L'IA pour les entreprises sans service informatique : ce qui fonctionne vraiment

Personne dans notre bureau n'était capable de me dire où allaient vraiment nos données clients quand on tapait quelque chose dans ChatGPT. C'était tout le problème. Pas le coût, pas la qualité des réponses. On ne le savait tout simplement pas, et il n'y avait personne en TI à qui demander, parce qu'on n'en a pas. On est neuf. La gérante de bureau fait aussi office de personne qui redémarre le routeur Wi-Fi.

Je dirige les opérations d'une petite firme de services professionnels, le genre d'endroit avec des dossiers clients, quelques renseignements personnels, et aucune envie de vivre une fuite de données qu'on n'aurait pas les moyens de réparer. Quand le personnel a commencé à utiliser des outils d'IA de son propre chef l'an dernier, pour rédiger des courriels, résumer des notes de réunion, une personne collait même des formulaires d'accueil de clients dans un clavardage pour les « nettoyer », j'ai réalisé qu'on n'avait ni politique, ni évaluation des fournisseurs, ni la moindre idée de ce que ces outils faisaient avec ce qu'on leur donnait. Pas besoin d'un service informatique pour avoir un problème d'IA. Il suffit d'un employé avec un compte ChatGPT gratuit et une liste de clients.

La question de départ n'était pas une question de prix

Je m'attendais à ce que le coût soit le facteur décisif. Ça ne l'a pas été, ou du moins pas en premier.

La première question, c'était de savoir où vivent les données et qui peut y accéder. On est une petite firme, pas un hôpital ni une banque, mais on détient des dossiers de clients québécois, ce qui veut dire que la Loi 25 s'applique à nous, qu'on ait un responsable de la protection des renseignements personnels ou non — et on n'en a pas. La Loi 25 exige une évaluation des facteurs relatifs à la vie privée avant qu'un renseignement personnel ne quitte le Québec, et elle donne au régulateur québécois de vraies dents en matière d'application, incluant des pénalités qui dépassent largement ce qu'une firme de neuf personnes a envie de tester. Je ne comprenais pas tout ça avant de commencer à regarder les outils d'IA. Je le comprends maintenant, essentiellement parce que j'ai dû l'apprendre.

Alors l'ordre des opérations a fini par être : comprendre ce qu'on expose vraiment, ensuite comprendre ce que ça coûte à corriger, puis choisir un outil. C'est l'inverse de ce que j'avais imaginé au départ.

Ce que j'ai vraiment demandé à chaque fournisseur

J'ai monté une courte liste de questions et je l'ai envoyée à quatre fournisseurs, trois outils de clavardage américains bien connus et une option canadienne, Augure. Je ne cherchais pas à être exhaustif. Je cherchais juste à dépasser la page marketing.

• Où sont stockées les données clients, physiquement?
• Où se fait l'inférence, c'est-à-dire le traitement réel?
• Est-ce que nos données servent à entraîner vos modèles?
• Les autorités américaines peuvent-elles obliger l'accès à nos données en vertu du droit américain?
• Qu'arrive-t-il aux données si on annule?

Deux des quatre fournisseurs n'ont pas répondu directement à la quatrième question. Un a envoyé un lien vers une page de centre de confiance qui parlait de chiffrement et ne disait rien sur la juridiction. C'est une réponse en soi, j'imagine.

Le point sur le CLOUD Act, celui que je n'ai pas pu contourner

Voici ce qui a vraiment compté, et c'est plus étroit que ce à quoi je m'attendais au départ. Les fournisseurs d'IA basés aux États-Unis sont assujettis au CLOUD Act, une loi américaine qui permet aux autorités américaines d'obliger des entreprises américaines à leur remettre des données qu'elles contrôlent, peu importe où ces données sont physiquement stockées. J'avais présumé que c'était une préoccupation marginale, un truc pour les entrepreneurs de la défense et les hôpitaux. Ma comptable, à qui j'ai demandé de valider ma compréhension parce que je ne suis pas avocat et je ne prétends pas l'être, a fait remarquer que c'est exactement le genre de chose qu'une évaluation de transfert sous la Loi 25 est censée détecter. On est tenu d'évaluer si la destination offre une protection comparable, et « une entreprise américaine peut être légalement contrainte de divulguer ceci » répond assez directement à cette question.

La réponse d'Augure sur ce point était la plus précise des quatre. Aucune société mère américaine, aucun investisseur américain, et les conversations et documents des clients ne sont pas traités par des fournisseurs relevant de la juridiction américaine, donc l'exposition au CLOUD Act sur le contenu des clients ne s'applique pas de la même façon qu'avec un fournisseur américain. C'est une affirmation ciblée, et je me méfierais de quiconque la formule de façon plus large que ça.

L'inférence tourne sur une infrastructure canadienne pour certains niveaux de modèles, avec des partenaires européens sous ententes de non-rétention qui gèrent les autres et assurent la relève en cas de panne. Ce n'est pas tout qui reste au Canada, et il faut leur donner ça : personne sur l'appel de vente n'a prétendu le contraire. La livraison des courriels et le traitement des paiements touchent encore l'infrastructure américaine, ce qui est mentionné dans la politique de confidentialité plutôt qu'enterré. J'ai apprécié que ce soit dit clairement plutôt que d'avoir à creuser pour le trouver.

La chose qui, finalement, n'a pas eu d'importance

J'ai passé pas mal de temps au début à m'inquiéter des intégrations, est-ce que l'outil pouvait se brancher à notre logiciel de gestion de pratique, avait-il une API, ce genre de choses. Rien de tout ça n'avait d'importance pour nous. On avait besoin d'un outil de clavardage avec téléversement de documents et une recherche décente, et d'un endroit pour garder une petite base de connaissances interne pour les politiques et les modèles. C'est tout. La question de l'API réglait un problème qu'on n'a pas, et je dirais à un collègue qui fait le même exercice de sauter cette étape, sauf s'il sait déjà qu'il en a besoin.

Ce que ça a vraiment coûté, en gros

Le forfait gratuit d'Augure couvre 50 messages par jour et cinq documents, à peu près ce dont une ou deux personnes ont besoin pour un usage occasionnel. On a finalement opté pour le forfait Pro à 20 $/mois par utilisateur, qui retire le plafond de messages et donne accès à 100 documents et à une mémoire persistante, c'est-à-dire que l'outil retient le contexte entre les sessions au lieu de repartir à zéro chaque fois. Ça comptait pour une personne qui fait de la recherche répétée pour des clients.

Pour neuf personnes, ça fait environ 180 $/mois, moins si on avait laissé quelques utilisateurs occasionnels sur le forfait gratuit. En comparaison, ce qu'on payait discrètement pour trois abonnements de clavardage américains différents que personne n'avait annulés, ça tournait autour de 140 $/mois pour des outils que deux personnes utilisaient à l'occasion et que le reste avait oublié avoir.

Le changement n'a donc pas été plus coûteux.

Il a même été, si je suis honnête, un peu moins cher, et ça m'a surpris davantage que toute l'histoire de conformité.

On n'a pas pris le forfait Max, le plus haut de gamme. Les agents de recherche approfondie avaient l'air utiles, mais on ne pouvait pas justifier 80 $ par personne pour une fonction qu'on utiliserait deux fois par mois.

Ce que j'ai à moitié bien fait

J'aurais aimé commencer par une politique écrite plutôt que par une comparaison de fournisseurs. On a bâti la politique d'utilisation de l'IA après avoir choisi un outil, ce qui a créé quelques semaines pendant lesquelles le personnel continuait d'utiliser ce qu'il utilisait avant, données clients incluses, pendant que je passais mon temps à interroger des fournisseurs. Si c'était à refaire, je gèlerais l'utilisation d'abord, même de façon informelle, puis je magasinerais ensuite. Je pense que la plupart des petits bureaux qui font ça pour la première fois vont faire la même erreur, parce que la conversation avec les fournisseurs donne l'impression d'être la partie productive, et la politique, celle de la paperasse.

La LPRPDE s'applique quand même à nous pour tout ce qui sort du Québec, et elle n'exige pas un stockage des données au Canada de la façon dont l'évaluation de transfert de la Loi 25 nous y pousse effectivement. Mais une plateforme d'IA canadienne a simplifié toute la conversation, parce que je n'avais pas à mener deux arguments de résidence des données distincts pour deux ensembles de règles. Ce n'est pas un détail quand on fait cette analyse sans équipe de conformité, sur l'heure du dîner, entre deux autres tâches.

On est une petite firme, et voici ce qui a fonctionné pour neuf personnes avec une seule liste de clients et pas de salle de serveurs, pas un modèle pour n'importe qui de plus gros. Je dirais à un collègue qui gère un bureau de taille semblable de poser les cinq mêmes questions avant même de regarder le prix, parce que le prix est la partie facile à comparer, et la question de la juridiction est celle qui change vraiment ce qu'on a le droit de faire. Vous pouvez voir ce qu'on a fini par utiliser sur augureai.ca.