Notes from the IAPP Canada: AI transparency moves from principles to operational choices

Transparency is easy to support in principle. It becomes more interesting when someone must decide where the label appears, who applies it and what happens when content moves between systems. As of 2 Aug., that is no longer a hypothetical exercise for organizations subject to the EU Artificial Intelligence Act.

The latest transparency obligations under Article 50 are now in force, and that's important for some Canadian organizations to know. The act can apply beyond Europe in certain circumstances when AI systems or their outputs are used in the EU. 

What strikes me about these requirements is that they shift transparency from policy language to product design. Providers of interactive AI systems must ensure people know they are interacting with AI. Generative AI providers must apply machine-readable methods to identify AI-generated or manipulated content. Deployers face their own obligations, including disclosure requirements for emotion-recognition systems, biometric categorization systems and certain deepfakes.

Those distinctions mean that transparency is no longer one thing. A machine-readable marker serves a different purpose than a visible or audible disclosure. One may be applied by a provider. The other may be the responsibility of a deployer. An organization cannot assume that a vendor's technical control automatically satisfies its own obligations.

That is where the practical questions begin. Who is the provider and who is the deployer? Who applies the machine-readable mark? What happens when content is edited, republished or distributed through multiple platforms? If an organization relies on human review to avoid certain disclosure obligations for public-interest text, what evidence demonstrates that meaningful review actually occurred?

These are governance questions, but they are also workflow questions. Compliance with these rules will depend on content-management systems, publishing processes, procurement decisions, contractual arrangements and record-keeping. 

The timing of this is also interesting from a Canadian perspective. While Europe is implementing detailed transparency requirements, Canada is still asking what transparency should look like. The federal government's AI transparency consultation, launched in July, is seeking views on AI-generated content, disclosure of AI interactions, information about systems and other related issues. Europe is beginning to test implementation. Canada still has an opportunity to learn from that experience before deciding whether similar measures make sense here.

Transparency is a key topic appearing elsewhere as well, including in the annual report published by the Ontario Information and Privacy Commissioner this week. The message is consistent with a broader trend: transparency is increasingly being treated as something that must be designed into systems rather than bolted on afterward.

The IPC's annual report notes that AI is now widely used across sectors and that its adoption raises expectations for transparency, accountability and strong privacy protections. It has also argued that Ontario's emerging AI governance framework should be risk-based, include clear limits on high-risk uses and incorporate independent oversight. In collaboration with the Ontario Human Rights Commission, the IPC produced guidance that emphasized that responsible AI should be transparent, accountable, privacy-protective, safe, reliable and respectful of human rights.

I find the emphasis on transparency by design compelling. Public services generally work better when people understand how decisions are made, what tools are being used and where accountability rests. The same logic increasingly applies to AI systems.

Keep in mind that Canadian organizations should not assume that every European requirement is automatically relevant to them, or that Canada's eventual approach should replicate the EU model. Some aspects of the EU framework will prove easier to implement than others, and there are already questions about how certain transition provisions for older systems should be interpreted.

Still, I suspect the most enduring lesson is not really about labels. It is about responsibility. Transparency is ceasing to be a statement of principle and becoming a set of technical and organizational decisions, which is a much harder challenge, but also a much more useful one. And as the IPC's Transparency Challenge once again invited organizations to showcase how transparency works in practice, I'll be particularly interested to see examples of AI transparency in this year's digital gallery.

Notes de l'IAPP Canada: La transparence de l'IA passe des principes aux choix opérationnels

La transparence est facile à défendre en théorie. Les choses deviennent plus intéressantes lorsqu’il faut décider où l’avis doit apparaître, qui doit l’apposer et ce qu’il advient lorsqu’un contenu circule entre différents systèmes. Depuis le 2 août, ces questions ne relèvent plus d’un simple exercice théorique pour les organisations visées par l’AI Act de l’Union européenne.

Les plus récentes obligations de transparence prévues à l’article 50 sont désormais en vigueur. Même si ce régime est européen, certaines organisations canadiennes auraient tort de croire qu’il ne les concerne pas. Dans certaines circonstances, l’AI Act peut s’appliquer à des systèmes d’IA ou à leurs résultats utilisés dans l’Union européenne.

Ce qui me frappe dans ces nouvelles exigences, c’est qu’elles déplacent la transparence du terrain des politiques vers celui de la conception des produits et des systèmes. Les fournisseurs de systèmes d’IA interactifs doivent s’assurer que les personnes savent qu’elles interagissent avec une IA. Les fournisseurs d’IA générative doivent mettre en œuvre des mécanismes lisibles par machine permettant d’identifier les contenus générés ou modifiés par l’IA. Quant aux déployeurs, ils se voient imposer leurs propres obligations de divulgation dans certains contextes précis, notamment en matière de reconnaissance des émotions, de catégorisation biométrique et d’hypertrucages.

Ces distinctions sont importantes parce qu’elles démontrent que la transparence n’est plus un concept unique. Un marqueur technique intégré à un contenu ne poursuit pas le même objectif qu’un avis visible ou audible destiné à un utilisateur. L’un peut relever du fournisseur; l’autre peut incomber au déployeur. Une organisation ne peut donc pas présumer que les contrôles mis en place par un fournisseur suffisent automatiquement à satisfaire à ses propres obligations.

C’est à ce moment que les véritables défis apparaissent. Qui est fournisseur? Qui est déployeur? Qui doit appliquer le marqueur lisible par machine? Que se passe-t-il lorsqu’un contenu est modifié, repris ou diffusé sur plusieurs plateformes? Et lorsqu’une organisation invoque une révision humaine pour bénéficier de certaines exceptions, comment démontrer que cet examen a réellement eu lieu?

Ces questions relèvent certes de la gouvernance, mais elles touchent tout autant les processus opérationnels. La conformité dépendra des systèmes de gestion de contenu, des mécanismes de publication, des décisions d’approvisionnement, des ententes contractuelles et des pratiques de conservation des preuves et des dossiers.

Le moment est également intéressant du point de vue canadien. Alors que l’Europe met en œuvre des obligations détaillées en matière de transparence, le Canada en est encore à réfléchir à ce que cette transparence devrait signifier concrètement. La consultation fédérale lancée en juillet sur la transparence de l’IA sollicite des commentaires sur les contenus générés par l’IA, la divulgation des interactions avec des systèmes d’IA et l’information qui devrait être fournie au public. L’Europe commence déjà à tester les réalités de la mise en œuvre. Le Canada dispose encore d’une marge de manœuvre pour observer les résultats avant de déterminer quelles mesures seraient appropriées ici.

La transparence figure également parmi les thèmes mis de l’avant dans le rapport annuel publié cette semaine par le Commissaire à l’information et à la protection de la vie privée de l’Ontario. Le message rejoint une tendance plus large : la transparence est de moins en moins perçue comme une mesure ajoutée après coup et de plus en plus comme une caractéristique qui doit être intégrée dès la conception des systèmes.

Le rapport souligne notamment que l’utilisation de l’IA s’étend dans de nombreux secteurs et que cette adoption s’accompagne d’attentes accrues en matière de transparence, de responsabilité et de protection de la vie privée. Le Commissariat a également soutenu qu’un futur cadre ontarien de gouvernance de l’IA devrait être fondé sur le risque, prévoir des limites claires pour les usages à risque élevé et intégrer une surveillance indépendante.

Je trouve particulièrement convaincante l’idée de la « transparence dès la conception ». Les services publics fonctionnent généralement mieux lorsque les citoyens comprennent comment les décisions sont prises, quels outils sont utilisés et où se situe la responsabilité. Cette logique s’applique de plus en plus aux systèmes d’IA.

Cela ne signifie pas que toutes les exigences européennes devraient être reproduites au Canada, ni même qu’elles seront toutes faciles à mettre en œuvre en Europe. Certaines dispositions soulèvent déjà des questions d’interprétation, notamment pour les systèmes plus anciens visés par certaines mesures transitoires.

À mon avis, la leçon la plus durable dépasse la simple question des étiquettes ou des avis. La transparence cesse progressivement d’être un principe abstrait pour devenir un ensemble de décisions techniques, organisationnelles et opérationnelles. C’est un défi plus complexe, sans doute, mais aussi beaucoup plus utile. Et à mesure que les organisations seront invitées à démontrer comment la transparence fonctionne concrètement, je m’attends à ce que les exemples d’IA deviennent un indicateur particulièrement révélateur de la maturité de leurs pratiques de gouvernance.