Now booking November 2026 start datesRéservations ouvertes pour un début en novembre 2026 ONTARIO · SERVING ONTARIO & FEDERALLY REGULATED TEAMSAU SERVICE DES ÉQUIPES ONTARIENNES ET FÉDÉRALES [ | ]
Book a 20-min callRéserver un appel de 20 min

AI governance · Ontario & federalGouvernance de l’IA · Ontario et fédéral

Find the gaps in your AI before a regulator does.Trouvez les failles de votre IA avant un organisme de réglementation.

A fixed-price, two-week readiness review for Canadian health and financial teams. You get a scored report mapped to PHIPA, PIPEDA, FINTRAC and OSFI — and a prioritized fix list your board can act on.Un examen à prix fixe de deux semaines pour les équipes canadiennes de la santé et des services financiers. Vous obtenez un rapport noté, rattaché à la LPRPS, à la LPRPDE, à CANAFE et au BSIF, et une liste de correctifs priorisés.

Book a 20-min callRéserver un appel de 20 min or start an AI Risk Sprint ($2,500) →ou lancer un Sprint de risque IA (2 500 $) →

Fixed price from $5,500 CAD + HST · 10 business days · Guarantee on the second instalmentPrix fixe à partir de 5 500 $ CA + TVH · 10 jours ouvrables · Garantie sur le deuxième versement

Frameworks we map toCadres auxquels nous rattachons nos travaux

Coverage of laws and guidance in force or widely used — not a claim of certification. Applicability depends on who you are; your counsel should confirm legal obligations.Couverture de lois et de lignes directrices en vigueur ou largement utilisées — non une certification. L’applicabilité dépend de votre situation; votre conseiller juridique doit confirmer les obligations.

PIPEDA / LPRPDE PHIPA / LPRPS Quebec Law 25Loi 25 (Québec) OSFI E-23 / B-10 / B-13 FINTRAC / PCMLTFA NIST AI RMF ISO/IEC 42001 EU AI Act

01 SERVICESSERVICES

Governance reviews. Implementation when you need it built.Examens de gouvernance. Mise en œuvre lorsque vous devez construire.

Érable and Féal IA share one practice. Reviews stay independent; build work lives next door.Érable et Féal IA forment une même pratique. Les examens restent indépendants; la construction est à côté.

Érable · Core offerÉrable · Offre principale

AI Governance Readiness ReviewBilan de préparation en gouvernance de l’IA

A fixed-price technical review across eight domains. Scored findings, regulatory mapping, and a remediation roadmap your CTO can execute.Un examen technique à prix fixe sur huit domaines. Constats notés, correspondance réglementaire et feuille de route que votre CTO peut exécuter.

  • 8 domains · 60 questions · 0–3 scoring8 domaines · 60 questions · notation 0–3
  • Mapped to Canadian law and regulator guidanceRattaché au droit canadien et aux lignes directrices
  • Board-ready report in 10 business daysRapport prêt pour le conseil en 10 jours ouvrables
  • Guarantee: 5 gaps or no second instalmentGarantie : 5 lacunes ou pas de 2e versement
See pricingVoir les tarifs
Féal IA · Sister practiceFéal IA · Pratique sœur

Build the system — with governance designed inConstruire le système — avec la gouvernance intégrée

Production RAG pipelines, agent workflows and AI platforms on AWS and Azure — designed from day one for risk, privacy and security review.Pipelines RAG de production, flux d’agents et plateformes d’IA sur AWS et Azure — conçus dès le premier jour pour l’examen des risques, de la vie privée et de la sécurité.

  • Private Azure OpenAI / AWS Bedrock patternsModèles Azure OpenAI / AWS Bedrock privés
  • RBAC, audit logging, residency controlsRBAC, journalisation, contrôles de résidence
  • Hand-off from an Érable review, or start freshSuite à un examen Érable, ou démarrage à neuf
Talk about implementationParler de mise en œuvre

IndustriesSecteurs

Regulated data. Real AI.Données réglementées. IA réelle.

Clinical workspace representing healthcare AI

01

HealthcareSanté

Clinics and health-tech vendors using AI on PHI.Cliniques et fournisseurs de santé numérique qui utilisent l’IA sur des RPS.

Explore →Découvrir →
 Financial services workspace

02

Financial servicesServices financiers

Credit unions and FRFIs facing model-risk questions.Caisses, credit unions et IFF face aux questions de risque lié aux modèles.

Explore →Découvrir →
 Fintech product interface

03

Fintech / MSBFintech / ESM

Underwriting, KYC and transaction monitoring with AI.Souscription, vérification d’identité et surveillance des opérations avec l’IA.

Explore →Découvrir →

02 WHY NOWPOURQUOI MAINTENANT

No single AI law. Plenty of rules that already apply.Aucune loi unique sur l’IA. Beaucoup de règles qui s’appliquent déjà.

A

AI went live before governance didL’IA a été déployée avant la gouvernance

Pilots built on LLM APIs often reach production without role-based access to retrieved data, interaction-level audit logs, or a clear record of where prompts and outputs are stored.Les projets pilotes bâtis sur des API de grands modèles de langage arrivent souvent en production sans contrôle d’accès par rôle, sans journal d’audit des interactions et sans savoir où sont stockées les requêtes et les réponses.

B

The rules are spread across several regimesLes règles relèvent de plusieurs régimes

Canada has no comprehensive federal AI statute. PHIPA, PIPEDA, the PCMLTFA and OSFI guidance still apply to AI systems, and each covers a different slice.Le Canada n’a pas de loi fédérale globale sur l’IA. La LPRPS, la LPRPDE, la LRPCFAT et les lignes directrices du BSIF s’appliquent néanmoins aux systèmes d’IA.

C

E-23 takes effect May 1, 2027E-23 entre en vigueur le 1er mai 2027 200 daysjours

OSFI’s revised Guideline E-23 (Model Risk Management) explicitly covers AI/ML models at federally regulated financial institutions. Regulated Plus is packaged as an E-23 readiness review. E-23 does not apply to FSRA-regulated Ontario credit unions, which can use it only as a voluntary benchmark.La ligne directrice E-23 révisée du BSIF vise expressément les modèles d’IA et d’apprentissage automatique des institutions financières fédérales. Le forfait Réglementé Plus est offert comme bilan de préparation à E-23.

Engineered governanceGouvernance conçue par l’ingénierie

We assess your system the way we would build it.Nous évaluons votre système comme nous le construirions.

What’s actually in the logs, the IAM policies and the prompts — not only what the policy says.Ce qui figure réellement dans les journaux, les politiques IAM et les requêtes — pas seulement ce que dit la politique.

5+Years building regulated health softwareAnnées en logiciels de santé réglementés
6Cloud & security certifications heldCertifications nuage et sécurité
  • Fixed pricePrix fixeFrom $5,500 CAD + HSTÀ partir de 5 500 $ CA + TVH
  • 10 business days10 jours ouvrablesReport and roadmapRapport et feuille de route
  • GuaranteeGarantie5 gaps or no second instalment5 lacunes ou pas de 2e versement
  • Canadian & bilingualCanadien et bilingueOntario-based · EN/FR deliveryBasé en Ontario · livraison EN/FR

ENGINEER-LED · CLOUD & SECURITY CERTIFIED · BUILT IT BEFOREDIRIGÉ PAR L’INGÉNIERIE · CERTIFIÉ NUAGE ET SÉCURITÉ · DÉJÀ CONÇU

  • AZ-305Azure Solutions Architect ExpertAzure Solutions Architect Expert
  • AZ-500Azure Security EngineerAzure Security Engineer
  • AZ-104Azure AdministratorAzure Administrator
  • AWSSecurity – SpecialtySecurity – Specialty
  • AWSSolutions Architect – AssociateSolutions Architect – Associate
  • CompTIASecurity+Security+
  • PHIPAPHIPA-regulated systems builtSystèmes assujettis à la LPRPS conçus
  • FINTRACFINTRAC/AML agent builtAgent de conformité CANAFE conçu
  • CORDONPrivate Azure OpenAI blueprintPlan directeur Azure OpenAI privé

03 WHO IT’S FORPOUR QUI

Built for teams whose AI touches regulated data.Conçu pour les équipes dont l’IA touche des données réglementées.

  • HEALTH-TECHSANTÉ NUMÉRIQUE

    Ontario clinics & health-tech vendorsCliniques ontariennes et fournisseurs de santé numérique

    AI scribes, triage or summarization touching PHI. You need PHIPA safeguards, audit trails and agent agreements that hold up.Scribes IA, triage ou résumés qui touchent des RPS. Il vous faut des mesures de protection LPRPS, des pistes d’audit et des ententes de mandataire solides.

    PHIPA · IPCLPRPS · CIPVP

  • CREDIT UNIONSCAISSES ET CREDIT UNIONS

    Credit unionsCaisses populaires et credit unions

    Member chatbots, lending or fraud models. FSRA-regulated, with E-23 as a voluntary benchmark worth meeting early.Agents conversationnels, octroi de crédit ou modèles antifraude. Encadrées par l’ARSF, avec E-23 comme référence volontaire.

    PIPEDA · FSRA · E-23 (voluntary)LPRPDE · ARSF · E-23 (volontaire)

  • MSBs / CRYPTOESM / CRYPTO

    MSBs & crypto platformsESM et plateformes de cryptoactifs

    AI in transaction monitoring, KYC or STR triage. FINTRAC expects your risk assessment to cover new technologies before they’re introduced.IA dans la surveillance des opérations, la vérification d’identité ou le tri des DOD. CANAFE s’attend à ce que votre évaluation des risques couvre les nouvelles technologies avant leur introduction.

    PCMLTFA · FINTRACLRPCFAT · CANAFE

  • FINTECH / INSURTECHFINTECH / ASSURTECH

    Fintech & insurtechFintech et assurtech

    Automated underwriting, claims or credit decisions. Customers, partners and (for FRFIs) OSFI will ask how the model is governed.Souscription, sinistres ou décisions de crédit automatisés. Clients, partenaires et, pour les IFF, le BSIF demanderont comment le modèle est encadré.

    PIPEDA · OSFI E-23 (FRFIs)LPRPDE · BSIF E-23 (IFF)

04 APPROACHAPPROCHE

A clear path from intake to board-ready report.Un parcours clair, de l’accueil au rapport pour le conseil.

Ten business days. Synthetic or de-identified data preferred. No production testing.Dix jours ouvrables. Données synthétiques ou dépersonnalisées privilégiées. Aucun test en production.

  1. 01

    Scope & accessPérimètre et accès

    SOW and NDA signed, intake questionnaire, document request, read-only access.Signature de l’énoncé des travaux et de l’entente de confidentialité, questionnaire, documents, accès en lecture seule.

  2. 02

    Map & kickoffCartographie

    Confirm use cases, applicability screen, architecture and data-flow walkthrough.Confirmation des cas d’usage, analyse d’applicabilité, survol de l’architecture et des flux.

  3. 03

    Review & testExamen et tests

    Interviews across engineering, security, privacy and business. Config and vendor review by tier.Entrevues avec l’ingénierie, la sécurité, la vie privée et le métier. Examen de configuration et des fournisseurs.

  4. 04

    Score & draftNotation et brouillon

    Domain scoring, regulatory mapping, risk rating, draft report for your factual review.Notation par domaine, correspondance réglementaire, cote de risque, rapport provisoire.

  5. 05

    DeliverLivraison

    Final report, remediation roadmap and executive readout.Rapport final, feuille de route et présentation à la direction.

05 WHAT’S ASSESSEDCE QUI EST ÉVALUÉ

Eight domains, 60 questions, each scored 0–3 and mapped to the relevant Canadian law or regulator guidance. Each mapping is labelled as law in force, enacted but not in force, a bill, regulator guidance, or our interpretation.Huit domaines, 60 questions, chacune notée de 0 à 3 et rattachée à la loi ou aux lignes directrices canadiennes pertinentes.

  1. 01 ACCESS CONTROLCONTRÔLE D’ACCÈS

    Access control / RBACContrôle d’accès / RBAC

    Role matrix, least-privilege agents and tools, retrieval that enforces the end user’s permissions, MFA on AI consoles and keys.Matrice des rôles, agents et outils au moindre privilège, recherche documentaire qui respecte les droits de l’utilisateur final, AMF sur les consoles et les clés d’IA.

    MAP → PHIPA s.12 safeguards · PIPEDA Principle 4.7 · OSFI B-13LPRPS, art. 12 · LPRPDE, principe 4.7 · BSIF B-13

  2. 02 AUDIT LOGGINGJOURNALISATION

    Audit loggingJournalisation d’audit

    Who asked what, which data was touched, which model and version, and what action resulted. Logs are tamper-evident and retained.Qui a demandé quoi, quelles données ont été consultées, quel modèle et quelle version, et quelle action en a découlé.

    MAP → O. Reg. 329/04 · IPC guidance · PCMLTFR record-keeping · OSFI B-13Règl. de l’Ont. 329/04 · CIPVP · RRPCFAT · BSIF B-13

  3. 03 PII / PHIRP / RPS

    PII / PHI detection & handlingDétection et traitement des RP / RPS

    Redaction before prompts leave your trust boundary, provider retention and training settings, de-identification standards, breach triage.Caviardage avant que les requêtes ne quittent votre périmètre, paramètres de conservation et d’entraînement, dépersonnalisation, triage des atteintes.

    MAP → PHIPA · PIPEDA Principles 4–5 · OPC generative AI principlesLPRPS · LPRPDE, principes 4 et 5 · principes du CPVP

  4. 04 DATA RESIDENCYRÉSIDENCE DES DONNÉES

    Data residencyRésidence des données

    Where prompts, embeddings, logs and backups are stored and processed, including sub-processors and Canadian-region options.Où les requêtes, les plongements, les journaux et les sauvegardes sont stockés et traités, y compris chez les sous-traitants.

    MAP → PIPEDA cl. 4.1.3 accountability · OSFI B-10 (FRFIs)LPRPDE, art. 4.1.3 · BSIF B-10 (IFF)

  5. 05 PROMPT INJECTIONINJECTION DE REQUÊTES

    Prompt injection & API securityInjection de requêtes et sécurité des API

    Isolation of untrusted content, tool-call allow-lists, secrets, rate limits, egress controls. Scripted testing in non-production (Tier 3).Isolement du contenu non fiable, listes d’outils autorisés, secrets, limites de débit, contrôle des sorties. Tests hors production (niveau 3).

    MAP → OPC generative AI principles · OSFI B-13 · OWASP LLM Top 10Principes du CPVP · BSIF B-13 · OWASP LLM Top 10

  6. 06 HUMAN-IN-THE-LOOPSUPERVISION HUMAINE

    Human-in-the-loop controlsSupervision humaine

    Which decisions are high-impact, mandatory approval steps, logged overrides, and a challenge route for affected people.Décisions à incidence importante, étapes d’approbation obligatoires, dérogations consignées et voie de contestation.

    MAP → OPC guidance · FINTRAC compliance program · OSFI E-23Lignes directrices du CPVP · programme CANAFE · BSIF E-23

  7. 07 MODEL MONITORINGSURVEILLANCE DES MODÈLES

    Model evaluation & monitoringÉvaluation et surveillance des modèles

    AI/model inventory, pre-deployment evaluation, drift and quality thresholds, re-validation when the provider changes model versions.Inventaire des modèles, évaluation avant déploiement, seuils de dérive et de qualité, revalidation lors des changements de version.

    MAP → OSFI E-23 · PIPEDA Principle 4.6 accuracyBSIF E-23 · LPRPDE, principe 4.6

  8. 08 THIRD-PARTY AIIA DE TIERS

    Vendor / third-party AI riskRisque lié aux fournisseurs et aux tiers

    Due diligence, contract clauses (no training on your data, notification, audit, exit), sub-processors, concentration risk.Diligence raisonnable, clauses contractuelles (aucun entraînement sur vos données, avis, audit, sortie), sous-traitants, risque de concentration.

    MAP → PHIPA s.17 · PIPEDA cl. 4.1.3 · OSFI B-10LPRPS, art. 17 · LPRPDE, art. 4.1.3 · BSIF B-10

NOTE Applicability depends on who you are. OSFI guidelines apply to federally regulated financial institutions only. Ontario credit unions are regulated by FSRA, though E-23 can be used voluntarily as a benchmark. Legal applicability should be confirmed by your counsel.L’applicabilité dépend de votre situation. Les lignes directrices du BSIF ne visent que les institutions financières fédérales. Votre conseiller juridique doit confirmer l’applicabilité.

06 WHAT YOU GETCE QUE VOUS OBTENEZ

A report your CTO can work from and your board can read.Un rapport dont votre CTO peut se servir et que votre conseil peut lire.

Executive summary, domain scorecard, evidence-based findings, and a remediation roadmap with owners and effort. Pages below are a sample with illustrative data.Sommaire exécutif, fiche par domaine, constats fondés sur des preuves et feuille de route. Les pages ci-dessous sont un exemple avec des données fictives.

SCORECARD · SAMPLEFICHE · EXEMPLEillustrative datadonnées fictives
  • 01 ACCESS CONTROLCONTRÔLE D’ACCÈS2/3
  • 02 AUDIT LOGGINGJOURNALISATION1/3
  • 03 PII / PHIRP / RPS2/3
  • 04 DATA RESIDENCYRÉSIDENCE1/3
  • 05 PROMPT INJECTIONINJECTION0/3
  • 06 HUMAN-IN-THE-LOOPSUPERVISION1/3
  • 07 MODEL MONITORINGSURVEILLANCE1/3
  • 08 THIRD-PARTY AIIA DE TIERS2/3
OVERALL READINESSPRÉPARATION GLOBALE42%DEVELOPINGEN DÉVELOPPEMENT

> 5 domains scored 0–1 · 1 at zero5 domaines notés 0–1 · 1 à zéro

SAMPLE · PAGE 2EXEMPLE · PAGE 2

Executive summarySommaire exécutif

42%DevelopingEn développement

3 HIGH · 4 MEDIUM · 2 LOW3 ÉLEVÉS · 4 MOYENS · 2 FAIBLES

SAMPLE · PAGE 9EXEMPLE · PAGE 9

Finding 05.2Constat 05.2

HIGHÉLEVÉ

Retrieved documents are injected into the prompt without isolation; a crafted PDF can override tool permissions.Les documents récupérés sont injectés dans la requête sans isolement; un PDF piégé peut contourner les permissions.

MAP → OPC GEN-AI · OSFI B-13MAP → CPVP IA GÉN. · BSIF B-13

SAMPLE · PAGE 14EXEMPLE · PAGE 14

Remediation roadmapFeuille de route

  • P1S
  • P1M
  • P2S
  • P2L
  • P3M

OWNER · EFFORT · DEPENDENCYRESPONSABLE · EFFORT · DÉPENDANCE

07 PRICINGTARIFS

Fixed prices. No hourly surprises.Prix fixes. Aucune surprise à l’heure.

CAD, plus HST. 50% at signing, 50% on delivery.En dollars canadiens, TVH en sus. 50 % à la signature, 50 % à la livraison.

START SMALLCOMMENCER PETIT

AI Risk SprintSprint de risque IA $2,5002 500 $

One AI system, 3 business days, a ranked list of its top risks. 100% of the fee is credited toward a full review booked within 30 days, so Standard then costs $7,000 more, not $9,500.Un système d’IA, 3 jours ouvrables, la liste priorisée de ses principaux risques. 100 % des honoraires sont portés en déduction d’un examen complet réservé dans les 30 jours.

Start an AI Risk SprintLancer un Sprint de risque IA

01

FocusedCiblé

$5,5005 500 $CAD + HST · fixed · 2 weeks$ CA + TVH · fixe · 2 semaines

  • 1 AI use case1 cas d’usage de l’IA
  • All 8 domains, from documents and interviewsLes 8 domaines, à partir de documents et d’entrevues
  • Up to 3 interviewsJusqu’à 3 entrevues
  • Main model provider reviewedExamen du principal fournisseur de modèles
  • Readiness Report (≈12–15 pp) + RoadmapRapport (≈12–15 p.) + feuille de route
  • 60-min findings callAppel de 60 min sur les constats
Book a 20-min callRéserver un appel de 20 min

02 BEST VALUEMEILLEUR RAPPORT

StandardStandard

$9,5009 500 $CAD + HST · fixed · 2 weeks$ CA + TVH · fixe · 2 semaines

  • Up to 3 AI use casesJusqu’à 3 cas d’usage de l’IA
  • Read-only Azure/AWS review of IAM, logging and keysExamen en lecture seule d’Azure/AWS : IAM, journalisation et clés
  • Up to 6 interviews; up to 3 AI vendorsJusqu’à 6 entrevues; jusqu’à 3 fournisseurs d’IA
  • Full regulatory profile for your sectorProfil réglementaire complet de votre secteur
  • Report (≈20–30 pp) + Roadmap + Risk RegisterRapport (≈20–30 p.) + feuille de route + registre
  • 90-min executive readoutPrésentation de 90 min à la direction
Book a 20-min callRéserver un appel de 20 min

03

Regulated PlusRéglementé Plus

$14,50014 500 $CAD + HST · fixed · 2 weeks$ CA + TVH · fixe · 2 semaines

E-23 readiness package for FRFIsForfait de préparation à E-23 pour les IFF

  • Up to 5 use cases or 1 multi-agent platformJusqu’à 5 cas d’usage ou 1 plateforme multiagents
  • Prompt-injection & data-leakage test in non-productionTest d’injection et de fuite hors production
  • Up to 6 vendors with contract-clause reviewJusqu’à 6 fournisseurs, avec examen des clauses
  • Crosswalk to OSFI E-23/B-10/B-13 or PHIPA/IPCCorrespondance E-23/B-10/B-13 ou LPRPS/CIPVP
  • AI/model inventory starter + 2-page board summaryAmorce d’inventaire + sommaire de 2 pages
  • Readout + technical deep-divePrésentation + séance technique
Book a 20-min callRéserver un appel de 20 min
GUARANTEEGARANTIE

If the report doesn’t identify at least 5 prioritized, actionable gaps, you don’t pay the second instalment.Si le rapport ne relève pas au moins 5 lacunes priorisées et concrètes, vous ne payez pas le deuxième versement.

AFTER THE REVIEWAPRÈS L’EXAMEN

Governance RetainerMandat de gouvernance continue

from $2,500/monthà partir de 2 500 $/mois

  • Monthly governance check-inPoint mensuel sur la gouvernance
  • Review of new AI use cases and model/provider changes before go-liveExamen des nouveaux cas d’usage avant la mise en production
  • Monthly regulatory watch: IPC, OPC, FINTRAC, OSFI, federal billsVeille réglementaire mensuelle
  • Quarterly re-score against the checklistNouvelle notation trimestrielle

08 CAPABILITYCAPACITÉ

“We assess your system the way we would build it: what’s actually in the logs, the IAM policies and the prompts, not only what the policy says.”« Nous évaluons votre système comme nous le construirions : ce qui figure réellement dans les journaux, les politiques IAM et les requêtes, pas seulement ce que dit la politique. »

Érable AI Governance

AI GOVERNANCE · ONTARIO · BILINGUAL EN/FRGOUVERNANCE DE L’IA · ONTARIO · BILINGUE EN/FR

Érable is an engineer-led AI governance practice. We have built PHIPA-regulated clinical software — RBAC, audit logging, encryption and PHI handling — and FINTRAC/AML compliance agents and multi-agent platforms on the Claude API and Azure OpenAI, with governance controls designed in from the start.Érable est un cabinet de gouvernance de l’IA dirigé par l’ingénierie. Nous avons conçu des logiciels cliniques assujettis à la LPRPS — contrôle d’accès par rôle, journalisation d’audit, chiffrement et traitement des RPS — ainsi que des agents de conformité CANAFE et des plateformes multiagents sur l’API Claude et Azure OpenAI.

PROOF: CORDONPREUVE : CORDON · 2026–

Private, auditable Azure OpenAI in one command.Azure OpenAI privé et vérifiable, en une seule commande.

Our Terraform blueprint deploys Azure OpenAI, AI Search, Key Vault and storage behind private endpoints, with public access off, managed identities instead of keys, and every request logged centrally. Azure Policy denies public AI endpoints, and Checkov scans run on every change. It ships with a threat model and a PHIPA/HIPAA control mapping.Notre plan directeur Terraform déploie Azure OpenAI, AI Search, Key Vault et le stockage derrière des points de terminaison privés : accès public désactivé, identités gérées plutôt que des clés, et chaque requête journalisée de façon centralisée.

THE SHORT VERSIONEN BREF

Years building regulated health softwareAnnées à concevoir des logiciels de santé réglementés
5
Cloud & security certifications heldCertifications infonuagiques et sécurité
6
Domains assessedDomaines évalués
8
Checklist questionsQuestions de la grille
60

09 INSIGHTSPERSPECTIVES

Practical AI governance, from engineers.Gouvernance de l’IA pratique, par l’ingénierie.

Regulation explained in terms of what your team has to build. Every regulatory claim cites a primary source.La réglementation expliquée selon ce que votre équipe doit construire.

OCT 26, 2026 · PHIPA

PHIPA and AI scribes: what an Ontario clinic has to have in place before the first recorded visit

Consent, review before use, vendor training rights, retention and monitoring — explained for Ontario clinics.Consentement, révision avant usage, droits d’entraînement des fournisseurs, conservation et surveillance.

OCT 19, 2026 · EU AI ACT

EU AI Act high-risk deadline: what has to be ready by December 2, 2027

What Canadian and Gulf AI teams selling into Europe should build first.Ce que les équipes canadiennes et du Golfe qui vendent en Europe doivent construire d’abord.

View all insights →Voir toutes les perspectives →

10 FAQ

Straight answers.Des réponses franches.

Q01Why not a Big Four firm or our auditor?Pourquoi pas un grand cabinet ou notre auditeur?

You can, and for an attestation you should. This is different: a fixed-price technical review by engineers who build regulated AI, done in two weeks, that tells your team exactly what to fix. Findings can feed a later audit.C’est possible, et pour une attestation, c’est la bonne voie. Ici, c’est un examen technique à prix fixe, mené en deux semaines par des ingénieurs qui conçoivent de l’IA réglementée.

Q02We’re still piloting. Isn’t this too early?Nous en sommes au projet pilote. N’est-ce pas trop tôt?

It’s the cheapest time. Access control, logging and vendor terms are easy to design in and expensive to retrofit. If you only have one system, start with the $2,500 Sprint.C’est le moment le moins coûteux. Si vous n’avez qu’un système, commencez par le Sprint à 2 500 $.

Q03What if you don’t find much?Et si vous ne trouvez pas grand-chose?

Then you don’t pay the second instalment. If the report doesn’t identify at least 5 prioritized, actionable gaps, the 50% due on delivery is waived.Alors vous ne payez pas le deuxième versement.

Q04How much of our team’s time does it take?Combien de temps cela demande-t-il à notre équipe?

About 6–20 hours in total, depending on tier, mostly interviews and pulling documents.De 6 à 20 heures au total environ selon le niveau.

Q05Will you sign our NDA and DPA?Signerez-vous notre entente de confidentialité et de traitement des données?

Yes. Both are signed before Day 1. Where PHI could be involved, an agent agreement is put in place.Oui. Les deux sont signées avant le jour 1.

Q06Is this legal advice?S’agit-il d’un avis juridique?

No. This is a technical readiness review. Regulatory mappings help prioritize engineering and governance work; your counsel should confirm legal applicability and obligations.Non. Il s’agit d’un examen technique de l’état de préparation.

Q07Is this an audit or certification?S’agit-il d’un audit ou d’une certification?

No. It is not a SOC 2, ISO/IEC 27001 or 42001 audit, a FINTRAC two-year effectiveness review, an OSFI independent model validation, or a formal PIA. Findings can feed into those.Non. Ce n’est ni un audit SOC 2, ISO/IEC 27001 ou 42001, ni l’examen bisannuel de CANAFE, ni une validation indépendante de modèles au sens du BSIF.

Q08Is there a Canadian AI law we must comply with?Existe-t-il une loi canadienne sur l’IA à respecter?

Not a comprehensive one today. The proposed Artificial Intelligence and Data Act (AIDA, Bill C-27) died when Parliament was prorogued in January 2025. Bill C-36, introduced in June 2026, would add automated-decision rules to federal privacy law but has not passed. Existing privacy, AML and prudential rules already apply to AI.Pas de loi globale à l’heure actuelle. Les règles existantes en matière de vie privée, de lutte contre le blanchiment d’argent et de surveillance prudentielle s’appliquent déjà à l’IA.

Q09Do you need access to patient or customer data?Avez-vous besoin d’accéder aux données de patients ou de clients?

Usually not. Synthetic or de-identified samples are preferred. Any access that is unavoidable is covered by an agent agreement or DPA.En général, non. Les échantillons synthétiques ou dépersonnalisés sont privilégiés.

Q10Do you test production systems?Testez-vous les systèmes en production?

No. Adversarial testing (Tier 3) runs only in a non-production environment you provide, under a signed rules-of-engagement letter.Non. Les tests adverses (niveau 3) se font uniquement hors production.

Q11What jurisdictions are covered?Quels territoires sont couverts?

Ontario and federal. Quebec Law 25, Alberta/BC PIPA and the EU AI Act can be added by change order.L’Ontario et le fédéral. La Loi 25 du Québec, les lois PIPA de l’Alberta et de la C.-B. et le règlement européen sur l’IA peuvent être ajoutés par avenant.

FREE · 2-PAGE PDFGRATUIT · PDF DE 2 PAGES

AI Readiness Checklist: 15 questions before your AI touches health or financial data.Liste de préparation à l’IA : 15 questions avant que votre IA touche des données de santé ou financières.

Drawn from the 60-question Readiness Review. Every question cites its source: PHIPA, PIPEDA, OSFI, OPC, IPC. Content in English.Tirée de l’examen de 60 questions. Chaque question cite sa source. Contenu en anglais.

Download the PDFTélécharger le PDFEmail us for the checklistRecevoir la liste par courriel

No signup wall. Your email is only used to reply.Sans inscription obligatoire. Votre courriel ne sert qu’à vous répondre.

  1. Is every AI interaction logged: who, when, whose record?
  2. Is PII/PHI redacted before prompts leave your boundary?
  3. Can untrusted content override the model’s instructions?
  4. Is human approval enforced for high-impact outputs?
  5. Do vendor contracts bar training on your data?
  6. + 10 more in the PDF

NEXT STEPPROCHAINE ÉTAPE

Know where your AI stands in two weeks.Sachez où en est votre IA en deux semaines.

20 minutes, no slides. Tell us about your AI use case and sector; we will recommend a tier and give you a fixed quote.20 minutes, sans diapositives. Parlez-nous de votre cas d’usage et de votre secteur; nous vous recommanderons un forfait et un prix fixe.

Book a 20-min callRéserver un appel de 20 minor start an AI Risk Sprint ($2,500) →ou lancer un Sprint de risque IA (2 500 $) →

Now booking November 2026 start dates · [email protected]Réservations ouvertes pour un début en novembre 2026 · [email protected]