Regulación de IA en Canadá

Resumen ejecutivo

Por qué «Canadá perdió su momento regulatorio de IA» es la lectura equivocada

El encuadre más habitual de la regulación de IA canadiense describe una oportunidad perdida: AIDA fue un intento serio de legislación federal de IA que murió en comité, dejando a Canadá sin un marco nacional de IA mientras el Reglamento de IA de la UE, el Convenio del Consejo de Europa y las leyes estatales de IA estadounidenses avanzaban. Canadá se retrata ahora como rezagado regulatorio, intentando alcanzar al resto, con grupos industriales argumentando por menos regulación y grupos de derechos humanos argumentando por más.

El encuadre captura la superficie y pierde la lógica institucional. AIDA no murió por desatención o accidente político. Murió porque el consenso político que la produjo se disolvió antes de que pudiera promulgarse, y el consenso que lo reemplazó tras la elección federal de abril de 2025 eligió explícitamente un camino diferente. El enfoque articulado del gobierno de Carney no es retraso regulatorio. Es una decisión estratégica para priorizar la soberanía de IA, la infraestructura de cómputo y la captura económica del valor de la IA por encima del marco regulatorio horizontal, sobre el razonamiento explícito de que la regulación integral podría perjudicar la competitividad canadiense en una fase en que la capacidad de IA todavía se está estableciendo globalmente.

La narrativa dominante pierde tres realidades estructurales. Primero, Canadá ha invertido más en capacidad estatal de IA de lo que el debate de AIDA sugirió. El Canadian AI Safety Institute se lanzó en noviembre de 2024 como parte de un paquete de inversión en IA de CAD $2.4 mil millones, incluidos CAD $2 mil millones para infraestructura de cómputo soberano. CAISI opera ahora dentro de la red internacional de AISIs junto con sus contrapartes del Reino Unido, Estados Unidos, Japón y la UE. La capacidad de evaluación de IA que el gobierno federal construyó es real y operativa, aunque la autoridad regulatoria nunca se promulgó. Segundo, las provincias canadienses han estado lejos de ser pasivas. La Quebec Law 25 (2021), implementada en tres fases hasta septiembre de 2024, incluye disposiciones sustantivas relevantes para IA sobre toma de decisiones automatizada, evaluaciones de impacto en privacidad y consentimiento que funcionan efectivamente como la base de IA de Quebec. El Quebec Innovation Council ha recomendado explícitamente una ley de IA específica de la provincia. Otras provincias están observando de cerca. Tercero, el Voluntary Code of Conduct on Responsible Development and Management of Advanced Generative AI Systems es la referencia sustantiva de gobernanza de IA que las organizaciones canadienses realmente usan. Los principales desarrolladores canadienses de IA y grandes adoptantes corporativos lo han firmado; ha producido cambio real de comportamiento de cumplimiento en ausencia de estatuto.

Lo que la regulación de IA canadiense es en realidad, entonces, es un panorama institucional post-AIDA construido sobre tres pilares: capacidad estatal de IA (CAISI, la Sovereign Compute Strategy), regulación provincial (especialmente Quebec Law 25) y marcos voluntarios federales (el Code of Conduct). La cuestión política de si añadir un cuarto pilar — un estatuto federal integral de IA, al estilo de AIDA u otro — ha sido respondida por ahora por el pivote del gobierno de Carney a soberanía-primero. La respuesta puede cambiar. Los grupos canadienses de derechos humanos, la sociedad civil y varios expertos legales continúan argumentando que la ausencia de estatuto vinculante deja categorías significativas de riesgo de IA inadecuadamente abordadas. La tensión política es real y no resuelta.

Para las organizaciones que operan en el mercado canadiense de IA, la realidad operativa es que el trabajo de cumplimiento es multi-capa y está anclado en estándares: PIPEDA (privacidad federal), Canadian Human Rights Act (anti-discriminación federal), leyes provinciales (Quebec Law 25 más material), el Voluntary Code of Conduct, regulación sectorial, y cada vez más exposición al Reglamento de IA de la UE para organizaciones con actividad en el mercado de la UE. El aseguramiento basado en estándares — particularmente ISO/IEC 42001 y NIST AI RMF — se ha convertido en el denominador operativo que hace manejable el cumplimiento multi-capa.

—

Lo que AIDA habría sido

Entender lo que AIDA propuso, y por qué falló, es esencial para entender lo que viene después. AIDA tenía cuatro características sustantivas que la distinguían del Reglamento de IA de la UE y del patchwork estadounidense.

Basado en riesgo con un único umbral: «sistemas de IA de alto impacto». A diferencia de la clasificación de cuatro niveles del Reglamento de IA de la UE, AIDA propuso una única categoría regulada — sistemas de IA de alto impacto — con la definición específica que se desarrollaría mediante regulación tras Royal Assent. Las enmiendas de Champagne de octubre de 2023 intentaron abordar la crítica de que la definición de alto impacto era demasiado vaga especificando categorías: sistemas de IA usados en selección de empleo, moderación de contenido, procesamiento biométrico, decisiones de salud y aplicación de la ley, entre otros.

El AI and Data Commissioner. AIDA habría creado un AI and Data Commissioner a nivel federal con autoridad de aplicación. El Commissioner habría tenido poder para compeler marcos de rendición de cuentas, requerir evaluaciones de sistemas de IA, realizar u ordenar auditorías, emitir órdenes de cumplimiento e imponer sanciones monetarias administrativas. Esta es una arquitectura de aplicación más fuerte que la delegación basada en principios del Reino Unido a reguladores sectoriales, más débil que la coordinación del Reglamento de IA de la UE a través de autoridades nacionales y la EU AI Office.

Prohibiciones y disposiciones de daño grave. AIDA incluía prohibiciones específicas contra usos de IA susceptibles de causar daño físico o psicológico, daño a la propiedad o pérdida económica. Las disposiciones se solapaban sustancialmente con las prohibiciones de riesgo inaceptable del Reglamento de IA de la UE pero estaban menos específicamente definidas.

Disposiciones de IA de propósito general añadidas por enmienda. Las enmiendas de Champagne añadieron disposiciones de sistemas de IA de propósito general, reconociendo que los modelos de clase GPT no podían abordarse adecuadamente solo a través de regulación específica de caso de uso. Estas disposiciones habrían anticipado las obligaciones de IA de Propósito General del Reglamento de IA de la UE bajo los artículos 50–55, aunque con menos requisitos concretos.

AIDA progresó hasta la segunda lectura en abril de 2023 y la deliberación en comité hasta 2024. Las críticas sustanciales vinieron de tres direcciones: grupos de sociedad civil y académicos argumentaron que la ley protegía inadecuadamente los derechos fundamentales y carecía de supervisión regulatoria independiente; grupos industriales argumentaron que crearía incertidumbre regulatoria y perjudicaría la competitividad canadiense; expertos técnicos argumentaron que la definición de alto impacto era demasiado vaga para operacionalizarse. El Standing Committee on Industry and Technology estaba trabajando a través de enmiendas cuando el Primer Ministro Trudeau renunció y prorrogó el Parlamento en enero de 2025. El Bill C-27, incluida AIDA, murió en el Order Paper.

La elección federal de abril de 2025 produjo un gobierno minoritario liberal bajo Mark Carney. El Ministro de IA Evan Solomon confirmó en junio de 2025 que AIDA no volvería tal como se redactó; solo fragmentos podrían sobrevivir en cualquier marco futuro de IA. El enfoque del gobierno de Carney, articulado como «light, tight, right», pivota lejos de la regulación horizontal integral hacia intervención dirigida más inversión en soberanía de IA.

—

Qué está en vigor ahora: el panorama post-AIDA

Sin estatuto federal de IA, las organizaciones canadienses operan dentro de un entorno de cumplimiento multi-capa. Seis elementos anclan el régimen actual.

El Voluntary Code of Conduct on Responsible Development and Management of Advanced Generative AI Systems. Publicado por el gobierno federal en septiembre de 2023. Marco voluntario dirigido a desarrolladores y gestores de sistemas avanzados de IA generativa. Seis principios: rendición de cuentas, safety, justicia, transparencia, supervisión humana y robustez. Los signatarios incluyen los principales laboratorios canadienses de IA y adoptantes corporativos. El Código es la referencia federal sustantiva de gobernanza de IA en ausencia de estatuto. El cumplimiento del Código no proporciona protección legal formal pero conforma las expectativas de reguladores y contrapartes.

PIPEDA y legislación federal de privacidad. El Personal Information Protection and Electronic Documents Act (2000) sigue siendo la ley federal de privacidad del sector privado de Canadá. PIPEDA se aplica a sistemas de IA que procesan información personal, con la Office of the Privacy Commissioner of Canada (OPC) emitiendo orientación sobre IA específicamente. La OPC ha interpretado consistentemente PIPEDA para requerir consentimiento significativo, limitación de propósito y rendición de cuentas para el procesamiento de IA, proporcionando regulación de privacidad de IA de facto en ausencia de estatuto dedicado. El Consumer Privacy Protection Act (CPPA) que habría reemplazado a PIPEDA fue parte del Bill C-27 y murió con AIDA.

El Canadian Human Rights Act y los estatutos provinciales de derechos humanos. La legislación federal y provincial de derechos humanos se aplica a sistemas de IA usados en empleo, servicios y adaptación. Los resultados discriminatorios de los sistemas de IA son accionables bajo la legislación existente anti-discriminación con independencia del estatus de AIDA. La Canadian Human Rights Commission ha indicado monitoreo activo de la IA en empleo y servicios federalmente regulados.

Quebec Law 25. Act to modernize legislative provisions as regards the protection of personal information, aprobada en septiembre de 2021, implementada en tres fases (septiembre de 2022, septiembre de 2023, septiembre de 2024). Las disposiciones sustantivas relevantes para IA incluyen: derecho a ser informado cuando se usa un sistema de decisión automatizada, derecho a obtener explicaciones de decisiones automatizadas, evaluaciones de impacto en privacidad obligatorias antes de desplegar proyectos tecnológicos que afecten a la información personal, consentimiento obligatorio para el procesamiento de información personal sensible. La Law 25 es actualmente el estatuto más significativo operativamente relevante para IA en Canadá. Se aplica a todas las organizaciones que hacen negocios en Quebec, con independencia de la ubicación de la sede.

Regulación sectorial federal. Los casos de uso de IA en servicios financieros (orientación de OSFI), sanidad (marco de dispositivos médicos de IA de Health Canada), telecomunicaciones (CRTC) y otros sectores regulados se abordan bajo el estatuto sectorial existente. La Office of the Superintendent of Financial Institutions (OSFI) ha emitido orientación sobre la gestión del riesgo de modelos AI/ML; Health Canada aplica marcos de dispositivos médicos a IA-as-Software-as-Medical-Device.

El Canadian AI Safety Institute (CAISI). Lanzado el 12 de noviembre de 2024 como parte de la inversión federal de IA de CAD $2.4 mil millones. Opera dentro de la red internacional de AISIs. Realiza evaluación técnica de modelos de IA frontera, investigación de alineamiento y evaluación de riesgo social. Como UK AISI, US AISI y Japan AISI, CAISI no tiene poderes de aplicación; es una capacidad técnica estatal en lugar de un regulador. El gobierno federal ha comprometido CAD $2 mil millones a la Canadian AI Sovereign Compute Strategy y AI Compute Access Fund, construyendo infraestructura de cómputo doméstica para el desarrollo canadiense de IA.

—

El pivote del gobierno de Carney a la soberanía de IA

El desarrollo más significativo operativamente para la política canadiense de IA desde la elección federal de abril de 2025 ha sido el pivote articulado del gobierno de Carney de regulación-primero a soberanía-primero. Tres elementos definen el pivote.

Inversión en cómputo e infraestructura. Los compromisos de la Sovereign Compute Strategy — CAD $2 mil millones para cómputo soberano, CAD $700 millones para el ecosistema de IA — representan la mayor inversión federal de IA en la historia canadiense. La premisa estratégica es que la soberanía de IA depende de la capacidad de cómputo doméstica, el talento de IA y la salud del ecosistema de IA, no del marco regulatorio solo. La inversión se está desplegando a través de Innovation, Science and Economic Development Canada y programas asociados.

Escepticismo sobre la regulación integral. El Ministro de IA Evan Solomon ha sido explícito en que el gobierno quiere moverse «alejándose del sobre-indexar en advertencias y regulación» para asegurar que la economía se beneficie de la IA. El encuadre alinea a Canadá más con la orientación dominance-first estadounidense que con la regulación integral de la UE, mientras preserva elementos distintivamente canadienses (CAISI, cómputo soberano, consideraciones de soberanía de datos indígenas, fuerza continuada de Quebec Law 25).

Desarrollo regulatorio selectivo. El enfoque «light, tight, right» señaliza intervención dirigida — probablemente sobre copyright en entrenamiento de IA, sobre los modelos frontera más potentes y sobre casos de uso específicos de alto riesgo — en lugar de marco horizontal al estilo AIDA. Esto refleja el estrechamiento del gobierno del Reino Unido de un AI bill integral a un Frontier AI Bill más legislación de copyright, con lógica política similar.

La tensión política es real y no resuelta. El Canadian Centre for Policy Alternatives, los grupos de libertades civiles y las organizaciones de derechos humanos han argumentado que el pivote a soberanía-primero deja a los sujetos canadienses de IA sin protección vinculante. El informe del national sprint de ISED del 3 de febrero de 2026 reconoció muchas de estas preocupaciones: privacidad, safety, transparencia, rendición de cuentas, brechas de gobernanza. Si el gobierno de Carney responderá con un nuevo estatuto, regulación sectorial expandida o continuada dependencia del marco voluntario es la principal cuestión no resuelta para la política canadiense de IA hasta 2026.

—

Regulación provincial y Quebec Law 25

En ausencia de estatuto federal de IA, la regulación provincial se ha vuelto desproporcionadamente importante, y Quebec es el caso más significativo.

Quebec Law 25 es operativamente lo más cercano que Canadá tiene a regulación específica de IA, a pesar de estar enmarcada como legislación de privacidad. Las disposiciones de la Ley sobre toma de decisiones automatizada incluyen:

• Derecho a ser informado cuando una organización usa información personal para emitir una decisión basada exclusivamente en procesamiento automatizado
• Derecho a explicaciones de la información personal principal usada en tales decisiones automatizadas
• Derecho a la oportunidad de presentar observaciones a una persona que tenga autoridad para revisar la decisión automatizada
• Evaluaciones de impacto en privacidad obligatorias antes de desplegar proyectos tecnológicos que involucren procesamiento de información personal — incluidos los despliegues de IA
• Consentimiento para información personal sensible, incluidos los datos biométricos

La Commission d’accès à l’information de Quebec (CAI) tiene autoridad para imponer sanciones de hasta CAD $25 millones o el 4% del volumen de negocios global por violaciones graves. La estructura de sanciones es comparable al GDPR.

La Law 25 se aplica a todas las organizaciones que hacen negocios en Quebec con independencia de la ubicación de la sede. Un vendor estadounidense de IA vendiendo a un cliente con sede en Quebec está sujeto a las obligaciones de la Law 25 sobre el procesamiento del cliente. Un banco federalmente regulado operando en Quebec aplica PIPEDA y Law 25 simultáneamente. El trabajo de cumplimiento se solapa sustancialmente con el Reglamento de IA de la UE y el GDPR, por lo que muchas organizaciones canadienses han adoptado prácticas a nivel GDPR como base operativa.

El Quebec Innovation Council ha recomendado que Quebec adopte una ley específica de IA más allá de la Law 25. La recomendación no se ha actuado a mayo de 2026, pero señala disposición provincial para legislar donde el nivel federal no lo ha hecho.

Otras provincias. Ontario, Columbia Británica y Alberta no han promulgado legislación específica de IA provincial a mayo de 2026, aunque las tres tienen legislación provincial de privacidad (PIPA en BC y Alberta, FIPPA y PHIPA en Ontario para el sector público y la salud) que se aplica a casos de uso de IA. Los legisladores provinciales han estado observando de cerca la experiencia federal de AIDA; el pivote de Carney a soberanía-primero puede ralentizar el apetito provincial por legislación específica de IA.

—

El Canadian AI Safety Institute (CAISI)

CAISI es el espejo institucional de los AI Safety Institutes del Reino Unido y Estados Unidos dentro de la red internacional más amplia de AISIs. Entender qué es y qué no es CAISI importa para las organizaciones canadienses de IA.

Qué es. Una capacidad técnica federal para investigación de safety en IA y evaluación de modelos frontera, establecida dentro de Innovation, Science and Economic Development Canada. CAISI realiza investigación sobre capacidad de IA frontera, alineamiento, riesgos de seguridad y evaluación de riesgo social. Tiene relaciones de coordinación formales con UK AISI, US AISI, Japan AISI y la EU AI Office, contribuyendo a la red internacional de AISIs que emergió de las Cumbres de Safety de Bletchley y Seúl.

Qué no es. Un regulador. CAISI no tiene autoridad de aplicación, no tiene poder para compeler la presentación de evaluaciones y no tiene capacidad para prohibir el despliegue. Su modelo operativo es la cooperación voluntaria con desarrolladores canadienses de IA y proveedores de modelos frontera, suplementada por financiación federal para la investigación de safety en IA, similar a la postura de UK AISI antes del Frontier AI Bill.

Papel estratégico. CAISI es el ancla técnica del enfoque soberanía-primero del gobierno de Carney. La capacidad estatal de IA — la capacidad de evaluar, entender y responder al riesgo de IA frontera — se trata como más importante que el marco regulatorio. La premisa es que Canadá necesita construir comprensión técnica antes de legislar, de manera muy similar a como lo ha hecho el Reino Unido. La premisa es contestada por los grupos de sociedad civil, que argumentan que la cooperación voluntaria y la investigación técnica no sustituyen la protección vinculante de derechos.

—

Intersecciones con otros regímenes

Cinco intersecciones determinan cómo opera la regulación de IA canadiense dentro de la arquitectura internacional más amplia.

Convenio Marco del Consejo de Europa sobre IA. Canadá fue signatario inicial el 5 de septiembre de 2024. El Convenio entró en vigor el 1 de noviembre de 2025. La ratificación canadiense no ha ocurrido y no ha sido políticamente priorizada por el gobierno de Carney. Las obligaciones del Convenio aplican a Canadá como signatario; su implementación doméstica depende de la ratificación o de un estatuto doméstico alineado con el tratado, ninguno de los cuales está actualmente programado.

Proceso de Hiroshima del G7. Canadá es miembro del G7, sostiene la Presidencia del G7 de 2025 y ha sostenido la expansión del Código de Conducta de Hiroshima y el Marco de Reporte alojado por la OCDE. Los desarrolladores frontera canadienses de IA (Cohere, AI21, otros) son destinatarios directos del Código de Conducta de Hiroshima y se comprometen con el Marco de Reporte.

Reglamento de IA de la UE. Los proveedores canadienses de IA que pongan sistemas en el mercado de la UE están sujetos al Reglamento de IA con independencia del estatus regulatorio canadiense. Los principales vendors canadienses de IA que operan en mercados de la UE satisfacen ambos regímenes. La asimetría — regulación integral de la UE, marco voluntario canadiense — crea trabajo de traducción de cumplimiento que las organizaciones activas en ambos mercados gestionan a través de programas basados en estándares.

Arquitectura de IA estadounidense. Canadá y Estados Unidos comparten flujos comerciales, flujos de talento e integración del ecosistema de IA. El pivote soberanía-primero del gobierno de Carney alinea a Canadá más estrechamente con la orientación dominance-first estadounidense que con la regulación de la UE. El marco bilateral CUSMA continúa gobernando la mayor parte del comercio transfronterizo de IA. Las órdenes ejecutivas estadounidenses de IA y las leyes estatales de IA (Colorado AI Act, NYC LL144) aplican a las organizaciones canadienses en la medida en que sus sistemas de IA se usen en territorio estadounidense.

Red internacional de AI Safety Institutes. CAISI es un miembro activo de la red internacional de AISIs, contribuyendo a la evaluación coordinada de IA frontera junto con sus contrapartes del Reino Unido, Estados Unidos, Japón y la UE. La red opera mediante coordinación informal en lugar de obligación de tratado, pero su trabajo técnico conforma cada vez más cómo se desarrolla la política canadiense de safety en IA.

—

## ⚖️ Cómo opera Zertia frente al régimen regulatorio de IA canadiense

Pensado para el cumplimiento de la regulación de IA de Canadá desde el primer día

Acreditaciones y membresías: 🎖️ Acreditada por ANAB (EE.UU.) · 🎖️ Proceso UKAS (Reino Unido) · 🎖️ Proceso ENAC (UE) · 🏛️ Miembro IAPP · 🏛️ Miembro INCITS · 🏛️ Miembro UKAI · 📜 Firmante EU AI Pact

Zertia es una entidad de certificación de sistemas de gestión de IA acreditada por ANAB, con oficinas en Boston, Madrid y Londres. El entorno multi-capa de cumplimiento post-AIDA de Canadá — PIPEDA, Canadian Human Rights Act, Quebec Law 25, Voluntary Code of Conduct, regulación sectorial, exposición al Reglamento de IA de la UE — hace que la certificación acreditada y el aseguramiento basado en estándares sean el denominador operativo que las organizaciones necesitan para gestionar el cumplimiento a través de capas.

Certificación — ISO/IEC 42001, AIUC-1, ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 22301. La certificación ISO/IEC 42001 proporciona la estructura de sistema de gestión que integra las obligaciones de procesamiento de IA bajo PIPEDA, las disposiciones de toma de decisiones automatizada de Quebec Law 25, el alineamiento con el Voluntary Code of Conduct, las expectativas de los reguladores sectoriales y el cumplimiento del Reglamento de IA de la UE para organizaciones con exposición a la UE. El mismo sistema de gestión sostiene el compromiso estructurado de safety en IA que CAISI evalúa voluntariamente para organizaciones adyacentes a la frontera. AIUC-1 proporciona aseguramiento técnico a nivel de agente para vendors canadienses de IA que despliegan agentes en entornos de procurement donde múltiples capas de cumplimiento aplican simultáneamente.

Marcos y Regulación — Evaluación de Conformidad EU AI Act, Atestación NIST AI RMF, Evaluación de Riesgos ISO/IEC 23894, Evaluación de Impacto Algorítmico, Evaluación Pre-Certificación. Las Evaluaciones de Impacto Algorítmico se estructuran para satisfacer las obligaciones de evaluaciones de impacto en privacidad de Quebec Law 25 sobre sistemas de toma de decisiones automatizada, junto con los requisitos de rendición de cuentas de PIPEDA, los compromisos de transparencia del Voluntary Code of Conduct y las necesidades de evaluación de sistemas de alto riesgo del Reglamento de IA de la UE.

Auditoría — Auditoría de Sistema de Gestión de IA, Auditoría de Sistemas de IA de Alto Riesgo, Auditoría de Modelo de IA, Auditoría EU AI Act, Auditoría de Riesgo IA NIST. Auditorías independientes estructuradas para sostener el entorno multi-capa de cumplimiento canadiense, el Voluntary Code of Conduct, el compromiso con reguladores sectoriales (OSFI, Health Canada), el compromiso voluntario de evaluación de CAISI para organizaciones adyacentes a la frontera y el cumplimiento del Reglamento de IA de la UE para firmas canadienses con exposición al mercado de la UE.

Formación — Gobernanza de IA, Gobernanza de Datos, Gobernanza de Privacidad a través de Zertia Academy. Los programas tratan explícitamente el régimen canadiense, incluido el panorama institucional post-AIDA, la base operativa de Quebec Law 25, el pivote soberanía-primero del gobierno de Carney, el Voluntary Code of Conduct y las implicaciones prácticas de operar a través de capas regulatorias federales, de Quebec y UE/EE.UU. simultáneamente. Particularmente relevante para los equipos legales, de cumplimiento y de riesgo en servicios financieros canadienses, sanidad, vendors AI-native y sectores federalmente regulados.

Zertia opera desde Boston, Madrid y Londres, con acreditación ANAB en Estados Unidos y procesos de acreditación activos con UKAS (Reino Unido) y ENAC (España/UE). Miembro de IAPP, INCITS y UKAI. Firmante del EU AI Pact.

🎯 Pasa a la acción

🔍 Diagnostica tu brecha	📊 Construye el esqueleto de aseguramiento
Evaluación Pre-Certificación →	Certificación ISO/IEC 42001 →
Diagnóstico independiente frente al Voluntary Code of Conduct, los principios IA del OPC, la guía OSFI E-23 y las expectativas de la Directiva federal sobre Toma de Decisiones Automatizadas.	El sistema de gestión acreditado que operacionaliza la gobernanza de IA canadiense en un esqueleto defendible con independencia de si AIDA o legislación sucesora entra en vigor.

Discutir posicionamiento de cumplimiento de IA multi-capa canadiense →

—