Liste de vérification IA canadienne : comment choisir une infrastructure IA à l'abri du CLOUD Act

Vous voulez un outil d'IA qui ne place les données de vos clients nulle part où un tribunal américain peut les atteindre. C'est toute la liste de vérification. Tout ce qui suit, c'est comment vérifier ça.

Le CLOUD Act américain permet aux autorités des États-Unis de forcer une entreprise américaine à remettre des données, même des données stockées hors des États-Unis, si cette entreprise les contrôle. La question n'est donc pas « où sont les serveurs ». C'est « qui est l'entreprise, et quel gouvernement peut lui donner des ordres ».

Qu'est-ce qui rend vraiment un outil d'IA à l'abri du CLOUD Act?

Trois choses, et il vous faut les trois.

L'entreprise n'a pas de société mère américaine ni d'investisseurs américains avec des droits de contrôle. L'infrastructure — les serveurs qui font réellement l'inférence — se trouve hors de la juridiction américaine. Et vos données ne sont jamais déchiffrées pour être traitées par quelqu'un qui répond à un tribunal américain.

Il en manque une, et les deux autres n'aident pas vraiment. Un revendeur canadien qui fonctionne sur une infrastructure infonuagique américaine reste, en dessous, une chaîne contrôlée par les États-Unis. Le chiffrement au repos a l'air rassurant sur une page de vente, mais l'IA doit déchiffrer vos documents pour les lire. C'est à ce moment-là que le CLOUD Act devient pertinent, pas avant.

Augure est canadien, sans société mère américaine ni investisseurs américains. Les conversations, les documents et l'inférence IA de vos clients ne sont jamais traités par des fournisseurs relevant de la juridiction américaine, donc la portée du CLOUD Act sur les fournisseurs contrôlés par les États-Unis ne s'étend pas à ce contenu. C'est une affirmation précise, et c'est celle qui compte : ça concerne votre contenu spécifiquement, pas une promesse sur chaque fil électrique du bâtiment.

Un lecteur sceptique pourrait demander : si aucun fournisseur ne peut promettre une conformité totale, pourquoi vérifier tout ça? Parce que la liste de vérification ne vous achète pas une garantie. Elle vous achète une réponse défendable, le genre que vous pouvez montrer à un régulateur ou à un client nerveux, qui dit que vous avez regardé où vont les données et que vous avez choisi en connaissance de cause. C'est une position bien différente de « on n'a pas vérifié ».

Où vont vraiment mes données?

Posez la question directement. Tout fournisseur qui vaut la peine devrait répondre en un paragraphe, pas dans une entente de sous-traitants de quarante pages qu'il faut un avocat pour lire.

Chez Augure, les données des clients sont stockées au Canada. L'inférence IA fonctionne sur une infrastructure canadienne pour certains niveaux de modèles, et chez des partenaires européens vérifiés sous des ententes de rétention zéro pour d'autres, y compris en cas de basculement. Aucun de ces chemins ne touche à une infrastructure américaine. Deux choses passent quand même par des systèmes américains : le traitement des paiements par carte et l'envoi de courriels, parce que c'est comme ça que Visa et Gmail fonctionnent presque partout. Les deux sont documentés dans la politique de confidentialité, les deux sont limités, et ni l'un ni l'autre ne touche à vos conversations ou à vos documents.

Ce dernier point compte si vous faites votre propre analyse des transferts sous la Loi 25 du Québec. La loi vous demande de savoir quels flux sortent de la province et pourquoi. Dire « on n'utilise rien d'américain » alors que vos factures passent par un réseau de cartes américain, ce n'est pas juste imprécis. C'est le genre de détail qui ressort si un régulateur pose la question un jour.

Voici la partie que les gens sautent : en quoi consiste vraiment cette analyse? Vous listez chaque fournisseur qui touche à des données personnelles, vous notez dans quel pays chacun traite ou stocke ces données, et vous écrivez pourquoi le transfert a lieu — facturation, hébergement, courriel, soutien technique. Pour une entreprise de neuf personnes, ça prend habituellement une page et un après-midi, pas un mandat juridique. Le but n'est pas d'avoir un document parfait. C'est d'avoir quelque chose à montrer si on vous demande un jour pourquoi les données d'un client ont traversé une frontière.

Est-ce que « IA canadienne » veut vraiment dire quelque chose, ou c'est juste du marketing?

C'est vraiment différent, mais il faut vérifier l'affirmation précise, pas l'étiquette.

Une plateforme d'IA canadienne veut dire que l'entreprise est canadienne, qu'elle opère sous la juridiction canadienne, et qu'elle n'a pas de comptes à rendre à une société mère étrangère pour la façon dont elle traite vos données. C'est une distinction légale réelle, pas un choix d'image de marque. Les outils d'IA canadiens conçus pour la Loi 25 du Québec et la loi fédérale sur la vie privée — appelée LPRPDE — ont aussi tendance à gérer le langage de consentement et les règles de rétention comme les régulateurs canadiens s'y attendent réellement, parce que c'est le marché pour lequel ils ont été conçus.

Là où ça devient du marketing : les fournisseurs qui disent « hébergé au Canada » tout en fonctionnant sur une infrastructure infonuagique d'Amazon ou de Microsoft contrôlée par les États-Unis. L'emplacement de l'hébergement et la juridiction légale, ce n'est pas la même chose. Un serveur à Toronto appartenant à une entreprise dont le siège est à Seattle reste, légalement, accessible par le biais de cette propriété américaine. Demandez qui possède l'entreprise, pas juste où se trouve le serveur.

Qu'est-ce que je devrais vraiment demander à un fournisseur avant de signer?

Une seule liste, parce que c'est la partie que vous allez vraiment utiliser.

• Est-ce qu'une partie de votre inférence IA fonctionne sur une infrastructure appartenant à des intérêts américains, même temporairement?
• Avez-vous une société mère américaine, ou des investisseurs américains avec des droits sur le conseil d'administration ou l'accès aux données?
• Où exactement sont stockées les données de vos clients, et où sont-elles traitées — pas « dans le nuage », un pays précis?
• Est-ce que les données des clients sont un jour utilisées pour entraîner vos modèles?
• Qu'arrive-t-il à mes données si votre entreprise est achetée par une entreprise américaine l'an prochain?

Cette dernière question, on la saute constamment, et c'est celle qui vieillit le plus mal. La propriété change. Un outil d'IA canadien acheté demain par une entreprise américaine hérite de la juridiction américaine le jour où la transaction se conclut, peu importe où restent les serveurs. Si ça arrive, les données déjà collectées ne deviennent pas rétroactivement exemptes juste parce qu'elles ont été recueillies avant. L'exposition s'applique à partir de l'acquisition, et c'est exactement pourquoi il vaut la peine d'obtenir la réponse à cette question par écrit maintenant, tant que ça ne coûte rien de la poser.

Combien ça me coûte, vraiment?

Rien, pour commencer à vérifier. Le forfait gratuit d'Augure vous donne 50 messages par jour, cinq documents et une recherche web de base, sans carte requise. Les forfaits payants commencent à 20 $/mois pour des messages illimités, des modèles prioritaires et une mémoire persistante — Augure se souvient du contexte d'une session à l'autre, ce que le forfait gratuit ne fait pas. Un forfait à 80 $/mois ajoute des agents de recherche approfondie et le téléversement de fichiers jusqu'à 50 Mo, et il existe un forfait entreprise personnalisé avec authentification unique (SSO) et soutien dédié pour les grandes équipes.

Pour les cabinets d'avocats en particulier, Augure Legal gère la révision de contrats, le tri des accords de confidentialité et les vérifications de conformité à la Loi 25, à partir de 149 $/mois pour un praticien solo. C'est un produit plus ciblé pour un besoin plus ciblé, et le prix reflète ça.

Comparez ça avec ce que coûte vraiment une fuite de données impliquant une exposition à la juridiction américaine — révision juridique, avis aux clients, gestion de la réputation — et le montant mensuel ne semble plus être l'option coûteuse.

Quoi faire cette semaine

Sortez la politique de confidentialité de votre fournisseur d'IA actuel et trouvez la liste des sous-traitants. Si vous ne la trouvez pas en dix minutes, c'est déjà une réponse.

Posez à votre fournisseur les cinq questions ci-dessus, par écrit, et gardez la réponse. S'il ne peut pas dire clairement qui possède l'entreprise et où fonctionne l'inférence, c'est aussi une réponse, juste pas celle que vous voulez.

Essayez une plateforme d'IA canadienne sur quelque chose de réel cette semaine, pas une démo. Le forfait gratuit d'Augure est fait exactement pour ça : cinquante messages par jour, sans carte, sans engagement. Commencez sur augureai.ca.

D'où ça vient : Le CLOUD Act américain permet la divulgation forcée de données par des fournisseurs contrôlés par les États-Unis, peu importe où les données sont stockées. La Loi 25 du Québec exige que les entreprises évaluent les transferts de données personnelles hors de la province.