Outil d’évaluation de l’incidence algorithmique

2.1 Notation

Chaque section contient une ou plusieurs questions, et les réponses aux questions contribuent à obtenir une cote maximale pour la section. La valeur de chaque question est pondérée en fonction du risque introduit ou atténué dans le cadre du projet d’automatisation. La cote d’incidence brute mesure les risques de l’automatisation, tandis que la cote d’atténuation mesure la façon dont les risques de l’automatisation sont gérés. Les questions des sections 1 à 6 (risque) augmentent la cote d’incidence brute et les questions des sections 7 et 8 (atténuation) augmentent la cote d’atténuation.

La cote actuelle est déterminée comme suit :

1. Si la cote d’atténuation est inférieure à 80 % de la cote d’atténuation maximum réalisable, la cote actuelle est égale à la cote d’incidence brute;
2. Si la cote d’atténuation est égale ou supérieure à 80 % de la cote d’atténuation maximum réalisable, la cote actuelle est obtenue en retranchant 15 % de la cote d’incidence brute.

2.2 Niveaux d’incidence

Les incidences de l’automatisation d’une décision administrative sont classées en quatre niveaux, allant du niveau I (faible incidence) au niveau IV (incidence très élevée). L’EIA vise à cerner les risques et à évaluer les effets dans un large éventail de domaines, notamment :

• les droits des personnes ou des collectivités;
• la santé ou le bien-être des individus ou des collectivités;
• les intérêts économiques des individus, des entités ou des collectivités;
• la durabilité continue d’un écosystème.

Les niveaux d’incidence se distinguent en fonction des critères de réversibilité et de la durée prévue. Ainsi, les décisions automatisées ayant peu ou pas d’incidence sont réversibles et brèves, tandis que celles ayant une incidence très élevée sont jugées irréversibles et perpétuelles.

Chaque niveau d’incidence correspond à une plage de pourcentage de la cote. Le niveau d’incidence attribué à chaque projet d’automatisation repose sur la fourchette dans laquelle se situe la plage de pourcentage du projet (tableau 5). Les niveaux d’incidence déterminent les mesures d’atténuation requises aux termes de la Directive sur la prise de décisions automatisée. L’annexe C de la Directive énumère les mesures d’atténuation requises pour chacun des quatre niveaux d’incidence. Les exigences sont conçues pour être proportionnelles au niveau d’incidence. Bien que les mesures visent à réduire les risques cernés, leur mise en œuvre ne modifie pas le niveau d’incidence attribué à un projet. Le niveau d’incidence d’un projet ne peut être changé qu’à la fin d’une nouvelle EIA renfermant des renseignements à jour sur le projet. Conformément à la Directive (paragraphe 6.1.3), les ministères sont tenus de mettre à jour leurs EIA à la suite de changements apportés à la fonctionnalité ou à la portée de l’utilisation du système.

3.1 Quand remplir l’EIA

L’EIA devrait être effectuée au début de la phase de conception d’un projet. Les résultats de l’EIA guideront les exigences d’atténuation et de consultation à respecter pendant la mise en œuvre du système de décision automatisé conformément à la Directive.

L’EIA devrait être remplie une deuxième fois, avant la production du système, afin de confirmer que les résultats reflètent fidèlement le système qui a été construit. L’EIA révisée devrait être publiée sur le Portail du gouvernement ouvert à titre de résultats finaux.

3.2 Éléments à prendre en considération au moment de procéder à une EIA

Collecte d’informations au sujet de votre projet

Dans le cadre d’un projet d’automatisation, il est essentiel de collecter une vaste gamme de renseignements pour répondre pleinement aux questions dans les secteurs de risque et d’atténuation de l’EIA. Avant de commencer l’EIA, il convient de s’informer davantage sur :

• la décision administrative exacte qui sera éclairée ou prise par le système décisionnel automatisé, le contexte dans lequel ce système sera employé et la façon dont il contribuera au jugement de décisionnaires humains ou au remplacement de ceux-ci;
• la clientèle assujettie à la décision, y compris la preuve de toute vulnérabilité (p. ex. socioéconomique, démographique, géographique);
• les effets potentiels de la décision sur la clientèle, notamment leur durée et leur réversibilité;
• l’algorithme, y compris les paramètres et les techniques de traitement des données ainsi que l’extrant;
• les données d’entrée utilisées par le système, à savoir les détails sur le type, la source, la méthode de collecte et la classification de sécurité;
• les mesures d’assurance de la qualité prévues ou existantes;
• les mesures de transparence prévues pour la diffusion de l’information sur l’initiative à la clientèle et au public;
• les parties prenantes internes et externes qui devraient être consultées;
• le registre des recommandations ou des décisions prises par le système, et toute explication ou tout journal générés par le système relativement à un tel registre;
• les pratiques institutionnelles en matière de gestion des services de la technologie de l’information.

Les renseignements ci-dessus seront également pertinents dans les consultations avec les parties prenantes décrites ci-dessous. Ils peuvent également soutenir les engagements auprès des fournisseurs et des examinateurs.

Consultation de votre bureau de l’AIPRP

Le bureau de l’accès à l’information et de la protection des renseignements personnels (AIPRP) de votre institution ou tout autre responsable désigné en matière de protection des renseignements personnels doit être consulté afin que les facteurs relatifs à la vie privée posés par les systèmes de décision automatisée qui utilisent ou traitent des renseignements personnels, ou qui ont autrement une incidence sur les droits des personnes en matière de vie privée, soient repérés, évalués et atténués. Ces engagements peuvent permettre aux chefs de projet de faire ce qui suit :

• déterminer si le système décisionnel automatisé utilisera les renseignements personnels définis à l’article 3 de la Loi sur la protection des renseignements personnels;
• vérifier si l’utilisation des renseignements personnels par le système proposé est prise en compte dans les évaluations des facteurs relatifs à la vie privée et les fichiers de renseignements personnels pertinents, et déterminer les mesures et les approbations requises en vertu de la législation et des politiques sur la protection de la vie privée;
• déterminer les exigences applicables de la Politique sur la protection de la vie privée et des instruments de politique connexes, dans le but de veiller à ce que les mesures de protection appropriées soient en place pour la création, la collecte et le traitement des renseignements personnels tout au long du cycle de vie du système, y compris des plans d’intervention en cas d’atteinte à la vie privée;
• orienter les approches pour informer le Commissariat à la protection de la vie privée du Canada du système proposé et de toute incidence prévisible sur la vie privée des Canadiens, comme l’exige la Politique sur la protection de la vie privée;
• veiller à ce que les renseignements personnels recueillis ou créés par ou pour le projet d’automatisation soient manifestement nécessaires pour le programme ou l’activité, comme l’exige la Directive sur les pratiques relatives à la protection de la vie privée;
• veiller à ce que des clauses de protection des renseignements personnels appropriées soient prévues dans les contrats, accords ou ententes conclus avec des fournisseurs ou des partenaires offrant des services, des solutions ou des produits d’automatisation;
• veiller à ce que l’EIA soit examinée par les fonctionnaires chargés de la protection des renseignements personnels avant sa publication dans le Portail du gouvernement ouvert, conformément à la Directive sur le gouvernement ouvert.

Collaboration avec les services juridiques

Les services juridiques doivent être consultés au moment d’effectuer une EIA afin de permettre de cerner et de gérer les risques juridiques découlant de l’élaboration, de l’acquisition ou de l’utilisation d’un système de décision automatisé. Les consultations devraient s’amorcer à l’étape conceptuelle d’un projet d’automatisation, avant la mise au point ou l’acquisition d’un système. La nature des risques juridiques dépend largement de la conception du système (p. ex. les données d’apprentissage, le modèle), du contexte de déploiement et du type de décision administrative automatisée. La demande de conseils juridiques en ce qui a trait à un système décisionnel automatisé peut permettre aux chefs de projet de faire ce qui suit :

• se conformer à l’exigence de la Directive de consulter les services juridiques à partir de l’étape de conception d’un projet (voir le paragraphe 6.3.8);
• déterminer les incidences possibles sur les droits et libertés individuels et élaborer des plans de gestion des risques;
• évaluer les risques en matière d’équité procédurale en fonction de divers facteurs, notamment la justification des extrants du système, la pertinence des règles du système et des données d’entrée quant à une décision administrative, et la disponibilité des options de recours (voir les paragraphes 6.2.3, 6.3.1, 6.3.2 et 6.4.1 de la Directive);
• confirmer si le programme dispose des pouvoirs requis pour aller de l’avant avec le projet d’automatisation proposé, notamment toute collecte ou création connexe de renseignements personnels (en coordination avec le bureau de l’AIPRP approprié ou tout autre responsable désigné en matière de protection de la vie privée);
• tenir compte des questions de licence, y compris en ce qui concerne les secrets commerciaux, et des contraintes qu’elles peuvent imposer à la capacité d’un ministère d’accéder à des systèmes exclusifs et de les mettre à l’essai (voir le paragraphe 6.2.5 de la Directive).

Communications avec le BDPI du SCT

Le Bureau de la dirigeante principale de l’information (BDPI) du Secrétariat du Conseil du Trésor du Canada (SCT) est responsable de la tenue à jour de l’outil d’EIA et de la surveillance de la conformité des ministères à la Directive sur la prise de décisions automatisée. L’équipe du BDPI peut aider les ministères à interpréter les questions relatives à l’EIA et à y répondre, en plus de les guider tout au long du processus de publication.

Les ministères sont invités à communiquer avec le BDPI du SCT à l’adresse ai-ia@tbs-sct.gc.ca pour toute question concernant la Directive ou l’EIA.

3.3 Diffusion des résultats

Les ministères sont responsables de la publication des résultats finaux de l’EIA dans un format accessible et dans les deux langues officielles sur le Portail du gouvernement ouvert. La page des résultats de l’EIA offre la possibilité de fournir des traductions pour le texte entré. Elle offre également la possibilité de télécharger les résultats en format PDF accessible pour répondre à cette exigence.