how-quebecs-law-25-interacts-with-the-us-cloud-act

La loi québécoise sur la protection des renseignements personnels et le CLOUD Act américain ne se parlent pas. Ils s'appliquent tous les deux, en même temps, à la même donnée. Si vous stockez des données clients chez un fournisseur infonuagique ou d'IA américain, la loi québécoise vous rend responsable de ce qui leur arrive, pendant que la loi américaine donne aux tribunaux des États-Unis un moyen d'y accéder quand même.

Voilà tout le problème en deux phrases. Le reste de cet article explique ce que ça veut dire pour une entreprise qui veut juste utiliser des outils d'IA sans marcher sur une mine.

Que fait exactement le CLOUD Act?

Le CLOUD Act américain, adopté en 2018, permet aux autorités américaines d'obliger les entreprises américaines à remettre des données qu'elles contrôlent. L'endroit où se trouve le serveur n'a pas d'importance. Microsoft, Google, OpenAI, Amazon : si l'entreprise est américaine, une ordonnance d'un tribunal américain peut atteindre les données sur son infrastructure, que celle-ci soit en Virginie ou à Montréal.

Ça surprend les gens parce qu'ils pensent qu'un « centre de données au Canada » veut dire « règles canadiennes seulement ». Ce n'est pas le cas. Le CLOUD Act suit l'entreprise, pas le pays où se trouve le serveur par hasard. Un centre de données canadien appartenant à une entreprise américaine reste, sur le plan juridique, le centre de données d'une entreprise américaine.

Ça vaut la peine d'être clair sur le déroulement du processus, parce que « un tribunal peut forcer la divulgation » sonne abstrait tant qu'on n'en voit pas la mécanique. Les autorités américaines font une demande à un tribunal américain, le tribunal émet une ordonnance ou un mandat adressé à l'entreprise, et l'entreprise est légalement obligée de s'y conformer, que la donnée se trouve en Ohio ou en Ontario. L'entreprise peut contester l'ordonnance si elle croit que la demande entre en conflit avec la loi du pays où se trouve la donnée, mais cette contestation se fait après l'émission de l'ordonnance, pas avant. Rien n'oblige à prévenir d'abord le client, ni l'entreprise qui détient la relation avec ce client.

Pourquoi la loi québécoise se préoccupe-t-elle de tout ça?

La loi québécoise impose de vraies obligations à toute organisation qui traite des renseignements personnels de résidents du Québec, peu importe où cette organisation a son siège social. Si vous envoyez des données clients à un fournisseur situé hors du Québec, vous êtes censé évaluer le niveau de protection que ces données recevront une fois parties.

Cette évaluation devient plus difficile quand le fournisseur est américain. Il faut penser non seulement à sa politique de confidentialité, mais à la possibilité qu'un gouvernement étranger force la divulgation, peu importe ce que dit cette politique. La plupart des entreprises ne font jamais cette évaluation. La plupart des entreprises ne savent pas non plus qu'elles sont censées la faire.

Il y a une amende prévue si vous vous trompez à grande échelle, pouvant atteindre des dizaines de millions de dollars pour des violations graves commises par de grandes organisations. Pour une boutique de neuf personnes, le risque réel n'est pas une amende qui fait les manchettes. C'est une plainte, une enquête, et le temps que ça vous vole.

La solution ne coûte rien pour commencer et prend environ vingt minutes : vérifiez où vos outils d'IA traitent réellement vos données.

Est-ce qu'utiliser un outil d'IA américain me met hors la loi au Québec, là maintenant?

Pas automatiquement. Utiliser un logiciel américain n'est pas illégal. Ce que la loi québécoise demande, c'est que vous sachiez où vont les données, que vous en informiez les gens quand elles quittent le Québec d'une façon qui a de l'importance pour leur vie privée, et que vous portiez un jugement raisonnable sur le risque.

La plupart des petites entreprises sautent cette étape parce que les conditions d'utilisation de leur outil d'IA ne rendent pas le flux de données évident. Lisez la liste des sous-traitants, si elle existe. Si vous ne trouvez pas où se fait réellement l'inférence, c'est un signal important, parce que ça veut dire que vous ne pouvez pas non plus répondre à la question en ce moment.

C'est aussi ici que la conversation sur l'IA canadienne cesse d'être abstraite. Une plateforme d'IA canadienne, sans maison mère américaine ni investisseurs américains, veut dire que le contenu de vos clients ne se trouve pas dans un système qu'une ordonnance de tribunal américain peut atteindre. Ça n'efface pas votre travail de conformité au Québec — vous devez quand même faire vos propres évaluations — mais ça élimine une catégorie d'exposition.

Qu'est-ce qu'une plateforme d'IA canadienne change vraiment?

Ça change qui peut être légalement forcé de produire vos données, et sous quelle loi. Augure est une entreprise canadienne qui opère sous juridiction canadienne. Les conversations, les documents et l'inférence IA de vos clients tournent sur une infrastructure canadienne ou chez des partenaires européens validés, sous des ententes de zéro rétention de données, jamais chez des fournisseurs sous juridiction américaine. La portée du CLOUD Act sur les fournisseurs contrôlés par les États-Unis ne s'étend donc pas à ce contenu.

Pour être précis là-dessus, parce qu'une affirmation vague est pire qu'une affirmation précise : certains paliers de modèles d'Augure font l'inférence au Canada, d'autres sur une infrastructure européenne, et les partenaires européens gèrent aussi la redondance. Il y a également un traitement limité aux États-Unis, pour les réseaux de cartes de paiement et l'envoi de courriels, les affaires ordinaires sur lesquelles roule toute entreprise SaaS. Tout ça est documenté dans la politique de confidentialité plutôt qu'enfoui quelque part. Le but, c'est de le divulguer — la comparaison qui compte se fait avec des outils entièrement hébergés aux États-Unis, pas avec une norme fictive de zéro donnée transfrontalière, jamais.

Un lecteur sceptique pourrait demander : est-ce que le traitement en Europe ne pose pas le même problème, juste avec un autre gouvernement étranger? Pas le même. Les partenaires européens fonctionnent sous des ententes de zéro rétention de données, et le mécanisme juridique qui inquiète les gens à propos des fournisseurs américains — un tribunal national qui ordonne à une entreprise américaine de remettre des données qu'elle contrôle — n'a pas d'équivalent européen qui atteint ce type de dispositif. C'est une différence dans l'exposition juridique, pas une promesse que la loi européenne ne touche jamais à rien.

Augure est gratuit au départ, avec 50 messages par jour et 5 documents sur le forfait sans frais. Les forfaits payants commencent à 20 $/mois pour une petite équipe qui veut une mémoire persistante et aucune limite de messages. Rien de tout ça ne vous achète une garantie de conformité. Aucun fournisseur ne peut vous en vendre une. Mais ça veut dire que le contenu de vos clients ne se trouve pas sous une juridiction qui peut être forcée de le remettre selon les règles des États-Unis.

Est-ce que je dois arracher tous mes outils américains?

Non, et quiconque vous dit ça essaie de vous vendre quelque chose. Ce qu'il vous faut, c'est une image claire : quels outils touchent à des renseignements personnels, où se trouvent réellement ces données, et si vous avez documenté une base raisonnable pour les utiliser. Pour les données très sensibles — dossiers de santé, détails financiers, tout ce qui concerne un mineur — la balance penche vers des options canadiennes ou européennes. Pour un gabarit de feuille de calcul partagé, ça n'a probablement pas beaucoup d'importance.

La plupart des entreprises n'ont jamais fait cet exercice, et le faire est plus utile que de changer de fournisseur par réflexe. Certains outils, vous les garderez. D'autres, vous les remplacerez. Mais la carte vient en premier.

À faire cette semaine

• Dressez la liste de vos outils d'IA et infonuagiques. Notez chaque outil qui touche à des renseignements personnels de clients ou d'employés, et indiquez le pays de constitution du fournisseur.
• Vérifiez une politique de confidentialité. Choisissez votre outil le plus utilisé et trouvez sa section sur les sous-traitants ou l'emplacement des données. Si vous ne la trouvez pas en cinq minutes, voilà votre réponse.
• Essayez un outil d'IA canadien pour une tâche. Ouvrez un compte Augure, gratuit, et faites-y passer une semaine de questions sur vos documents ou de rédaction au lieu de votre outil habituel. Voyez ce qui change.

Rien de tout ça ne règle la conformité au Québec en un après-midi. Mais ça transforme une inquiétude vague en trois faits concrets sur lesquels agir, ce qui représente déjà l'essentiel du travail.

Tous les détails sur la façon dont Augure gère les données, les modèles et la tarification se trouvent sur augureai.ca.

D'où vient cette information : la loi québécoise permet des sanctions administratives pécuniaires pouvant atteindre 10 M$ ou 2 % du chiffre d'affaires mondial pour les organisations, selon le montant le plus élevé, en cas de manquement grave. Le CLOUD Act américain a été adopté en 2018 et s'applique aux données contrôlées par des entreprises basées aux États-Unis, peu importe où elles sont stockées.