Le projet de loi C-277 créerait une nouvelle loi, la Loi sur la réglementation de l'utilisation en ligne des deepfakes ; il ne modifie pas une autre loi dans le texte fourni. Son objectif déclaré est de protéger les personnes contre les dommages significatifs causés par les deepfakes et d'accroître la transparence. Ce sont des dispositions proposées, pas des règles actuellement en vigueur.
Les opérateurs de services et de plateformes en ligne devraient mettre en place un processus pour identifier les deepfakes partagés via leurs produits ou services, y compris des moyens pour les utilisateurs de les signaler.
Les opérateurs devraient prendre des mesures raisonnables pour étiqueter clairement les deepfakes partagés et pour empêcher le partage de deepfakes pouvant causer des dommages significatifs.
Les opérateurs devraient retirer un deepfake pouvant causer des dommages significatifs dès que cela est faisable après son identification.
Les opérateurs devraient conserver des dossiers nécessaires pour évaluer s'ils se conforment. Le gouverneur en conseil pourrait établir des règles de conservation des dossiers.
Les opérateurs, ainsi que les directeurs ou les dirigeants qui ont dirigé, autorisé, accepté ou participé à une violation, pourraient faire face à des pénalités administratives. Les montants et le processus seraient fixés par des règlements.
Personnes utilisant des services en ligne : Le projet de loi obligerait les opérateurs à fournir des mécanismes de signalement. Il ne précise pas comment les rapports seraient traités, ni n'exige que les opérateurs acceptent chaque rapport comme preuve qu'un contenu est un deepfake.
Personnes représentées dans des deepfakes : Le but déclaré du projet de loi est de protéger les individus et leurs intérêts. Il ne prévoit pas de processus direct pour qu'un individu exige le retrait, demande une compensation ou fasse appel d'une décision d'un opérateur.
Opérateurs de services et de plateformes en ligne : Ils devraient établir des processus d'identification et de signalement, prendre des mesures raisonnables pour étiqueter les deepfakes et empêcher le partage de ceux potentiellement nuisibles, retirer les deepfakes identifiés couverts par l'obligation de retrait, et conserver des dossiers de conformité.
Directeurs et dirigeants : Ils pourraient être tenus responsables d'une pénalité s'ils ont dirigé, autorisé, accepté ou participé à une violation d'un opérateur.
Personnes qui créent ou partagent des deepfakes : Le projet de loi ne crée pas directement de pénalité pour un individu simplement pour avoir créé ou partagé un deepfake. Le régime de pénalités s'applique aux violations des opérateurs et aux directeurs ou dirigeants impliqués. Il précise qu'une violation n'est pas une infraction criminelle.
Aucune information disponible publiquement ne donne une estimation du coût public, des coûts des opérateurs ou des montants des pénalités.
Les opérateurs devraient fournir du temps de personnel et d'autres ressources pour les processus, étapes, retraits et dossiers requis ; le projet de loi ne donne aucune estimation de coût.
Les pénalités seraient fixées par des règlements. Le projet de loi ne fixe pas de montants.
Le projet de loi ne précise pas de financement public pour l'administration de la loi.
Les « dommages significatifs » incluent des exemples tels que des dommages psychologiques, des atteintes à la réputation, des opportunités de travail perdues et le vol d'identité, mais le projet de loi n'explique pas comment les opérateurs doivent décider si un deepfake particulier peut en causer.
Le projet de loi ne fixe pas de règles détaillées pour identifier les deepfakes, répondre aux rapports, décider si un contenu doit être retiré ou notifier les personnes concernées.
Le projet de loi laisse les montants des pénalités, les procédures d'enquête et d'audience, les défenses possibles et les règles de révision ou d'appel aux règlements.
Il n'est pas clair comment les obligations s'appliqueraient à différents types d'opérateurs en ligne, ni comment elles interagiraient avec les lois existantes. Le matériel fourni n'inclut pas ces lois pour comparaison.
Le projet de loi semble destiné à traiter des deepfakes pouvant causer des dommages personnels, réputationnels, psychologiques ou économiques.
Exiger des processus de signalement et des étiquettes claires pourrait aider les utilisateurs à identifier les deepfakes et à alerter les opérateurs à leur sujet.
Exiger des mesures raisonnables pour prévenir et retirer les deepfakes potentiellement nuisibles donne aux opérateurs une obligation d'agir, plutôt que de se fier uniquement à des mesures volontaires.
Les pénalités pour les opérateurs et les directeurs ou dirigeants responsables pourraient encourager la conformité. Le projet de loi précise que les pénalités visent à promouvoir la conformité, et non à punir.
Les tests centraux du projet de loi—tels que ce qui compte comme « mesures raisonnables » et quand un deepfake peut causer des « dommages significatifs »—ne sont pas précisés dans le texte. Cela pourrait laisser des décisions importantes aux opérateurs.
Le projet de loi exige que les opérateurs prennent des mesures pour identifier et étiqueter les deepfakes, mais n'explique pas comment éviter de mal identifier un contenu authentique ou comment les utilisateurs peuvent contester une décision.
Les règles de pénalité détaillées sont laissées à de futurs règlements, donc le projet de loi lui-même ne montre pas l'exposition financière possible ni comment une décision pourrait être contestée.
Les opérateurs devraient mettre en place des processus et conserver des dossiers, mais le projet de loi ne fournit aucune estimation de coût ni de détail sur les ressources requises.