Ce que les banques canadiennes disent aux investisseurs à propos de l'IA — et ce que ça veut dire pour vous

Chaque année, les banques canadiennes disent exactement à leurs actionnaires comment elles utilisent l'IA et ce qui pourrait mal tourner. RBC, TD, BMO et les autres l'écrivent noir sur blanc dans leurs rapports annuels, parce que les lois sur les valeurs mobilières les y obligent. Si vous dirigez une petite entreprise, vous n'avez rien à déposer. Mais lire ce que disent les banques est une façon rapide de comprendre les vrais risques liés à l'IA, aux données et à la loi québécoise sur la protection des renseignements personnels — les mêmes risques que vous portez vous aussi, sauf qu'il ne vous faut pas d'avocat pour les repérer.

Que disent vraiment les banques à propos de l'IA dans leurs rapports?

Le rapport annuel de la Banque Royale classe l'intelligence artificielle sous « risques technologiques et cybernétiques », avec une note indiquant que les modèles d'IA peuvent produire des résultats erronés ou biaisés à grande échelle. Le rapport de TD fait quelque chose de similaire : il signale les fournisseurs d'IA tiers comme un endroit où les données pourraient échapper au contrôle canadien sans que TD le voie pleinement. Ce ne sont pas des prédictions. C'est le langage de divulgation standard que les sociétés cotées en bourse utilisent pour avertir les investisseurs de tout ce qui pourrait nuire au titre.

Le constat est le même chez les six grandes banques. L'IA est mentionnée comme une occasion — efficacité, détection de fraude, service à la clientèle — et comme un risque, dans la même section, parfois le même paragraphe. On ne demande pas aux banques d'éviter l'IA. On leur demande de savoir où vont leurs données et de le dire.

Pourquoi est-ce important si je ne suis pas une banque?

Parce que le risque que les banques divulguent est le même que vous portez, sauf que personne ne vous demande de l'écrire. Si vous utilisez un clavardage d'IA américain pour vos courriels clients, vos contrats ou vos notes internes, ces données peuvent être traitées sur des serveurs situés hors du Canada. La loi québécoise sur la protection des renseignements personnels et la loi fédérale, la LPRPDE, s'intéressent toutes les deux à ça. Aucune des deux lois n'interdit d'envoyer des données hors du Canada. Les deux exigent que vous sachiez où elles vont et que vous le disiez si c'est pertinent.

Un cabinet comptable de neuf personnes ne dépose pas de rapport annuel. Mais un client dont les documents fiscaux ont été envoyés dans un outil d'IA américain, sans qu'on le lui dise, a la même plainte qu'un actionnaire de banque aurait — personne n'a divulgué où allaient les données.

Que veut vraiment dire « IA canadienne » dans ce contexte?

C'est ici que l'expression est utilisée de façon vague, alors vaut mieux être précis. Une plateforme d'IA canadienne veut dire que l'entreprise est constituée au Canada, que les données clients sont stockées au Canada, et que l'entreprise n'a pas de société mère américaine qui pourrait la forcer à remettre des données aux autorités américaines. Ce dernier point compte à cause du CLOUD Act, une loi américaine qui permet aux autorités des États-Unis d'obliger des entreprises basées aux États-Unis à remettre des données, même celles stockées hors des États-Unis.

Augure est une entreprise canadienne qui opère sous juridiction canadienne, sans société mère américaine ni investisseurs américains. Les conversations des clients, les documents et l'inférence d'IA ne sont jamais traités par des fournisseurs de juridiction américaine, donc la portée du CLOUD Act sur les entreprises contrôlées par les États-Unis ne s'étend pas à ce que vous mettez dans Augure. L'inférence tourne sur une infrastructure canadienne et, pour certains niveaux de modèle, avec des partenaires européens vérifiés sous des ententes de non-rétention des données — jamais sur des serveurs américains. La livraison des courriels et le traitement des paiements touchent encore des réseaux américains, comme c'est le cas pour presque toutes les entreprises du pays, et c'est divulgué dans la politique de confidentialité. La partie qui lit vos documents et répond à vos questions reste entièrement hors de l'infrastructure américaine.

Les grandes banques gèrent ce genre d'exposition avec des équipes juridiques et des audits de fournisseurs qui prennent des mois. Une petite entreprise canadienne ne peut généralement pas faire ça. Choisir un outil d'IA canadien dès le départ évite l'audit.

Quel est le vrai coût de se tromper là-dessus?

Un seul transfert de données transfrontalier non divulgué, si un client se plaint à la Commission d'accès à l'information du Québec, peut déclencher un examen formel — même pour une entreprise de neuf employés.

C'est le chiffre qui devrait rester en tête. Ce n'est pas un montant d'amende — les amendes varient selon les cas — mais un examen formel engloutit des semaines du temps d'un propriétaire d'entreprise, implique un avocat, et ressort si vous vendez un jour l'entreprise ou levez des fonds. Les banques évitent ça en divulguant tôt et souvent. Vous évitez ça en choisissant des outils qui ne vous forcent pas à choisir entre commodité et clarté.

L'autre coût est plus discret : la confiance. De plus en plus, les clients et les employés demandent où vivent leurs données avant de demander combien coûte un outil. Pouvoir répondre en une phrase clôt cette conversation rapidement.

Dois-je choisir une plateforme d'IA canadienne, ou simplement être prudent?

Vous pouvez être prudent avec n'importe quel outil, en théorie. En pratique, presque personne ne lit l'entente complète de traitement des données d'un fournisseur d'IA américain, et la plupart de ces ententes permettent le traitement aux États-Unis par défaut. Le chemin le plus simple est de choisir une plateforme d'IA canadienne bâtie autour de la Loi 25 et de la LPRPDE dès le départ, pour ne pas avoir à rattraper la divulgation après coup.

Augure est gratuit au départ, avec une allocation quotidienne de calcul suffisante pour environ 25 messages typiques par jour, dix documents, et une recherche web de base — aucune carte de crédit, aucun appel de vente. Les forfaits payants commencent à 20 $/mois pour la messagerie illimitée et la mémoire persistante, bien en dessous de ce que la plupart des banques dépensent pour une seule révision de contrat de fournisseur. Pour les entreprises qui ont besoin de révision de contrats et de vérifications de conformité spécifiquement — le genre de travail que fait l'équipe juridique interne d'une banque — Augure Legal gère le tri des ententes de confidentialité et les vérifications de conformité à la Loi 25 et à la LPRPDE à partir de 149 $/mois.

Rien de tout ça ne garantit la conformité. Aucun fournisseur ne peut le promettre, et quiconque affirme que son outil le fait vous vend quelque chose de faux. Ce qu'une plateforme d'IA canadienne vous donne, c'est une liste plus courte de choses à vérifier, parce que la question de la résidence des données est déjà réglée.

Quoi faire cette semaine

• Ouvrez la politique de confidentialité de votre outil d'IA actuel et cherchez le mot « juridiction » ou « États-Unis ». Si vous ne trouvez pas où se fait le traitement en moins de deux minutes, c'est votre réponse.
• Demandez à un client ou un employé où il s'attendrait à ce que ses données soient stockées. Sa réponse vous dira si la divulgation est même sur son radar — la plupart des gens présument que c'est canadien par défaut.
• Essayez une plateforme d'IA canadienne pendant une semaine sur quelque chose de peu risqué, comme des notes internes ou un résumé de document, avant d'y transférer quoi que ce soit de sensible.

Les banques dépensent des millions pour prouver qu'elles savent où vont leurs données. Vous pouvez faire la majeure partie du chemin en choisissant une plateforme d'IA canadienne et en lisant un seul paragraphe de sa politique de confidentialité. Commencez sur augureai.ca.

D'où ça vient : Rapport annuel 2025 de la Banque Royale du Canada, section Gestion des risques, et rapport annuel 2025 de la Banque Toronto-Dominion, divulgation sur les risques technologiques et cybernétiques.