Claude vs ChatGPT vs IA canadienne : les serveurs ne suffisent pas

Les organisations canadiennes qui comparent Claude, ChatGPT et une plateforme d'IA canadienne se posent souvent la mauvaise première question. Les comparaisons de fonctionnalités comptent moins que la juridiction. Claude (Anthropic) et ChatGPT (OpenAI) sont tous deux des plateformes américaines assujetties aux lois américaines sur les données, y compris le CLOUD Act, qui peut forcer les entreprises américaines à remettre des données aux autorités américaines, peu importe où ces données sont stockées. Pour les organisations des secteurs réglementés, ce seul fait détermine la majeure partie de ce qui suit en vertu de la LPRPDE, de la Loi 25 et des règles sectorielles sur la protection de la vie privée.

Claude vs ChatGPT : la réalité de la conformité des plateformes d'IA américaines

Claude et ChatGPT fonctionnent selon des cadres juridiques fondamentalement différents de ce qu'exigent les organisations canadiennes. Les deux plateformes appartiennent à des sociétés américaines — Anthropic et OpenAI, respectivement — ce qui les rend assujetties aux lois fédérales américaines d'accès aux données, peu importe où se trouvent leurs serveurs.

En vertu du principe 4.1.3 de la LPRPDE, les organisations doivent assurer une protection adéquate lors du transfert de renseignements personnels à l'extérieur du Canada. Le CLOUD Act crée un conflit direct avec cette exigence, puisqu'il donne aux autorités américaines une portée extraterritoriale sur toute donnée contrôlée par des entreprises américaines, même lorsque cette donnée est stockée sur des serveurs canadiens.

« Les dispositions extraterritoriales du CLOUD Act signifient que les données canadiennes traitées par des plateformes d'IA appartenant à des Américains demeurent assujetties aux demandes de communication judiciaire et de sécurité nationale américaines, peu importe où se trouvent les serveurs. Cela crée des conflits directs avec le principe de responsabilité de la LPRPDE. »

La Loi 25 du Québec va plus loin. L'article 17 exige que les transferts de renseignements personnels hors Québec assurent un niveau de protection adéquat, et l'article 63.1 exige un consentement explicite pour les transferts internationaux. Les pénalités représentent de l'argent bien réel : jusqu'à 4 % du chiffre d'affaires mondial ou 25 000 000 $ CA en vertu de l'article 93 pour les infractions les plus graves.

Ce ne sont pas des risques abstraits pour tous les secteurs. Les organisations de la santé assujetties aux lois provinciales sur les renseignements de santé, les institutions financières sous surveillance du BSIF, et les entités gouvernementales avec des cotes de sécurité font toutes face à des restrictions précises sur les flux transfrontaliers de données — des restrictions qu'un clavardeur appartenant à des Américains ne peut simplement contourner en ajoutant un centre de données canadien.

Pourquoi les serveurs canadiens seuls ne règlent pas la conformité en matière de résidence des données

Bien des organisations présument que choisir une plateforme avec des centres de données canadiens règle leur problème de conformité. Ce n'est pas le cas. Cette présomption fait fi de la distinction entre la résidence des données et la souveraineté des données.

La résidence des données signifie que votre information se trouve sur des serveurs physiquement situés au Canada.

La souveraineté des données signifie que votre information est contrôlée par une entité canadienne fonctionnant en vertu du droit canadien, libre de toute obligation légale étrangère pouvant primer sur les protections locales. Claude et ChatGPT peuvent tous deux offrir des emplacements de serveurs canadiens, mais aucun ne peut offrir une véritable souveraineté des données, puisqu'Anthropic et OpenAI demeurent des entreprises américaines avec des obligations légales américaines, peu importe où elles stockent leurs données.

Le Commissariat à la protection de la vie privée du Canada a été constant sur ce point dans ses lignes directrices sur les transferts internationaux de données : le cadre juridique régissant l'organisation destinataire est un facteur clé pour déterminer l'adéquation en vertu du principe 4.1.3 de la LPRPDE, et non seulement la géographie du stockage.

« La résidence canadienne des données sans souveraineté juridique canadienne crée un écart de conformité qui expose les organisations à des risques réglementaires tant en vertu des exigences fédérales de la LPRPDE que de la Loi 25 du Québec. Le stockage géographique seul ne peut satisfaire aux exigences d'adéquation lorsque l'entité qui exerce le contrôle demeure assujettie à des obligations légales étrangères contradictoires. »

Prenons un exemple concret. Une organisation de santé québécoise utilise les serveurs canadiens de ChatGPT pour traiter les demandes de patients. Même avec un stockage canadien, l'organisation demeure exposée en vertu de l'article 17 de la Loi 25, parce que les obligations légales américaines d'OpenAI peuvent primer sur les protections de la vie privée du Québec, peu importe l'emplacement des serveurs. L'emplacement du stockage n'a jamais été la véritable variable en jeu.

Les organisations qui traitent déjà des questions transfrontalières similaires dans le cadre de déploiements d'IA pharmaceutique ou d'approvisionnement gouvernemental en IA se heurtent souvent au même mur : la question de l'emplacement des serveurs se règle rapidement, et c'est la question de la propriété qui s'avère la plus difficile.

Ce qu'exige vraiment une plateforme d'IA souveraine canadienne

La véritable souveraineté en IA exige plus que des serveurs canadiens ou une filiale canadienne greffée à une société mère américaine. Elle exige une plateforme conçue précisément pour l'environnement réglementaire canadien, détenue et exploitée par une entité canadienne sans aucune obligation légale étrangère rattachée au contenu des clients.

Augure incarne cette approche. L'entreprise est détenue à 100 % par des intérêts canadiens, ne compte aucun investisseur américain, et le contenu des clients n'est jamais traité par des fournisseurs relevant de la juridiction américaine — de sorte que la portée du CLOUD Act sur les fournisseurs contrôlés par des Américains ne s'y applique pas. La plateforme est conçue pour les organisations canadiennes dès le départ, avec la conformité à la LPRPDE, à la Loi 25 et aux lignes directrices du Centre canadien pour la cybersécurité intégrée à l'architecture même, plutôt qu'ajoutée par-dessus.

Les détails techniques découlent de ce choix de conception : les données des clients sont stockées au Canada, le traitement de l'IA fonctionne sur une infrastructure canadienne et avec des partenaires européens vérifiés en vertu d'ententes de zéro conservation de données, et le cadre juridique régissant la plateforme elle-même est canadien de bout en bout.

Cela s'étend aux modèles eux-mêmes. Claude et ChatGPT sont entraînés principalement sur la jurisprudence et les cadres réglementaires américains. Une plateforme souveraine canadienne peut plutôt intégrer le droit canadien, la terminologie juridique française et le système de droit civil distinct du Québec directement dans l'entraînement et les résultats.

Pour les organisations québécoises, cette différence est concrète. Cela signifie une IA qui comprend le Code civil, la terminologie juridique française et les exigences d'évaluation des facteurs relatifs à la vie privée de l'article 93 de la Loi 25 comme des considérations de premier plan, et non comme un ajout après-coup d'une plateforme anglophone pour un marché régional.

Considérations de conformité propres à chaque secteur

Différents secteurs canadiens portent différents niveaux d'exposition réglementaire lorsqu'ils adoptent des plateformes d'IA américaines, et ces différences méritent d'être nommées individuellement.

Les organisations de la santé fonctionnent en vertu de lois provinciales sur les renseignements de santé comme la LPRPS de l'Ontario et la HIA de l'Alberta. Ces lois exigent généralement un consentement explicite pour les transferts internationaux et imposent des pénalités substantielles en cas d'infraction — l'article 53 de la LPRPS permet des amendes pouvant atteindre 200 000 $ CA pour les particuliers et 1 000 000 $ CA pour les organisations. Les équipes qui évaluent des outils dans ce domaine peuvent voir comment ces contraintes se manifestent concrètement dans notre revue des outils d'IA pour le travail réglementé en santé.

Les institutions financières sont assujetties à la ligne directrice B-13 du BSIF sur la gestion du risque lié aux technologies et aux cyberrisques, qui exige que les institutions comprennent et contrôlent le risque lié aux tiers. Utiliser une plateforme d'IA assujettie à des obligations légales étrangères est précisément le genre de risque opérationnel que cette ligne directrice s'attend à voir évalué et documenté, et non simplement présumé inexistant.

Les entités gouvernementales portent des restrictions supplémentaires encore. La directive du Secrétariat du Conseil du Trésor du Canada sur la prestation de services et le numérique exige que les institutions stockent l'information sensible au Canada et évaluent le risque pour la vie privée avant d'adopter des services infonuagiques, une exigence que les gouvernements provinciaux ont reprise dans leurs propres cadres, y compris les règles d'évaluation des facteurs relatifs à l'IA en Colombie-Britannique.

« Les règlements propres à certains secteurs imposent souvent des exigences plus strictes que les lois générales sur la protection de la vie privée, ce qui rend les plateformes d'IA américaines inadéquates pour bien des organisations canadiennes, peu importe leurs prétentions générales en matière de conformité. »

Les cabinets de services professionnels — avocats, comptables, consultants — font face à des obligations de déontologie imposées par leurs ordres professionnels provinciaux qui peuvent entrer en conflit avec l'utilisation d'une plateforme incapable de garantir la confidentialité des clients en vertu du droit canadien. Les établissements d'enseignement font face à un ensemble parallèle de questions, abordées dans notre survol des outils d'IA pour le travail réglementé en éducation.

Faire le bon choix pour votre organisation

Le cadre décisionnel devrait débuter avec les exigences réglementaires, et non les fonctionnalités des plateformes. Claude et ChatGPT offrent tous deux des capacités sophistiquées. La capacité n'a aucune importance si son utilisation crée une infraction à la conformité que votre organisation devra divulguer plus tard.

Commencez par cerner vos obligations réglementaires précises. Les organisations assujetties à la LPRPDE doivent évaluer si une plateforme américaine répond à leurs obligations de responsabilité en vertu du principe 4.1. Les organisations québécoises doivent évaluer séparément les exigences de transfert de l'article 17 de la Loi 25 et les obligations de consentement de l'article 63.1 — ce sont des tests distincts, et réussir l'un ne signifie pas avoir réussi l'autre.

Considérez ensuite les exigences propres à chaque secteur. La santé, la finance, le gouvernement et les services professionnels portent chacun des restrictions supplémentaires qui peuvent rendre une plateforme américaine inadéquate, peu importe sa force technique.

Ensuite, soyez honnête quant à votre tolérance au risque. Certaines organisations décideront que le risque de conformité d'une plateforme américaine est acceptable compte tenu de leurs besoins d'affaires. D'autres, particulièrement dans les secteurs réglementés ou celles qui traitent des renseignements personnels sensibles, concluront que seule une plateforme canadienne véritablement souveraine offre une protection adéquate.

L'émergence de plateformes d'IA souveraines canadiennes offre aux organisations qui ont besoin à la fois d'une véritable capacité en IA et d'une pleine conformité canadienne une véritable solution de rechange, plutôt qu'un compromis entre les deux. Augure a été conçue précisément pour combler cet écart — propriété canadienne, cadre juridique canadien et conformité réglementaire canadienne intégrée au produit dès le départ plutôt qu'ajoutée après coup.

Pour les organisations prêtes à dépasser la question de l'emplacement des serveurs et à évaluer une véritable souveraineté des données, découvrez-en plus sur l'approche d'Augure en matière de conformité de l'IA canadienne et voyez comment elle se compare aux présomptions intégrées aux plateformes américaines.