Le CPCSC et les outils d'IA : lesquels passent l'examen de sécurité

Si vous êtes fournisseur du ministère de la Défense nationale, vous avez besoin du CPCSC — le Programme canadien de certification en cybersécurité. Ça, vous le savez déjà. Ce que vous demandez vraiment est plus précis : pouvez-vous utiliser des outils d'IA sans faire échouer votre examen de sécurité, et lesquels ne seront pas signalés. La réponse courte est oui, mais l'outil que vous choisissez compte plus que la plupart des équipes d'approvisionnement le réalisent.

Le CPCSC, c'est la réponse canadienne au CMMC, la norme américaine de cybersécurité pour la défense. Il existe parce que le Canada avait besoin de son propre régime de certification au lieu de s'appuyer indéfiniment sur celui des Américains. Si vous êtes fournisseur ou sous-traitant et que vous touchez à des données de défense, vous devez démontrer que vos contrôles de sécurité tiennent la route — et ça inclut tout logiciel qui touche à ces données, l'IA y compris.

Pourquoi l'IA échoue-t-elle si souvent à l'examen de sécurité?

Trois raisons, et elles reviennent dans presque tous les dossiers d'examen.

La première, c'est la portée juridique. Si votre fournisseur d'IA est une entreprise américaine, le droit américain peut atteindre vos données même quand elles se trouvent sur un serveur à Toronto. C'est le CLOUD Act, et les évaluateurs savent qu'il faut poser la question.

La deuxième, c'est l'origine du modèle. Certains outils d'IA tournent sur des modèles conçus ou hébergés en Chine, ou par des entreprises dont la structure de propriété est floue. Dans un contexte de défense, c'est un signal d'alarme automatique, point final.

La troisième, c'est tout simplement le traitement des données. Où va votre message? Qui peut le lire? Le fournisseur entraîne-t-il ses futurs modèles avec vos conversations? Les évaluateurs posent ces questions parce que les vérificateurs du CPCSC les posent aussi, et une réponse vague vous coûte du temps.

Aucun de ces trois problèmes n'est exotique. Ils reviennent dans presque toutes les conversations d'approvisionnement en IA impliquant une organisation canadienne réglementée, que ce soit un hôpital, un cabinet d'avocats ou une entreprise qui fabrique des pièces pour un sous-marin.

Que veut dire « IA canadienne », concrètement?

Ça veut dire que l'entreprise fonctionne sous le droit canadien, pas sous le droit américain avec un bureau de vente au Canada. Une plateforme d'IA véritablement canadienne n'a ni société mère américaine ni investisseurs américains plus haut dans la chaîne de propriété. Cette distinction n'est pas cosmétique. Elle détermine quel gouvernement peut forcer l'accès à vos données.

Augure en est un exemple. C'est une entreprise canadienne, construite pour répondre aux exigences réglementaires canadiennes, y compris la loi québécoise sur la protection des renseignements personnels et la loi fédérale, la LPRPDE. Augure n'a ni société mère américaine ni investisseurs américains. Les conversations des clients, les documents et l'inférence de l'IA ne sont jamais traités par des fournisseurs relevant de la juridiction américaine, donc la portée du CLOUD Act sur les fournisseurs sous contrôle américain ne s'étend pas au contenu de ces clients. C'est une affirmation précise et circonscrite, pas une promesse générale que rien nulle part ne touche quoi que ce soit d'américain.

Voici la version honnête de la destination des données : l'inférence tourne sur une infrastructure canadienne pour certains paliers de modèles, et avec des partenaires européens vérifiés sous des ententes de rétention zéro pour d'autres, y compris en cas de basculement. Le traitement des paiements et l'envoi de courriels impliquent un traitement limité aux États-Unis, parce que c'est ainsi que fonctionnent les réseaux de cartes et les courriels à peu près partout. Tout ça est documenté dans la politique de confidentialité, pas caché à l'intérieur.

Le fournisseur d'IA d'un fournisseur de la défense devrait pouvoir nommer chaque pays que touchent ses données, en une seule phrase, sans avoir besoin d'un avocat dans la pièce.

Si votre fournisseur d'IA actuel n'est pas capable de faire ça, c'est un échec d'examen qui vous attend.

Est-ce qu'une plateforme d'IA canadienne va ralentir ma certification CPCSC?

Elle devrait plutôt l'accélérer. Les évaluateurs passent moins de temps à retracer des sous-traitants étrangers quand la réponse est simple : entreprise canadienne, juridiction canadienne, inférence européenne documentée pour certains paliers, aucune propriété américaine nulle part dans la chaîne.

Comparez ça au fait d'expliquer les flux de données d'un fournisseur d'IA basé aux États-Unis à un vérificateur du CPCSC. Il vous faudra des listes de sous-traitants, des diagrammes de flux de données, et probablement un appel avec l'équipe juridique du fournisseur. Ça prend des semaines, pas des jours.

Une plateforme d'IA canadienne ne garantit pas que vous passerez le CPCSC. Aucun fournisseur ne peut promettre ça — la certification couvre l'ensemble de votre programme de sécurité, pas un seul outil. Mais elle élimine d'avance un des trois points de défaillance courants, avant même que le vérificateur pose la question.

Combien ça coûte?

Le forfait gratuit d'Augure vous donne 50 messages par jour, cinq documents et une recherche Web de base — 0 $. C'est suffisant pour tester si ça convient à votre façon de travailler.

Le forfait Pro coûte 20 $ par mois par utilisateur. Aucune limite de messages, une allocation de calcul généreuse, 100 documents, et une mémoire persistante, c'est-à-dire qu'Augure se souvient du contexte d'une conversation à l'autre au lieu de repartir à zéro chaque fois. Pour une équipe de neuf personnes qui traite des propositions et des documents techniques, c'est habituellement le bon palier.

Le forfait Max coûte 80 $ par mois et ajoute des agents de recherche approfondie ainsi que quatre fois plus de calcul. Les fournisseurs plus importants avec des flux de révision ou du personnel de conformité dédié se retrouvent généralement là. Le prix Entreprise est sur mesure et inclut l'authentification unique et un soutien dédié, ce que les grands maîtres d'œuvre exigent souvent de toute façon.

Aucun de ces montants ne cherche à concurrencer le prix d'un abonnement d'IA américain. Ils répondent à une autre question : combien ça coûte d'éliminer un problème de portée juridique avant votre prochain examen de sécurité.

Est-ce que j'ai quand même besoin de mes propres contrôles de sécurité?

Oui. C'est la partie qu'on a tendance à sauter. Le CPCSC certifie votre organisation : vos contrôles d'accès, votre plan de réponse aux incidents, la formation de vos employés, la segmentation de votre réseau. Un outil d'IA est un élément parmi d'autres dans ce portrait, pas un remplacement.

Utiliser une plateforme d'IA canadienne enlève une objection récurrente de la table. Ça ne touche pas aux quarante autres éléments de votre liste de vérification CPCSC. Si votre politique de mots de passe est faible ou que votre personnel se partage des identifiants par courriel, aucun choix de fournisseur ne réglera ça.

Ce que ça fait, par contre, c'est empêcher un évaluateur de passer un après-midi à se demander où vivent vos journaux de clavardage.

Quoi faire cette semaine

• Sortez la politique de données de votre outil d'IA actuel et vérifiez une chose : nomme-t-elle une société mère américaine ou un hébergement basé aux États-Unis pour le traitement de l'IA lui-même, pas seulement pour le site Web.
• Dressez la liste de tous les outils d'IA que votre équipe utilise réellement au quotidien, y compris ceux que personne n'a officiellement approuvés. L'usage d'IA fantôme est un constat fréquent dans les évaluations d'écarts CPCSC.
• Testez un outil d'IA canadien sur une vraie tâche cette semaine, pas un scénario de démonstration. Voyez s'il tient la route avant que votre prochaine conversation d'approvisionnement ne force la question.

Augure est canadien, et c'est gratuit pour commencer. Si votre équipe se dirige vers un examen CPCSC cette année, allez voir augureai.ca et vérifiez si ça convient avant que votre vérificateur ne pose la question en premier.

D'où ça vient : les exigences du CPCSC sont publiées par Services publics et Approvisionnement Canada; le CLOUD Act est une loi fédérale américaine qui régit les données détenues par des fournisseurs relevant de la juridiction américaine.