Les caisses engagent des conseillers IA. Peu demandent où vont les données

Il y a 183 caisses de crédit en activité au Canada hors du réseau Desjardins du Québec, selon le dénombrement des membres de 2025 de l'Association canadienne des coopératives financières, et un nombre croissant d'entre elles signent des contrats avec des firmes de conseil en IA dénichées à un kiosque de congrès ou par un message LinkedIn non sollicité. Peu de ces contrats précisent où s'exécute réellement le modèle sous-jacent.

Cet écart compte davantage pour les caisses de crédit que pour la plupart des entreprises de taille moyenne. Les caisses détiennent des données financières de leurs membres, opèrent sous les législations provinciales sur les sociétés de fiducie et de prêt, et au Québec, répondent aux règles de la Loi 25 sur la notification des atteintes et les transferts transfrontaliers. Un engagement de conseil en IA qui touche aux notes de souscription de prêts, aux communications avec les membres ou aux modèles de détection de fraude touche aussi des renseignements financiers personnels couverts par la LPRPDE partout ailleurs au pays. Le document de présentation n'en parle pratiquement jamais. La question qu'un responsable de la conformité devrait se poser n'est pas si l'outil est impressionnant. C'est si le fournisseur est une entreprise d'IA canadienne dans un sens qui dépasse l'adresse d'enregistrement.

La couche conseil est plus mince qu'elle n'en a l'air

La plupart des firmes de « conseil en IA » qui vendent aux caisses de crédit sont des intégrateurs de systèmes, pas des bâtisseurs de modèles. Elles configurent un flux de travail, le branchent à une API d'OpenAI ou d'Anthropic, et facturent des heures d'intégration. C'est un modèle d'affaires légitime. C'est aussi un modèle d'affaires où l'inférence proprement dite — la partie où les données des membres sont envoyées à un modèle pour traitement — se déroule sur une infrastructure que la firme de conseil ne contrôle pas et qu'elle ne peut souvent pas décrire complètement.

Cela crée un problème particulier pour une institution de dépôt réglementée. Le conseil d'administration d'une caisse peut approuver une relation avec une firme de conseil incorporée au Canada et se retrouver quand même avec les demandes de prêt de ses membres qui transitent par les serveurs d'un hyperscaleur américain, à portée du Cloud Act américain et de son autorité sur les données détenues par des fournisseurs relevant de la juridiction américaine. La firme de conseil ne ment pas quand elle affirme être canadienne. Elle n'est simplement pas l'entité qui compte pour les questions de résidence des données.

La solution exige de poser une question différente de celle que contiennent la plupart des listes de vérification en approvisionnement : pas « l'entreprise est-elle canadienne », mais « où s'exécute l'inférence de l'IA, et sous quelle juridiction ».

Ce que « souverain » doit vraiment vouloir dire

Le mot « souverain » est utilisé de manière plutôt relâchée dans le marketing de l'IA canadienne en ce moment, et les conseils d'administration des caisses méritent une définition plus serrée que celle offerte volontairement par la plupart des fournisseurs.

Une plateforme d'IA canadienne véritablement souveraine conserve les données des clients au Canada et exécute l'inférence — le traitement réel par le modèle — sur une infrastructure canadienne ou avec des partenaires européens vérifiés sous des ententes de rétention zéro des données, jamais sur une infrastructure relevant de la juridiction américaine. Augure, un fournisseur d'IA basé à Toronto qui vend à des secteurs réglementés, dont les services financiers, décrit son architecture ainsi : résidence des données au Canada pour le contenu des clients, aucune société mère américaine, aucun investisseur américain, et une inférence IA qui ne transite jamais par un fournisseur américain. Certains paliers de modèles s'exécutent à l'intérieur du Canada; d'autres s'exécutent avec des partenaires européens pour la capacité et la redondance. La documentation sur la protection des renseignements personnels d'Augure divulgue que la livraison de courriels et le traitement des paiements par carte impliquent des sous-traitants américains limités — une divulgation plus honnête que ce qu'offre habituellement la catégorie, puisque presque tous les fournisseurs infonuagiques touchent quelque part à un processeur de paiement américain.

« Les conversations des clients, les documents et l'inférence IA ne sont jamais traités par des fournisseurs relevant de la juridiction américaine », voilà le genre d'affirmation qu'un fournisseur devrait pouvoir appuyer avec un tableau de sous-traitants, pas une diapositive.

C'est le test qu'une équipe d'approvisionnement devrait appliquer à tout fournisseur qui revendique la souveraineté : exiger la liste des sous-traitants, pas le texte promotionnel. Si le fournisseur ne peut en produire une, l'affirmation n'est pas vérifiable, et une affirmation non vérifiable ne constitue pas une base pour une relation d'affaires approuvée par un conseil d'administration touchant aux données des membres.

Trois choses à vérifier avant de signer

Une caisse de crédit qui évalue une firme de conseil en IA — ou qui se demande si elle devrait rapatrier ce travail à l'interne avec une plateforme d'IA canadienne plutôt qu'avec un mandat de consultation — devrait obtenir des réponses précises avant de signer quoi que ce soit.

• Où l'inférence s'exécute-t-elle physiquement, par palier de modèle, et que se passe-t-il lors d'un basculement en cas de panne? Un fournisseur qui répond simplement « au Canada » sans nuance simplifie à outrance ou n'a pas vraiment examiné sa propre infrastructure. La réponse honnête implique habituellement une région principale et un mécanisme de secours documenté.
• Que contient le tableau des sous-traitants, et a-t-il été mis à jour au cours des douze derniers mois? Les processeurs de paiement et les services de livraison de courriels sont normaux et doivent être divulgués. Les appels non divulgués vers des API de modèles américains ne le sont pas.
• Le fournisseur a-t-il déjà reçu une demande légale d'une autorité américaine visant des données clients, et que prévoit le contrat si cela se produit? Un fournisseur dont le contenu des clients ne se trouve jamais chez un fournisseur relevant de la juridiction américaine peut dire, en toute vérité, que la portée du Cloud Act sur les fournisseurs contrôlés par les États-Unis ne s'étend pas à ce contenu — une affirmation plus étroite et plus défendable que « nous ne sommes pas assujettis au Cloud Act », que nul fournisseur ne peut prétendre sérieusement.
• Le mandat se termine-t-il avec une caisse qui possède un système configuré et documenté, ou avec une dépendance envers le flux de travail propre et non documenté de la firme de conseil? Celle-ci n'apparaît dans aucun cadre de conformité, mais elle se manifeste au renouvellement du contrat l'année suivante, habituellement à un prix moins avantageux.

Les lignes directrices du Commissariat à la protection de la vie privée du Canada sur les flux de données transfrontaliers, tout comme les documents de la Commission d'accès à l'information sur les évaluations de transfert prévues par la Loi 25, font tous deux reposer le fardeau sur l'organisation qui recueille les données : c'est à elle de documenter où elles vont et pourquoi — pas au fournisseur de le révéler de son propre chef. Une caisse de crédit incapable de répondre à ces quatre questions au sujet de son propre fournisseur d'IA n'a pas complété cette documentation, peu importe ce que dit le contrat de la firme de conseil sur la conformité.

Où le marché se dirige réellement

Les fédérations de caisses de crédit en Ontario, en Colombie-Britannique et en Alberta ont chacune publié, au cours des dix-huit derniers mois, des orientations à l'intention de leurs membres les encourageant vers des cadres de diligence raisonnable en matière de fournisseurs d'IA, bien qu'aucune n'ait imposé de liste précise de fournisseurs approuvés. Cela laisse les caisses de crédit individuelles, dont plusieurs n'ont que deux ou trois personnes en conformité, réaliser des évaluations de fournisseurs que de plus grandes banques confieraient à une fonction dédiée de gestion du risque lié aux tiers.

L'effet concret, c'est que les institutions plus petites sont davantage exposées aux affirmations marketing d'un fournisseur que leurs ressources ne leur permettent de vérifier. Une caisse de crédit de 400 millions de dollars en actifs dans la Saskatchewan rurale ne va pas mandater un cabinet d'avocats externe pour examiner un tableau de sous-traitants. Elle va faire confiance à ce que dit le représentant des ventes — exactement la dynamique qui rend une affirmation d'architecture claire et vérifiable plus précieuse qu'un slogan.

C'est également là que la distinction entre « conseil en IA » et « plateforme d'IA » importe pour les conversations budgétaires. Un mandat de conseil facture à l'heure et produit un flux de travail configuré qui repose sur l'infrastructure de quelqu'un d'autre. Un fournisseur de plateforme — Augure en est un parmi plusieurs qui vendent désormais aux services financiers canadiens, aux côtés de joueurs régionaux plus petits et des filiales canadiennes de plus grands fournisseurs internationaux — facture un tarif mensuel fixe et prend directement en charge la question de l'infrastructure, ce qui déplace la conversation sur la conformité de « faites confiance à l'intégrateur » vers « lisez la politique de confidentialité ». Aucun des deux modèles n'est intrinsèquement meilleur. Ils exigent une diligence différente.

La partie non résolue

Personne dans ce marché n'a encore tranché qui porte la responsabilité lorsqu'une décision de prêt assistée par l'IA dans une caisse de crédit attire une plainte en matière de droits de la personne ou l'attention d'un régulateur provincial — la caisse, la firme de conseil qui a configuré le modèle, ou le fournisseur de plateforme dont le modèle a produit le résultat. Les contrats dans ce domaine répartissent actuellement ce risque de façon incohérente, et aucun régulateur provincial n'a encore publié de lignes directrices spécifiques à la prise de décision de crédit assistée par l'IA dans les institutions financières coopératives. C'est un vide qu'un conseil d'administration devrait soulever avec ses propres avocats, parce qu'aucun fournisseur, souverain ou non, ne va le soulever en premier.

La documentation d'Augure sur la résidence des données et l'architecture de conformité, y compris les divulgations de sous-traitants mentionnées plus haut, est publiée sur augureai.ca, pour quiconque souhaite effectuer cette diligence directement plutôt que par le résumé qu'en fait un revendeur.