Est-ce que Cohere est privé? Ce que les entreprises canadiennes doivent savoir

Que Cohere soit une entreprise canadienne ne veut pas dire que vos données restent au Canada. Ce sont deux questions différentes, et c'est en les mélangeant que les entreprises se retrouvent avec un trou de conformité qu'elles ne savaient même pas avoir.

C'est important si vous magasinez un outil d'IA et que quelqu'un vous a dit « Cohere, c'est canadien » comme si ça réglait la question. Le siège social et le traitement des données, ce n'est pas pareil. Une entreprise peut être fondée à Toronto et quand même faire tourner ses calculs sur des serveurs en Virginie, stocker ses copies de sauvegarde chez un fournisseur infonuagique américain, ou faire transiter son trafic par des sous-traitants soumis aux lois américaines. Rien de tout ça n'est inhabituel. C'est juste que ce n'est pas ce que les gens veulent dire quand ils disent « IA canadienne ».

Est-ce que Cohere est vraiment privée?

Cohere, comme la plupart des entreprises d'IA, protège vos données avec du chiffrement et des contrôles d'accès. C'est la norme. « Privé » au sens de « sécurisé » n'est pas la même chose que « privé » au sens de « conforme à la loi sur la protection des renseignements personnels du Québec ».

Pour les données réglementées — dossiers clients, fichiers d'employés, tout ce qui contient des renseignements personnels d'un Canadien — vous devez savoir trois choses : où c'est stocké, où c'est traité, et qui d'autre peut y accéder. Cohere publie une partie de cette information. Lisez la vraie liste des sous-traitants pour votre forfait, pas le texte de la page d'accueil. Les modalités entreprise et les modalités du forfait gratuit ne sont pas toujours la même entente.

Pourquoi « entreprise canadienne » ne règle-t-il pas la question?

La loi sur la protection des renseignements personnels se soucie des flux de données, pas des sièges sociaux. La loi québécoise demande où voyagent les renseignements personnels et qui peut y accéder en cours de route. Une entreprise canadienne qui utilise une infrastructure infonuagique américaine pour l'inférence ou les copies de sauvegarde crée la même exposition qu'une entreprise américaine, même si le logo dit Toronto.

C'est le trou que beaucoup de petites entreprises manquent. Elles tiennent pour acquis que « bâti par des Canadiens » veut dire « les données restent au Canada ». Parfois oui. Souvent non, parce que bâtir un produit d'IA rapide et abordable implique habituellement d'acheter de la puissance de calcul là où c'est le moins cher, et c'est souvent une infrastructure infonuagique américaine.

Si vous manipulez des dossiers de santé, des dossiers juridiques, ou n'importe quoi couvert par la loi québécoise sur la protection des renseignements personnels, cette distinction n'est pas juste théorique. C'est la différence entre un dossier de conformité propre et un appel inconfortable de votre avocat.

Qu'est-ce que PIPEDA exige vraiment ici?

PIPEDA, la loi fédérale sur la protection des renseignements personnels qui s'applique hors Québec et parfois en parallèle au Québec, exige que les organisations protègent les renseignements personnels et soient transparentes sur où ils vont, incluant à travers les frontières. Elle n'interdit pas carrément les transferts de données vers les États-Unis. Elle exige de la divulgation et une protection comparable.

Donc la question pour n'importe quel outil d'IA, incluant Cohere, n'est pas « est-ce que c'est illégal ». C'est « est-ce que j'en sais assez pour dire la vérité à mes clients s'ils me le demandent ». La plupart des entreprises ne peuvent pas répondre à ça pour les outils d'IA qu'elles utilisent déjà. C'est le vrai risque — pas une amende qui sort de nulle part, mais ne pas être capable de répondre à une question de base quand un client la pose.

Si vous ne pouvez pas nommer où votre fournisseur d'IA traite les données, vous ne pouvez pas le dire à vos clients non plus.

Qu'est-ce qui rend une plateforme d'IA vraiment canadienne pour la conformité?

Trois choses, et elles sont vérifiables :

• L'emplacement du stockage des données — est-ce que c'est écrit Canada, précisément, pas juste « Amérique du Nord »
• Où l'inférence tourne — le calcul réel, pas juste où l'entreprise est incorporée
• Qui possède et contrôle l'entreprise — la propriété détermine quels tribunaux et quelles agences d'un pays peuvent exiger une divulgation

Une plateforme d'IA canadienne bâtie pour ça vous dira ces trois éléments sans que vous ayez à fouiller dans un PDF de sous-traitants. Augure est une entreprise canadienne qui opère sous la juridiction canadienne, avec les données clients stockées au Canada et l'inférence qui tourne sur une infrastructure canadienne, en plus de partenaires européens vérifiés sous des ententes de rétention zéro pour certains niveaux de modèle et pour le relais de secours. Rien de tout ça ne touche à des fournisseurs américains. Certaines fonctions d'affaires ordinaires, comme les paiements par carte et l'envoi de courriels, impliquent quand même un traitement américain — c'est divulgué clairement dans la politique de confidentialité, pas caché, parce que la plupart des outils d'IA utilisés par les entreprises canadiennes font passer beaucoup plus que ça par les États-Unis.

Augure n'a pas de société mère américaine ni d'investisseurs américains. Ça compte, parce que la propriété américaine peut créer des voies légales permettant aux autorités américaines d'exiger des données, même d'une entreprise avec des bureaux canadiens. Les conversations et documents des clients chez Augure ne sont pas gérés par des fournisseurs sous juridiction américaine, donc cette exposition en particulier ne s'applique pas au contenu client.

Qu'est-ce que je devrais faire avant de choisir un outil d'IA?

Demandez au fournisseur sa liste de sous-traitants, pas sa page marketing. Demandez où l'inférence se passe, pas juste où les données reposent. S'ils ne peuvent pas répondre en une phrase, voilà votre réponse.

Pour la plupart des entreprises de neuf personnes, ce n'est pas un projet de recherche juridique. Ce sont trois questions à poser à un fournisseur, et soit il répond clairement, soit il ne répond pas.

Quoi faire cette semaine

Demandez à votre fournisseur d'IA actuel sa liste de sous-traitants. Si vous utilisez Cohere, ChatGPT ou tout autre outil d'IA pour des données clients ou d'employés, demandez les vraies modalités de résidence pour votre forfait, pas la description générale de l'entreprise.

Vérifiez ce que vous lui donnez réellement comme données. Faites la liste de ce que vous avez tapé ou téléversé dans des outils d'IA au cours du dernier mois. Si ça inclut des noms de clients, des détails de santé ou des dossiers financiers, c'est cette donnée-là qui a besoin d'une réponse à la question de résidence en premier.

Essayez une alternative bâtie pour ça. Augure est gratuit pour commencer, sans carte requise, avec environ 25 messages par jour, 10 documents et une recherche de base. Si vous voulez comparer comment une plateforme d'IA canadienne gère la résidence des données par rapport à ce que vous utilisez en ce moment, le forfait gratuit suffit pour le tester cette semaine. Allez sur augureai.ca.

D'où ça vient

La loi québécoise sur la protection des renseignements personnels, connue sous le nom de Loi 25, exige une évaluation des renseignements personnels transférés hors Québec, en vertu de l'article 17.