Il y a trois propositions d'actes dans le cadre du projet de loi C-27 : la loi sur la protection de la vie privée des consommateurs (CPPA), la loi sur le tribunal chargé de la protection des données et des informations personnelles (Personal Information and Data Protection Tribunal Act) (PIDPTA), et la loi sur l'intelligence artificielle et les données (AIDA). En réponse à une motion déposée par le NPD, la L'orateur a statué le 28 novembre 2022 que les parties 1 et 2 du projet de loi seraient votées ensemble, tandis que la partie 3 serait votée séparément. Bien que les trois parties soient largement liées par le thème de l'utilisation et de la protection des informations personnelles (définies par la LPAC), il n'y a pas suffisamment de références croisées entre les parties 1 et 2 et la partie 3 pour qu'elles soient votées ensemble.

La CPPA remplacerait l'ancienne Loi sur la protection des informations personnelles et les documents électroniques (PIPEDA), qui s'appliquera désormais exclusivement aux documents électroniques. Les amendes en cas de non-respect de la LPC sont plus élevées, les recours juridiques en cas d'atteinte à la vie privée sont plus récents, les dispositions relatives à la collecte de données sont plus strictes, et la loi sur la protection de la vie privée a été modifiée. affinéLe commissaire à la protection de la vie privée du Canada se voit attribuer de nouveaux pouvoirs d'ordonnance, lui permettant notamment d'ordonner aux entreprises de cesser de collecter et d'utiliser des informations à caractère personnel.

Le Tribunal établi par la PIDPTA agirait comme une cour supérieure d'archives. Le Tribunal ferait appliquer la LPRP, réviserait les sanctions imposées par le Commissaire à la protection de la vie privée du Canada et fournirait aux individus et aux organisations des révisions des décisions du Commissaire. Le Commissaire et le Tribunal peuvent également déterminer si des personnes ont été affectées par une infraction à la loi.

Enfin, l'ACRA est la première loi de ce type au Canada à réglementer de manière exhaustive les systèmes d'IA pour le commerce international et interprovincial. Elle énonce des exigences essentielles telles que l'évaluation de la capacité du système à provoquer un "impact important" et l'élaboration de plans d'atténuation des risques. L'ACRA s'appliquerait aux personnes physiques, aux fiducies, aux sociétés de personnes, aux associations non constituées en société et aux personnes morales qui développent ou gèrent des systèmes d'IA.

En outre, l'ACRA permet au ministre de l'innovation, de la science et de l'industrie d'ordonner la production de dossiers, des audits ou de mettre fin à des systèmes d'IA "à fort impact". Des sanctions pécuniaires sont également prévues dans le projet de loi et sont imposées par le commissaire. Les sanctions entreraient en vigueur lorsque des données sont obtenues illégalement dans le cadre du développement de l'IA, lorsque le déploiement de l'IA cause un préjudice ou lorsque des intentions frauduleuses entraînent une perte financière.