Notes from the IAPP Canada: Government funding initiative supports responsible AI adoption

A couple weeks ago, I wrote about the value of regulators making efforts to show organizations what good artificial intelligence governance looks like. But there's a flipside to that idea: increasingly, organizations may be asked to show what good looks like in their own operations.

The federal government provided an interesting example this week through its expanded Regional Artificial Intelligence Initiative. Sure, at first glance, this is a funding story. I think we can also look at it as an AI governance story.

The government announced 13 Oct. an additional CAD500 million over five years for the initiative, bringing total federal funding to CAD700 million. The money is intended to support the responsible adoption and commercialization of AI across Canada and is being delivered through regional development agencies.

The part I want to highlight for privacy and AI governance professionals is what organizations may have to demonstrate to get some of that funding.

In Southern Ontario, for example, FedDev Ontario says projects will be assessed in part on project risks and the effectiveness of mitigation measures, particularly those relating to responsible AI. Strong applications are expected to include clear, concrete measures for responsible AI, an implementation timeline and, where available, evidence from previous responsible-AI work. Applicants may also need to demonstrate an understanding of current and anticipated regulation.

Those expectations take us beyond signing on to principles or publishing a policy. They point toward documented controls, assigned accountability, risk assessments and evidence that governance measures are actually being implemented.

For several years, much of the responsible-AI discussion has understandably focused on principles. Fairness, transparency, accountability, human oversight, security and privacy are familiar elements on the list. The harder question has always been how an organization proves those principles have made the jump from the boardroom slide deck into the way systems are designed, acquired and used. Funding programs can create a fairly direct incentive to answer that question.

This also illustrates that Canada's emerging approach to AI governance won't be shaped by legislation alone. Standards, regulatory guidance, procurement rules and government funding conditions can all influence organizational behavior. Formal legal requirements matter enormously, of course, but they're not the only mechanisms capable of changing practice.

Privacy and data governance can't sensibly be bolted onto an AI project at the end. Questions about data provenance, authorized uses, access, retention, security and accountability are key parts of the governance architecture needed to demonstrate responsible AI in the first place.

I kind of like the idea of governments attaching responsible-AI expectations to public funding. If taxpayers are helping organizations adopt and commercialize AI, asking recipients to identify risks and show how those risks will be managed hardly seems an extraordinary condition.

That being said, I think we should be careful about what we make of this. Funding criteria are not a new AI regulatory regime. They apply to organizations seeking discretionary government support, and the initiative is delivered through different regional agencies whose published requirements are not necessarily identical. That becomes important if funding and procurement programs increasingly serve as instruments of AI governance. 

Clear expectations can encourage good practice. A collection of too many different checklists, definitions and documentation requirements across programs could also risk adding complexity confusion without necessarily improving accountability.

Something to watch for as things progress with this idea is how closely expectations will align across departments, programs and regions. There needs to be room for requirements to reflect different contexts, but organizations should still be able to recognize a coherent baseline. 

Responsible AI has already spent a decent amount of time in the world of commitments and principles. Increasingly, organizations seeking something of value may have to show their work. 

Notes de l'IAPP Canada : L'initiative gouvernementale de financement soutient l'adoption responsable de l'IA

Il y a quelques semaines, j’ai écrit sur l’utilité, pour les organismes de réglementation, de montrer aux organisations à quoi ressemble une bonne gouvernance de l’IA. Mais il y a aussi un revers à cette idée : de plus en plus, les organisations pourraient devoir montrer à quoi ressemble une bonne gouvernance dans leurs propres activités. 

Le gouvernement fédéral en a donné un exemple intéressant cette semaine avec l’élargissement de l’Initiative régionale en matière d’intelligence artificielle. Bien sûr, à première vue, il s’agit d’une histoire de financement. Je pense qu’on peut aussi y voir une histoire de gouvernance de l’IA. 

Le 13 octobre, le gouvernement a annoncé 500 millions de dollars supplémentaires sur cinq ans pour l’initiative, ce qui porte le financement fédéral total à 700 millions de dollars. Ces fonds visent à soutenir l’adoption et la commercialisation responsables de l’IA partout au Canada et sont distribués par l’entremise des agences de développement régional. 

Ce que je veux souligner pour les professionnels de la protection de la vie privée et de la gouvernance de l’IA, c’est ce que les organisations pourraient devoir démontrer pour obtenir une partie de ce financement. 

Dans le Sud de l’Ontario, par exemple, FedDev Ontario indique que les projets seront évalués notamment en fonction de leurs risques et de l’efficacité des mesures d’atténuation, particulièrement celles qui concernent l’IA responsable. Les demandes solides devraient présenter des mesures claires et concrètes en matière d’IA responsable, un calendrier de mise en œuvre et, lorsqu’ils sont disponibles, des éléments probants tirés de travaux antérieurs dans ce domaine. Les demandeurs pourraient aussi devoir démontrer qu’ils comprennent la réglementation actuelle et celle qui est prévue. 

Ces attentes nous amènent au-delà de l’adhésion à des principes ou de la publication d’une politique. Elles renvoient à des contrôles documentés, à des responsabilités attribuées, à des évaluations des risques et à des preuves que les mesures de gouvernance sont effectivement mises en œuvre. 

Depuis plusieurs années, les discussions sur l’IA responsable portent, à juste titre, en grande partie sur les principes. Équité, transparence, responsabilité, supervision humaine, sécurité et protection de la vie privée figurent parmi les éléments bien connus. La question plus difficile a toujours été de savoir comment une organisation peut prouver que ces principes sont passés de la présentation au conseil d’administration à la conception, à l’acquisition et à l’utilisation des systèmes. Les programmes de financement peuvent créer une incitation assez directe à répondre à cette question. 

Cela montre aussi que l’approche émergente du Canada en matière de gouvernance de l’IA ne sera pas façonnée uniquement par la législation. Les normes, les lignes directrices réglementaires, les règles d’approvisionnement et les conditions liées au financement public peuvent toutes influencer le comportement des organisations. Les obligations juridiques formelles comptent énormément, bien sûr, mais ce ne sont pas les seuls mécanismes capables de changer les pratiques. 

La protection de la vie privée et la gouvernance des données ne peuvent pas raisonnablement être greffées à un projet d’IA à la toute fin. Les questions relatives à la provenance des données, aux usages autorisés, à l’accès, à la conservation, à la sécurité et à la responsabilité sont des éléments clés de l’architecture de gouvernance nécessaire pour démontrer, dès le départ, qu’une IA est responsable. 

J’aime assez l’idée que les gouvernements assortissent le financement public d’exigences en matière d’IA responsable. Si les contribuables aident des organisations à adopter et à commercialiser l’IA, il ne paraît guère extraordinaire de demander aux bénéficiaires de cerner les risques et de montrer comment ils seront gérés. 

Cela dit, je pense qu’il faut faire attention à la portée qu’on donne à cette mesure. Des critères de financement ne constituent pas un nouveau régime canadien de réglementation de l’IA. Ils s’appliquent aux organisations qui sollicitent un soutien gouvernemental discrétionnaire, et l’initiative est administrée par différentes agences régionales dont les exigences publiées ne sont pas nécessairement identiques. Cette distinction devient importante si les programmes de financement et d’approvisionnement servent de plus en plus d’instruments de gouvernance de l’IA. 

Des attentes claires peuvent favoriser de bonnes pratiques. Une trop grande variété de listes de contrôle, de définitions et d’exigences documentaires d’un programme à l’autre pourrait aussi ajouter de la complexité et de la confusion sans nécessairement améliorer la responsabilité. 

À mesure que cette approche évoluera, il faudra surveiller dans quelle mesure les attentes s’harmoniseront entre les ministères, les programmes et les régions. Les exigences doivent pouvoir tenir compte de contextes différents, mais les organisations devraient tout de même être en mesure de reconnaître un socle commun cohérent. 

L’IA responsable a déjà passé pas mal de temps dans l’univers des engagements et des principes. De plus en plus, les organisations qui cherchent à obtenir quelque chose de valeur pourraient devoir faire la preuve de leur démarche. 

This French companion article is not meant to be an exact translation, but rather an article that generally covers the same topic as the English article.