L'IA et vos obligations en matière de vie privée : ce qui change quand votre équipe adopte l'IA

Ce qui nous a arrêtés, ce n'était pas l'outil d'IA. C'était de réaliser qu'aucun de nous ne pouvait dire, sans sourciller, où aboutissaient réellement les questions que notre personnel tapait dedans.

On est une petite boîte de services professionnels — moins de trente personnes, pas d'avocat interne, une seule personne qui s'occupe de la vie privée, des finances et de la moitié des RH parce que c'est comme ça que ça marche à cette taille-là. Quelqu'un dans l'équipe a commencé à utiliser un clavardeur IA gratuit pour rédiger des courriels aux clients et résumer des notes de réunion, comme tout le monde le fait maintenant, et ça allait bien jusqu'à ce qu'un client demande, bien raisonnablement, si ses renseignements avaient touché à quoi que ce soit d'américain. On ne le savait pas. C'est ça, la partie qui comptait — pas l'IA en soi.

Ce que la Loi 25 vous demande vraiment de faire différemment

La Loi 25 du Québec déploie ses obligations depuis 2022, et celle qui nous a mordus, c'est l'exigence d'une évaluation des facteurs relatifs à la vie privée pour tout transfert de renseignements personnels hors province. Pas hors Canada — hors Québec. Si vous êtes une entreprise québécoise, ou que vous servez des clients québécois, envoyer leurs données à un serveur dans une autre province déclenche techniquement la même analyse que de les envoyer dans un autre pays. Je ne le savais pas en entrant là-dedans. Ma lecture, c'était que le seuil géographique allait être « Canada contre pas-Canada », et ce n'est pas le cas, pas sous la Loi 25 spécifiquement.

La LPRPDE fonctionne selon une autre logique — elle porte sur le consentement valable et l'imputabilité à l'égard des renseignements personnels, peu importe où ils sont traités, et elle s'applique au niveau fédéral aux activités commerciales. Les deux cadres se recoupent assez pour qu'on puisse les traiter comme un seul enjeu la plupart du temps, mais notre réviseure en sécurité a signalé qu'une EFVP satisfaisant la Loi 25 ne documente pas automatiquement l'exigence d'imputabilité de la LPRPDE, et on a fini par rédiger deux courts mémos au lieu d'un long. Sur le coup, ça avait l'air d'un travail inutile. Avec le recul, ça ne l'était pas — les deux documents sont lus par des personnes différentes si quelque chose tourne mal.

Ça vaut la peine de le nommer : l'obligation d'EFVP ne disparaît pas parce qu'un transfert est petit ou occasionnel. On avait présumé au départ que si seulement les notes d'une personne touchaient à un outil donné, l'évaluation pouvait attendre que l'usage prenne de l'ampleur. Notre réviseure n'était pas d'accord, et je pense qu'elle avait raison — le texte de la Loi 25 s'attache au transfert lui-même, pas au volume, donc un seul dossier client qui traverse la frontière dès le premier jour déclenche la même analyse que mille dossiers le feraient. On a refait l'échéancier sur cette base, ce qui voulait dire que l'EFVP devait être datée avant que l'outil entre en usage réel, pas après que l'équipe l'ait déjà utilisé pendant quelques semaines, comme on l'avait prévu au départ.

Pourquoi la compétence juridictionnelle du fournisseur s'est révélée être toute la question

Je suis entré dans l'évaluation des fournisseurs en présumant que les questions techniques domineraient — la qualité du modèle, la disponibilité, comment l'outil traitait les documents en français, puisqu'une bonne partie de notre clientèle est au Québec. Ces questions comptaient, mais ce n'est pas ce à quoi notre réviseure en sécurité revenait sans cesse. Ce à quoi elle revenait, c'était : qui peut forcer ce fournisseur à livrer les données de ses clients, et en vertu de quelle loi.

C'est là que le CLOUD Act américain est entré en jeu, et c'est le seul point de l'analyse sur lequel notre conseiller juridique n'a pas bougé d'un pouce. Le CLOUD Act permet aux forces de l'ordre américaines de forcer la divulgation de données par des fournisseurs sous compétence américaine, y compris des données stockées hors des États-Unis, si ce fournisseur est américain ou a une société mère américaine. Pour un cabinet qui manipule du matériel sensible pour ses clients, ce n'est pas un risque abstrait qu'on peut balayer du revers de la main — c'est un scénario que notre conseiller voulait voir traité par écrit avant qu'on signe quoi que ce soit.

On a examiné trois outils. Deux étaient les grandes plateformes américaines que tout le monde connaît déjà, toutes deux réellement compétentes, toutes deux logées sous une structure d'entreprise américaine et donc à la portée du CLOUD Act pour tout ce qu'elles détiennent. Le troisième était Augure, une plateforme d'IA canadienne, et la réponse qu'on a reçue sur la question de compétence juridictionnelle était précise plutôt que simplement rassurante en apparence : aucune société mère américaine, aucun investisseur américain, et les conversations et documents des clients traités sur une infrastructure canadienne ou avec des partenaires européens vérifiés sous des ententes de rétention zéro, jamais acheminés vers un fournisseur américain. Cette affirmation vise le contenu des clients et l'inférence IA, pas l'ensemble de l'entreprise — le traitement des paiements et l'acheminement des courriels passent encore par des réseaux américains, comme c'est le cas pour presque tout le monde, et le fournisseur a été franc sur le fait que ce n'était pas une situation où « vos données ne quittent jamais le Canada ». J'ai apprécié que ce soit présenté ainsi plutôt que comme une promesse générale, parce que la version générale n'est vraie d'aucun outil une fois qu'on tient compte des aspects ennuyants de faire tourner une entreprise.

La tarification d'Augure se situait autour de 20 $ CA par mois par utilisateur pour le forfait avec mémoire persistante et sans plafond de messages, montant à 80 $ CA pour le forfait avec agents de recherche approfondie et documents illimités. C'est à peu près en ligne avec ce que facturent les plateformes américaines pour des sièges équivalents, donc le coût n'a pas été le facteur décisif — la compétence juridictionnelle, oui.

Ce qui a compté moins que je le pensais

J'ai dépensé beaucoup d'énergie au début à m'inquiéter de la qualité du modèle — est-ce qu'un outil d'IA canadien gérerait la rédaction nuancée aussi bien que les grands joueurs établis, est-ce qu'il trébucherait sur la terminologie juridique ou financière. Il n'a pas trébuché de la façon dont je m'y attendais, même si notre échantillon de test était petit, peut-être quarante invites à travers deux personnes sur une semaine, ce qui n'est pas rigoureux. La question de la qualité du résultat, au final, n'était pas un enjeu. Ce qui a mangé notre temps de révision, c'était le suivi de la paperasse réglementaire, pas la compétence de l'outil.

Ça m'a surpris, et je pense que ça surprend la plupart des gens qui traversent ce processus, parce que la conversation marketing autour de l'adoption de l'IA porte presque entièrement sur la capacité, et que la conversation interne réelle finit par porter presque entièrement sur la garde des données.

Ce qu'on a demandé à chaque fournisseur avant de signer quoi que ce soit

On a bâti cette liste après que le premier appel avec un fournisseur ait mal tourné — on a posé une question générale et reçu une réponse générale, et notre réviseure a repoussé en disant qu'il nous fallait quelque chose qu'on pouvait mettre au dossier. Les questions qui ont fini par compter :

• Où les données des clients sont-elles stockées au repos, et où l'inférence s'exécute-t-elle réellement?
• Est-ce qu'une partie de l'entreprise appartient à des intérêts américains ou est financée par des investisseurs américains, et est-ce que ça expose le contenu des clients à des demandes en vertu du CLOUD Act?
• Est-ce que les données des clients servent à entraîner les modèles, et peut-on désactiver ça contractuellement?
• Quelle est la période de conservation, et peut-on forcer la suppression sur demande?
• Est-ce que le fournisseur a un soutien documenté pour la conformité à la Loi 25 et à la LPRPDE, ou doit-on bâtir ça nous-mêmes?

Tous les fournisseurs n'ont pas répondu clairement aux cinq questions. L'un nous a donné une réponse sur la résidence des données qui semblait confiante mais qui, à une seconde lecture de sa politique de confidentialité, s'est avérée ne décrire que l'emplacement de la base de données des comptes, pas l'endroit où l'inférence IA elle-même s'exécutait — une distinction qui compte et que beaucoup de réponses de fournisseurs passent sous silence. On n'était pas certains, au début, si cette distinction valait la peine d'être poussée ou si on faisait les pointilleux. Ça valait la peine. Des métadonnées de compte qui se trouvent à un endroit pendant que le contenu réel des invites est traité complètement ailleurs, c'est exactement le genre d'écart qu'une enquête d'incident finirait par questionner plus tard.

Ce que je ferais différemment

Je commencerais par la question de compétence juridictionnelle en premier, pas en troisième. On a passé presque deux semaines sur des comparaisons de fonctionnalités avant que quelqu'un pose la question du CLOUD Act, et une fois qu'on l'a posée, la plupart du travail de comparaison antérieur est devenu sans intérêt, parce que deux de nos trois candidats ont été disqualifiés sur cette seule base, peu importe à quel point leur rédaction semblait bonne.

Je ne suis pas non plus tout à fait certain qu'on ait réussi l'EFVP de la Loi 25 aussi serrée qu'elle devrait l'être — on l'a traitée comme un document ponctuel plutôt que comme quelque chose à revisiter, et je soupçonne que c'est une erreur. On a nommé un responsable de la protection des renseignements personnels, comme l'exige la Loi 25, et le cadrage dans les directives qu'on a lues, c'est que le rôle porte une imputabilité continue à l'égard des renseignements personnels, pas une simple approbation ponctuelle. On a nommé quelqu'un. Je ne pense pas qu'on ait revisité ce que ce rôle fait réellement depuis, et c'est sur la liste pour le prochain trimestre.

Rien de tout ça n'a éliminé nos obligations de conformité — aucun outil vendu par un fournisseur ne fait ça, et je serais sceptique envers quiconque prétend le contraire. Ce qui a changé, c'est quelles questions on devait répondre nous-mêmes par rapport à celles que l'architecture de la plateforme rendait plus simples à répondre. La documentation d'Augure sur la résidence des données et l'inférence était assez claire pour qu'on puisse aller directement à la question de compétence juridictionnelle au lieu de passer deux semaines sur des comparaisons de fonctionnalités d'abord, comme on l'avait fait.