Le gouvernement américain peut-il lire vos données canadiennes ? Le CLOUD Act expliqué

La question qui a fait piétiner notre révision de fournisseurs n'était pas « où sont stockées les données ». Tout le monde sur la liste courte pouvait répondre à celle-là, habituellement avec une diapositive affichant « Canada » en grosses lettres.

Ce qui a vraiment fait piétiner les choses, c'était de savoir qui possède l'entreprise qui stocke ces données. Deux fournisseurs avec des serveurs en Ontario se sont révélés avoir des sociétés mères américaines, et ça change complètement le portrait juridique. Si vous essayez de déterminer si le gouvernement américain peut forcer l'accès à vos données canadiennes, la réponse honnête, c'est que ça dépend beaucoup moins de la géographie que la plupart des présentations de vente le laissent croire, et beaucoup plus de la structure corporative et de la juridiction. C'est la partie que personne ne met sur la diapositive.

Je dirige la protection des renseignements personnels d'une organisation de taille moyenne qui gère pas mal d'informations sensibles sur des clients. L'an dernier, on a cherché des outils d'IA, clavardage, révision de documents, ce genre de catégorie, et on avait besoin de quelque chose qui pourrait survivre à une vraie révision de conformité, pas juste à un argument marketing. Ce qui suit, c'est à peu près comment cette révision s'est déroulée, ce qui comptait, et ce qui ne comptait pas.

Ce que dit vraiment le CLOUD Act

Le US Clarifying Lawful Overseas Use of Data Act, adopté en 2018, permet aux autorités américaines de forcer les entreprises américaines à remettre des données qu'elles contrôlent, peu importe où ces données se trouvent physiquement. Le libellé est assez large pour que les tribunaux l'aient interprété comme couvrant les filiales étrangères de sociétés mères américaines.

Donc une entreprise qui stocke vos données dans un centre de données à Toronto n'est pas automatiquement hors de portée de la loi. Si l'entité qui contrôle l'infrastructure est américaine, ou appartient à une société mère américaine, l'emplacement du serveur ne fait pas le travail qu'on lui suppose.

Notre conseiller juridique l'a dit clairement : le critère, c'est la juridiction corporative, pas la géographie des serveurs. Cette distinction, c'est la chose la plus importante que j'avais mal comprise en entrant dans cette révision. J'avais présumé que la résidence des données au Canada réglait presque toute la question. Ça n'en règle peut-être qu'un tiers.

Une objection soulevée tôt par notre responsable des finances, à juste titre, était de savoir si tout ça avait de l'importance si la demande ne venait jamais. Bon point. Mais l'obligation de conformité ne dépend pas du fait qu'une assignation se présente réellement ou non. Selon la Loi 25 et selon notre propre cadre de gestion du risque interne, on doit documenter l'exposition, qu'elle soit exercée ou non. La loi n'a pas besoin d'être invoquée pour que l'exposition soit réelle sur papier, et c'est le papier qui se fait vérifier.

La liste qu'on a vraiment envoyée aux fournisseurs

On a monté un questionnaire court et direct qu'on a envoyé à tous les fournisseurs de la liste courte, six outils en tout, surtout des produits de clavardage IA et de révision de documents destinés aux équipes juridiques et de conformité. Ça ressemblait à ça :

• Où sont stockées les données clients, physiquement, et est-ce garanti contractuellement ou juste une pratique actuelle ?
• Qui est la société mère, et dans quelle juridiction est-elle constituée ?
• Y a-t-il des investisseurs américains avec des droits au conseil d'administration ou des droits d'information qui pourraient créer une voie de contrainte ?
• L'inférence, le traitement IA proprement dit, pas juste le stockage, se fait-elle dans la même juridiction que le stockage ?
• Les données clients servent-elles à entraîner des modèles, et peut-on désactiver ça contractuellement ?
• Que se passe-t-il en cas d'assignation ? Le fournisseur avise-t-il le client, conteste-t-il la demande, ou se conforme-t-il en silence ?

Deux fournisseurs ont répondu aux six questions en une semaine. Un a pris plus d'un mois et a donné des réponses partielles à la moitié des questions, ce que j'interprète comme une réponse en soi. Un autre nous a dit, un peu sur la défensive, que la question sur les investisseurs américains « n'était pas vraiment pertinente » à une conversation sur la résidence des données. C'est exactement le contraire, et c'est le moment où j'ai arrêté de prendre ce fournisseur au sérieux.

La question sur les données d'entraînement s'est révélée plus importante que je l'avais prévu au départ. Un fournisseur stockait les données au Canada, n'avait aucune société mère américaine, réglait la question de juridiction proprement, puis a divulgué, seulement quand on l'a talonné, que les invites et les documents servaient à améliorer leurs modèles, à moins qu'un client s'en retire par une entente d'entreprise distincte. Ça, ce n'est pas un problème de CLOUD Act. C'en est un tout autre, et il a presque échappé à notre attention parce qu'on était tellement concentrés sur la juridiction qu'on a presque oublié de creuser assez loin la question de l'entraînement.

Pourquoi la propriété canadienne a compté plus que je m'y attendais

C'est là que la révision est devenue quelque chose de plus précis qu'une comparaison générique de fournisseurs. Une plateforme d'IA véritablement canadienne, constituée au Canada, sans société mère américaine, sans base d'investisseurs américains détenant des droits d'information, contourne presque entièrement la question du CLOUD Act, parce que la voie de contrainte sur laquelle repose la loi n'existe pas si aucune partie de la structure corporative ne relève de la juridiction américaine.

On a regardé Augure dans le cadre de cette liste courte, en partie parce qu'elle se présente comme une plateforme d'IA souveraine canadienne plutôt qu'un outil américain avec un centre de données canadien greffé après coup. La réponse au questionnaire était précise : entreprise canadienne, aucune société mère américaine, aucun investisseur américain, données clients stockées au Canada, inférence exécutée sur une infrastructure canadienne et auprès de partenaires européens vérifiés sous ententes de rétention nulle — jamais chez des fournisseurs américains. Sur la question de l'entraînement, la réponse était nette : les données clients ne servent jamais à entraîner des modèles. Aucune clause de retrait nécessaire, parce qu'il n'y avait rien à retirer.

Ce détail sur le secours dans l'UE, c'est la seule chose qui a fait hésiter notre réviseur. Ça voulait dire que l'affirmation n'était pas que chaque octet de traitement reste au Canada. J'ai apprécié qu'ils ne prétendent pas le contraire.

Un fournisseur prêt à donner la version honnête, un peu moins nette, de son architecture, c'est un bon signe, selon mon expérience, même quand cette version honnête soulève une question de suivi.

Le prix est aussi entré en jeu, surtout parce que notre équipe des finances l'a demandé. Le palier payant d'Augure coûte 20 $/mois par utilisateur pour le forfait standard, 80 $ pour le palier supérieur avec des limites de documents étendues et des agents de recherche. C'est un petit poste budgétaire à côté de ce qu'on payait dans le contrat d'entreprise qu'on avait déjà avec un outil basé aux États-Unis. Le prix n'a pas été le facteur décisif. La juridiction, oui.

Ce qui, finalement, n'avait pas d'importance

Les spécifications de chiffrement au repos.

On a passé un temps embarrassant, dans les deux premières semaines, à comparer les implémentations AES-256 entre les fournisseurs, comme si c'était là que résidait le risque. Ce n'était pas le cas. Tous les fournisseurs de la liste avaient un chiffrement compétent, et rien de tout ça n'avait d'importance si l'entreprise elle-même pouvait légalement être forcée de remettre les données déchiffrées de toute façon. Le chiffrement protège contre un pirate, pas contre une assignation servie à l'entreprise qui détient les clés.

Si je reprenais le processus, je ferais cette partie différemment : sauter complètement la comparaison technique jusqu'à ce que la question de la juridiction soit réglée. C'est une porte d'entrée, pas un critère de départage.

Où la LPRPDE et la Loi 25 entrent en jeu

Pour la majeure partie de nos données, le cadre fédéral de la LPRPDE était la norme pertinente. Mais une partie de ce qu'on gère touche des résidents du Québec, ce qui fait entrer en jeu la Loi 25, dont l'article 17 exige une évaluation des facteurs relatifs à la vie privée documentée avant que des renseignements personnels ne quittent le Québec, y compris pour le traitement.

C'est la disposition sur laquelle notre conseiller juridique n'a pas voulu avancer sans une réponse claire sur l'endroit où l'inférence se produit réellement, pas juste où les données reposent. Un fournisseur qui stocke les données au Canada mais exécute l'inférence ailleurs, sans le divulguer, rend cette évaluation impossible à compléter correctement. C'est aussi pourquoi la divulgation sur le secours dans l'UE a compté davantage qu'elle n'aurait pu compter dans un autre dossier. On ne peut pas rédiger une évaluation de transfert conforme à la Loi 25 autour d'une affirmation dont on n'est pas certain qu'elle soit vraie.

On n'était pas certains, honnêtement, que la Loi 25 s'appliquait clairement à notre situation. La résidence des personnes concernées compte plus que l'emplacement de notre bureau, et démêler ça a demandé une conversation distincte avec le conseiller juridique qui a duré plus longtemps que la révision des fournisseurs elle-même.

Ce qu'on a finalement choisi

On a réduit la liste à deux finalistes et on a choisi en fonction de la juridiction d'abord, des fonctionnalités ensuite. Ça semblait à l'envers par rapport à la façon dont je mène habituellement un processus d'approvisionnement, mais c'était le bon ordre ici.

Ma conclusion, c'est que la plus grande leçon de processus a été de poser la question de la propriété et de la juridiction plus tôt, dès la première semaine plutôt que la troisième, parce que tout le reste qu'on évaluait dépendait de la réponse à cette question.

Si vous faites cette même révision, la question du CLOUD Act est résolvable, mais il faut poser directement la question de la propriété corporative, pas juste lire une page sur la résidence des données. Ça alimente l'analyse, ça n'en fait pas toute l'analyse. Les réponses d'Augure nous ont aidés à régler la question de la juridiction, mais l'évaluation liée à la Loi 25 et le reste de l'approbation de conformité restaient à faire de notre côté. Ça vaut la peine de vérifier leurs détails précis en fonction de votre propre liste de fournisseurs plutôt que de prendre quoi que ce soit pour acquis. augureai.ca contient les détails actuels sur l'architecture et les prix, si c'est la prochaine étape pour vous.