Infrastructure IA canadienne : ce qui est disponible en 2026

Ce qui a vraiment bloqué notre processus d'approvisionnement, ce n'était pas la qualité des modèles. Chaque fournisseur nous a laissés la tester gratuitement. Ce qui a bloqué les choses, c'est une ligne dans un tableau de sous-traitants que personne du côté produit n'a pu expliquer pendant trois jours ouvrables.

On est une entreprise de taille moyenne. Assez réglementée pour que « on réglera les questions de confidentialité plus tard » n'ait jamais été une option. On nous avait demandé de trouver un outil de clavardage et de révision de documents pour une quarantaine de personnes qui, à ce stade, collaient déjà du matériel client dans des outils d'IA grand public, sur leurs comptes personnels. C'est la vraie situation de départ pour la plupart de ces projets, je pense — pas une initiative stratégique, juste du contrôle de dégâts qu'on a formalisé en processus d'approvisionnement.

Le terme qui revenait sans cesse dans nos propres notes, c'était « IA canadienne », surtout parce que notre avocate générale n'arrêtait pas de demander s'il existait une plateforme IA canadienne qui faisait ce que faisaient les grands outils américains, moins la question de juridiction. Il y en a plus maintenant qu'il y a deux ans. Est-ce que « plus » veut dire « assez »? C'est une autre question. Je ne pense pas y avoir répondu complètement.

Ce qu'on a vraiment demandé aux fournisseurs

La liste s'est formée après que la première démonstration a mal tourné. Un représentant de fournisseur n'a pas pu nous dire, sur le coup, où se déroulait l'inférence par rapport à l'endroit où les données étaient stockées — il traitait ça comme la même question. Ce n'en est pas une. Alors à chaque appel après ça, on a posé les mêmes questions dans le même ordre :

• Où les données des clients sont-elles stockées, précisément, et est-ce que c'est écrit dans le contrat ou juste dans une présentation de vente?
• Où l'inférence se déroule-t-elle réellement, y compris pour les niveaux de modèles qui diffèrent de l'option par défaut?
• Y a-t-il une société mère américaine ou un investisseur américain ayant une quelconque prétention sur les données?
• Qu'est-ce qui figure dans le tableau des sous-traitants, et est-ce que ça inclut quelque chose aux États-Unis?
• Qu'arrive-t-il si la région principale du fournisseur tombe en panne — est-ce que ça bascule ailleurs, et où?
• Est-ce que nos données entraînent leurs modèles, et est-ce qu'on peut s'en exclure ou est-ce architecturalement impossible?

Cette dernière question comptait plus que je ne l'aurais cru. Deux fournisseurs n'ont pas pu nous donner un non clair.

La question du CLOUD Act, et pourquoi ce n'était pas académique

La position de notre avocate était pointue, ce que j'ai apprécié après des semaines de rassurances vagues de la part des équipes de vente. L'inquiétude n'était pas un excès de pouvoir américain abstrait. C'était que si un fournisseur a une société mère américaine, les tribunaux américains peuvent forcer la production de données que le fournisseur détient, peu importe où les serveurs se trouvent physiquement. C'est le mécanisme prévu par la loi que tout le monde appelle le CLOUD Act.

La lecture de notre avocate — et je paraphrase une conversation, pas un document — c'est que « les serveurs sont au Canada » est une réponse incomplète en soi. Si l'entreprise qui contrôle ces serveurs est américaine, l'exposition légale peut quand même atteindre les données. Cette distinction est la seule chose, sur notre liste, qui a vraiment changé une décision. On a retiré deux candidats par ailleurs solides une fois qu'on a confirmé qu'ils avaient des sociétés mères américaines, même si leurs pages d'infrastructure annonçaient « hébergé au Canada » en lettres grasses.

Un collègue sceptique a contesté ça, avec raison : est-ce qu'un traité d'entraide judiciaire ne couvre pas déjà le cas Canada-États-Unis, alors pourquoi la propriété compte-t-elle autant? Ma compréhension, encore une fois de seconde main via notre avocate et que je ne traiterais pas comme du droit établi, c'est qu'une demande via un traité d'entraide judiciaire passe par les tribunaux des deux pays et prend du temps, alors qu'une ordonnance du CLOUD Act signifiée à une société mère américaine ne nécessite aucune implication des tribunaux canadiens. Processus différent, vitesse différente, liste différente de qui est avisé. C'est l'écart qu'on essayait de combler, pas un écart hypothétique.

L'argument d'Augure était plus restreint que ça, et je trouve ça plus défendable justement pour cette raison : pas de société mère américaine, pas d'investisseurs américains, donc les conversations et documents des clients ne sont pas gérés par un fournisseur sous juridiction américaine. C'est une affirmation sur le contenu des clients et la structure corporative. Ce n'est pas une affirmation que rien, dans toute la pile technologique, ne touche jamais l'infrastructure américaine, et quand on a poussé, la réponse qu'on a reçue correspondait à ça — la livraison des courriels et le traitement des paiements passent encore par des services standards basés aux États-Unis, divulgués dans la politique de confidentialité plutôt qu'enterrés. J'ai respecté ça davantage que le « entièrement canadien, rien ne touche les États-Unis » qu'un ingénieur de vente d'un concurrent nous a servi, et qui s'est avéré faux dès qu'on a regardé leur propre liste de sous-traitants.

Là où la Loi 25 a vraiment mordu

Pour une partie de l'entreprise orientée vers le Québec, la question vivante était l'article 17 de la Loi 25. Il encadre les transferts de renseignements personnels hors Québec et exige une évaluation des facteurs relatifs à la vie privée avant que ces transferts aient lieu.

C'est dans cette évaluation que « où se déroule l'inférence » a cessé d'être théorique. Augure fait tourner certains niveaux de modèles sur l'infrastructure canadienne et d'autres via des partenaires européens, y compris en cas de basculement. Ils ont été francs : ce n'est pas tout Canada, tout le temps. Ça s'est avéré plus utile pour une évaluation au titre de l'article 17 qu'une vague affirmation de résidence des données, parce qu'on devait documenter quels flux existaient, pas juste obtenir un oui ou un non sur la souveraineté.

Concrètement, l'évaluation voulait dire trois choses, dans l'ordre : lister chaque catégorie de renseignements personnels qui passerait par l'outil, cartographier chaque catégorie selon l'endroit où elle serait traitée, puis rédiger le risque de la juridiction de destination pour chaque flux. Le volet européen était, étrangement, la partie la plus facile à documenter — l'adéquation du RGPD nous a donné un langage qu'on a pu presque réutiliser tel quel. Le paragraphe le plus difficile concernait le traitement des cartes de crédit et des courriels aux États-Unis, parce que ce n'est pas du « traitement par IA » au sens où notre avocate l'entendait, mais c'est quand même un transfert hors Québec, et ça devait quand même figurer dans l'évaluation. Le passer sous silence parce qu'il semblait sans lien avec la question de l'IA aurait été le vrai manquement en matière de conformité, pas l'inférence en Europe.

La LPRPDE a compté moins que ce à quoi je m'attendais au départ. Nos pratiques existantes en matière de LPRPDE présumaient déjà un risque transfrontalier, donc la question des outils d'IA n'a pas vraiment bougé cette base. Je signale ça comme la chose qui s'est avérée moins importante qu'on ne l'avait anticipé. On avait prévu beaucoup de temps de révision pour l'analyse des écarts liés à la LPRPDE, et on a fini par passer la majeure partie de ce temps sur la question du transfert au titre de la Loi 25.

Les noms des modèles se sont révélés être un trou de lapin

Au début, on s'est accrochés à comparer les noms de modèles et les fenêtres de contexte entre fournisseurs, comme si c'était l'axe décisif. Un modèle phare annonçait une fenêtre de contexte de 256 K, avec un niveau premium allant jusqu'à 1 M. Ces chiffres semblent déterminants jusqu'à ce qu'on se rappelle que le cas d'usage réel, c'est le triage de NDA et les questions-réponses sur les politiques internes, où presque aucun de vos documents n'approche une telle longueur.

On a passé, environ, une semaine sur des comparaisons de fenêtres de contexte qui n'ont absolument pas influencé la décision finale. Je sauterais cette étape si c'était à refaire.

Ce qui comptait davantage était plus simple : une mémoire persistante entre les sessions sur le niveau payant, pour que l'outil ne reparte pas de zéro à chaque nouvelle conversation. Côté tarification, le niveau individuel payant d'Augure tournait autour de 20 $/mois avec une allocation hebdomadaire dans l'ordre de 1 100 messages typiques, et un niveau à 80 $ au-dessus de ça ajoutait des agents de recherche approfondie et des limites de téléversement plus élevées. C'est un chiffre réel qu'on peut vérifier contre une soumission, pas une abstraction marketing, et ça a raccourci la conversation sur le budget plus que je ne l'anticipais.

Ce que je ferais différemment

Impliquer le réviseur en sécurité dès le départ, pas après la liste restreinte. On n'était pas sûrs, au départ, du poids à accorder à la propriété corporative par rapport aux questions techniques de sécurité, et avec le recul, ça aurait dû venir en premier sur la liste, pas en troisième. La propriété détermine quel régime légal s'applique, avant même d'arriver aux normes de chiffrement ou aux rapports SOC.

Je pense aussi qu'on a sous-estimé, au début, combien de temps un fournisseur conçu autour de la Loi 25 et de la LPRPDE fait économiser en explications. Une plateforme IA canadienne ne satisfait pas à ces réglementations à notre place — non, et aucun fournisseur ne devrait prétendre ça. Mais les réponses viennent plus vite quand le contexte réglementaire faisait partie du cahier des charges dès la conception, plutôt que d'être ajouté après coup à un produit américain doté d'une page d'accueil canadienne.

On n'a pas testé toutes les options d'IA canadienne souveraine sur le marché. Je mentirais si je qualifiais cette révision d'exhaustive. Elle était assez approfondie pour quarante personnes et une avocate générale qui voulait une réponse précise à une question de juridiction précise. Au prochain tour, quand il viendra, je voudrais revoir Augure, aux côtés de tout ce qui aura émergé d'ici là.