’une entente qui limite l’usage des renseignements par le fournisseur, de mesures de protection adaptées, de responsabilité pour tout transfert hors du Canada et de transparence envers les patients. En Ontario, c’est la PHIPA, et non la LPRPDE, qui régit la plupart des renseignements de santé détenus par les dépositaires.
Les lignes directrices de janvier 2026 du CIPVP de l’Ontario indiquent que la PHIPA ne contient actuellement aucune disposition qui permet expressément aux scribes IA de recueillir, d’utiliser ou de divulguer des renseignements personnels sur la santé sans consentement, et décrivent le consentement exprès consigné au dossier de santé comme une pratique exemplaire.
Les organismes de réglementation canadiens placent la barre haut. L’Ontario souligne qu’il peut être pratiquement impossible d’anonymiser un enregistrement vocal, et les lignes directrices de l’Alberta ne permettent pas l’entraînement sur des renseignements personnels sur la santé. Exigez un engagement contractuel que les renseignements des patients ne servent jamais à l’entraînement.
Les lignes directrices traitent la conservation comme une décision que la clinique doit justifier. Beaucoup de cliniques suppriment les enregistrements et les transcriptions une fois la note validée par le clinicien, avec une politique de conservation définie pour ce qui est conservé.
Non. La LPRPDE tient l’organisation responsable des renseignements qu’elle transfère à des fournisseurs de services et s’attend à de la transparence sur le traitement à l’étranger. Le Québec exige une évaluation des facteurs relatifs à la vie privée avant que des renseignements de santé quittent la province, et beaucoup de cliniques exigent un stockage au Canada par politique interne.
Ce guide présente de l’information générale sur la loi telle que publiée, rédigée pour les propriétaires de cliniques et leurs équipes. Il ne constitue pas un avis juridique. Votre responsable de la protection des renseignements personnels ou votre conseiller juridique devrait confirmer comment il s’applique à votre clinique.
Sources
Voyez-le fonctionner
Clinic Conductor est conforme à la PHIPA, à la Loi 25 du Québec, à la LPRPDE et à la HIPAA, et n’utilise jamais les données des patients pour entraîner l’IA.
IA, confidentialité et conformité
Un scribe IA rédige la note de consultation. L’essentiel du travail administratif d’une clinique se fait avant et après la consultation. Voici où chaque outil s’insère, et comment ils travaillent ensemble.
Lire le guideIA, confidentialité et conformité
Ce que la PHIPA de l’Ontario attend des logiciels et des fournisseurs d’une clinique, et les questions à poser avant que des renseignements de patients circulent.
Lire le guideIA, confidentialité et conformité
Ce que la HIPAA exige avant qu’une clinique américaine laisse un scribe IA ou tout outil d’IA toucher des renseignements de santé protégés : le BAA, la Security Rule, l’entraînement et les atteintes.
Lire le guide
