La conformité à petit budget : où les petites entreprises canadiennes devraient dépenser en premier

Une entreprise québécoise de moins de 50 employés peut être condamnée à une amende pouvant atteindre 15 000 000 $ ou 4 % de son chiffre d'affaires mondial, selon le montant le plus élevé, en vertu de la Loi 25. En pratique, la Commission d'accès à l'information a passé ses deux premières années d'application de la loi à émettre des avis et de courts délais de mise en conformité, pas des pénalités maximales. Cet écart compte pour une gestionnaire de bureau qui hésite entre dépenser 3 000 $ en honoraires d'avocat ce trimestre ou les consacrer à la paie. Pour les petites entreprises canadiennes, l'ordre logique est le suivant : inventaire des données, puis politique de confidentialité, puis plan de réponse aux incidents, puis logiciels. Les outils d'IA canadiens se situent désormais à un prix assez bas dans cette chaîne pour que les éviter pour des raisons de coût ne tienne plus la route.

Voici un ordre de dépenses fondé sur ce que la CAI et le Commissariat à la protection de la vie privée du Canada ont réellement appliqué, pas sur ce qu'un fournisseur de solutions de conformité voudrait faire croire au lecteur qu'il est urgent de faire.

L'inventaire des données

Avant de rédiger une politique de confidentialité ou d'acheter un logiciel, une entreprise doit savoir quels renseignements personnels elle détient. Noms, courriels, renseignements de paiement, dossiers d'employés, historiques de clients dans un système de gestion de la relation client. La plupart des petites entreprises n'ont jamais dressé cette liste. Les lignes directrices de la CAI en vertu de la Loi 25 et celles du CPVP en vertu de la LPRPDE partent toutes deux de la même prémisse : une organisation ne peut pas protéger ce qu'elle n'a pas identifié.

Cette étape ne coûte rien de plus qu'un après-midi. Un tableur avec des colonnes pour le type de donnée, l'emplacement de stockage, l'accès et la période de conservation satisfait l'attente de base des deux cadres réglementaires. Les entreprises qui sautent cette étape pour aller directement acheter une plateforme de conformité découvrent souvent, six mois plus tard, que la plateforme est configurée autour de flux de données que personne n'a correctement cartographiés dès le départ. L'inventaire n'a rien de glorieux. Il ne coûte rien non plus, et il offre le meilleur rendement à long terme de toute cette liste.

Une propriétaire sceptique pourrait se demander pourquoi un tableur compte si l'entreprise n'a aucune intention d'acheter un logiciel. Il compte parce que l'inventaire est aussi le document qu'une entreprise remet à la CAI si une plainte est un jour déposée. Les régulateurs n'ouvrent pas une enquête en demandant d'abord une politique de confidentialité; ils demandent quelles données existent, où elles se trouvent, et qui peut y accéder. Une entreprise incapable de répondre à cela en un après-midi paraît nettement plus mal dans un dossier de la CAI qu'une entreprise qui produit, sur demande, un tableur un peu bâclé. L'inventaire n'est pas une préparation à l'achat d'un outil. C'est une préparation à la seule conversation qui déclenche réellement une amende.

La politique et la désignation coûtent moins de 500 $

La Loi 25 exige que toute organisation traitant des renseignements personnels au Québec désigne un responsable de la protection des renseignements personnels — par défaut, la personne la plus haut placée dans l'entreprise, à moins qu'une autre ne soit nommée — et qu'elle publie une politique de confidentialité en langage clair. La LPRPDE porte une attente similaire à l'échelle nationale depuis 2000, mais sans les exigences de rédaction plus prescriptives du Québec.

Aucune de ces exigences ne demande un avocat. La CAI publie des modèles de texte et un outil d'autoévaluation, et la plupart des entreprises de moins de 20 employés peuvent l'adapter en un après-midi, avec de légères modifications propres à leurs pratiques de gestion des données. Une révision de cette politique adaptée par un avocat, si une entreprise le souhaite, coûte généralement entre 300 $ et 500 $ dans un petit cabinet. C'est le plafond de cette étape, pas le plancher.

La CAI définit la norme comme des mesures de sécurité raisonnables et proportionnées à la sensibilité des renseignements, pas l'élimination du risque. Cette distinction est déterminante pour une entreprise à budget limité. Les régulateurs ne demandent pas la perfection. Ils demandent la preuve d'un processus.

Un cas où cette approche par modèle ne tient pas : une entreprise qui traite des données de santé, des données biométriques ou des dossiers de crédit a besoin d'une politique plus précise que celle que couvre le modèle général de la CAI, car la Loi 25 traite ces catégories comme des renseignements personnels sensibles soumis à une norme de consentement plus élevée et à une évaluation obligatoire des facteurs relatifs à la vie privée avant certains transferts. Une clinique dentaire ou un petit prêteur qui adapte le modèle générique sans tenir compte de cette distinction ne respecte pas la norme, peu importe à quel point le document final semble poli. Pour ce groupe plus restreint, la révision de 300 $ à 500 $ par un avocat cesse d'être facultative et se rapproche du plancher.

Le plan de réponse aux incidents avant le logiciel

C'est ici que la plupart des petites entreprises dépensent dans le mauvais ordre. Elles achètent un outil avant d'avoir un plan pour ce qui se passe quand quelque chose tourne mal avec cet outil, ou avec le classeur, ou avec l'ordinateur portable d'un employé oublié dans un café.

La Loi 25 exige une notification obligatoire des incidents de confidentialité à la CAI et aux personnes concernées depuis septembre 2022, lorsqu'un incident présente un risque de préjudice sérieux. La LPRPDE porte une exigence comparable depuis novembre 2018. Les deux cadres s'attendent à un plan d'intervention écrit : qui est avisé, dans quel ordre, dans quel délai. Aucun des deux n'exige que ce plan soit complexe. Un document d'une page nommant le responsable de la protection des renseignements personnels, les étapes de notification et un échéancier approximatif satisfait la lettre des deux lois pour une entreprise de, disons, moins de 25 employés. Cette étape, comme l'inventaire, ne coûte pratiquement rien, sinon la discipline de la coucher sur papier avant qu'un incident ne force la question.

Les entreprises qui consacrent leurs premiers dollars de conformité à une assurance contre les incidents avant de rédiger ce document achètent une protection pour un processus qui n'existe pas encore.

Les mécanismes d'une notification réelle valent la peine d'être détaillés, parce que la plupart des propriétaires n'en ont jamais vu une. En vertu de la Loi 25, l'entreprise évalue d'abord si l'incident présente un risque de préjudice sérieux — un jugement que le responsable de la protection des renseignements personnels pose et documente, pas un seuil fixé par un nombre défini de dossiers. Si le risque existe, la CAI doit être avisée sans délai, et les personnes concernées doivent être informées de ce qui s'est passé, des données concernées, et des mesures que l'entreprise prend. Il n'y a aucuns frais de dépôt. Le coût qui se manifeste plus tard est réputationnel et, en cas de récidive ou de négligence, l'amende elle-même. Une entreprise qui a déjà son plan d'une page peut généralement compléter cette notification en une journée après avoir découvert l'incident. Une entreprise qui n'en a pas est souvent encore en train de se demander à l'interne qui est responsable d'appeler qui que ce soit.

Les outils d'IA arrivent en dernier dans la chaîne

Ce n'est qu'après l'inventaire, la politique et le plan de réponse aux incidents que le logiciel devient la prochaine dépense pertinente, et de plus en plus, cette décision logicielle est une décision liée à l'IA. La plupart des petites entreprises ont déjà versé des données de clients dans ChatGPT, Copilot ou un autre outil basé aux États-Unis sans réfléchir à l'endroit où ces données se trouvent physiquement ni à quel pays les tribunaux peuvent contraindre l'accès à ces données.

Une plateforme d'IA canadienne traite les données sous juridiction canadienne, ce qui change l'analyse juridique qu'une entreprise doit faire en vertu des règles de la Loi 25 sur le transfert de renseignements personnels hors Québec. Augure, une plateforme conçue à Vancouver, stocke les données des clients au Canada. L'inférence s'exécute sur une infrastructure canadienne et avec des partenaires européens vérifiés opérant sous des ententes de rétention zéro des données; certains niveaux de modèle fonctionnent en Europe par défaut, d'autres n'utilisent l'Europe qu'en cas de bascule, et les conversations et documents des clients ne sont jamais acheminés vers des fournisseurs relevant de la juridiction américaine. Augure n'a ni société mère américaine ni investisseurs américains, de sorte que la portée du CLOUD Act sur les fournisseurs contrôlés par les États-Unis ne s'étend pas au contenu de ces clients. Les paiements par carte et l'envoi de courriels impliquent encore un certain traitement aux États-Unis, divulgué dans la politique de confidentialité d'Augure — une exposition plus étroite et plus précise que ce que divulguent la plupart des outils d'IA basés aux États-Unis quant au traitement du contenu des clients lui-même.

Le forfait gratuit permet 50 messages par jour avec une recherche documentaire de base. Le forfait payant, 20 $ CA par mois, élimine le plafond de messages et ajoute une mémoire persistante ainsi qu'un accès prioritaire aux modèles. C'est à peu près le prix de ChatGPT Plus ou de Microsoft 365 Copilot, sans la question des données transfrontalières que ces outils posent pour une entreprise québécoise qui effectue une évaluation de transfert au sens de la Loi 25. Pour la révision de contrats spécifiquement, Augure Legal commence à 149 $ CA par mois pour un praticien solo, un tarif à comparer aux honoraires horaires des parajuristes, qui dépassent régulièrement 60 $.

Rien de tout cela n'est propre à un seul fournisseur. Les propriétaires d'entreprise qui comparent les options d'IA canadiennes devraient vérifier où chaque fournisseur stocke ses données, si l'inférence se produit au Canada ou est acheminée ailleurs, et si l'entreprise a une société mère américaine qui la placerait sous la portée juridique des États-Unis. Cette comparaison, et non la loyauté à une marque, est ce qu'exige réellement une évaluation de transfert au sens de la Loi 25.

L'objection évidente : changer d'outil coûte du temps, et le temps est justement ce dont une petite entreprise dispose moins que de l'argent. Une entreprise qui fait déjà transiter ses dossiers clients par un outil américain doit exporter ses données, reconfigurer ses intégrations et former son personnel sur une nouvelle interface — rien de tout cela n'apparaît dans une ligne de 20 $ par mois. Ce coût est réel et mérite d'être nommé plutôt qu'écarté d'un revers de main. C'est aussi un coût ponctuel contre une exposition continue, ce qui donne un calcul différent de celui que suggère le seul prix de l'abonnement. Une entreprise avec un petit fichier clients, disons moins de 500 contacts, peut généralement compléter cette migration en une journée. Une entreprise avec des années de flux de travail intégrés devrait plutôt prévoir environ une semaine, et le faire pendant un mois plus calme plutôt qu'en plein projet.

Le budget

Pour une entreprise disposant, disons, de 2 000 $ à consacrer à la conformité cette année et sans avocat interne, la séquence ressemble à ceci :

• Inventaire des données : gratuit, un après-midi
• Politique de confidentialité et désignation du responsable : de 0 $ à 500 $
• Plan de réponse aux incidents : gratuit, un après-midi
• Un outil d'IA canadien pour le travail quotidien touchant aux données clients : environ 240 $ par année au forfait de 20 $/mois
• Révision juridique des contrats ou des clauses à risque élevé, si l'entreprise en signe beaucoup : de 150 $ à 800 $ par mois selon le volume, contre 150 $ à 400 $ l'heure pour un avocat effectuant le même travail manuellement

Il reste ainsi largement plus de mille dollars non dépensés, même dans une année serrée. La majeure partie de ce qui reste devrait être consacrée à la formation des employés. Une conversation de cinq minutes sur le fait de ne pas entrer les numéros d'assurance sociale de clients dans un compte ChatGPT personnel fait plus pour la conformité à la Loi 25 que la plupart des mandats de consultation à 3 000 $.

Pour une entreprise de moins de 20 employés sans historique de plaintes, le risque réel d'application de la loi la première année est faible, et les actions publiques de la CAI elle-même le confirment. Le risque augmente avec le temps, avec le volume de données, et avec un seul incident grave qui révèle qu'aucun plan n'existait. Dépenser dans le bon ordre, à peu de frais, referme cet écart sans prétendre qu'il est plus grand qu'il ne l'est réellement.

Les détails sur les tarifs d'Augure, la gamme de modèles et la documentation sur la résidence des données se trouvent sur augureai.ca.