Quels outils d'écriture IA protègent vraiment les noms et les données de vos clients?

Oui, ça vous concerne, même si vous utilisez l'IA seulement pour rédiger des courriels et des propositions. Si vous collez le nom d'un client, une adresse ou un numéro de dossier dans un outil d'écriture, vous envoyez des renseignements personnels à travers un système que vous ne contrôlez pas. La vraie question, c'est de savoir si l'outil que vous avez choisi retire ou protège ces détails avant qu'ils ne quittent vos mains.

La plupart des outils d'écriture IA populaires ne le font pas. Ils sont construits aux États-Unis, régis par la loi américaine, et pas conçus en tenant compte des règles canadiennes sur la protection des renseignements personnels.

Qu'est-ce que la « désidentification des RP » veut dire au juste?

RP veut dire renseignements personnels — tout ce qui pointe vers une personne précise. La désidentification, c'est le fait de retirer ou de masquer ces renseignements avant qu'ils soient traités, stockés ou utilisés pour entraîner un modèle.

Un bon système fait ça automatiquement. Il repère un numéro d'assurance sociale, un numéro de dossier médical ou l'adresse personnelle d'un client avant que le texte n'atteigne un modèle d'IA, et il le masque ou le garde séparé du reste de la conversation. Un mauvais système absorbe simplement tout ce que vous collez, sans poser de questions.

C'est plus important pour une entreprise de neuf personnes qu'on pourrait le croire. Vous n'avez pas d'équipe juridique qui vérifie chaque brouillon. L'outil d'IA est souvent la seule chose qui se dresse entre un copier-coller imprudent et une plainte en matière de protection des renseignements personnels.

Est-ce que ça s'applique vraiment à une petite entreprise comme la mienne?

Si vous êtes au Québec, oui, presque certainement. La loi québécoise sur la protection des renseignements personnels s'applique à toute entreprise qui recueille des renseignements personnels auprès de résidents du Québec, peu importe sa taille. Il n'y a pas d'exemption pour les petites entreprises.

Ailleurs au Canada, la loi fédérale sur la protection des renseignements personnels vous couvre si vous recueillez des renseignements personnels dans le cadre d'une activité commerciale. Encore une fois, la taille n'a pas d'importance. Une boulangerie de neuf employés avec une liste de courriels clients est couverte de la même façon qu'une banque, simplement avec un rayon d'impact plus petit si les choses tournent mal.

Le test pratique est simple : recueillez-vous des noms, des coordonnées ou des renseignements financiers de vos clients? Si oui, les deux lois s'intéressent à ce qui arrive à ces données une fois qu'elles entrent dans un outil d'IA.

Il y a un endroit où la règle générale s'assouplit : si l'information est déjà publique, comme un nom et un titre tirés du site web d'une entreprise, les obligations en matière de confidentialité sont plus légères. La loi s'intéresse aux renseignements qu'une personne vous a donnés avec une certaine attente qu'ils resteraient privés. Le numéro d'assurance sociale d'un client sur une facture, ce n'est pas la même chose que le nom d'un contact sur sa propre page LinkedIn. Le problème, c'est que la plupart des documents mélangent les deux librement, et un outil d'IA ne peut pas faire la différence à moins d'être conçu pour la repérer.

Pourquoi les outils d'IA basés aux États-Unis créent-ils un risque supplémentaire ici?

La plupart des outils d'écriture IA grand public sont des compagnies américaines, qui roulent sur une infrastructure américaine, régies par la loi américaine. C'est important à cause du CLOUD Act, une loi américaine qui peut forcer des compagnies basées aux États-Unis à remettre des données qu'elles contrôlent, même des données stockées à l'extérieur des États-Unis.

Ça ne veut pas dire que votre liste d'épicerie va faire l'objet d'une assignation. Ça veut dire que la correspondance client qui se trouve dans un outil basé aux États-Unis se trouve dans un système juridique qui y a accès d'une façon qui n'existe pas pour une infrastructure gérée au Canada. Pour bien des entreprises, c'est un risque acceptable. Pour un cabinet d'avocats, un cabinet comptable, ou quiconque traite des renseignements de santé, ça ne l'est généralement pas.

C'est ici que des outils d'IA canadiens comme Augure font une vraie différence — pas un simple atout, mais un choix structurel sur qui peut accéder à vos données. Augure n'a aucune société mère américaine ni aucun investisseur américain, et les conversations, documents et traitements d'inférence IA des clients ne sont jamais gérés par des fournisseurs relevant de la juridiction américaine. Ça veut dire que la portée du CLOUD Act sur les fournisseurs contrôlés par les États-Unis ne s'étend pas à ce que vous envoyez à Augure, spécifiquement. C'est une affirmation plus restreinte que « la loi canadienne protège tout », et c'est la version honnête.

Une entreprise de neuf personnes a la même exposition juridique qu'une entreprise de neuf cents personnes, mais avec un budget beaucoup plus petit pour absorber une erreur.

Qu'est-ce que je dois chercher concrètement dans un outil?

Laissez tomber le langage marketing et vérifiez trois choses.

• Où les données sont-elles stockées, et est-ce que la compagnie le dit clairement, pas juste « infonuagique »?
• Est-ce que l'outil désidentifie ou masque les renseignements personnels avant de les traiter, ou est-ce qu'il traite simplement tout ce qu'on lui donne?
• Est-ce que les données clients servent un jour à entraîner les modèles de la compagnie? Si la réponse n'est pas claire, présumez que oui.

Augure, par exemple, stocke les données clients au Canada, comme l'exigent les règles canadiennes sur la protection des renseignements personnels, et exécute l'inférence sur une infrastructure canadienne ainsi que chez des partenaires européens vérifiés, sous des ententes de rétention zéro — jamais par l'entremise de fournisseurs américains. Certains niveaux de modèles roulent au Canada, d'autres dans l'UE, et les partenaires européens servent aussi de relais pour maintenir un bon taux de disponibilité. Les données clients ne servent jamais à entraîner les modèles d'Augure. Il y a aussi un traitement limité aux États-Unis pour les réseaux de cartes de paiement et l'envoi de courriels, documenté dans la politique de confidentialité — bon à savoir si les transferts transfrontaliers comptent pour votre propre examen de conformité. C'est le genre de détail pour lequel vous devriez obtenir une réponse franche de n'importe quel outil d'écriture IA, Augure ou autre.

Un lecteur sceptique pourrait demander : si des serveurs européens sont impliqués, est-ce que ça ne défait pas tout le point? Pas vraiment. La comparaison qui compte, ce n'est pas « le Canada contre le reste du monde ». C'est « est-ce que ce flux de données existe sous une entente de rétention zéro avec un partenaire nommé, ou est-ce qu'il disparaît dans l'infrastructure générale d'une compagnie américaine sans aucune limite de ce genre ». Une inférence européenne divulguée, avec un contrat derrière, c'est très différent d'un pipeline d'entraînement américain non divulgué.

Combien ça me coûte, en argent et en temps?

Bien faire les choses ne demande pas un gros budget ni un service de conformité.

Augure est canadien et commence gratuitement, avec une allocation de calcul quotidienne qui permet environ 25 messages typiques et de la place pour 10 documents. Pour une équipe de neuf personnes qui rédige des propositions et des courriels clients, c'est souvent suffisant pour commencer. Si vous avez besoin de plus — mémoire persistante, plus de documents, modèles prioritaires — le forfait payant coûte 20 $/mois par utilisateur, avec un palier à 80 $/mois pour les équipes qui font du travail de recherche plus poussé.

Comparez ça au coût d'une plainte en matière de protection des renseignements personnels. Ça commence rarement par une amende. Ça commence par une lettre du régulateur québécois ou du commissaire fédéral à la protection de la vie privée vous demandant d'expliquer ce qui s'est passé, suivie de semaines à fouiller dans les dossiers pour montrer quelles données sont allées où. Plusieurs entreprises engagent un avocat spécialisé en protection des renseignements personnels juste pour cette étape, souvent avant même qu'une pénalité soit sur la table. L'amende, si elle arrive, est le dernier coût, pas le premier.

Dois-je tout arracher et recommencer avec mes outils actuels?

Pas nécessairement, mais vous devez savoir ce que vous exposez. Une équipe qui utilise un outil basé aux États-Unis pour du remue-méninges interne sans données clients ne court pas le même risque qu'une équipe qui rédige une lettre mentionnant l'historique médical d'un client.

La bonne approche, c'est de séparer les deux usages. Gardez les outils d'écriture générale pour l'écriture générale. Faites passer tout ce qui touche des renseignements personnels — noms de clients, détails financiers, renseignements de santé — par un outil conçu dès le départ en tenant compte des règles canadiennes sur la protection des renseignements personnels. Ça peut vouloir dire changer complètement d'outil, ou ça peut vouloir dire utiliser un outil canadien seulement pour le contenu sensible et garder votre flux de travail actuel pour le reste.

À faire cette semaine

1. Repassez vos dix derniers documents rédigés avec l'aide de l'IA et repérez ceux qui contenaient un vrai nom, une adresse ou un numéro de compte.
2. Vérifiez où votre outil d'écriture IA actuel stocke les données et s'il s'entraîne sur vos entrées — la plupart des politiques de confidentialité le disent directement si vous cherchez « données d'entraînement ».
3. Essayez un outil d'IA canadien pour tout ce qui touche des renseignements clients à partir de maintenant. Le forfait gratuit d'Augure suffit pour tester ça cette semaine, sans engagement. Commencez sur augureai.ca.

D'où ça vient : la loi québécoise sur la protection des renseignements personnels fixe les pénalités maximales à 25 M$ ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé.