Mon école peut-elle utiliser l'IA? Un guide clair sur les données des élèves et les outils d'IA canadiens

Oui, votre école peut utiliser l'IA. La vraie question, c'est où vont les données des élèves, et qui peut les voir.

La plupart des lois provinciales sur la protection des renseignements personnels n'interdisent pas l'IA carrément. Elles vous demandent de savoir ce qu'un outil recueille, où c'est stocké, et si un fournisseur peut le remettre à quelqu'un d'autre. Trouvez ces trois réponses avant d'inscrire une classe, pas après.

Ça compte plus au Canada que les gens pensent, parce que beaucoup d'outils d'IA populaires sont américains. Une fois que les données d'un élève atterrissent sur un serveur américain, la loi des États-Unis peut y avoir accès — un fait que la plupart des centres de services scolaires préféreraient éviter d'expliquer aux parents.

Qu'est-ce que la loi provinciale sur la protection des renseignements personnels exige vraiment?

Chaque province gère ça un peu différemment. L'Ontario a sa propre loi sur l'accès à l'information pour les conseils scolaires publics. Le Québec a sa propre loi sur la protection des renseignements personnels, généralement considérée comme la plus stricte au pays. L'Alberta et la Colombie-Britannique ont aussi leurs propres versions.

Le point commun : les écoles sont les gardiennes des données des élèves, et elles peuvent être tenues responsables de ce qu'un fournisseur en fait. Si un enseignant s'inscrit à un outil d'IA gratuit et y colle la liste de sa classe, c'est le centre de services scolaire qui porte cette décision, pas l'application.

La loi québécoise va plus loin que la plupart des autres. Elle exige une évaluation des facteurs relatifs à la vie privée avant que certaines données puissent traverser les frontières provinciales, et elle donne aux parents des droits sur ce qui est recueilli au sujet de leurs enfants. Si votre centre de services scolaire est au Québec, cette évaluation n'est pas de la paperasse facultative. C'est ce qui détermine si un outil est autorisé, tout simplement.

L'évaluation elle-même n'est pas compliquée, mais elle prend vraiment du temps. Quelqu'un au centre de services scolaire doit documenter ce que l'outil recueille, où ces données voyagent, qui peut y accéder du côté du fournisseur, et ce qui arrive si le fournisseur est racheté ou ferme ses portes. Pour un seul outil de classe, ça tient souvent en quelques pages et quelques heures du temps d'un responsable de la protection des renseignements personnels. Pour un déploiement à l'échelle du centre de services scolaire touchant des milliers d'élèves, ça peut prendre des semaines, parce qu'il faut alors évaluer chaque fournisseur en aval dont dépend l'outil d'IA lui-même. Les centres de services scolaires qui sautent cette étape ne sont généralement pas négligents. Ils ne savaient simplement pas que cette étape existait, jusqu'à ce qu'un parent pose la question.

Est-ce que c'est vraiment grave, ou est-ce que j'exagère?

Ça dépend de ce que vous faites avec l'outil. Utiliser l'IA pour rédiger une feuille d'exercices, sans noms ni notes, ne comporte presque aucun risque pour la vie privée.

Utiliser l'IA pour résumer des plans d'intervention, repérer des élèves à risque, ou corriger des dissertations liées à de vrais noms? C'est une autre catégorie. Là, vous traitez des renseignements personnels sur des mineurs, et les mineurs ont une protection supplémentaire dans presque toutes les lois canadiennes sur la protection des renseignements personnels.

Une atteinte à la protection des données touchant des dossiers d'élèves peut déclencher une notification obligatoire à l'organisme de réglementation provincial, et à chaque famille concernée. C'est le scénario que les centres de services scolaires veulent éviter. Pas parce que l'IA est dangereuse par nature, mais parce que la plupart des outils de classe n'ont jamais été conçus en pensant au bulletin d'un enfant de dix ans.

Une objection qui mérite d'être nommée : certains enseignants pensent que si un outil est « gratuit », le centre de services scolaire ne l'a pas vraiment adopté, donc les règles ne s'appliquent pas encore. Elles s'appliquent. Un responsable de la protection des renseignements personnels ne se soucie pas de savoir si de l'argent a changé de mains. Dès que les données d'un élève quittent la classe et atterrissent sur le serveur de quelqu'un d'autre, le centre de services scolaire est responsable de cette décision, outil payant ou non.

Qu'est-ce que je dois vérifier avant d'acheter ou d'approuver un outil?

C'est la seule liste dans ce texte, alors faisons-la compter. Avant qu'un outil d'IA touche aux données des élèves, confirmez :

• Où les données sont stockées, et si cet emplacement satisfait à votre loi provinciale
• Si le fournisseur entraîne ses modèles avec vos données, ou les garde séparées
• Qui peut accéder aux données — le personnel du fournisseur, des sous-traitants, ou personne
• Ce qui arrive aux données si vous annulez

Si un fournisseur ne peut pas répondre clairement à ces questions, par écrit, c'est votre réponse. Une bonne politique de confidentialité est courte et précise. Une politique vague signifie généralement que le fournisseur n'y a pas pensé lui non plus.

Les plateformes d'IA canadiennes ont souvent la vie plus facile ici, parce que la résidence canadienne des données est souvent intégrée directement au produit, plutôt qu'ajoutée après coup pour un contrat scolaire. Ce n'est pas un détail quand c'est vous qui devez en expliquer la réponse à un conseil de parents.

Est-ce qu'utiliser une plateforme d'IA canadienne règle vraiment le problème?

Ça aide, mais ça ne fait pas disparaître le travail. Une plateforme d'IA canadienne signifie que les données des clients sont stockées au Canada, ce qui satisfait à la règle de résidence que la plupart des lois provinciales exigent. Ça ne signifie pas que chaque usage de l'outil est automatiquement conforme. Cette partie-là reste la responsabilité de l'école.

Augure est un exemple de plateforme d'IA canadienne conçue en pensant à cela. Les données des clients sont stockées au Canada, comme l'exige la loi canadienne sur la protection des renseignements personnels. L'inférence se fait sur une infrastructure canadienne pour certains forfaits de modèles, et avec des partenaires européens vérifiés soumis à des ententes strictes de non-conservation pour d'autres, y compris en cas de basculement — jamais sur des serveurs américains. Augure n'a ni société mère américaine ni investisseurs américains, alors les conversations et les documents des clients ne passent jamais entre les mains d'un fournisseur relevant de la juridiction américaine. C'est important pour la question que les centres de services scolaires posent sans cesse à leur service informatique : est-ce qu'une agence américaine peut avoir accès à nos données par le biais du fournisseur? Pour le contenu réel des conversations et des documents des élèves, la réponse est non, parce que ce contenu ne se retrouve jamais chez un fournisseur contrôlé par les États-Unis. (Le traitement des paiements et l'envoi des courriels impliquent tout de même une certaine infrastructure américaine, ce qu'Augure indique dans sa politique de confidentialité — bon à savoir si l'évaluation de votre centre de services scolaire a besoin du portrait complet.)

Augure commence gratuitement, avec 50 messages par jour, ce qui suffit pour qu'un seul enseignant teste la planification de leçons avant d'engager tout un département. Les forfaits payants commencent à 20 $/mois pour un enseignant qui veut une mémoire persistante et plus de documents, et grimpent pour les centres de services scolaires qui ont besoin de contrôles administratifs et de soutien dédié.

Rien de tout ça ne remplace l'évaluation des facteurs relatifs à la vie privée que l'équipe juridique de votre centre de services scolaire devrait mener. Ça veut simplement dire que la conversation sur l'infrastructure est plus courte, parce que la question de la résidence des données est déjà réglée.

Qu'en est-il des fournisseurs qui disent être « entièrement conformes »?

Méfiez-vous de cette expression. Aucun fournisseur ne peut garantir que votre école satisfait à une loi sur la protection des renseignements personnels. La conformité dépend de la façon dont vous utilisez l'outil, des données que vous lui fournissez, et des consentements que vous avez recueillis. Un fournisseur peut construire une plateforme qui appuie la conformité. Il ne peut pas vous remettre la conformité comme un produit fini.

Ce qu'un fournisseur devrait dire, et être capable de prouver, c'est où vivent les données, qui y touche, et s'il entraîne des modèles avec votre contenu. Si un représentant répond avec un slogan plutôt qu'un emplacement, redemandez.

Quoi faire cette semaine

Sortez la politique d'IA actuelle de votre centre de services scolaire, si elle existe, et vérifiez si elle mentionne la résidence des données, tout simplement. Si ce n'est pas le cas, c'est l'écart à combler en premier.

Faites la liste de tous les outils d'IA qu'un enseignant utilise déjà, même de façon informelle. Les outils gratuits s'infiltrent vite, et la plupart des centres de services scolaires ont moins de visibilité là-dessus qu'ils ne le pensent.

Demandez à un fournisseur, par écrit, où sont stockées les données des élèves et si elles servent à entraîner des modèles. Sa réponse, ou son silence, vous dira presque tout ce qu'il faut savoir.

Commencez sur augureai.ca si vous voulez voir à quoi ressemble vraiment une réponse conçue au Canada à cette question.

D'où ça vient : la loi québécoise sur la protection des renseignements personnels exige une évaluation des facteurs relatifs à la vie privée avant que des renseignements personnels traversent les frontières provinciales (art. 17).