.png){kind=small}
This is an unofficial version. If you need an official copy, use the bilingual (PDF) version.
The Public Sector Artificial Intelligence and Cybersecurity Governance Act, S.M. 2026, c. 43
Loi sur la gouvernance de l'intelligence artificielle et de la cybersécurité au sein du secteur public, L.M. 2026, c. 43
(Assented to June 1, 2026)
(Date de sanction : 1er juin 2026)
Explanatory Note
This note is a reader's aid and is not part of the law.
The Public Sector Artificial Intelligence and Cybersecurity Governance Act is established.
If required to do so by regulation, a public sector entity, such as the government, a government agency, a health authority, a university, a school division or a municipality, must comply with regulations governing the use of artificial intelligence systems and cybersecurity.
The subject matter of the regulations could include requiring
the provision of information about the use of artificial intelligence systems;
the development of accountability frameworks; and
the reporting of cybersecurity incidents.
The regulations could also set technical standards for the use of artificial intelligence systems and cybersecurity. In addition, the minister may issue directives about cybersecurity to specific public sector entities.
Note explicative
La note qui suit constitue une aide à la lecture et ne fait pas partie de la loi.
La Loi sur la gouvernance de l'intelligence artificielle et de la cybersécurité au sein du secteur public est établie.
Si les règlements le prévoient, les entités du secteur public, telles que le gouvernement, les organismes gouvernementaux, les offices de la santé, les universités, les divisions scolaires et les municipalités, sont tenues de se conformer aux règlements qui régissent l'utilisation de systèmes d'intelligence artificielle et la cybersécurité.
Ces règlements peuvent porter notamment sur ce qui suit :
la fourniture de renseignements sur l'utilisation de systèmes d'intelligence artificielle;
l'élaboration de cadres de responsabilisation;
la présentation de rapports sur les incidents liés à la cybersécurité.
Ils peuvent également établir des normes techniques applicables à l'utilisation de systèmes d'intelligence artificielle et à la cybersécurité. En outre, le ministre peut donner des directives concernant la cybersécurité à certaines entités du secteur public.
WHEREAS artificial intelligence systems and digital communications are technological tools that have the potential to transform society in positive ways but also have the potential to be misused or to have an inequitable impact on society;
AND WHEREAS Manitobans are protected from the distribution of fake intimate images created through artificial intelligence by the enactment of The Non-Consensual Distribution of Intimate Images Act;
AND WHEREAS personal information and privacy of Manitobans as they relate to the public sector are protected under The Freedom of Information and Protection of Privacy Act and The Personal Health Information Act;
AND WHEREAS the Government of Manitoba acknowledges the increasing use of artificial intelligence systems in the delivery of public services and administrative decision-making;
AND WHEREAS the Government of Manitoba also acknowledges cybersecurity is integral to the delivery of digital services by the public sector;
AND WHEREAS the governance of artificial intelligence and cybersecurity requires regulatory frameworks that provide for transparency, accountability, impact and risk assessments and human oversight to ensure the responsible use of technology in the public sector;
Attendu :
que les systèmes d'intelligence artificielle et les outils de communication numérique sont des outils technologiques qui pourraient transformer la société de manière positive mais qui pourraient également être utilisés à mauvais escient ou avoir des répercussions inéquitables sur la société;
que la Loi sur la distribution non consensuelle des images intimes protège les Manitobains contre la distribution de fausses images intimes qui sont réalisées à l'aide de l'intelligence artificielle;
que la Loi sur l'accès à l'information et la protection de la vie privée et la Loi sur les renseignements médicaux personnels protègent les renseignements personnels et la vie privée des Manitobains, en ce qui a trait au secteur public;
que le gouvernement du Manitoba reconnaît l'utilisation accrue de systèmes d'intelligence artificielle dans le cadre de la prestation de services publics et de la prise de décisions administratives;
qu'il reconnaît également que la cybersécurité est essentielle à la prestation de services numériques par le secteur public;
que la gouvernance de l'intelligence artificielle et de la cybersécurité nécessite des cadres réglementaires régissant la transparence, la responsabilisation, l'évaluation des impacts et des risques ainsi que la surveillance humaine afin d'assurer une utilisation responsable de la technologie dans le secteur public,
THEREFORE HIS MAJESTY, by and with the advice and consent of the Legislative Assembly of Manitoba, enacts as follows:
SA MAJESTÉ, sur l'avis et avec le consentement de l'Assemblée législative du Manitoba, édicte :
INTRODUCTORY PROVISIONS
DISPOSITIONS INTRODUCTIVES
Definitions
1(1) The following definitions apply in this Act.
"artificial intelligence system" means the following:
(a) a machine-based system that, for explicit or implicit objectives, infers from the input it receives how to generate outputs such as predictions, content, recommendations or decisions that can influence physical or virtual environments;
(b) a prescribed system. (« système d'intelligence artificielle »)
"cybersecurity" means the security, continuity, confidentiality, integrity and availability of digital information and the infrastructure housing and transmitting digital information, and includes the body of technologies, processes, practices and response and mitigation measures designed to protect networks, computers, programs and information from attack, damage or unauthorized access. (« cybersécurité »)
"minister" means the minister appointed by the Lieutenant Governor in Council to administer this Act. (« ministre »)
"prescribed" means prescribed by regulation. (Version anglaise seulement)
"public sector entity" means
(a) the government;
(b) a government agency as defined in The Financial Administration Act;
(c) any other reporting organization as defined in The Financial Administration Act;
(d) a municipality, an incorporated community established or continued under The Northern Affairs Act or a local government district. (« entité du secteur public »)
Définitions
1(1) Les définitions qui suivent s'appliquent à la présente loi.
« cybersécurité » La sécurité, la continuité, la confidentialité, l'intégrité et la disponibilité de l'information numérique et de l'infrastructure servant à stocker et à transmettre l'information numérique, y compris l'ensemble des technologies, des procédés, des pratiques, des mesures d'intervention et d'atténuation conçus pour protéger les réseaux, les ordinateurs, les programmes et les données contre les attaques, les dommages, ou l'accès non autorisé. ("cybersecurity")
« entité du secteur public »
a) Le gouvernement;
b) un organisme gouvernemental au sens de la Loi sur la gestion des finances publiques;
c) tout autre organisme comptable au sens de la Loi sur la gestion des finances publiques;
d) une municipalité, un district d'administration locale ou une collectivité constituée établie ou maintenue en vertu de la Loi sur les affaires du Nord. ("public sector entity")
« ministre » Le ministre chargé par le lieutenant-gouverneur en conseil de l'application de la présente loi. ("minister")
« système d'intelligence artificielle »
a) Système automatisé qui, pour des objectifs explicites ou implicites, fait des déductions à partir d'entrées qu'il reçoit sur la manière de générer des résultats tels que des prévisions, du contenu, des recommandations ou des décisions qui peuvent influer sur des environnements physiques ou virtuels;
b) autre système désigné par règlement. ("artificial intelligence system")
Reference to "Act" includes regulations
1(2) A reference to "this Act" includes the regulations made under this Act.
Mention de la présente loi
1(2) Toute mention de la présente loi vaut mention de ses règlements d'application.
Purpose
2 The purpose of this Act is to establish a regulatory framework to govern the use of artificial intelligence systems in a transparent and accountable manner and to set cybersecurity standards.
Objet
2 La présente loi a pour objet l'établissement d'un cadre de réglementation pour régir l'utilisation transparente et responsable de systèmes d'intelligence artificielle et fixer des normes applicables à la cybersécurité.
Application — public sector entities
3(1) This Act applies to prescribed public sector entities.
Application — entités du secteur public
3(1) La présente loi s'applique aux entités du secteur public désignées par règlement.
Application — artificial intelligence systems
3(2) This Act applies to an artificial intelligence system used by a prescribed public sector entity that is
(a) publicly available;
(b) developed or procured by the public sector entity; or
(c) developed by a third party on behalf of the public sector entity.
Application — systèmes d'intelligence artificielle
3(2) La présente loi s'applique aux systèmes d'intelligence artificielle utilisés par une entité du secteur public désignée par règlement qui sont, selon le cas :
a) mis à la disposition du public;
b) élaborés ou obtenus par l'entité;
c) élaborés par un tiers pour le compte de l'entité.
Conflict
3(3) If a provision of this Act conflicts with a provision of any other enactment, the other enactment prevails.
Incompatibilité
3(3) Les dispositions de tout autre texte l'emportent sur les dispositions incompatibles de la présente loi.
Effect of failure to comply
3(4) Failure to comply with this Act or any directive issued under this Act does not affect the validity of any policy, Act, regulation, directive, instrument or decision.
Effet du défaut de se conformer
3(4) Le défaut de se conformer à la présente loi ou à toute directive donnée en vertu de la présente loi n'a pas pour effet d'invalider quelque politique, loi, règlement, directive, instrument ou décision que ce soit.
ARTIFICIAL INTELLIGENCE SYSTEM
SYSTÈMES D'INTELLIGENCE ARTIFICIELLE
Transparency, accountability and risk management
4(1) A prescribed public sector entity that uses an artificial intelligence system must, if required by and in accordance with the regulations,
(a) provide information to the public about its use of the system;
(b) develop and implement an accountability framework about its use of the system;
(c) take steps to manage risks associated with its use of the system.
Transparence, responsabilisation et gestion des risques
4(1) Si les règlements l'exigent, les entités du secteur public désignées par règlement qui utilisent un système d'intelligence artificielle sont tenues, conformément aux règlements :
a) de fournir des renseignements au public au sujet de leur utilisation du système;
b) d'établir et de mettre en œuvre un cadre de responsabilisation relativement à cette utilisation;
c) de prendre des mesures pour gérer les risques associés à cette utilisation.
Requirements for use
4(2) The public sector entity must use the artificial intelligence system in accordance with the regulations.
Utilisation conforme aux règlements
4(2) Les entités du secteur public utilisent le système d'intelligence artificielle conformément aux règlements.
Prohibited use or purpose
4(3) The public sector entity must not use the artificial intelligence system for any use or purpose that is prohibited by the regulations.
Utilisations ou fins interdites
4(3) Il est interdit aux entités du secteur public d'utiliser le système d'intelligence artificielle d'une manière ou à des fins interdites par les règlements.
Oversight and additional information
5 When using an artificial intelligence system in prescribed circumstances, a prescribed public sector entity must ensure that an individual
(a) exercises oversight of the use of the artificial intelligence system in accordance with the regulations; and
(b) provides additional information about the use of the artificial intelligence system in accordance with the regulations.
Surveillance et renseignements supplémentaires
5 Lorsqu'elles utilisent un système d'intelligence artificielle dans des circonstances prévues par règlement, les entités du secteur public désignées par règlement veillent à ce qu'un particulier :
a) assure la surveillance de l'utilisation du système, conformément aux règlements;
b) fournisse des renseignements supplémentaires, conformément aux règlements, relativement à l'utilisation du système.
Technical standards
6 A prescribed public sector entity that uses an artificial intelligence system must comply with the prescribed technical standards for that use.
Normes techniques
6 Les entités du secteur public désignées par règlement qui utilisent un système d'intelligence artificielle sont tenues de se conformer aux normes techniques réglementaires applicables à cette utilisation.
CYBERSECURITY
CYBERSÉCURITÉ
Requirements
7 A prescribed public sector entity must comply with the prescribed requirements for cybersecurity.
Conformité aux exigences réglementaires
7 Les entités du secteur public désignées par règlement sont tenues de se conformer aux exigences réglementaires applicables à la cybersécurité.
Technical standards
8 A prescribed public sector entity must comply with prescribed technical standards for cybersecurity.
Normes techniques
8 Les entités du secteur public désignées par règlement sont tenues de se conformer aux normes techniques réglementaires applicables à la cybersécurité.
Directives
9(1) The minister may, with the approval of the Lieutenant Governor in Council, issue a directive to a prescribed public sector entity respecting the requirements under section 7 and technical standards under section 8.
Directives
9(1) Le ministre peut, avec l'approbation du lieutenant-gouverneur en conseil, donner une directive à une entité du secteur public désignée par règlement concernant les exigences visées à l'article 7 et les normes techniques visées à l'article 8.
Directive must be specific
9(2) A directive issued under this section applies only to the specified prescribed public sector entity. It may establish different requirements or standards and may differ from a directive issued to another prescribed public sector entity.
Directives d'application particulière
9(2) La directive ne s'applique qu'à l'entité visée; elle peut prévoir diverses exigences ou normes et différer des directives données à d'autres entités.
Compliance
9(3) The public sector entity to which a directive is issued must comply with the directive.
Obligation de se conformer
9(3) L'entité visée est tenue de se conformer à la directive.
Public notice of directive
9(4) The minister must make the directive publicly available in any manner the minister considers appropriate.
Avis public de la directive
9(4) Le ministre rend la directive accessible au public de la façon qu'il juge appropriée.
REGULATIONS
RÈGLEMENTS
Regulations — artificial intelligence system
10(1) The Lieutenant Governor in Council may make regulations
(a) prescribing the public sector entities to which section 4 applies;
(b) governing the provision of information about the use of an artificial intelligence system, which may include
(i) prescribing the information that must be provided and to whom,
(ii) prescribing information that is not required to be provided,
(iii) specifying when information must be provided and updated,
(iv) prescribing the manner in which information must be provided and requiring that the information be communicated in a clear and understandable manner,
(v) providing an exemption from the requirement to provide information in specified circumstances;
(c) governing the development, implementation and use of accountability frameworks, which may include
(i) prescribing the form and content of the accountability frameworks,
(ii) specifying when the accountability frameworks must be developed and updated,
(iii) prescribing roles and responsibilities of specified individuals under the accountability frameworks,
(iv) requiring documentation about the use of an artificial intelligence system, including documentation respecting different phases of a system's use, performance and monitoring,
(v) prescribing the measures to be taken respecting bias detection and mitigation testing for discriminatory impacts of the use of artificial intelligence systems,
(vi) requiring the development and use of impact and risk assessment tools and mitigation measures;
(d) prescribing steps to be taken to manage risk in the use of an artificial intelligence system, including monitoring, reporting and recordkeeping;
(e) prescribing requirements for the use of an artificial intelligence system, which may include requiring that an artificial intelligence system be used only for specified purposes;
(f) prohibiting the use of an artificial intelligence system, including the purposes for which it may not be used, such as the production of artistic or creative material;
(g) prescribing the public sector entities to which section 5 applies;
(h) governing the exercise of oversight of the use of an artificial intelligence system, including by an individual;
(i) governing the provision of additional information, which may include requiring the provision of information about how to make inquiries of a public sector entity about the use of an artificial intelligence system;
(j) governing requirements, policies and procedures for procurement and contracts for services relating to the use of artificial intelligence systems;
(k) respecting any other matter relating to the use of artificial intelligence systems by public sector entities the Lieutenant Governor in Council considers necessary or advisable to carry out the purpose of this Act.
Règlements concernant les systèmes d'intelligence artificielle
10(1) Le lieutenant-gouverneur en conseil peut, par règlement :
a) désigner les entités du secteur public auxquelles l'article 4 s'applique;
b) régir la fourniture de renseignements sur l'utilisation d'un système d'intelligence artificielle, notamment :
(i) prévoir les renseignements qui doivent être fournis et leurs destinataires,
(ii) prévoir les renseignements dont la fourniture n'est pas nécessaire,
(iii) indiquer le moment où les renseignements doivent être fournis et mis à jour,
(iv) prévoir la manière dont les renseignements doivent être fournis et exiger qu'ils soient communiqués de façon claire et compréhensible,
(v) soustraire des entités du secteur public à l'obligation de fournir des renseignements dans des circonstances particulières;
c) régir l'élaboration, la mise en œuvre et l'utilisation de cadres de responsabilisation, notamment :
(i) préciser la forme et le contenu des cadres,
(ii) indiquer le moment où les cadres doivent être élaborés et mis à jour,
(iii) désigner les rôles et les responsabilités de particuliers déterminés au sein des cadres,
(iv) exiger la consignation de renseignements au sujet de l'utilisation d'un système d'intelligence artificielle, y compris au sujet des différentes phases de son utilisation, de son rendement et de sa surveillance,
(v) préciser les mesures à prendre en matière de tests de détection et d'atténuation de biais concernant les conséquences discriminatoires de l'utilisation des systèmes d'intelligence artificielle,
(vi) exiger l'élaboration et l'utilisation d'outils d'évaluation d'impacts et de risques et de mesures d'atténuation;
d) préciser les étapes à suivre pour gérer les risques associés à l'utilisation d'un système d'intelligence artificielle, y compris la surveillance, la présentation de rapports et la tenue de dossiers;
e) prévoir des exigences applicables à l'utilisation d'un système d'intelligence artificielle, y compris restreindre son utilisation à des fins données;
f) interdire l'utilisation d'un système d'intelligence artificielle, y compris prévoir les fins auxquelles il ne peut pas être utilisé, telle que la production de matériel de nature artistique ou originale;
g) désigner les entités du secteur public auxquelles s'applique l'article 5;
h) régir la réalisation de la surveillance, notamment par un particulier, de l'utilisation d'un système d'intelligence artificielle;
i) régir la fourniture de renseignements supplémentaires, notamment l'obligation de fournir des renseignements sur la façon de s'informer, auprès d'une entité du secteur public, de son utilisation d'un système d'intelligence artificielle;
j) régir les exigences, les politiques et les procédures visant l'approvisionnement en services et les contrats afférents en matière d'utilisation de systèmes d'intelligence artificielle;
k) prendre toute autre mesure qu'il juge nécessaire ou souhaitable pour l'application de la présente loi concernant toute autre question se rapportant à l'utilisation de systèmes d'intelligence artificielle par les entités du secteur public.
Regulations — cybersecurity
10(2) The Lieutenant Governor in Council may make regulations
(a) prescribing the public sector entities that are required to develop and implement programs for ensuring cybersecurity;
(b) governing programs for cybersecurity, which may require specified elements to be included in the programs, such as
(i) roles and responsibilities of specified individuals within the public sector entity relating to ensuring cybersecurity,
(ii) reporting on the public sector entity's progress with respect to ensuring cybersecurity,
(iii) education and awareness measures respecting cybersecurity,
(iv) response and recovery measures for incidents relating to cybersecurity,
(v) oversight measures for implementation of the program;
(c) requiring public sector entities to submit reports to the minister or a specified individual in respect of incidents relating to cybersecurity, which may include different requirements in respect of different types of incidents;
(d) prescribing the form and frequency of reports;
(e) governing requirements, policies and procedures for procurement and contracts for services relating to cybersecurity;
(f) respecting any other matter relating to cybersecurity the Lieutenant Governor in Council considers necessary or advisable to carry out the purpose of this Act.
Règlements concernant la cybersécurité
10(2) Le lieutenant-gouverneur en conseil peut, par règlement :
a) désigner les entités du secteur public qui doivent élaborer et mettre en œuvre des programmes pour assurer la cybersécurité;
b) régir les programmes de cybersécurité, notamment désigner les éléments que ces programmes doivent prévoir, y compris :
(i) les rôles et responsabilités de particuliers déterminés au sein de l'entité du secteur public pour ce qui est d'assurer la cybersécurité,
(ii) la présentation de rapports sur les progrès de l'entité du secteur public pour ce qui est d'assurer la cybersécurité,
(iii) des mesures d'éducation et de sensibilisation concernant la cybersécurité,
(iv) des mesures d'intervention et de rétablissement pour les incidents liés à la cybersécurité,
(v) des mesures de surveillance pour la mise en œuvre du programme;
c) exiger que les entités du secteur public présentent des rapports au ministre ou à un particulier déterminé à l'égard d'incidents liés à la cybersécurité, ce qui peut comprendre des exigences différentes selon le type d'incident;
d) préciser la forme des rapports et leur fréquence;
e) régir les exigences, les politiques et les procédures visant l'approvisionnement en services et les contrats afférents en matière de cybersécurité;
f) prendre toute autre mesure qu'il juge nécessaire ou souhaitable pour l'application de la présente loi concernant toute autre question se rapportant à la cybersécurité.
Regulations — technical standards
10(3) The minister may make regulations
(a) prescribing the public sector entities to which section 6 or 8 or both apply;
(b) setting technical standards respecting the use of artificial intelligence systems;
(c) setting technical standards respecting cybersecurity.
Règlements concernant les normes techniques
10(3) Le ministre peut, par règlement :
a) désigner les entités du secteur public auxquelles s'appliquent les articles 6 et 8, ou l'un deux;
b) établir des normes techniques applicables à l'utilisation de systèmes d'intelligence artificielle;
c) établir des normes techniques applicables à la cybersécurité.
Application and classes
10(4) A regulation made under this section may
(a) be general or particular in its application;
(b) apply to one or more classes of public sector entities; and
(c) apply differently to different public sector entities or classes of public sector entities.
Application et catégories
10(4) Les règlements pris en vertu du présent article peuvent :
a) avoir une portée générale ou particulière;
b) s'appliquer à une ou à plusieurs catégories d'entités du secteur public;
c) s'appliquer de façon différente aux diverses entités du secteur public ou catégories d'entités du secteur public.
Adopting codes or standards
10(5) The power to make a regulation may be exercised by adopting by reference, in whole or in part, a code or standard made by another government or a non-governmental body.
Adoption de codes et de normes
10(5) Le pouvoir de prendre des règlements peut être exercé par l'adoption, en tout ou en partie, d'un code ou d'une norme établis par un autre gouvernement ou par un organisme non gouvernemental.
Changes
10(6) The code or standard may be adopted as amended from time to time and subject to any changes that the maker of the regulation considers necessary.
Modifications
10(6) Le code ou la norme peuvent être adoptés avec leurs modifications et sous réserve des modifications que l'auteur du règlement estime nécessaires.
Public consultation
10(7) Except in circumstances that the minister considers to be of an urgent nature, the minister must provide an opportunity for public consultation and seek the advice and recommendations of the public with respect to any regulation proposed to be made under this section before the regulation is made.
Consultation du public
10(7) Sauf dans les cas qu'il estime urgents, le ministre donne la possibilité au public de présenter ses observations et lui demande son avis et ses recommandations à l'égard des règlements projetés en vertu du présent article, avant que ces règlements soient pris.
Review
10(8) Within three years after the coming into force of a regulation made under this section, the minister must arrange for a report to be prepared evaluating the effectiveness of the regulation.
Évaluation
10(8) Au plus tard trois ans après l'entrée en vigueur d'un règlement pris en vertu du présent article, le ministre fait dresser un rapport évaluant l'efficacité du règlement.
Report to be tabled
10(9) The minister must table a copy of the report in the Assembly on any of the first 15 days on which the Assembly is sitting after the minister receives the report.
Dépôt du rapport devant l'Assemblée
10(9) Le ministre dépose une copie du rapport devant l'Assemblée dans les 15 premiers jours de séance de celle-ci suivant sa réception.
C.C.S.M. REFERENCE AND COMING INTO FORCE
CODIFICATION PERMANENTE ET ENTRÉE EN VIGUEUR
C.C.S.M. reference
11 This Act may be referred to as chapter P261 of the Continuing Consolidation of the Statutes of Manitoba.
Codification permanente
11 La présente loi constitue le chapitre P261 de la Codification permanente des lois du Manitoba.
Coming into force
12 This Act comes into force on a day to be fixed by proclamation.
Entrée en vigueur
12 La présente loi entre en vigueur à la date fixée par proclamation.