Le vrai coût de la conformité en IA : ce que votre facture de logiciel ne vous dit pas

Le vrai coût de la conformité en IA : ce que votre facture de logiciel ne vous dit pas

Votre abonnement IA coûte 20 $ par mois. Correct. Mais si cet outil stocke les données de vos clients sur un serveur américain sans protection adéquate de la vie privée, et que quelqu'un le découvre, le vrai coût dépasse largement 20 $. La conformité n'est pas une ligne à part dans votre budget IA. C'est le plus gros chiffre caché dedans.

La plupart des propriétaires de petites entreprises évaluent l'IA comme ils évaluent une agrafeuse. L'option la moins chère qui fait la job, terminé. Ça marche pour une agrafeuse. Ça ne marche pas pour un outil qui touche aux noms de clients, aux courriels, aux notes de santé ou aux clauses de contrats, parce que tout ça vient avec un poids légal, que vous l'ayez demandé ou non.

Qu'est-ce que le « risque de conformité » veut dire en dollars, concrètement?

La loi québécoise sur la protection des renseignements personnels permet aux régulateurs d'imposer une amende allant jusqu'à 10 M$, ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé, pour les infractions graves. La plupart des petites entreprises ne verront jamais ce chiffre-là. Mais les pénalités plus petites, les coûts liés aux avis de violation et les clients qui partent, ça, c'est fréquent, et ça s'additionne vite.

Voici le calcul que personne ne fait avant de s'abonner à un clavardeur à 10 $ par mois : une fuite touchant même 200 dossiers clients peut coûter des milliers de dollars en lettres d'avis, en offres de surveillance de crédit et en temps du personnel à démêler ce qui s'est passé. Et ça, c'est avant même que quelqu'un du régulateur appelle.

Un avis de violation, ce n'est pas un simple courriel qu'on envoie une fois. Il faut déterminer quels dossiers ont été exposés, informer chaque personne touchée de ce qui s'est passé et de ce que vous faites pour y remédier, garder une trace écrite de l'incident pour le régulateur, et, dans certains cas, aviser le régulateur lui-même dans un délai précis. Pour une entreprise de neuf personnes, c'est probablement une semaine complète du temps de quelqu'un, retiré de ce qu'il ou elle était censé faire. Si vous n'avez pas de modèle prêt avant que la fuite arrive, vous en rédigez un sous pression, ce qui prend plus de temps et ouvre la porte aux erreurs.

Les outils eux-mêmes sont bon marché. L'exposition qu'ils créent ne l'est pas.

Pourquoi les outils d'IA américains coûtent-ils plus cher que ce qu'indique la facture?

La plupart des outils d'IA populaires sont américains. Leurs serveurs sont aux États-Unis. Leurs sociétés mères répondent aux lois américaines, y compris le CLOUD Act, qui peut obliger des fournisseurs établis aux États-Unis à remettre des données qu'ils contrôlent, peu importe où ces données se trouvent physiquement.

Ça ne veut pas dire que chaque utilisation d'un outil américain enfreint la loi canadienne. Ça veut dire que vous ajoutez une variable que vous ne contrôlez pas entièrement à chaque échange que votre personnel a avec cet outil, échange qui touche vos clients. Si votre équipe colle le contrat d'un client dans un clavardeur américain pour le résumer, ce contrat se retrouve maintenant sur des serveurs accessibles selon les règles d'un autre pays.

Un lecteur sceptique pourrait dire : mes données sont déjà sur des serveurs américains via mon fournisseur de courriel, mon processeur de paiement, la moitié de mes logiciels. Pourquoi cibler l'outil d'IA en particulier? Bonne question. La différence, c'est ce que vous y mettez. Votre fournisseur de courriel stocke des messages que vous avez déjà rédigés avec soin. Un clavardeur d'IA, lui, vous invite à coller des données brutes et non filtrées de clients, des notes de santé, des détails financiers, n'importe quoi de rapide, parce que c'est littéralement à ça que sert l'outil. Le problème n'est pas l'infrastructure. C'est l'habitude que l'outil encourage.

Augure, une plateforme d'IA canadienne, n'a pas ce problème intégré de la même façon. Les outils qui stockent les données au Canada et qui gardent le contenu des clients hors de l'infrastructure américaine éliminent toute une catégorie de questions de votre révision de conformité. Vous devez quand même réfléchir à ce que vous mettez dans n'importe quel outil. Vous éliminez simplement l'inconnue transfrontalière pour ce contenu-là.

Qu'est-ce qu'une entreprise de neuf personnes doit vraiment faire ici?

Vous n'avez pas besoin d'un service de conformité. Vous avez besoin de trois choses : savoir quelles données vous mettez dans les outils d'IA, savoir où ces données s'en vont, et l'écrire quelque part où votre équipe peut le voir.

Commencez ici :

• Dressez la liste de tous les outils d'IA utilisés par votre équipe, même les gratuits que quelqu'un a adoptés sans demander la permission.
• Pour chacun, vérifiez la politique de confidentialité pour savoir où les données sont stockées et si elles servent à entraîner le modèle.
• Rédigez une règle d'une page : quelles données de clients peuvent aller dans les outils d'IA, lesquelles ne le peuvent pas (dossiers de santé, détails financiers, tout ce qui est sous entente de confidentialité), et à qui demander en cas de doute.

C'est tout. Pas besoin d'avocat pour cette première étape. Si votre entreprise traite des renseignements de santé, des données biométriques ou tout ce qui tombe dans les catégories plus strictes de la loi québécoise, c'est là que vous appelez quelqu'un.

Une plateforme d'IA canadienne, est-ce vraiment moins cher une fois qu'on compte le risque?

En général, oui. Augure est canadienne et l'offre gratuite comprend 50 messages par jour, cinq documents, sans carte requise. Le palier payant coûte 20 $ par mois par utilisateur, sans limite de messages et avec des modèles prioritaires. Comparez ça à empiler trois ou quatre abonnements américains que votre équipe utilise à peine, chacun avec sa propre politique de données que vous n'avez pas lue.

La vraie question, ce n'est pas ce que coûte votre outil d'IA. C'est ce qui arrive si les données qu'il contient se retrouvent ailleurs.

Augure stocke les données des clients au Canada, comme l'exigent les règles québécoises sur la protection des renseignements personnels. L'inférence tourne sur une infrastructure canadienne ou avec des partenaires européens vérifiés, sous contrats qui interdisent la conservation des données, et le contenu des clients n'est jamais acheminé vers des fournisseurs américains. Certains paliers de modèles tournent au Canada, d'autres dans l'UE, et la capacité européenne sert aussi de solution de secours. Les conversations et les documents des clients ne servent jamais à entraîner les modèles. Le traitement des paiements et l'envoi de courriels impliquent des services établis aux États-Unis, et c'est documenté dans la politique de confidentialité, comme ce serait le cas pour la plupart des logiciels que vous utilisez déjà.

Augure n'a ni société mère américaine ni investisseurs américains. Comme le contenu des clients ne se retrouve jamais chez un fournisseur de juridiction américaine, la portée du CLOUD Act sur les entreprises contrôlées par les États-Unis ne s'étend pas à Augure. C'est une réponse structurelle que la plupart des outils à 10 $ par mois ne peuvent tout simplement pas vous donner.

Rien de tout ça ne veut dire que s'abonner à n'importe quel outil, canadien ou non, vous donne un bulletin de conformité impeccable. Personne ne peut promettre ça. Mais choisir une entreprise canadienne, construite dès le départ en tenant compte de la loi québécoise sur la protection des renseignements personnels et de la loi fédérale, la LPRPDE, élimine une bonne partie du travail de devinette qu'une entreprise de neuf personnes n'a pas le temps de faire.

Et les contrats et les documents juridiques, précisément?

Si votre entreprise révise régulièrement des contrats, des ententes de confidentialité ou des accords avec des fournisseurs, le calcul de conformité devient plus serré. Une clause oubliée ou un projet d'entente qui fuite, c'est un tout autre genre de coût qu'un journal de clavardage qui fuite. Augure Legal s'occupe de la révision de contrats, du tri d'ententes de confidentialité et de l'extraction de clauses en tenant compte de la loi québécoise et de la LPRPDE, à partir de 149 $ par mois pour un professionnel autonome. C'est le coût d'environ deux heures de révision juridique externe, pour couvrir un mois complet de travail sur des documents à la place.

Quoi faire cette semaine

1. Ouvrez la politique de confidentialité de chaque outil d'IA que votre équipe utilise actuellement et vérifiez où les données sont stockées.
2. Rédigez une demi-page de règles pour votre équipe sur ce qui peut et ne peut pas être collé dans un clavardeur d'IA en matière d'information client.
3. Essayez le palier gratuit d'une plateforme d'IA canadienne pendant une semaine et comparez les résultats avec ce que vous payez actuellement.

Si vous voulez voir à quoi ressemble une réponse claire sur la résidence des données, commencez sur augureai.ca.

D'où vient ce chiffre : la loi québécoise sur la protection des renseignements personnels fixe les amendes administratives maximales à 10 M$ ou 2 % du chiffre d'affaires mondial de l'exercice financier précédent, selon le montant le plus élevé.