Projet de loi C-34 : le Canada entend réguler les médias sociaux, les agents conversationnels d’IA et les services en ligne

Le 10 juin 2026, le gouvernement fédéral a déposé le projet de loi C-34, la Loi édictant la Loi sur la sécurité numérique et la Loi sur la Commission canadienne de la sécurité numérique et apportant des modifications corrélatives à d’autres lois, en abrégé Loi sur les médias sociaux sécuritaires¹. Si ce projet de loi est adopté, deux nouvelles lois seront promulguées : la Loi sur la sécurité numérique et la Loi sur la Commission canadienne de la sécurité numérique. Le projet de loi « établit un cadre qui améliore la sécurité en ligne, assure que les services en ligne soient transparents et tenus responsables des risques qu’ils engendrent, et crée la Commission canadienne de la sécurité numérique. Cette dernière est chargée de faire respecter la Loi sur la sécurité numérique et d’offrir du soutien aux victimes de préjudices en ligne »².

Dans ce bulletin, nous analysons les caractéristiques du projet de loi et ses conséquences potentielles pour les exploitants de médias sociaux, d’agents conversationnels d’IA et de services en ligne accessibles par des sites Web ou des applications.

Ce qu’il faut savoir

• Le projet de loi C-34 prévoit de nouvelles obligations réglementaires importantes pour les exploitants de médias sociaux, d’agents conversationnels d’IA et de services en ligne canadiens. Le projet de loi n’est pas encore entré en vigueur, mais les exploitants concernés devraient dès maintenant évaluer les risques auxquels ils sont exposés. Pour être assujettis à ce régime, les services doivent atteindre un certain nombre d’utilisateurs; ce seuil n’ayant pas encore été précisé, la portée exacte de la loi reste floue.
• Obligations de protéger les enfants. Les nouvelles obligations légales dépendraient de la nature du service, mais comprendraient des caractéristiques de conception visant à empêcher les enfants d’accéder à du contenu pornographique et la mise en place d’un âge minimum de 16 ans pour la création d’un compte de médias sociaux.
• Obligations relatives au contenu et aux déclarations. Des obligations légales supplémentaires visant la régulation de contenus et la transparence exigeraient des fournisseurs de services de médias sociaux et d’agents conversationnels d’IA qu’ils luttent contre les contenus préjudiciables, et qu’ils examinent et rendent publics les signalements d’utilisateurs dans un délai de 24 heures. Les exploitants d’agents conversationnels d’IA auraient l’obligation d’atténuer le risque que leurs agents adoptent certains comportements préjudiciables. L’ensemble des exploitants seraient tenus de rendre publics tous les signalements de contenu ou de comportement préjudiciables, leurs circonstances et les mesures prises à leur égard.
• Un nouvel organisme administratif chargé de superviser et faire respecter la loi. Le projet de loi créerait un nouvel organisme de réglementation, la Commission canadienne de la sécurité numérique (la « Commission »), investie de plus de 30 pouvoirs réglementaires distincts et de pouvoirs d’exécution étendus, notamment la tenue d’audiences administratives et la possibilité de contraindre des témoins à comparaître devant elle et à produire des documents. Il reviendrait également à la Commission de déterminer si les mesures prises par un service pour se conformer à ses obligations réglementaires sont adéquates.
• Une législation qui a du mordant. En cas de manquement, les exploitants pourraient se voir infliger des amendes importantes pouvant s’élever jusqu’à 5 % de leurs revenus bruts globaux pour l’exercice précédent, calculées à l’échelle mondiale et non uniquement sur leurs activités au Canada.
• Tout est dans les détails. Le projet de loi ne précise pas les modalités de mise en conformité des exploitants, notamment en ce qui concerne la vérification de l’âge, les fonctionnalités à déployer sur les médias sociaux et les agents conversationnels d’IA, ainsi que la fréquence des déclarations. Un certain nombre de dispositions dépendraient des règlements à venir (qui ne sont pas encore rédigés), dont l’élaboration relèverait de la Commission ou du gouverneur en conseil.
• Un long parcours avant la mise en œuvre. Avant que la Commission ne puisse voir le jour, le Cabinet doit désigner un ministre, nommer les membres et un président, et établir un siège social. Chaque règlement établi par la Commission devra être publié au préalable dans la Gazette du Canada afin que le public puisse formuler des commentaires, et comprendra une consultation obligatoire avec le Commissaire à la protection de la vie privée ou la GRC pour des questions comme les caractéristiques de conception axées sur la protection des enfants (vérification de l’âge, âges minimaux et mesures antipornographie).

Tour d’horizon du régime législatif proposé

• Il s’applique aux médias sociaux, aux agents conversationnels d’IA et aux services en ligne. La Loi sur la sécurité numérique instaurerait une « obligation de protéger les enfants », applicable aux exploitants de services de médias sociaux, d’agents conversationnels d’IA et de services en ligne permettant aux utilisateurs d’interagir avec des sites Web ou des applications, dès lors que ces services dépassent un certain seuil d’utilisateurs (qui sera fixé par règlement). Les obligations varieraient en fonction du service, mais de manière générale, le projet de loi impose aux exploitants de prendre des mesures pour :
  • intégrer les caractéristiques de conception qui sont recommandées pour protéger les enfants;
  • mettre en place des mesures de vérification ou d’estimation de l’âge pour empêcher l’exposition des enfants à des contenus pornographiques;
  • tenir des registres afin de démontrer la conformité à la loi.
• Obligation de transparence. Tous les types d’exploitants seraient tenus de concevoir et de rendre public un plan de sécurité numérique, dont le contenu varierait en fonction de la nature du service. Pour les fournisseurs de médias sociaux, cela inclurait des obligations de déclaration concernant certaines mesures prises à l’égard des contenus préjudiciables. Les exploitants d’agents conversationnels d’IA seraient tenus de signaler les contenus et comportements préjudiciables.
  • Les « contenus préjudiciables » englobent : 1) le contenu intime communiqué de façon non consensuelle; 2) le contenu représentant de la victimisation sexuelle d’enfants ou perpétuant la victimisation de survivants; 3) le contenu qui pousse un enfant à se porter préjudice; 4) le contenu qui vise à intimider un enfant; 5) le contenu qui fomente la haine; 6) le contenu qui incite à la violence; 7) le contenu de terrorisme et d’extrémisme violent.
  • Les « comportements préjudiciables » désignent les agents conversationnels d’IA qui : 1) se font passer pour un être humain; 2) se font passer pour un professionnel de la santé, du droit ou tout professionnel autorisé et donnent des conseils professionnels sur lesquels un utilisateur pourrait raisonnablement se fier; 3) utilisent des « techniques d’engagement manipulatrices » pour encourager l’utilisateur à former un attachement émotionnel au service qui pourrait « encourager l’utilisateur à se replier sur soi ou à perdre contact avec la réalité »; 4) encouragent l’automutilation, le suicide ou des actes susceptibles de causer la mort ou des lésions corporelles graves.
• Obligations supplémentaires relatives aux médias sociaux. Les exploitants de services de médias sociaux seraient assujettis à trois obligations supplémentaires et aux responsabilités qui en découlent :
  • L’obligation d’agir de manière responsable, qui exige d’atténuer le risque que les utilisateurs soient exposés à du contenu préjudiciable, d’ajouter une étiquette au contenu généré de manière synthétique (représentations sonores ou visuelles de personnes, d’objets, de lieux, d’entités ou d’événements réalisées par des moyens électroniques ou mécaniques, y compris par l’IA, qui sont susceptibles d’être confondues avec un enregistrement authentique), et de fournir des moyens aux utilisateurs de signaler le contenu nuisible et de bloquer d’autres utilisateurs.
  • L’obligation de rendre certains contenus inaccessibles, qui s’applique au contenu représentant de la victimisation sexuelle d’enfants ou perpétuant la victimisation de survivants et au contenu intime communiqué de façon non consensuelle, qu’il soit identifié par l’exploitant ou signalé par un utilisateur, même si le projet de loi exclut explicitement l’obligation pour un exploitant de rechercher proactivement les contenus préjudiciables.
  • Des exigences fixant à 16 ans l’âge minimal pour détenir un compte sur une plateforme, sous réserve d’éventuelles exemptions pouvant être accordées si l’exploitant met en place des mécanismes de protection adaptés aux enfants. Les mesures prévues pour faire appliquer cet âge minimal consistent en des « mesures adéquates de vérification ou d’estimation de l’âge » qui devront être « efficaces »; le projet de loi autorise la collecte ou l’utilisation de renseignements personnels à cette fin.
• Obligations supplémentaires relatives aux agents conversationnels d’IA. Les exploitants de services d’agents conversationnels d’IA seraient soumis à une obligation d’agir de manière responsable supplémentaire, adaptée au type de service, consistant à « atténuer le risque » que l’agent diffuse du contenu préjudiciable ou adopte un comportement préjudiciable, et à prendre des mesures d’urgence en cas de crise.
• Création d’une commission pour la sécurité en ligne. Le projet de loi C-34 prévoit la création d’un nouvel organisme de réglementation, la Commission canadienne de la sécurité numérique (la « Commission »), chargée d’administrer le cadre d’application, d’établir des normes relatives à la sécurité en ligne, d’assurer la conformité et de traiter les plaintes des utilisateurs.
• Les pouvoirs de la Commission. La Commission disposerait de pouvoirs étendus, notamment l’accès aux données électroniques rendues publiques dans le cadre d’un plan de sécurité numérique, l’examen des plaintes et la prise de décision à leur sujet (en particulier en ce qui concerne l’exploitation sexuelle des enfants et le contenu intime communiqué de façon non consensuelle); la comparution de témoins et la production de documents; la tenue d’audiences publiques ou privées; la désignation d’inspecteurs (armés de mandats délivrés par un tribunal); l’émission d’ordonnances de conformité pouvant être homologuées par la Cour fédérale.
• Infractions et amendes. Certains types de manquements constitueraient des infractions. Les sanctions se limiteraient à des amendes (sans peine d’emprisonnement) pouvant atteindre le plus élevé des montants suivants : 5 % des revenus bruts globaux de l’exploitant pour l’exercice précédent ou 20 millions de dollars.

Conséquences

Le projet de loi C-34 constitue la première mesure législative présentée par le gouvernement fédéral actuel pour réglementer les services en ligne, dans la foulée du projet de loi C-63 (Loi sur les préjudices en ligne) proposé en 2024 mais n’ayant pas passé l’étape de la première lecture. Le projet de loi C-34 est plus ambitieux que le projet de loi C-63, qui visait à réglementer seulement les fournisseurs de services de médias sociaux. Si elle est adoptée, la nouvelle loi prévoit des changements majeurs quant aux mesures à mettre en œuvre par les exploitants de services en ligne réglementés et à leurs obligations continues de communication d’informations. Torys continuera à suivre l’évolution de la situation et à vous en informer.

En attendant :

• Le projet de loi C-34 n’est pas définitif; il a été présenté en première lecture à la Chambre des communes le 10 juin 2026. Il nécessite une deuxième et une troisième lecture à la Chambre des représentants, ainsi que trois lectures au Sénat. La teneur exacte de la loi définitive, si elle est adoptée, demeure incertaine.
• Des consultations seront organisées lorsque des règlements pour cette loi seront proposés (si elle entre en vigueur).
• Les exploitants de médias sociaux, d’agents conversationnels d’IA et de services en ligne devraient dès maintenant évaluer s’ils sont visés par le projet de loi et, le cas échéant, de quelle manière.
• Les exploitants qui pensent être concernés devraient se renseigner sur les mesures de conformité réglementaire à mettre en place ainsi que sur les risques inédits ou accrus de litiges liés à l’exploitation et à la fourniture de services entrant dans le champ d’application du projet de loi.