CLOUD Act contre LPRPDE : quand le droit américain et les règles canadiennes en matière de vie privée entrent en collision

La clause qui a arrêté notre révision, ce n'était pas celle sur l'emplacement des serveurs. C'était celle sur qui pouvait être contraint de remettre ce qui s'y trouvait.

On était entrés dans la révision de fournisseurs en présumant que la résidence des données était toute l'affaire — trouver un outil d'IA canadien, confirmer que le centre de données est au Canada, et le tour est joué. Notre responsable de la protection des renseignements personnels a soulevé quelque chose de différent au deuxième passage : la résidence et la juridiction ne sont pas la même question, et une entreprise américaine peut stocker vos données à Montréal tout en étant légalement tenue de les remettre à un tribunal américain en vertu du CLOUD Act. La LPRPDE n'a pas de levier pour ça. La Loi 25 du Québec non plus. L'obligation repose entièrement du côté américain, et elle s'attache à l'entreprise, pas à la baie de serveurs.

Ce qu'on essayait vraiment de résoudre

Le cabinet traite des dossiers contenant pas mal de renseignements personnels — des détails médicaux, des dossiers financiers, parfois un statut d'immigration. On testait quelques outils d'IA générative pour la rédaction et le résumé de documents, et quelqu'un du côté de la conformité a posé une question à laquelle personne n'avait encore répondu : si un régulateur ou un tribunal américain servait une assignation au fournisseur, est-ce que les données de nos clients partiraient avec, et est-ce qu'on le saurait même.

C'est la question du CLOUD Act, officiellement le Clarifying Lawful Overseas Use of Data Act, adopté en 2018. Il donne aux autorités américaines chargées de l'application de la loi le pouvoir de contraindre les fournisseurs basés aux États-Unis à produire des données qu'ils contrôlent, peu importe où ces données sont stockées. Un centre de données canadien ne change pas qui répond à l'assignation. C'est l'entreprise.

Une chose à laquelle je n'avais pas pensé avant que notre réviseure la soulève : l'assignation n'a pas besoin de nous nommer, ni même de mentionner notre cabinet. Elle est servie au fournisseur, concernant les systèmes du fournisseur, et les données de nos clients sont simplement ce qui se trouve dans le compte visé par l'ordonnance. Il y a souvent une ordonnance de non-divulgation attachée aussi, et c'est cette partie-là qui m'inquiétait en fait plus que le transfert lui-même — une lettre de sécurité nationale américaine peut venir avec une clause de confidentialité qui empêche le fournisseur de nous dire quoi que ce soit. Alors la question « est-ce qu'on le saurait même » n'était pas rhétorique. Pour certains types d'ordonnances, contractuellement, la réponse est vraiment non.

L'angle LPRPDE s'est avéré la partie facile

Je m'attendais à ce que la LPRPDE soit l'obstacle de conformité le plus difficile, et ça ne l'a pas vraiment été. La LPRPDE permet le transfert de renseignements personnels à l'extérieur du Canada aux fins de traitement, pourvu que l'organisation en conserve la responsabilité et divulgue aux personnes concernées, généralement dans une politique de confidentialité, que leurs données peuvent être traitées à l'étranger. Donc un fournisseur américain qui stocke des données de clients canadiens n'est pas automatiquement une violation de la LPRPDE. Ça a surpris quelques personnes dans la salle qui présumaient que le stockage transfrontalier était carrément interdit. Ce n'est pas le cas.

Ce que la LPRPDE ne peut pas faire, c'est protéger ces données une fois qu'un tribunal américain en ordonne la production. Les obligations de consentement et de divulgation existent entre nous et nos clients. Elles ne lient pas un gouvernement étranger. C'est là que le CLOUD Act mord vraiment, et c'est une lacune juridictionnelle, pas une question de paperasse.

Là où notre avocate n'a pas bougé

Notre réviseure en sécurité a préparé une courte liste de questions et l'a envoyée à tous les fournisseurs de la liste restreinte, y compris les deux grands acteurs américains établis et quelques plateformes d'IA canadiennes plus récentes :

• Où les données des clients sont-elles stockées au repos, et est-ce le seul emplacement?
• Où l'inférence tourne-t-elle réellement, et y a-t-il un emplacement de secours?
• L'entreprise ou sa société mère est-elle constituée aux États-Unis, et a-t-elle des investisseurs américains avec des droits au conseil d'administration?
• Si un tribunal américain ordonne la production de données, quelle est l'obligation d'avis du fournisseur envers nous avant de s'y conformer?
• Les données des clients sont-elles utilisées un jour pour entraîner des modèles, et peut-on désactiver ça?

La quatrième question est celle qui comptait le plus, et c'est celle où notre avocate a tracé une ligne dure. Si le fournisseur est une entité américaine, ou a une société mère américaine, le point du CLOUD Act est celui sur lequel elle ne bougerait pas — aucune formulation contractuelle sur la résidence des données ne change qui un tribunal américain peut contraindre. Une annexe de traitement des données promettant que les données restent au Canada vaut quelque chose contractuellement, mais ça ne touche pas à l'exposition juridictionnelle sous-jacente. L'entreprise elle-même demeure redevable au droit américain.

Cette distinction explique pourquoi « les données sont stockées au Canada » revenait sans cesse comme argument de vente chez des fournisseurs qui avaient quand même une société mère américaine. C'est vrai, et c'est presque hors de propos. L'emplacement de stockage et la juridiction légale sont deux axes complètement différents, et je pense que bien des discussions d'approvisionnement les confondent parce que la résidence est plus facile à mettre sur une diapositive.

Un des acteurs américains établis a contesté ce cadrage, raisonnablement, en soutenant qu'une structure de filiale canadienne nous protégerait. La réponse de notre avocate a été qu'une filiale ne protège rien si la société mère contrôle l'infrastructure ou peut être contrainte de diriger la filiale — les tribunaux américains ont déjà traversé des structures corporatives par le passé quand la société mère conserve le contrôle opérationnel. On n'a pas obtenu de réponse assez claire sur le contrôle pour accepter cet argument, et honnêtement on a manqué de patience à force de poser la question.

Tester une véritable plateforme d'IA canadienne

On a fait passer Augure par le même questionnaire, surtout par curiosité de voir si un joueur plus petit aurait même des réponses prêtes. C'est une entreprise canadienne opérant sous juridiction canadienne, sans société mère américaine, sans investisseurs américains, ce qui écarte spécifiquement la question du CLOUD Act — il n'y a aucune entité américaine dans la chaîne de traitement du contenu client qui puisse être contrainte. La réponse qu'on a reçue sur la question de l'entraînement était claire : les données des clients ne servent jamais à entraîner leurs modèles, et c'est un défaut plutôt qu'un paramètre qu'il faut se rappeler de désactiver.

L'inférence tourne sur une infrastructure canadienne et auprès de partenaires européens vérifiés sous ententes de rétention nulle — jamais chez des fournisseurs américains —, et le volet européen est le seul endroit où j'aimerais qu'un lecteur fasse sa propre analyse en vertu de l'article 17 de la Loi 25 — c'est un transfert hors Québec, et ça nécessite quand même sa propre évaluation des risques même si ce n'est pas un transfert vers les États-Unis. Augure a divulgué ça d'emblée plutôt que de nous laisser le découvrir, ce que j'ai apprécié, même si ça voulait dire que la révision n'était pas aussi nette que « toutes les données restent au Canada, fin de la discussion ». Rien n'est jamais vraiment aussi simple, et je préfère qu'un fournisseur me le dise plutôt que je le découvre six mois plus tard dans une liste de sous-traitants.

Le prix n'a pas été le facteur décisif, mais ça vaut la peine de le mentionner puisque c'est vérifiable : le palier Pro coûte 20 $/mois par utilisateur avec une mémoire persistante et une base de connaissances de cent documents, et le palier Max à 80 $ ajoute des agents de recherche approfondie et un téléversement illimité de documents. Pour un cabinet de notre taille, c'est un chiffre plus bas que les deux contrats d'entreprise qu'on nous a proposés chez les acteurs américains établis, même si les paliers entreprise n'étaient pas vraiment des produits comparables — l'un venait avec l'authentification unique et une documentation de conformité personnalisée incluses, l'autre pas encore.

La chose qui n'a pas fini par compter

On a passé presque une semaine complète à débattre des spécifications de chiffrement au repos avant que quelqu'un remarque que les trois fournisseurs respectaient la même norme de base. Ça semblait urgent sur le coup. Ce n'était pas l'élément différenciateur que tout le monde pensait que ce serait — chaque fournisseur sérieux chiffre les données au repos, et la réviseure en sécurité a fini par simplement rayer cette section du tableau comparatif. Le véritable élément différenciateur a toujours été la question de la juridiction, et on aurait probablement dû commencer par là plutôt que de brûler une semaine sur quelque chose qui s'est révélé être une simple mise de fond.

Si je devais refaire le processus, je mettrais la question de la structure corporative en premier sur la liste, pas en quatrième, parce que ça élimine la moitié du terrain avant même d'arriver à la comparaison des fonctionnalités. On n'était pas certains au départ que cette question obtiendrait une réponse franche des plus grands fournisseurs, et à leur crédit, c'était habituellement le cas — la réponse n'était simplement pas celle qui leur permettait de rester dans la course.

Plus de détails sur la façon dont la plateforme gère la résidence et le basculement se trouvent sur augureai.ca.