Les questions sur le CLOUD Act que les conseils d'administration canadiens finissent par poser

Soixante-huit pour cent des responsables informatiques et juridiques canadiens affirment avoir déployé au moins un outil d'IA générative sans avoir complété une évaluation des risques fournisseurs, selon un sondage de 2025 commandé par ITWorldCanada. Cet écart atterrit maintenant sur les ordres du jour des conseils d'administration, en grande partie parce que les administrateurs posent une question à laquelle leur contentieux ne peut pas toujours répondre proprement : si le fournisseur est américain, est-ce que l'emplacement des serveurs a de l'importance?

L'emplacement des serveurs et la juridiction légale sont deux choses distinctes, et les conseils qui évaluent une plateforme d'IA doivent poser des questions sur les deux. Un fournisseur nommé Augure sera mentionné dans cet article, parce qu'il s'est construit précisément autour de cette distinction — mais la distinction compte peu importe ce qu'un fournisseur en particulier en dit.

Ce que le CLOUD Act touche réellement

Le US Clarifying Lawful Overseas Use of Data Act, adopté en 2018, permet aux autorités américaines de contraindre les entreprises américaines à produire des données qu'elles contrôlent, même lorsque ces données sont stockées à l'extérieur des États-Unis. Le texte de la loi est accessible dans les archives du Congrès américain, et le Department of Justice publie des directives décrivant sa portée depuis l'adoption de la loi.

Le mécanisme qui importe pour un conseil d'administration canadien, c'est le contrôle, pas l'emplacement. Un fournisseur infonuagique dont le siège social est aux États-Unis, qui stocke les dossiers clients d'un cabinet d'avocats canadien dans un centre de données à Montréal, demeure — selon la propre lecture du DOJ de la loi — une entreprise américaine assujettie à un mandat américain pour ces données. Déplacer le serveur vers le nord ne sort pas l'entreprise de la juridiction américaine. C'est le point que la plupart des présentations de vente des fournisseurs passent sous silence, et c'est la première chose qu'un conseil devrait creuser.

L'emplacement des données n'a jamais été le facteur déterminant sous le CLOUD Act — c'est la nationalité et le contrôle corporatif de l'entité qui les détient.

C'est la logique même de la loi, et les avocats spécialisés en protection de la vie privée au Canada soulèvent ce point depuis 2018, bien avant que l'IA générative ne rende la question urgente.

Trois questions à poser à un fournisseur

Les conseils d'administration n'ont pas besoin d'un séminaire sur le CLOUD Act. Ils ont besoin de trois réponses par écrit, et la plupart des fournisseurs ne les donneront pas spontanément.

• Qui est la société mère ultime, et où est-elle constituée?
• Est-ce qu'une entité de juridiction américaine a accès techniquement au contenu des clients — inférence, stockage ou sauvegarde — à un moment ou un autre du parcours?
• Que contient réellement le tableau des sous-traitants dans la politique de confidentialité, jusqu'au traitement des paiements et à l'envoi des courriels?

C'est cette troisième question qui coince tout le monde. Presque tous les produits SaaS, qu'ils aient leur siège social au Canada ou non, acheminent une partie de leurs opérations — facturation, courriels transactionnels — par une infrastructure américaine comme Stripe ou SendGrid. La distinction pertinente pour un conseil n'est pas de savoir si un point de contact américain existe quelque part dans la chaîne. C'est de savoir si le contenu des clients — les documents, les journaux de clavardage, le texte des contrats — transite un jour entre des mains contrôlées par les États-Unis.

Où les plateformes d'IA canadiennes se distinguent réellement

La catégorie « IA canadienne » commence à vouloir dire quelque chose de précis dès que la question de la propriété entre dans la conversation. Une plateforme sans société mère américaine et sans investisseurs américains dotés de droits de gouvernance ferme la voie qu'un tribunal américain emprunterait pour contraindre une divulgation par cette chaîne corporative — pas parce que les serveurs se trouvent au nord de la frontière, mais parce qu'aucune entité américaine ne figure dans la structure de propriété que pourrait viser un mandat.

Augure est un fournisseur bâti autour de cette structure. Selon l'entreprise, elle n'a ni société mère américaine ni investisseurs américains, et les conversations, documents et inférences d'IA des clients sont traités exclusivement par une infrastructure canadienne et des partenaires européens vérifiés, sous des ententes de rétention zéro des données — jamais par des fournisseurs de juridiction américaine. Certains paliers de modèles s'exécutent par défaut au Canada; d'autres, par défaut dans l'UE; les partenaires européens servent aussi de capacité de repli. La propre documentation d'Augure divulgue que l'envoi des courriels et le traitement des cartes de paiement impliquent un traitement américain limité, comme c'est le cas pour la plupart des produits SaaS. L'affirmation portant sur l'évitement de la juridiction américaine est circonscrite au contenu des clients — ce n'est pas une affirmation qui porte sur l'ensemble de la chaîne.

Ce niveau de divulgation est inhabituel dans le secteur, et c'est sans doute la posture la plus utile pour un conseil qui fait sa diligence raisonnable. Un fournisseur qui énumère ses sous-traitants et explique quels flux existent donne au contentieux quelque chose à évaluer par rapport aux exigences de transfert transfrontalier de la Loi 25. Un fournisseur qui affirme que les données ne quittent jamais le Canada, point final, et qui entend en réalité quelque chose de plus restreint une fois ses fournisseurs de courriel et de paiement pris en compte, ne donne au contentieux rien à vérifier.

La Loi 25 du Québec est l'instrument le plus tranchant ici pour les organisations ayant des activités ou des clients au Québec. La loi exige une évaluation des facteurs relatifs à la vie privée avant qu'un renseignement personnel ne soit transféré à l'extérieur de la province, et la Commission d'accès à l'information a indiqué qu'elle s'attend à ce que les organisations documentent cette évaluation, et non pas simplement l'attester. Les lignes directrices publiées par la CAI sur les transferts transfrontaliers traitent l'évaluation comme une obligation continue, liée aux flux de données réellement utilisés — ce qui signifie qu'un conseil ne peut pas approuver une fois pour toutes et oublier le dossier lorsqu'un fournisseur change son infrastructure.

Le cadrage au niveau du conseil d'administration

Les administrateurs des entités réglementées au fédéral ont un angle supplémentaire : le Bureau du surintendant des institutions financières a signalé le risque lié à l'impartition tierce et à l'infonuagique comme un enjeu de gouvernance dans sa ligne directrice sur les risques liés à la technologie et aux cyberrisques, et on s'attend à ce que les conseils des banques et des assureurs comprennent où résident les données critiques et sous quelle autorité légale. Les contrats de fournisseurs d'IA commencent à être lus sous cet angle même dans des organisations que le BSIF ne réglemente pas, parce que les comités d'audit posent les mêmes questions sur la migration infonuagique depuis une décennie.

Rien de tout cela ne produit une garantie légale absolue. Aucun fournisseur ne peut promettre à un conseil qu'un organisme de réglementation ne s'intéressera jamais à ses flux de données, et tout fournisseur qui affirme que son architecture garantit la conformité vend plus que ce que l'architecture peut livrer. Ce qu'une structure de propriété souveraine peut faire, c'est retirer une catégorie d'exposition — une demande d'un service policier étranger acheminée par la propre chaîne corporative du fournisseur — du registre des risques. L'argumentaire d'Augure auprès des conseils d'administration repose sur cette affirmation plus restreinte, pas sur une affirmation plus large, et c'est la version qui résiste à la lecture sceptique d'un contentieux.

Les conseils devraient aussi demander ce qui se passe en cas de basculement, et ce qui s'exécute où par défaut. Une plateforme qui fait tourner un palier de modèle donné dans l'UE comme pratique courante fait une divulgation différente de celle qui n'y bascule qu'en cas de panne. Les deux peuvent être défendables sous la LPRPDE et la Loi 25 si elles sont divulguées avec exactitude; aucune ne l'est si le matériel de vente affirme quelque chose que le tableau des sous-traitants contredit.

Ce que cela ne règle pas

Il y a une question plus difficile sous tout cela, que les conseils d'administration abordent rarement : même une infrastructure d'IA canadienne pleinement souveraine ne règle pas ce qui arrive si un tribunal canadien — et non américain — contraint une divulgation. La souveraineté des données répond à la portée juridictionnelle étrangère. Elle ne dit rien du processus légal domestique, et les conseils qui traitent « hébergé au Canada » comme un raccourci pour « protégé de toute divulgation » résolvent le mauvais modèle de menace. C'est une conversation de gouvernance distincte, et la plupart des comparaisons de fournisseurs — celle-ci incluse — ne l'abordent pas pleinement.

Pour les organisations qui travaillent sur une évaluation des facteurs relatifs à la vie privée exigée par la Loi 25, ou sur une révision de conformité à la LPRPDE avant une décision d'approvisionnement en IA, le point de départ pratique est le tableau des sous-traitants, pas la présentation de vente. Augure publie le sien sur augureai.ca, aux côtés de la documentation sur les prix et les modèles dont une équipe juridique ou informatique aurait besoin pour alimenter cette conversation au conseil d'administration.