Exigences de résidence des données en Colombie-Britannique pour les organisations qui utilisent l'IA

Les organisations de la Colombie-Britannique qui utilisent l'IA doivent composer avec des exigences de résidence des données qui chevauchent plusieurs compétences à la fois. La LPRPDE s'applique à la plupart des activités commerciales, tandis que des règlements sectoriels imposent des règles encore plus strictes par-dessus. Les organismes publics doivent se conformer à l'article 30.1 de la FIPPA, qui exige un stockage canadien des renseignements personnels. Et la loi américaine CLOUD Act rend toute plateforme d'IA basée aux États-Unis légalement accessible aux autorités américaines — peu importe ce que dit le contrat. Pour approfondir ce dernier point, consultez comment la CLOUD Act permet aux autorités américaines d'accéder aux données canadiennes.

Les exigences fédérales en matière de protection des renseignements personnels sous la LPRPDE

La LPRPDE encadre la façon dont les organisations de la Colombie-Britannique recueillent, utilisent et divulguent des renseignements personnels dans le cadre d'activités commerciales. La Loi n'impose pas explicitement un stockage canadien, mais le principe 4.1.3 exige que les organisations offrent « un niveau de protection comparable » lors du transfert de renseignements personnels hors du Canada.

Le Commissariat à la protection de la vie privée du Canada a systématiquement affirmé que les organisations doivent s'assurer que les lois étrangères ne compromettent pas les protections prévues par la LPRPDE. Cette orientation crée une véritable tension pour toute organisation de la Colombie-Britannique qui s'appuie sur des plateformes d'IA basées aux États-Unis et assujetties à la CLOUD Act.

Les organisations ne peuvent pas simplement s'appuyer sur des garanties contractuelles lorsque les lois du territoire étranger accordent aux organismes gouvernementaux un accès étendu aux données personnelles, car ces protections deviennent inutiles face à une contrainte légale en vertu des lois de surveillance américaines, notamment la CLOUD Act et l'article 702 de la FISA.

Les lignes directrices du Commissariat à la protection de la vie privée du Canada signalent spécifiquement les lois de surveillance américaines comme un problème pour la protection des données canadiennes. Les organisations qui utilisent des plateformes d'IA ayant un lien quelconque avec les États-Unis — structure corporative, infrastructure ou investissement — doivent s'attendre à un examen plus rigoureux de la part des organismes de réglementation et de leurs propres clients.

Les infractions à la LPRPDE entraînent des amendes pouvant atteindre 100 000 $ par infraction en vertu de l'article 28. Les atteintes à la vie privée déclenchent également des obligations de signalement obligatoires et peuvent exposer les organisations à des recours collectifs sans plafond statutaire de dommages-intérêts. Notre article complémentaire sur les conflits entre la CLOUD Act et la LPRPDE explique en détail comment ces deux régimes entrent en collision dans la pratique.

Les règles du secteur public vont encore plus loin

L'article 30.1 de la Freedom of Information and Protection of Privacy Act (FIPPA) de la Colombie-Britannique exige explicitement que les organismes publics stockent les renseignements personnels au Canada. Cela s'applique aux municipalités, aux conseils scolaires, aux universités et aux organismes provinciaux — tout organisme public qui utilise des systèmes d'IA traitant des renseignements personnels.

L'article précise qu'un organisme public « doit s'assurer que les renseignements personnels sous sa garde ou son contrôle sont stockés uniquement au Canada et consultés uniquement au Canada ». L'article 30.1(2) permet de rares exceptions, mais celles-ci nécessitent l'approbation d'un ministre et sont rarement accordées pour des applications d'IA courantes.

Les organismes publics de la Colombie-Britannique ont déjà payé le prix fort pour avoir mal géré cette question. En 2019, la province a résilié un contrat de 50 millions de dollars avec Amazon Web Services après avoir déterminé que l'entente violait la FIPPA, malgré la présence de protections contractuelles.

Les violations de la FIPPA peuvent entraîner des pénalités administratives et une responsabilité personnelle pour les représentants qui autorisent des ententes non conformes. Le Bureau du commissaire à l'information et à la protection de la vie privée de la Colombie-Britannique a le pouvoir, en vertu de l'article 42, d'enquêter et d'ordonner des mesures correctives.

Là où les règles sectorielles ajoutent des couches plus strictes

Services financiers

Les institutions financières sous réglementation fédérale en Colombie-Britannique doivent se conformer à la ligne directrice B-10 du BSIF, qui exige une surveillance du conseil d'administration et de la haute direction en matière de risques liés aux données et à la technologie. La ligne directrice n'impose pas explicitement un stockage canadien, mais elle exige des institutions qu'elles évaluent et atténuent les risques découlant des cadres juridiques étrangers — ce qui, dans les faits, signifie qu'il faut tenir compte de l'exposition à la CLOUD Act.

Le BSIF peut imposer des pénalités administratives pécuniaires pouvant atteindre 1 000 000 $ en vertu de la Loi sur le Bureau du surintendant des institutions financières. La non-conformité peut aussi affecter les évaluations de suffisance du capital et les autorisations d'exploitation, ce qui a tendance à préoccuper les conseils d'administration davantage que l'amende elle-même.

Soins de santé

Les autorités sanitaires de la Colombie-Britannique et les fournisseurs de soins de santé privés qui traitent des renseignements médicaux personnels doivent se conformer à la législation provinciale sur les renseignements de santé. L'article 37 de la Personal Information Protection Act (PIPA) exige un consentement pour toute divulgation à l'étranger — un consentement pratiquement impossible à obtenir à grande échelle pour le traitement par l'IA de dossiers de santé.

Les professionnels de la santé qui utilisent des systèmes d'IA comportant des composantes à l'étranger s'exposent à des sanctions professionnelles de la part de leur ordre réglementaire en vertu de la Health Professions Act.

Services juridiques

Les avocats de la Colombie-Britannique qui utilisent des plateformes d'IA doivent se conformer à la règle 3.3 du Barreau de la Colombie-Britannique sur la confidentialité des clients. Cette règle exige que les avocats prennent des mesures raisonnables pour prévenir toute divulgation non autorisée de renseignements confidentiels, et le Barreau a laissé entendre que les plateformes d'IA sans résidence des données au Canada pourraient contrevenir à cette obligation pour des dossiers clients sensibles.

Combler l'écart créé par la CLOUD Act

La loi américaine CLOUD Act permet aux autorités américaines d'obliger les entreprises américaines à produire des données, peu importe où elles sont stockées. Pour les organisations canadiennes déjà assujetties à des règles de résidence des données, cela crée un écart de conformité qu'aucun contrat ne peut combler.

Les ordonnances en vertu de la CLOUD Act sont généralement assorties de clauses de confidentialité, empêchant les entreprises d'aviser les clients concernés. Les organisations canadiennes n'ont aucune visibilité sur l'accès ou non de leurs données par les autorités américaines — un problème que notre liste de vérification pour choisir une pile d'IA exempte de la CLOUD Act aborde plus en détail.

Même les plateformes d'IA qui affirment offrir un « hébergement canadien » demeurent assujetties aux exigences de la CLOUD Act si elles ont une structure corporative américaine, des filiales américaines ou un investissement américain important. La portée extraterritoriale de la Loi rend les clauses contractuelles de protection des données légalement inutiles lorsque les forces de l'ordre ou les agences de renseignement américaines émettent des demandes de données contraignantes.

Les grandes plateformes d'IA sont assujetties à la compétence de la CLOUD Act en raison de leur structure corporative américaine, et les régions infonuagiques canadiennes exploitées par des sociétés mères américaines n'éliminent pas cette exposition. Ce conflit de compétence rend pratiquement impossible, pour les organisations réglementées de la Colombie-Britannique, l'utilisation de plateformes d'IA basées aux États-Unis tout en maintenant leur conformité légale. De nombreux conseils d'administration posent maintenant des questions pointues à leurs fournisseurs — voir les questions sur la CLOUD Act que tout conseil d'administration canadien devrait poser pour une liste de départ utile.

Stratégies pratiques de conformité

Les organisations de la Colombie-Britannique ont besoin de plateformes d'IA offrant une véritable souveraineté canadienne pour respecter leurs obligations en matière de résidence des données. L'hébergement canadien à lui seul ne suffit pas — il faut une structure corporative, une propriété et un contrôle opérationnel canadiens, le tout réuni.

Principales exigences pour une plateforme d'IA conforme :

• Constitution en société au Canada, sans société mère américaine
• Propriété canadienne, sans investisseurs américains détenant un intérêt majoritaire
• Données clients hébergées dans des centres de données canadiens, avec un traitement qui n'est jamais acheminé par des fournisseurs américains
• Structures de gouvernance qui empêchent toute contrainte légale étrangère

La diligence raisonnable dans ce contexte va au-delà de la simple lecture de la politique de confidentialité d'un fournisseur. Elle implique de cartographier les flux de données, de confirmer la propriété corporative et de vérifier comment une plateforme réagirait réellement à une demande légale étrangère.

Augure a été conçu comme une plateforme d'IA véritablement souveraine, précisément pour cet environnement. Avec une structure corporative et une propriété 100 % canadiennes, des données clients hébergées dans des centres de données canadiens, et un traitement de l'IA qui s'effectue sur une infrastructure canadienne ou avec des partenaires européens vérifiés sous des ententes de non-conservation des données — jamais avec des fournisseurs américains — les organisations peuvent profiter de capacités avancées en IA tout en respectant leurs obligations de résidence des données.

Exigences en matière de documentation et de vérification

Les organisations de la Colombie-Britannique doivent documenter leurs efforts de conformité et conserver des pistes de vérification démontrant leur respect des règles de résidence des données. Cela comprend les dossiers de diligence raisonnable sur les fournisseurs, la cartographie des flux de données et des évaluations périodiques de conformité.

Les évaluations des facteurs relatifs à la vie privée devraient aborder spécifiquement les systèmes d'IA et les transferts de données transfrontaliers en vertu du principe 4.1.7 de la LPRPDE, en documentant la façon dont les risques juridiques étrangers ont été évalués et atténués.

Les vérifications devraient également permettre de déterminer si la structure corporative ou la propriété d'un fournisseur d'IA a changé depuis son intégration — un changement qui peut introduire discrètement un nouveau risque de conformité sans qu'aucune modification ne soit apportée au produit lui-même. Pour un portrait plus large de l'évolution du contexte réglementaire, lisez la souveraineté des données canadiennes en 2026 : ce qui a changé.

Pour les organisations à la recherche de solutions d'IA conformes, Augure offre une souveraineté canadienne transparente, assortie d'une documentation de conformité détaillée, sans société mère ou investisseurs américains, et sans fournisseur relevant de la compétence américaine qui traite le contenu des clients. Pour en savoir plus sur la façon de répondre à vos exigences de résidence des données en Colombie-Britannique, visitez augureai.ca.