Outils IA gratuits au Canada : lesquels mettent vraiment vos données à risque

La plupart des outils IA gratuits sont sécuritaires pour rédiger un gazouillis. Moins le sont pour un dossier client, un dossier d'employé, ou n'importe quoi avec le nom d'un résident du Québec attaché. Le vrai test, ce n'est pas le prix. C'est où vont les données une fois que vous appuyez sur « entrée ».

En ce moment, des entreprises de neuf personnes empilent trois ou quatre abonnements IA, la moitié gratuits, la plupart américains. Personne ne vérifie les petits caractères parce que personne n'a le temps. Ce texte, c'est les quinze minutes que vous auriez passées à vérifier, déjà faites pour vous.

Qu'est-ce qui rend un outil IA gratuit risqué?

Trois choses. Où les données sont stockées. Si l'entreprise entraîne ses modèles avec vos conversations. Si une loi américaine appelée le CLOUD Act peut atteindre vos renseignements parce que le fournisseur est américain.

Ce troisième point en surprend plusieurs. Le CLOUD Act permet aux autorités américaines d'obliger des entreprises américaines à remettre des données, même des données stockées hors des États-Unis, si l'entreprise relève de la juridiction américaine. Peu importe que les serveurs soient à Toronto. Si la société mère est en Californie, les données restent potentiellement accessibles.

La plupart des outils IA gratuits que votre équipe utilise déjà — les grands assistants de clavardage, les forfaits gratuits des outils d'écriture populaires — sont exploités par des entreprises américaines. Ce n'est pas un scandale. C'est juste un fait à connaître avant de coller un contrat de fournisseur ou un formulaire d'admission de patient.

Voici un détail à ne pas oublier. Même un outil hébergé au Canada n'est pas automatiquement à l'abri de ce risque si sa société mère est américaine. Ce qui compte légalement, ce n'est pas l'adresse du centre de données. C'est qui contrôle l'entreprise qui l'exploite. Un serveur à Montréal appartenant à une société mère américaine reste sous juridiction américaine à cet égard. C'est pourquoi la question à poser à un fournisseur n'est pas « où sont vos serveurs », mais « qui vous possède ».

Est-ce que la loi canadienne sur la protection des renseignements personnels s'applique vraiment à une entreprise de neuf personnes?

Oui, presque certainement. La LPRPDE, la loi fédérale sur la protection des renseignements personnels, s'applique à toute entreprise qui recueille des renseignements personnels dans le cadre d'une activité commerciale. Neuf employés, c'est amplement suffisant. Si vous êtes au Québec, la loi québécoise sur la protection des renseignements personnels s'applique aussi, et elle est plus stricte sur l'endroit où les données peuvent voyager.

Voici ce que les gens oublient : la loi se moque que l'outil IA soit gratuit. Si vous entrez le nom d'un client, son courriel ou son historique d'achat dans un clavardeur, vous êtes quand même responsable de ce qui arrive à ces renseignements. Gratuit ne veut pas dire sans responsabilité. Ça veut dire sans facture.

Une objection raisonnable ici : « on est neuf personnes, personne ne va nous auditer ». Peut-être. Mais l'exposition ne commence généralement pas par un audit. Elle commence par une obligation de notification de fuite de données, un client qui demande où ses données sont allées, ou un employé qui part et dépose une plainte. La loi s'applique, que quelqu'un surveille ou non. Le risque se manifeste quand quelque chose tourne mal, pas avant.

Comment vérifier si un outil est vraiment sécuritaire?

Vérifiez trois choses avant d'utiliser un outil IA pour des données d'affaires.

• Où les données sont-elles stockées, et est-ce que l'entreprise le dit en langage clair, pas enterré dans une page de conditions de 40 pages?
• Est-ce que l'entreprise utilise vos conversations pour entraîner ses modèles par défaut, et pouvez-vous désactiver cette option?
• Est-ce que l'entreprise est canadienne, ou a-t-elle une société mère américaine qui crée une exposition au CLOUD Act pour votre contenu?

Si un outil ne peut pas répondre clairement à ces trois questions, traitez-le comme un outil pour information publique seulement. Textes marketing, recherches générales, premières ébauches. Rien avec un nom, une adresse ou un montant d'argent rattaché à une vraie personne.

Une exception à souligner : les données internes et anonymisées présentent un risque moindre, même sur un outil américain. Si vous retirez les noms et numéros de compte avant de coller quelque chose, vous avez réglé l'essentiel du problème lié aux renseignements personnels, même si la question de l'hébergement reste en suspens. La loi vise les renseignements personnels, pas les données en général. Un tableur avec des totaux de ventes agrégés sans aucun nom n'a pas le même niveau de risque qu'une liste de clients.

Est-ce qu'une plateforme IA canadienne, c'est vraiment différent, ou juste du marketing?

C'est différent d'une manière vérifiable. Une véritable plateforme IA canadienne stocke vos données au Canada, comme l'exige la loi canadienne sur la protection des renseignements personnels, plutôt que de les expédier par défaut vers des serveurs américains.

Augure en est un exemple. C'est une entreprise canadienne qui opère sous juridiction canadienne, sans société mère américaine ni investisseurs américains. Les conversations et documents des clients ne sont jamais traités par des fournisseurs sous juridiction américaine, donc la portée du CLOUD Act sur les fournisseurs contrôlés par les États-Unis ne s'étend pas à ce contenu. Le traitement se fait sur une infrastructure canadienne et avec des partenaires européens vérifiés pour certains niveaux de modèles et lors de basculement — jamais sur des serveurs américains. Un certain traitement américain subsiste ailleurs dans l'entreprise, pour les cartes de paiement et l'envoi de courriels, et c'est divulgué dans la politique de confidentialité plutôt que caché. La comparaison qui compte se fait contre les outils hébergés aux États-Unis, pas contre la perfection.

Augure est canadien et commence gratuitement : une allocation quotidienne de calcul, environ 25 messages typiques par jour, et 10 documents, pour 0 $ CA. Aucune carte requise. Les forfaits payants commencent à 20 $ par mois si vous dépassez ces limites.

Gratuit ne veut pas dire sans responsabilité. Ça veut dire sans facture.

Que faire avec les outils gratuits que mon équipe utilise déjà?

Ne paniquez pas et n'allez pas tout bannir d'ici vendredi. Triez-les plutôt.

Classez chaque outil dans l'une de deux catégories : sécuritaire pour l'information publique, ou pas encore digne de confiance pour quoi que ce soit de personnel. Un outil gratuit qui ne peut pas vous dire où vivent vos données va dans la deuxième catégorie jusqu'à ce que vous en sachiez plus. Ce n'est pas de la paranoïa. C'est le même réflexe que vous auriez envers un fournisseur qui refuse de donner son adresse.

Regardez ensuite ce qui circule réellement dans ces outils aujourd'hui. Beaucoup de petites équipes découvrent, en y regardant de plus près, que quelqu'un a collé le fil de courriels d'un client dans un clavardeur gratuit le mois dernier pour « le nettoyer ». C'est à ce moment que la question de la loi sur la protection des renseignements personnels cesse d'être théorique.

Changer d'outils coûte presque rien en argent, et un peu en habitude. Attendez-vous à une semaine où les gens vont oublier et retourner par défaut à l'ancien onglet. La solution, ce n'est pas un mémo de politique, c'est d'enlever l'ancien signet et de définir le nouveau comme page par défaut du navigateur pour les comptes de travail. Un petit effort, mais c'est cet effort-là qui change vraiment les comportements.

À faire cette semaine

Faites l'inventaire de ce qui est déjà utilisé. Demandez à votre équipe quels outils IA gratuits ils utilisent au travail, et pour quoi faire. La plupart des propriétaires sont surpris par la liste.

Vérifiez une chose par outil : où sont les données, et qui possède l'entreprise. Si vous ne trouvez pas de réponse claire dans la politique de confidentialité en cinq minutes, présumez que la réponse est « pas au Canada ».

Déplacez tout ce qui contient des renseignements personnels vers un outil IA canadien. Le forfait gratuit d'Augure couvre le clavardage quotidien et le travail sur documents sans l'exposition américaine — commencez sur augureai.ca et voyez ce qui vous convient avant de payer quoi que ce soit.

D'où vient tout ça : la LPRPDE s'applique aux organisations du secteur privé qui exercent des activités commerciales partout au Canada; la loi québécoise sur la protection des renseignements personnels (la Loi sur la protection des renseignements personnels dans le secteur privé, communément appelée Loi 25) permet des pénalités allant jusqu'à 10 millions de dollars pour les violations graves.