Readiness review · Ontario & federalBilan de préparation · Ontario et fédéral
Health · Finance · FintechSanté · Finance · Fintech
AI Governance & Compliance Readiness ReviewBilan de préparation en gouvernance et conformité de l’IA
A fixed-price, two-week review for Canadian health and financial teams. You get a scored readiness report mapped to PHIPA, PIPEDA, FINTRAC and OSFI, and a prioritized fix list your board can act on.Un examen à prix fixe de deux semaines pour les équipes canadiennes de la santé et des services financiers. Vous obtenez un rapport de préparation noté, rattaché à la LPRPS, à la LPRPDE, à CANAFE et au BSIF, et une liste de correctifs priorisés sur laquelle votre conseil peut agir.
Fixed price from $5,500 CAD + HST · 10 business days · Guarantee on the second instalmentPrix fixe à partir de 5 500 $ CA + TVH · 10 jours ouvrables · Garantie sur le deuxième versement
SectorsSecteurs
01
Clinics and health-tech vendors using AI on PHI.Cliniques et fournisseurs de santé numérique qui utilisent l’IA sur des RPS.
Explore →Découvrir →
02
Credit unions and FRFIs facing model-risk questions.Caisses, credit unions et IFF face aux questions de risque lié aux modèles.
Explore →Découvrir →
03
Underwriting, KYC and transaction monitoring with AI.Souscription, vérification d’identité et surveillance des opérations avec l’IA.
Explore →Découvrir →02 WHY NOWPOURQUOI MAINTENANT
Pilots built on LLM APIs often reach production without role-based access to retrieved data, interaction-level audit logs, or a clear record of where prompts and outputs are stored.Les projets pilotes bâtis sur des API de grands modèles de langage arrivent souvent en production sans contrôle d’accès par rôle aux données récupérées, sans journal d’audit des interactions et sans savoir clairement où sont stockées les requêtes et les réponses.
Canada has no comprehensive federal AI statute. PHIPA, PIPEDA, the PCMLTFA and OSFI guidance still apply to AI systems, and each covers a different slice.Le Canada n’a pas de loi fédérale globale sur l’IA. La LPRPS (Ontario), la LPRPDE, la LRPCFAT et les lignes directrices du BSIF s’appliquent néanmoins aux systèmes d’IA, chacune pour un volet différent.
OSFI’s revised Guideline E-23 (Model Risk Management) explicitly covers AI/ML models at federally regulated financial institutions. Regulated Plus is packaged as an E-23 readiness review. E-23 does not apply to FSRA-regulated Ontario credit unions, which can use it only as a voluntary benchmark. Ontario’s IPC and OHRC also published joint principles for responsible AI use in January 2026.La ligne directrice E-23 révisée du BSIF sur la gestion du risque lié aux modèles vise expressément les modèles d’IA et d’apprentissage automatique des institutions financières fédérales. Le forfait Réglementé Plus est offert comme bilan de préparation à E-23. E-23 ne s’applique pas aux caisses et credit unions de l’Ontario, encadrées par l’ARSF, qui ne peuvent s’en servir que comme référence volontaire. Le CIPVP et la CODP de l’Ontario ont aussi publié en janvier 2026 des principes conjoints pour une utilisation responsable de l’IA.
ENGINEER-LED · CERTIFIED · BUILT IT BEFOREDIRIGÉ PAR UNE INGÉNIEURE · CERTIFIÉE · DÉJÀ CONÇU
01 WHO IT’S FORPOUR QUI
HEALTH-TECHSANTÉ NUMÉRIQUE
AI scribes, triage or summarization touching PHI. You need PHIPA safeguards, audit trails and agent agreements that hold up.Scribes IA, triage ou résumés qui touchent des RPS. Il vous faut des mesures de protection LPRPS, des pistes d’audit et des ententes de mandataire solides.
PHIPA · IPCLPRPS · CIPVP
CREDIT UNIONSCAISSES ET CREDIT UNIONS
Member chatbots, lending or fraud models. FSRA-regulated, with E-23 as a voluntary benchmark worth meeting early.Agents conversationnels, octroi de crédit ou modèles antifraude. Encadrées par l’ARSF, avec E-23 comme référence volontaire à viser tôt.
PIPEDA · FSRA · E-23 (voluntary)LPRPDE · ARSF · E-23 (volontaire)
MSBs / CRYPTOESM / CRYPTO
AI in transaction monitoring, KYC or STR triage. FINTRAC expects your risk assessment to cover new technologies before they’re introduced.IA dans la surveillance des opérations, la vérification d’identité ou le tri des DOD. CANAFE s’attend à ce que votre évaluation des risques couvre les nouvelles technologies avant leur introduction.
PCMLTFA · FINTRACLRPCFAT · CANAFE
FINTECH / INSURTECHFINTECH / ASSURTECH
Automated underwriting, claims or credit decisions. Customers, partners and (for FRFIs) OSFI will ask how the model is governed.Souscription, sinistres ou décisions de crédit automatisés. Clients, partenaires et, pour les IFF, le BSIF demanderont comment le modèle est encadré.
PIPEDA · OSFI E-23 (FRFIs)LPRPDE · BSIF E-23 (IFF)
03 WHAT’S ASSESSEDCE QUI EST ÉVALUÉ
Eight domains, 60 questions, each scored 0–3 and mapped to the relevant Canadian law or regulator guidance. Each mapping is labelled as law in force, enacted but not in force, a bill, regulator guidance, or our interpretation.Huit domaines, 60 questions, chacune notée de 0 à 3 et rattachée à la loi ou aux lignes directrices canadiennes pertinentes. Chaque correspondance est qualifiée : loi en vigueur, loi adoptée mais non en vigueur, projet de loi, ligne directrice d’un organisme de réglementation, ou notre interprétation.
01 ACCESS CONTROLCONTRÔLE D’ACCÈS
Role matrix, least-privilege agents and tools, retrieval that enforces the end user’s permissions, MFA on AI consoles and keys.Matrice des rôles, agents et outils au moindre privilège, recherche documentaire qui respecte les droits de l’utilisateur final, AMF sur les consoles et les clés d’IA.
MAP → PHIPA s.12 safeguards · PIPEDA Principle 4.7 · OSFI B-13LPRPS, art. 12 (mesures de protection) · LPRPDE, principe 4.7 · BSIF B-13
02 AUDIT LOGGINGJOURNALISATION
Who asked what, which data was touched, which model and version, and what action resulted. Logs are tamper-evident and retained.Qui a demandé quoi, quelles données ont été consultées, quel modèle et quelle version, et quelle action en a découlé. Des journaux inviolables et conservés.
MAP → O. Reg. 329/04 · IPC guidance · PCMLTFR record-keeping · OSFI B-13Règl. de l’Ont. 329/04 · lignes directrices du CIPVP · tenue de documents (RRPCFAT) · BSIF B-13
03 PII / PHIRP / RPS
Redaction before prompts leave your trust boundary, provider retention and training settings, de-identification standards, breach triage.Caviardage avant que les requêtes ne quittent votre périmètre de confiance, paramètres de conservation et d’entraînement du fournisseur, normes de dépersonnalisation, triage des atteintes.
MAP → PHIPA · PIPEDA Principles 4–5 · OPC generative AI principlesLPRPS · LPRPDE, principes 4 et 5 · principes du CPVP sur l’IA générative
04 DATA RESIDENCYRÉSIDENCE DES DONNÉES
Where prompts, embeddings, logs and backups are stored and processed, including sub-processors and Canadian-region options.Où les requêtes, les plongements, les journaux et les sauvegardes sont stockés et traités, y compris chez les sous-traitants, et les options de région canadienne.
MAP → PIPEDA cl. 4.1.3 accountability · OSFI B-10 (FRFIs)LPRPDE, art. 4.1.3 (responsabilité) · BSIF B-10 (IFF)
05 PROMPT INJECTIONINJECTION DE REQUÊTES
Isolation of untrusted content, tool-call allow-lists, secrets, rate limits, egress controls. Scripted testing in non-production (Tier 3).Isolement du contenu non fiable, listes d’outils autorisés, secrets, limites de débit, contrôle des sorties réseau. Tests scénarisés hors production (niveau 3).
MAP → OPC generative AI principles · OSFI B-13 · OWASP LLM Top 10Principes du CPVP sur l’IA générative · BSIF B-13 · OWASP LLM Top 10
06 HUMAN-IN-THE-LOOPSUPERVISION HUMAINE
Which decisions are high-impact, mandatory approval steps, logged overrides, and a challenge route for affected people.Quelles décisions ont une incidence importante, étapes d’approbation obligatoires, dérogations consignées et voie de contestation pour les personnes concernées.
MAP → OPC guidance · FINTRAC compliance program · OSFI E-23Lignes directrices du CPVP · programme de conformité (CANAFE) · BSIF E-23
07 MODEL MONITORINGSURVEILLANCE DES MODÈLES
AI/model inventory, pre-deployment evaluation, drift and quality thresholds, re-validation when the provider changes model versions.Inventaire des modèles d’IA, évaluation avant le déploiement, seuils de dérive et de qualité, revalidation lorsque le fournisseur change de version de modèle.
MAP → OSFI E-23 · PIPEDA Principle 4.6 accuracyBSIF E-23 · LPRPDE, principe 4.6 (exactitude)
08 THIRD-PARTY AIIA DE TIERS
Due diligence, contract clauses (no training on your data, notification, audit, exit), sub-processors, concentration risk.Diligence raisonnable, clauses contractuelles (aucun entraînement sur vos données, avis, audit, sortie), sous-traitants, risque de concentration.
MAP → PHIPA s.17 · PIPEDA cl. 4.1.3 · OSFI B-10LPRPS, art. 17 · LPRPDE, art. 4.1.3 · BSIF B-10
NOTE Applicability depends on who you are. OSFI guidelines apply to federally regulated financial institutions only. Ontario credit unions are regulated by FSRA, though E-23 can be used voluntarily as a benchmark. Legal applicability should be confirmed by your counsel.L’applicabilité dépend de votre situation. Les lignes directrices du BSIF ne visent que les institutions financières fédérales. Les caisses populaires et credit unions de l’Ontario relèvent de l’ARSF, mais la ligne directrice E-23 peut servir de référence volontaire. Votre conseiller juridique doit confirmer l’applicabilité.
04 WHAT YOU GETCE QUE VOUS OBTENEZ
Executive summary, domain scorecard, evidence-based findings, and a remediation roadmap with owners and effort. Pages below are a sample with illustrative data.Sommaire exécutif, fiche par domaine, constats fondés sur des preuves et feuille de route avec responsables et efforts. Les pages ci-dessous sont un exemple avec des données fictives.
> 5 domains scored 0–1 · 1 at zero5 domaines notés 0–1 · 1 à zéro
SAMPLE · PAGE 2EXEMPLE · PAGE 2
3 HIGH · 4 MEDIUM · 2 LOW3 ÉLEVÉS · 4 MOYENS · 2 FAIBLES
SAMPLE · PAGE 9EXEMPLE · PAGE 9
HIGHÉLEVÉ
Retrieved documents are injected into the prompt without isolation; a crafted PDF can override tool permissions.Les documents récupérés sont injectés dans la requête sans isolement; un PDF piégé peut contourner les permissions des outils.
MAP → OPC GEN-AI PRINCIPLES · OSFI B-13MAP → PRINCIPES IA GÉN. DU CPVP · BSIF B-13
SAMPLE · PAGE 14EXEMPLE · PAGE 14
OWNER · EFFORT · DEPENDENCYRESPONSABLE · EFFORT · DÉPENDANCE
SOW and NDA signed, intake questionnaire, document request, read-only access.Signature de l’énoncé des travaux et de l’entente de confidentialité, questionnaire d’accueil, demande de documents, accès en lecture seule.
Confirm use cases, applicability screen, architecture and data-flow walkthrough.Confirmation des cas d’usage, analyse d’applicabilité, survol de l’architecture et des flux de données.
Engineering, security, privacy/compliance and business owners. Config review, vendor review and testing by tier. Early red flags shared on Friday.Ingénierie, sécurité, vie privée et conformité, responsables métier. Examen de la configuration, des fournisseurs et tests selon le niveau. Signaux d’alerte communiqués dès le vendredi.
Domain scoring, regulatory mapping, risk rating, draft report.Notation par domaine, correspondance réglementaire, cote de risque, rapport provisoire.
Your factual-accuracy review, then the final report, roadmap and readout.Votre vérification de l’exactitude des faits, puis le rapport final, la feuille de route et la présentation.
NOTE Total client time: about 6–20 hours depending on tier. Synthetic or de-identified data is preferred; there is no production testing.Temps total requis de votre équipe : de 6 à 20 heures environ selon le niveau. Les données synthétiques ou dépersonnalisées sont privilégiées; aucun test en production.
05 PRICINGTARIFS
CAD, plus HST. 50% at signing, 50% on delivery.En dollars canadiens, TVH en sus. 50 % à la signature, 50 % à la livraison.
01
$5,5005 500 $CAD + HST · fixed · 2 weeks$ CA + TVH · fixe · 2 semaines
02 BEST VALUEMEILLEUR RAPPORT
$9,5009 500 $CAD + HST · fixed · 2 weeks$ CA + TVH · fixe · 2 semaines
03
$14,50014 500 $CAD + HST · fixed · 2 weeks$ CA + TVH · fixe · 2 semaines
E-23 readiness package for FRFIsForfait de préparation à E-23 pour les IFF
If the report doesn’t identify at least 5 prioritized, actionable gaps, you don’t pay the second instalment.Si le rapport ne relève pas au moins 5 lacunes priorisées et concrètes, vous ne payez pas le deuxième versement.
AFTER THE REVIEWAPRÈS L’EXAMEN
from $2,500/monthà partir de 2 500 $/mois
06 WHO DOES THE WORKQUI FAIT LE TRAVAIL
“I assess your system the way I’d build it: what’s actually in the logs, the IAM policies and the prompts, not only what the policy says.”« J’évalue votre système comme je le construirais : ce qui figure réellement dans les journaux, les politiques IAM et les requêtes, pas seulement ce que dit la politique. »
Ayesha Najib
AI/CLOUD SOLUTIONS ENGINEER · MISSISSAUGA, ONTARIOINGÉNIEURE DE SOLUTIONS IA ET INFONUAGIQUES · MISSISSAUGA (ONTARIO)
I spent five years building PHIPA-regulated clinical software, working on RBAC, audit logging, encryption and PHI handling. I’ve built a FINTRAC/AML compliance agent and multi-agent AI platforms on the Claude API, with governance controls designed in from the start.J’ai passé cinq ans à concevoir des logiciels cliniques assujettis à la LPRPS : contrôle d’accès par rôle, journalisation d’audit, chiffrement et traitement des renseignements personnels sur la santé. J’ai aussi bâti un agent de conformité CANAFE (lutte contre le blanchiment d’argent) et des plateformes d’IA multiagents sur l’API Claude, avec des contrôles de gouvernance intégrés dès la conception.
PROOF: CORDONPREUVE : CORDON · 2026–
My open-source Terraform blueprint deploys Azure OpenAI, AI Search, Key Vault and storage behind private endpoints, with public access off, managed identities instead of keys, and every request logged centrally. Azure Policy denies public AI endpoints, and Checkov scans run on every change. It ships with a threat model and a PHIPA/HIPAA control mapping. My GenAI work spans the Claude API and Azure OpenAI.Mon plan directeur Terraform à code source ouvert déploie Azure OpenAI, AI Search, Key Vault et le stockage derrière des points de terminaison privés : accès public désactivé, identités gérées plutôt que des clés, et chaque requête journalisée de façon centralisée. Azure Policy refuse tout service d’IA public, et Checkov analyse chaque modification. Il comprend un modèle de menaces et une correspondance des contrôles LPRPS/HIPAA. Mon travail en IA générative couvre l’API Claude et Azure OpenAI.
THE SHORT VERSIONEN BREF
07 FAQ
You can, and for an attestation you should. This is different: a fixed-price technical review by an engineer who builds regulated AI, done in two weeks, that tells your team exactly what to fix. Findings can feed a later audit.C’est possible, et pour une attestation, c’est la bonne voie. Ici, c’est autre chose : un examen technique à prix fixe, mené en deux semaines par une ingénieure qui conçoit de l’IA réglementée, qui dit à votre équipe exactement quoi corriger. Les constats peuvent alimenter un audit ultérieur.
It’s the cheapest time. Access control, logging and vendor terms are easy to design in and expensive to retrofit. If you only have one system, start with the $2,500 Sprint.C’est le moment le moins coûteux. Contrôle d’accès, journalisation et clauses fournisseurs se conçoivent facilement au départ, mais coûtent cher à corriger après coup. Si vous n’avez qu’un système, commencez par le Sprint à 2 500 $.
Then you don’t pay the second instalment. If the report doesn’t identify at least 5 prioritized, actionable gaps, the 50% due on delivery is waived.Alors vous ne payez pas le deuxième versement. Si le rapport ne relève pas au moins 5 lacunes priorisées et concrètes, les 50 % dus à la livraison sont annulés.
About 6–20 hours in total, depending on tier, mostly interviews and pulling documents.De 6 à 20 heures au total environ selon le niveau, surtout pour les entrevues et la collecte de documents.
Yes. Both are signed before Day 1. Where PHI could be involved, an agent agreement is put in place.Oui. Les deux sont signées avant le jour 1. Si des RPS peuvent être en jeu, une entente de mandataire est conclue.
No. This is a technical readiness review. Regulatory mappings help prioritize engineering and governance work; your counsel should confirm legal applicability and obligations.Non. Il s’agit d’un examen technique de l’état de préparation. Les correspondances réglementaires servent à prioriser les travaux d’ingénierie et de gouvernance; votre conseiller juridique doit confirmer l’applicabilité et les obligations.
No. It is not a SOC 2, ISO/IEC 27001 or 42001 audit, a FINTRAC two-year effectiveness review, an OSFI independent model validation, or a formal PIA. Findings can feed into those.Non. Ce n’est ni un audit SOC 2, ISO/IEC 27001 ou 42001, ni l’examen bisannuel de l’efficacité exigé par CANAFE, ni une validation indépendante de modèles au sens du BSIF, ni une évaluation des facteurs relatifs à la vie privée (EFVP) en bonne et due forme. Les constats peuvent toutefois alimenter ces démarches.
Not a comprehensive one today. The proposed Artificial Intelligence and Data Act (AIDA, Bill C-27) died when Parliament was prorogued in January 2025. Bill C-36, introduced in June 2026, would add automated-decision rules to federal privacy law but has not passed. Existing privacy, AML and prudential rules already apply to AI.Pas de loi globale à l’heure actuelle. Le projet de Loi sur l’intelligence artificielle et les données (LIAD, projet de loi C-27) est mort au Feuilleton lors de la prorogation du Parlement en janvier 2025. Le projet de loi C-36, déposé en juin 2026, ajouterait des règles sur les décisions automatisées à la loi fédérale sur la protection des renseignements personnels, mais il n’a pas été adopté. Les règles existantes en matière de vie privée, de lutte contre le blanchiment d’argent et de surveillance prudentielle s’appliquent déjà à l’IA.
Usually not. Synthetic or de-identified samples are preferred. Any access that is unavoidable is covered by an agent agreement or DPA.En général, non. Les échantillons synthétiques ou dépersonnalisés sont privilégiés. Tout accès inévitable est encadré par une entente de mandataire ou de traitement des données.
No. Adversarial testing (Tier 3) runs only in a non-production environment you provide, under a signed rules-of-engagement letter.Non. Les tests adverses (niveau 3) se font uniquement dans un environnement hors production que vous fournissez, selon une lettre de règles d’engagement signée.
Ontario and federal. Quebec Law 25, Alberta/BC PIPA and the EU AI Act can be added by change order.L’Ontario et le fédéral. La Loi 25 du Québec, les lois PIPA de l’Alberta et de la C.-B. et le règlement européen sur l’IA peuvent être ajoutés par avenant.
FREE · 2-PAGE PDFGRATUIT · PDF DE 2 PAGES
Drawn from the 60-question Readiness Review. Every question cites its source: PHIPA, PIPEDA, OSFI, OPC, IPC. Content in English.Tirée de l’examen de 60 questions. Chaque question cite sa source : LPRPS, LPRPDE, BSIF, CPVP, CIPVP. Contenu en anglais.
No signup wall. Your email is only used to reply.Sans inscription obligatoire. Votre courriel ne sert qu’à vous répondre.
NEXT STEPPROCHAINE ÉTAPE
20 minutes, no slides. Tell me about your AI use case and sector; I’ll recommend a tier and give you a fixed quote.20 minutes, sans diapositives. Parlez-moi de votre cas d’usage et de votre secteur; je vous recommanderai un forfait et vous donnerai un prix fixe.
Now booking November 2026 start datesRéservations ouvertes pour un début en novembre 2026