Choisir une firme d'évaluation des risques réglementaires technologiques au Canada : quoi vérifier en premier

La Commission d'accès à l'information du Québec a imposé ses premières pénalités administratives monétaires en vertu de la Loi 25 à l'automne 2025. Les amendes ont atteint six chiffres pour des entreprises qui n'avaient pas documenté leurs transferts de données transfrontaliers. Ce seul fait a fait plus pour pousser les conseils d'administration canadiens à embaucher des firmes d'évaluation des risques réglementaires qu'aucun panel de conférence n'aurait pu le faire.

Pour une entreprise qui essaie de déterminer à quelle firme confier ce travail — et de plus en plus, quels outils d'IA canadiens utiliser en parallèle —, les résultats de recherche sont un fouillis de firmes-conseils qui prétendent toutes avoir la même expertise, dans un langage presque identique. C'est un problème pratique, pas abstrait. Peu importe qui prend la décision — un avocat externe, une boutique de conformité ou le bras conseil d'une firme des quatre grandes —, il faut des critères qui tiennent la route peu importe qui fait la présentation.

Ce que les firmes vendent réellement

En enlevant l'habillage marketing, la plupart des firmes dans ce domaine vendent trois choses : une analyse des écarts par rapport à la loi applicable, une cartographie des flux de données montrant où l'information va réellement, et un plan de correction assorti d'échéanciers. L'analyse des écarts est la partie facile. N'importe quel avocat compétent en protection de la vie privée peut lire la LPRPDE ou la Loi 25 et repérer les violations évidentes. La cartographie des flux de données est plus difficile, parce qu'elle exige que la firme interroge le personnel des TI, obtienne les contrats des fournisseurs et retrace où atterrissent les dossiers clients une fois qu'ils quittent l'application en façade.

C'est dans le plan de correction que les firmes se distinguent le plus, et c'est aussi là que les clients se font le plus souvent avoir. Un plan qui dit « mettre en place des mesures de protection appropriées » n'est pas un plan. Un plan qui dit que l'entente de sous-traitance avec le fournisseur X doit être renégociée d'ici le troisième trimestre, parce que le fournisseur X stocke ses copies de sauvegarde dans une région américaine sans évaluation documentée des facteurs relatifs à la vie privée pour le transfert, ça, c'est un plan — parce qu'il nomme le fournisseur, l'échéance et la raison.

Il faut demander à toute firme envisagée de produire un exemple caviardé d'une évaluation complétée. Si elle ne peut pas, ou ne veut pas, ça en dit long au client avant même l'arrivée de la première facture.

La mécanique d'un premier mandat suit un ordre assez constant chez les firmes qui publient leur processus. La découverte vient en premier : une semaine ou deux d'entrevues avec les TI, le service juridique et le service qui gère les dossiers clients, plus la collecte de tous les contrats de fournisseurs touchant des renseignements personnels. La cartographie des flux de données suit, habituellement la phase la plus longue, où la firme retrace chaque système par lequel transite un dossier client, y compris des sous-traitants dont personne dans la salle ne se souvenait avoir signé l'entente. L'analyse des écarts par rapport à la LPRPDE ou à la Loi 25 vient après que la carte soit stabilisée, pas avant, parce qu'une analyse des écarts bâtie sur une carte incomplète ne produit que de mauvaises réponses données avec assurance. La planification de la correction constitue le livrable final, et les meilleures firmes intègrent un appel de suivi à quatre-vingt-dix jours pour vérifier ce qui a réellement été corrigé, plutôt que de facturer ça comme un mandat distinct.

Les règles par rapport auxquelles on évalue

Deux cadres dominent la conversation pour la plupart des organisations canadiennes. La LPRPDE, la Loi fédérale sur la protection des renseignements personnels et les documents électroniques, s'applique aux activités commerciales dans les provinces sans loi substantiellement similaire, et elle est appliquée par le Commissariat à la protection de la vie privée du Canada. La Loi 25 du Québec est plus stricte à plusieurs égards, notamment son exigence d'une évaluation des facteurs relatifs à la vie privée avant toute communication de renseignements personnels à l'extérieur du Québec, et elle est appliquée par la Commission d'accès à l'information.

Une firme qui traite ces deux régimes comme interchangeables n'est pas qualifiée pour évaluer les risques en vertu de l'un ou de l'autre. L'exigence d'évaluation des transferts de la Loi 25 oblige les organisations à documenter non seulement le fait que des données traversent une frontière, mais aussi pourquoi la destination offre une protection adéquate. Le principe de responsabilisation de la LPRPDE demande quelque chose de semblable, mais avec moins de rigueur procédurale, et les firmes qui n'ont travaillé qu'avec des clients relevant uniquement du fédéral manquent parfois complètement cette distinction. Ça se voit dans des rapports qui recommandent des « clauses contractuelles types » sans aborder le seuil documentaire précis du Québec.

Il y a aussi la Loi sur la protection de la vie privée des consommateurs, la successeure fédérale proposée à la LPRPDE, toujours à l'étude au Parlement au moment d'écrire ces lignes. Plusieurs firmes y font maintenant référence dans leurs propositions comme si elle était déjà en vigueur. Ce n'est pas le cas. Une firme qui cite des obligations de la LPVPC comme du droit en vigueur fait preuve soit de négligence, soit d'un pari sur le fait que le client ne vérifiera pas.

Une exception mérite d'être soulignée : les organisations dans des secteurs réglementés au fédéral — les banques, les télécommunications, le transport interprovincial — répondent à la LPRPDE peu importe où se situent leurs activités québécoises, et les règles de transfert de la Loi 25 s'ajoutent à ce socle plutôt que de le remplacer. Une firme qui dit à un client réglementé au fédéral que seule la Loi 25 régit ses données a la hiérarchie à l'envers.

Les fournisseurs d'IA entrent en scène

Les évaluations des risques s'arrêtaient autrefois au stockage des données et aux processeurs tiers. Ça a changé le jour où le personnel a commencé à coller des documents clients dans des clavardeurs grand public sans que personne à la conformité ne le sache. Un sondage de 2024 cité par plusieurs cabinets d'avocats canadiens spécialisés en vie privée a révélé qu'une majorité de travailleurs du savoir avaient utilisé un outil d'IA générative au travail sans approbation officielle des TI. Les firmes d'évaluation des risques réglementaires qui ignorent ce vecteur évaluent une entreprise telle qu'elle était il y a trois ans.

C'est là que le choix des outils d'IA canadiens cesse d'être une décision d'approvisionnement en TI pour devenir un intrant de conformité. Une firme qui fait bien son travail demande quelle plateforme d'IA le personnel utilise réellement, où l'inférence de cette plateforme s'exécute, et si les données des clients servent à entraîner le modèle sous-jacent. Ces trois questions éliminent d'un coup un nombre surprenant d'outils populaires, parce que la plupart des produits d'IA grand public sont conçus par des entreprises américaines opérant sous juridiction américaine, ce qui signifie que le contenu des clients peut être assujetti à des procédures judiciaires américaines, peu importe où se trouve le client.

C'est l'argument en faveur de l'évaluation des plateformes d'IA canadiennes souveraines dans le cadre d'une révision des risques réglementaires, et non séparément de celle-ci. Augure est l'un des fournisseurs de cette catégorie — une entreprise canadienne opérant sous juridiction canadienne, sans société mère américaine ni investisseurs américains, selon sa propre documentation. Ses produits de clavardage et de gestion de documents stockent les données des clients au Canada. L'inférence s'exécute sur une infrastructure canadienne ou avec des partenaires européens vérifiés, sous des ententes de non-conservation des données : certains niveaux de modèles s'exécutent principalement dans l'UE, d'autres au Canada, et aucun n'est acheminé vers des fournisseurs basés aux États-Unis. Puisqu'aucune partie de la chaîne de contenu client ne relève d'un fournisseur sous juridiction américaine, la portée du CLOUD Act sur les fournisseurs contrôlés par les États-Unis ne s'étend pas à ce contenu. C'est une affirmation plus précise et plus défendable que le langage général « vos données ne quittent jamais le Canada » que certains fournisseurs emploient à la légère.

Cette distinction compte pour une firme qui fait une évaluation honnête. Les fournisseurs qui simplifient à l'excès leurs propres flux de données produisent généralement une documentation qui s'effondre sous une analyse de transfert selon la CAI. La propre politique de confidentialité d'Augure divulgue que certains niveaux de modèles et des processus de basculement s'exécutent dans l'UE, et qu'un traitement limité aux États-Unis existe pour les réseaux de cartes de paiement et l'acheminement des courriels. Cette divulgation donne à une firme d'évaluation quelque chose de concret à examiner, plutôt qu'une affirmation marketing à prendre pour acquis.

Un responsable des approvisionnements sceptique pourrait demander pourquoi un traitement aux États-Unis existe encore dans un produit commercialisé comme canadien. La réponse honnête, d'après les divulgations, est que le traitement des paiements et l'envoi de courriels transactionnels passent par des réseaux ayant des points de contact américains, en raison de la façon dont ces industries sont structurées, et non parce que les conversations ou les documents des clients y transitent. Cette distinction — la plomberie transactionnelle par opposition à la chaîne de contenu elle-même — est exactement le genre de ligne qu'une évaluation des risques devrait isoler plutôt que de regrouper sous une seule affirmation indifférenciée.

La CAI a indiqué qu'une évaluation des facteurs relatifs à la vie privée doit identifier la destination précise d'un transfert et les raisons pour lesquelles cette destination offre une protection équivalente à celle du régime québécois, et non une simple assurance générale de sécurité, selon les lignes directrices publiées par la Commission avec ses mises à jour sur l'application de la Loi 25.

Les compétences qui comptent, et celles qui ne comptent pas

L'appartenance au Barreau compte moins que ne le laissent croire la plupart des présentations commerciales. Une firme entièrement composée d'avocats peut tout de même produire une cartographie technique des flux de données bancale si personne dans l'équipe n'a jamais configuré la console d'administration d'un fournisseur ou lu une liste de sous-traitants. Le signal le plus fiable, c'est de savoir si la firme a publié quelque chose de précis — une analyse d'une véritable mesure d'application, un commentaire sur une décision réelle de la CAI, quelque chose qui montre un engagement avec les dossiers actuels plutôt qu'une simple reformulation du texte de loi.

Le prix est aussi un filtre grossier mais utile. Les évaluations dont le prix est bien en dessous du marché pour la portée annoncée sabotent habituellement la cartographie des flux de données, puisque cette étape exige de véritables heures de travail plutôt que du texte préformaté. Une poignée de boutiques canadiennes offrent maintenant des mandats à forfait allant de 15 000 $ à 40 000 $ pour la première évaluation complète d'une organisation de taille moyenne, selon des grilles tarifaires que plusieurs ont rendues publiques. Tout ce qui est annoncé à une fraction de ce prix pour une portée comparable mérite qu'on y regarde à deux fois pour voir ce qui est réellement inclus.

Les références aident, mais seulement si le client demande ce qui a changé après le mandat, et non si l'entreprise était satisfaite. La satisfaction, c'est facile. La correction réelle, suivie et fermée, est la preuve la plus difficile à obtenir.

Une fois le rapport livré

Une évaluation qui dort dans un lecteur partagé ne protège personne.

Les organisations qui tirent une réelle valeur de ce processus assignent un responsable interne — souvent quelqu'un du service juridique ou des TI, pas toujours un responsable dédié de la protection de la vie privée — pour suivre chaque élément de correction par rapport à une date, et pour revoir l'évaluation chaque année ou chaque fois qu'un fournisseur important change. L'obligation d'évaluation des transferts de la Loi 25 n'est pas un exercice ponctuel. Un nouveau fournisseur d'IA, un nouveau processeur de paiements ou une nouvelle région infonuagique rouvrent tous la question.

Pour les organisations qui font actuellement cet exercice et qui se demandent quels outils d'IA devraient figurer sur la liste approuvée, la comparaison se résume habituellement aux mêmes questions qu'une bonne firme d'évaluation des risques poserait de toute façon : où les données sont-elles stockées, où l'inférence s'exécute-t-elle, qui a compétence juridique sur le fournisseur, et qu'advient-il des données une fois la conversation terminée. Augure publie les réponses à ces questions sur augureai.ca, avec la documentation sur la protection de la vie privée qu'une firme d'évaluation des risques voudrait examiner directement plutôt que d'obtenir de seconde main.