Quelle base de connaissances IA garde vos documents au Canada?

L'endroit où vivent vos documents détermine quelles lois s'appliquent à eux. Si vous êtes une entreprise canadienne qui stocke des dossiers clients, des contrats ou des renseignements sur les employés dans un outil d'IA, vous devez savoir si ces données restent au Canada ou passent par les États-Unis. Ce guide couvre ce qu'il faut vérifier avant de vous inscrire.

Qu'est-ce qu'une base de connaissances IA?

Une base de connaissances IA permet à votre équipe de téléverser des documents — politiques, contrats, anciens courriels — et de poser des questions en langage simple au lieu de fouiller dans des dossiers. Quelqu'un tape « c'est quoi notre politique de vacances pour le personnel à temps partiel » et obtient une réponse tirée directement du document réel.

Le problème de conformité, ce n'est pas l'IA elle-même. C'est l'endroit où ces documents atterrissent une fois téléversés. Plusieurs outils populaires sont construits par des entreprises américaines, ce qui veut dire que vos fichiers peuvent se retrouver sur des serveurs américains et tomber sous le coup de la loi américaine, même si votre entreprise et vos clients sont entièrement canadiens.

Est-ce que la loi québécoise sur la vie privée exige un stockage canadien?

Pas exactement, et c'est là que bien des gens se trompent. Ni la Loi 25 du Québec ni la loi fédérale, la LPRPDE, n'exigent carrément que vous stockiez vos données au Canada. Ce qu'elles exigent, c'est que vous sachiez où vont vos données, que vous le divulguiez, et que vous assumiez vos responsabilités si quelque chose tourne mal.

C'est une barre moins haute que « ça doit être canadien », mais ça reste réel. Si un outil américain remet des données aux autorités américaines sous une ordonnance légale, c'est vous qui devez l'expliquer à vos clients, et possiblement au régulateur québécois de la vie privée. Les violations graves de la Loi 25 peuvent entraîner des pénalités allant jusqu'à 25 M$ ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé. Pas un chiffre que la plupart des entreprises de neuf employés veulent tester.

Un lecteur sceptique pourrait dire : mon entreprise est minuscule, personne ne va s'en prendre à nous. Juste, dans le sens où les régulateurs s'attaquent à des tendances, pas à des erreurs isolées. Mais le risque qui frappe réellement les petites entreprises, ce n'est habituellement pas une amende. C'est un client qui demande « où vont nos données » pendant un renouvellement de contrat, et vous n'avez pas de réponse. Perdre le contrat coûte plus cher que n'importe quel abonnement à un outil.

Trois choses à vérifier avant de choisir un outil

Sautez la page marketing et allez directement à ces questions :

• Où les données sont-elles stockées, et le fournisseur le dit-il clairement, pas avec des termes vagues comme « infrastructure mondiale »?
• L'entreprise elle-même est-elle canadienne, sans société mère américaine qui pourrait être forcée de remettre des données en vertu du CLOUD Act?
• Est-ce que le fournisseur utilise vos documents pour entraîner ses modèles, ou les garde-t-il privés à votre compte?

Si un fournisseur ne peut pas répondre à ces trois questions sur sa page de tarification ou sa politique de confidentialité, vous avez déjà votre réponse.

Cette troisième question compte plus que la plupart des gens ne le pensent au départ. Si vos documents servent à entraîner le modèle du fournisseur, des phrases tirées de vos contrats ou de vos mémos internes peuvent en théorie ressurgir plus tard dans la réponse d'un autre client. La plupart des fournisseurs qui font ça l'enterrent dans une clause d'utilisation des données, pas dans la politique de confidentialité proprement dite. Lisez les deux.

En quoi une plateforme canadienne gère-t-elle ça différemment?

Augure, par exemple, stocke les données clients au Canada. L'inférence IA tourne sur une infrastructure canadienne, avec certains niveaux de modèles servis par des partenaires européens vérifiés sous des ententes de rétention zéro. Rien de tout ça ne touche des fournisseurs américains. Augure n'a aucune société mère américaine ni investisseurs américains, donc les conversations et les documents clients échappent à la portée du CLOUD Act américain. Les données clients ne servent jamais à entraîner des modèles, point final, pas « option de retrait disponible ».

Quelques éléments touchent encore des systèmes américains, en toute honnêteté. Le traitement des paiements et l'envoi de courriels passent par des réseaux basés aux États-Unis, comme presque tous les outils SaaS vendus au Canada. C'est divulgué dans la politique de confidentialité plutôt qu'enterré. Vos documents réels et vos conversations avec l'IA ne franchissent pas cette ligne.

Un outil typique de base de connaissances basé aux États-Unis met vos fichiers sur une infrastructure infonuagique américaine par défaut, point final. Il n'y a pas d'option canadienne à comparer.

Combien ça coûte?

Le forfait gratuit d'Augure vous donne 10 documents, une allocation de calcul quotidienne suffisante pour environ 25 messages typiques, et une recherche web de base. Aucune carte de crédit requise.

Pour une entreprise de neuf employés qui fait des questions-réponses régulières sur des documents, le forfait Pro à 20 $/mois enlève le plafond de messages, vous donne 100 documents par mois, et ajoute une mémoire persistante, pour que l'IA se souvienne du contexte d'une conversation à l'autre au lieu de repartir à zéro chaque fois. Le forfait Max à 80 $/mois ajoute des agents de recherche approfondie et des documents illimités, ce qui compte davantage une fois que vous dépassez les 20 ou 30 employés.

Plusieurs outils de base de connaissances basés aux États-Unis facturent des prix semblables, mais stockent tout sur une infrastructure américaine par défaut, sans alternative canadienne à aucun niveau.

Où la Loi 25 entre-t-elle réellement en jeu ici?

La Loi 25 du Québec s'applique à toute entreprise qui traite des renseignements personnels de résidents québécois, peu importe où l'entreprise a son siège social. Si vous avez ne serait-ce qu'un seul client ou employé basé au Québec, elle s'applique probablement à vous. La loi vous oblige à nommer un responsable de la protection des renseignements personnels, à documenter vos pratiques de gestion des données, et à évaluer les risques avant d'envoyer des données personnelles à l'extérieur du Québec.

C'est exactement là que le choix de votre outil d'IA entre en jeu, dans cette évaluation des transferts transfrontaliers. Si votre base de connaissances envoie des documents à des serveurs américains, c'est un transfert que vous devez documenter et justifier. Un fournisseur qui garde l'inférence IA au Canada et en Europe, avec seulement les paiements et les courriels qui touchent des systèmes américains, vous donne une liste beaucoup plus courte à rédiger. L'inférence européenne tourne pour certains niveaux de modèles et pendant les basculements. Le traitement américain se limite aux réseaux de cartes et à l'envoi de courriels, et les deux sont clairement énoncés dans la politique de confidentialité. Dire clairement quels flux existent bat le fait de deviner plus tard.

L'évaluation elle-même n'a pas besoin d'un avocat pour une entreprise de neuf employés. En pratique, c'est une courte note interne : quelles données vont où, pourquoi, et ce qui se passe si le fournisseur change de mains. Gardez-la dans vos dossiers. Si le régulateur québécois vous pose la question un jour, avoir une note datée vaut mieux que de reconstruire votre raisonnement de mémoire.

Quoi faire cette semaine

D'abord, sortez la politique de confidentialité de votre outil d'IA actuel et trouvez la section sur l'emplacement du stockage des données. Si ce n'est pas dit clairement, envoyez un courriel à leur soutien technique et demandez-le directement. Obtenez-le par écrit.

Ensuite, vérifiez si des contrats clients ou des dossiers d'employés sont passés par un outil d'IA basé aux États-Unis dans les six derniers mois. Si oui, notez-le. Vous devrez peut-être mettre à jour votre avis de confidentialité pour refléter ce transfert.

Enfin, si vous évaluez un changement, essayez une plateforme IA canadienne sur un document réel de votre entreprise, pas un fichier de démonstration. Téléversez un vrai contrat ou une vraie politique et vérifiez si les réponses tiennent la route avant de vous engager dans un forfait payant. Vous pouvez commencer gratuitement sur augureai.ca.

D'où vient cette information : la Loi 25 du Québec fixe des pénalités administratives allant jusqu'à 25 M$ ou 4 % du chiffre d'affaires mondial pour les violations graves.