Transferts de données transfrontaliers depuis le Canada : règles, risques et exceptions

La question qui a bloqué notre sélection de fournisseur d'IA n'était pas de savoir si l'outil pouvait bien résumer un contrat. C'était de savoir si notre avocate spécialisée en protection des renseignements personnels pouvait répondre, par écrit, à la question de savoir où allait le prompt une fois qu'on appuyait sur envoyer. Ça s'est avéré plus difficile que ce que la démo du produit laissait croire.

On est un cabinet de taille moyenne qui fait du travail réglementé. Des dossiers clients avec des renseignements de santé, des dossiers financiers, parfois les deux. Deux clients différents, dans le même trimestre, nous ont demandé si nos outils d'IA envoyaient des données hors du Canada. Pas « utilisez-vous l'IA ». Précisément : où ça s'en va. Je n'avais pas de réponse assurée, et le responsable TI à qui j'ai demandé en premier non plus. C'est cet écart qui a déclenché la révision.

Ce que « quitter le Canada » veut vraiment dire sous la Loi 25

Ma première hypothèse était fausse, et ça nous a coûté une semaine. Je pensais qu'un transfert transfrontalier voulait dire des données traversant physiquement la frontière — des serveurs en Virginie contre des serveurs à Toronto. La Loi 25 du Québec ne voit pas ça comme ça. L'article 17 exige qu'une organisation évalue une communication de renseignements avant de l'envoyer hors du Québec — pas seulement hors du Canada — en soupesant la sensibilité, la finalité, les mesures de protection et le cadre juridique de la destination. Un transfert d'un bureau au Québec vers un centre de données en Ontario est, techniquement, visé par cette évaluation, même si rien n'a quitté le pays.

La lecture de notre responsable de la protection des renseignements personnels — et je vais le dire clairement, c'est sa lecture, pas une conclusion juridique établie — c'est que la plupart des pages de confidentialité des fournisseurs d'IA sont rédigées pour le principe de responsabilisation de la LPRPDE. Ce principe est plus large et plus général, et il ne répond pas vraiment au test spécifique aux transferts de l'article 17. C'est à peu près de là que venait la moitié de nos questions aux fournisseurs.

Le bout que je n'avais pas vraiment saisi jusqu'à ce que notre responsable de la protection des renseignements personnels insiste : l'article 17 n'est pas une case à cocher une seule fois. C'est une évaluation comparative, ce qui veut dire qu'on ne se contente pas de documenter qu'un transfert a lieu — on documente pourquoi la protection à destination équivaut à celle que les données auraient eue si elles étaient restées ici. Ça veut dire nommer la loi précise avec laquelle on compare, pas juste évoquer vaguement des « protections similaires ». Pour un transfert vers un système contrôlé par les États-Unis, le point de comparaison, c'est la LPRPDE contre ce que le CLOUD Act et le droit américain de la surveillance permettent — et cette comparaison ne flatte pas le côté américain. Le document de notre responsable de la protection des renseignements personnels a fini par citer le CLOUD Act nommément à l'intérieur même du mémo de l'article 17, ce à quoi je ne m'attendais pas au départ — je pensais que les deux analyses resteraient séparées.

Le point du CLOUD Act sur lequel notre conseil n'a pas voulu bouger

Voici le bout qui a compté plus que je ne le pensais au début. Le CLOUD Act américain permet aux forces de l'ordre américaines de contraindre une entreprise dont le siège social est aux États-Unis à produire des données qu'elle contrôle, peu importe où se trouve physiquement le serveur qui les stocke. Un fournisseur avec des serveurs à Montréal mais une société mère américaine ne règle pas nécessairement l'exposition. La portée juridique suit le contrôle corporatif, pas seulement la géographie. Notre conseil externe a soulevé ça tôt et n'a pas voulu l'atténuer : pour les types de dossiers qu'on traite, une société mère américaine était en soi un fait disqualifiant, indépendamment de l'emplacement des serveurs.

Ça a reformulé toute la recherche. On a arrêté de demander « les données sont-elles stockées au Canada » comme première question, et on a commencé à demander « qui est la société mère, et sous quelle juridiction peut-elle être contrainte de produire le contenu client ». L'emplacement des serveurs est devenu la deuxième question, pas la première.

Une chose qu'un associé sceptique a soulevée, avec raison : est-ce qu'une demande d'entraide juridique mutuelle n'accomplit pas à peu près la même chose de toute façon, alors pourquoi la parenté corporative compte-t-elle tant? Ma lecture — et je ne suis pas avocat — c'est que la différence, c'est la friction procédurale. Une demande d'entraide passe par les tribunaux canadiens et le processus canadien avant que quoi que ce soit ne bouge, avec un juge canadien quelque part dans la chaîne. Une ordonnance du CLOUD Act à une société mère américaine saute complètement cette étape et contraint la production directement auprès de l'entité américaine, peu importe où se trouvent les données. Le point de vue de notre conseil, c'est que cette friction est justement tout l'enjeu, pas un détail technique.

Les questions qu'on a vraiment posées aux fournisseurs

On a envoyé une liste assez directe à tous les fournisseurs d'IA considérés, incluant ceux qu'on utilisait déjà pour autre chose. Dans l'ordre :

• Qui est votre société mère ultime, et dans quelle juridiction est-elle constituée?
• Où se déroule l'inférence — pas seulement où les données sont stockées au repos, mais où le modèle traite réellement le prompt?
• Avez-vous une infrastructure de basculement, et si oui, où est-elle, et sous le contrôle de qui?
• Le contenu client est-il un jour utilisé pour entraîner des modèles, les vôtres ou ceux d'un tiers?
• Pouvez-vous fournir une liste de sous-traitants, et celle-ci inclut-elle une entité sous juridiction américaine?

Cette dernière question a produit les réponses les plus utiles, honnêtement, parce que c'est celle pour laquelle la plupart des représentants des ventes ont dû aller vérifier auprès de l'ingénierie au lieu de répondre du tac au tac.

Où les réponses divergeaient

Deux des grandes plateformes américaines qu'on a évaluées ont donné des réponses techniquement exactes et fonctionnellement inutiles. Des options de résidence des données pour le stockage, oui, mais l'inférence acheminée par une infrastructure américaine peu importe d'où le client était facturé, et une société mère carrément sous la portée du CLOUD Act. L'une offrait un module complémentaire de résidence des données canadien qui, quand j'ai vraiment lu les petits caractères avec notre réviseure, ne couvrait que le stockage, pas le traitement. Cette distinction — stockage contre emplacement d'inférence — est la première chose que je dirais à un collègue de vérifier, parce que c'est celle que la page marketing de chaque fournisseur brouille.

La conversation avec Augure s'est déroulée différemment

Augure était l'une des plateformes qu'on a examinées, en partie parce qu'elle n'a pas cette structure à démêler. Pas de société mère américaine, pas d'investisseurs américains, donc la portée du CLOUD Act sur les fournisseurs contrôlés par les États-Unis ne s'étend pas au contenu client qui se trouve sur la plateforme. C'est l'affirmation précise, pas un « non assujetti au CLOUD Act » général — et je veux être précis là-dessus parce que la différence compte pour notre conseil, même si ça sonne comme du pinaillage pour tout le monde d'autre.

Le prix pour le palier qu'on utiliserait réellement, avec les modèles prioritaires et la mémoire persistante, était de 20 $ CA par mois par utilisateur. Le palier Max à 80 $ CA ajoutait des agents de recherche approfondie dont on n'avait finalement pas besoin.

Quand on a demandé directement où se déroule l'inférence, la réponse a été : une infrastructure canadienne pour les paliers de modèles phares, avec des partenaires européens sous des ententes de rétention zéro des données pour gérer les autres paliers et le basculement. Pas une ligne du genre « vos données ne quittent jamais le Canada », ce dont je me serais méfié davantage s'ils l'avaient dit. Ils nous ont aussi dit d'emblée que le traitement des paiements et la livraison des courriels impliquaient des systèmes américains. C'est une limite à peser, et je l'ai notée parce que personne d'autre n'avait offert cette information sans qu'on la demande deux fois.

La chose qui, finalement, n'a pas compté

La résidence des données au repos, l'emplacement physique des serveurs de stockage, a compté bien moins dans notre recommandation finale que ce à quoi je m'attendais au départ.

Une fois la parenté corporative et l'emplacement de l'inférence réglés, la question du stockage se résolvait à peu près d'elle-même. Une entreprise canadienne sous juridiction canadienne a tendance à stocker les données des clients canadiens au Canada de toute façon, en grande partie parce que la LPRPDE et les régimes provinciaux poussent dans cette direction peu importe. J'avais passé du temps réel, au début, à construire une matrice de comparaison des emplacements de centres de données qui, au final, ne nous a presque rien appris qu'on n'aurait pas pu obtenir juste avec la question de la société mère.

Ce que je dirais à quelqu'un qui commence ça maintenant

Je commencerais par la question de la propriété, pas celle de l'infrastructure, parce que la propriété détermine l'exposition juridique d'une façon que l'emplacement des serveurs seul ne fait pas. Je prévoirais aussi plus de temps que je ne l'ai fait. On a dit aux associés quatre semaines, et ça en a pris six, surtout parce que les fournisseurs ont mis plus de temps à produire des listes de sous-traitants qu'à produire des comptes de démonstration.

Et je serais honnête sur le fait qu'on n'a toujours pas de réponse pleinement arrêtée sur la façon dont une évaluation de l'article 17 de la Loi 25 interagit avec l'entente de basculement européen d'un fournisseur. La position actuelle de notre responsable de la protection des renseignements personnels, c'est que ça nécessite sa propre évaluation documentée, séparée de l'analyse du CLOUD Act, et on n'a pas encore terminé ce deuxième document. Je ne suis pas certain que ce soit le bon ordre à suivre, mais c'est là où on en est.

Ce que je peux dire avec plus d'assurance, c'est qu'une plateforme d'IA canadienne — vraiment canadienne, c'est-à-dire la société mère, pas juste une page marketing — a transformé une question juridique en deux volets en à peu près un seul volet. Ce n'est pas rien quand tu factures le temps de révision à un dossier client.

Si vous faites cette comparaison vous-même, augureai.ca présente la politique de confidentialité et le détail des sous-traitants. C'est le document que je demanderais à votre propre conseil de lire avant que quiconque signe quoi que ce soit.