Bâtir une stratégie d'IA pour les organisations pharmaceutiques canadiennes

Santé Canada n'a pas de règlement spécifique sur l'IA pour les entreprises pharmaceutiques. C'est précisément ce vide qui pousse un nombre croissant de fabricants de médicaments, d'OCR et de pharmacies spécialisées canadiens à rédiger leurs propres politiques de gouvernance de l'IA cette année, plutôt que d'attendre qu'Ottawa rattrape son retard.

La pression vient de deux directions. La Loi 25 du Québec est pleinement en vigueur depuis septembre 2023, et ses exigences en matière d'évaluation des transferts de données hors province font désormais partie du processus normal d'intégration des fournisseurs. La LPRPDE, la loi fédérale canadienne sur la protection des renseignements personnels, continue de régir la façon dont les renseignements personnels sur la santé circulent dans tout outil d'IA touchant des données de patients, des dossiers d'essais cliniques ou des rapports d'événements indésirables. Aucune des deux lois n'a été rédigée en pensant aux grands modèles de langage. Les deux s'y appliquent quand même. Pour un secteur qui manipule simultanément des données d'essais cliniques, des programmes de soutien aux patients et des dossiers de fabrication, la vraie question n'est pas de savoir s'il faut utiliser l'IA — la majorité du secteur le fait déjà — mais quels outils peuvent être déployés sans créer un problème de conformité qui survivra au lancement du produit.

La question de la juridiction que le pharmaceutique ne peut pas déléguer

Une directrice des opérations cliniques dans un OCR de taille moyenne basé à Toronto, qui a demandé à garder l'anonymat parce que les négociations de sa société avec ses fournisseurs sont toujours en cours, a indiqué que son équipe juridique pose désormais la même première question à chaque fournisseur d'IA, avant même de parler de prix ou de fonctionnalités : où se trouvent les données, et sous quelle loi.

Cette question a plus de poids dans le pharmaceutique que dans la plupart des secteurs. Les données d'essais cliniques relèvent de la surveillance des comités d'éthique de la recherche et, souvent, d'obligations contractuelles envers les commanditaires précisant la résidence des données. Les programmes de soutien aux patients recueillent des renseignements sur la santé directement auprès des personnes concernées, ce qui déclenche les règles de consentement plus strictes de la Loi 25 dès qu'un résident du Québec est inscrit. Les dossiers de fabrication et de qualité liés aux présentations de drogues sont assujettis à l'inspection de Santé Canada, ce qui signifie qu'une entreprise doit savoir précisément où ces dossiers ont séjourné et qui aurait pu y accéder.

Les fournisseurs d'IA dont le siège social se trouve aux États-Unis compliquent ce tableau à cause du CLOUD Act, cette loi américaine de 2018 qui permet aux forces de l'ordre américaines de forcer des entreprises américaines à produire des données qu'elles contrôlent, peu importe où ces données sont physiquement stockées. Une entreprise pharmaceutique n'a pas besoin de croire qu'une telle demande est probable pour traiter cette exposition comme une variable réelle dans son évaluation des risques. Des avocats spécialisés en protection des renseignements personnels au Canada soulèvent explicitement ce point dans leurs notes à leurs clients depuis deux ans, selon des commentaires publics de la section protection des renseignements personnels de l'Association du Barreau canadien.

« Le CLOUD Act n'exige pas qu'un serveur soit situé aux États-Unis. Il exige que l'entreprise le soit », a déclaré une avocate spécialisée en protection des renseignements personnels lors d'un panel de l'ABC sur les flux de données transfrontaliers.

Cette distinction explique pourquoi les équipes d'approvisionnement tracent de plus en plus une ligne nette entre les fournisseurs dont la société mère est américaine et les autres, traitant la question comme un enjeu structurel plutôt que comme une simple comparaison de fonctionnalités.

Ce qu'une plateforme d'IA canadienne change vraiment

Les plateformes d'IA souveraines canadiennes se sont invitées dans les discussions d'approvisionnement du secteur pharmaceutique au cours des 18 derniers mois, non pas par préférence patriotique, mais comme réponse à une exposition juridique bien précise.

Augure fait partie d'un petit nombre de fournisseurs de plateformes d'IA canadiennes qui se positionnent explicitement autour de ce vide. L'entreprise n'a ni société mère américaine ni investisseurs américains, et affirme que les conversations, documents et inférences IA de ses clients ne sont jamais traités par des fournisseurs relevant de la juridiction américaine — une affirmation d'ordre structurel, pas un adjectif marketing, qui signifie concrètement que la portée du CLOUD Act sur les fournisseurs contrôlés par les États-Unis ne s'étend pas à ce contenu client. Les données des clients sont stockées au Canada. L'inférence s'exécute sur une infrastructure canadienne pour certains niveaux de modèles, avec des partenaires européens vérifiés qui prennent en charge les autres et servent de solution de secours dans le cadre d'ententes à zéro rétention de données, et le contenu des clients n'est jamais acheminé vers les États-Unis. Le traitement des paiements et la livraison des courriels transitent encore par des réseaux basés aux États-Unis, ce qu'Augure divulgue dans sa politique de confidentialité plutôt que de le passer sous silence — un détail qui compte pour toute entreprise pharmaceutique qui mène sa propre évaluation de transfert en vertu de la Loi 25, puisque cette analyse exige de savoir exactement quelles catégories de données traversent une frontière, et pourquoi.

Pour un responsable de la conformité dans le pharmaceutique, cette divulgation constitue le véritable livrable, plus encore que l'affirmation sur la résidence des données elle-même. Un fournisseur qui nomme ses sous-traitants et explique quels flux existent donne à une équipe juridique quelque chose à évaluer. Un fournisseur qui se contente d'affirmer qu'il est conforme ne leur donne rien à vérifier.

Augure n'est pas la seule option canadienne que les entreprises pharmaceutiques évaluent. Les listes d'approvisionnement consultées de façon informelle pour cet article comprenaient aussi les offres d'entreprise de Cohere et une poignée de jeunes pousses canadiennes plus modestes spécialisées dans la révision de documents pour les secteurs réglementés. Ce qui distingue le cas d'usage pharmaceutique, c'est la combinaison des exigences : une mémoire persistante pour les projets de recherche de longue durée, une base de connaissances privée qui ne se retrouve pas dans un ensemble d'entraînement partagé, et des outils de révision de contrats pour les ententes de licence et d'approvisionnement que les entreprises pharmaceutiques signent constamment avec des fabricants, des distributeurs et des OCR.

Bâtir la politique interne, pas seulement choisir l'outil

Le choix du fournisseur n'est que la moitié facile du problème. L'autre moitié, plus difficile, c'est la gouvernance interne — qui, dans une organisation pharmaceutique, a le droit d'entrer quel type de données dans un outil d'IA, et sous quelle forme de révision.

La plupart des entreprises pharmaceutiques interrogées pour des articles comme celui-ci au cours de la dernière année décrivent une approche par paliers, même si aucune ne l'appelle ainsi officiellement :

• L'information publique ou déjà publiée (dépôts réglementaires, analyse de la concurrence, revue de littérature) peut être traitée dans des outils d'IA à usage général, avec peu de restrictions.
• Les données cliniques ou opérationnelles dépersonnalisées exigent une entente de traitement des données documentée et, souvent, l'aval d'un responsable de la protection des renseignements personnels avant qu'un outil d'IA n'y touche.
• Les données de patients identifiables, les données d'essais actifs et tout ce qui est lié à une présentation de drogue en cours exigent généralement soit un déploiement d'IA interne, soit un fournisseur disposant d'attestations réglementaires précises, soit une interdiction pure et simple en attendant une révision plus poussée.

C'est dans ce troisième palier que se concentre la véritable friction, et c'est là que les entreprises consacrent un temps de négociation réel avec les fournisseurs sur les annexes de traitement des données, les droits d'audit et les délais de notification des atteintes — la mécanique contractuelle qui rend les exigences d'une loi sur la protection des renseignements personnels réellement applicables, et non simplement aspirationnelles.

Une responsable de la conformité d'une chaîne de pharmacies spécialisées basée à Montréal, s'exprimant sous couvert d'anonymat, a confié que sa plus grosse bataille interne cette année n'a pas été de choisir un fournisseur, mais de convaincre le personnel clinique de cesser d'utiliser des comptes ChatGPT personnels pour rédiger de la correspondance avec les patients. Le document de stratégie d'IA qui en a résulté fait quatre pages, dont la moitié porte sur ce que les employés ne doivent pas faire, plutôt que sur ce que l'entreprise a adopté.

L'échéancier réglementaire reste ouvert

Santé Canada a signalé, dans des déclarations publiques et dans ses travaux en cours sur les logiciels en tant qu'instruments médicaux, qu'une orientation spécifique à l'IA pour les usages pharmaceutiques et connexes à la santé s'en vient, mais aucune ébauche n'a été publiée au moment d'écrire ces lignes. La Loi sur l'intelligence artificielle et les données fédérale, déposée en 2022 dans le cadre du projet de loi C-27, est morte au feuilleton lors de la prorogation du Parlement en janvier 2025 et n'a pas été réintroduite sous sa forme originale, laissant un vide que les lois provinciales sur la protection des renseignements personnels et les orientations sectorielles comblent de façon inégale.

Cela place les entreprises pharmaceutiques dans la position de bâtir leur gouvernance avant le régulateur plutôt qu'en réaction à celui-ci — une situation inconfortable, ont indiqué plusieurs personnes interrogées pour cet article, mais pas inhabituelle pour une industrie habituée aux cadres des bonnes pratiques de fabrication et des bonnes pratiques cliniques, qui précèdent la plupart des outils numériques dont elle dépend aujourd'hui. Le réflexe de tout documenter, de présumer qu'un audit viendra et d'attribuer la responsabilité par rôle plutôt que par outil fait déjà partie de la culture pharmaceutique. Appliquer ce réflexe au choix des fournisseurs d'IA s'avère finalement moins exigeant que de bâtir ce réflexe à partir de zéro.

Ce qui reste moins clair, c'est si le critère « canadien » dans l'approvisionnement va se cristalliser en exigence formelle dans les appels d'offres, comme c'est déjà le cas des clauses de résidence des données pour l'infrastructure infonuagique, ou s'il va demeurer une préférence informelle qui varie d'une entreprise à l'autre, selon le moment où son équipe juridique a entendu parler du CLOUD Act pour la dernière fois. En ce moment, c'est la deuxième option. Cela pourrait changer avec une seule mesure d'application très médiatisée, ou un seul mauvais titre de presse sur la gestion des données d'un fournisseur, et personne parmi les personnes interrogées pour cet article n'était prêt à parier sur la direction que prendra le mouvement en premier.

Les pages produits d'Augure, y compris la tarification du produit Legal utilisé pour la révision de contrats et le triage des ententes de confidentialité, se trouvent sur augureai.ca pour les entreprises qui veulent faire leur propre comparaison.