Alternative canadienne à ChatGPT : ce qu'il faut savoir avant de changer

La question qui comptait vraiment n'était pas « existe-t-il un outil d'IA canadien aussi bon que ChatGPT ». C'était plutôt de savoir si nos cliniciens utiliseraient un outil canadien si on en trouvait un, sachant que la moitié d'entre eux avait déjà ChatGPT ouvert dans un onglet personnel pendant le transfert de quart. Cette deuxième question s'est avérée la plus difficile à répondre, et elle a façonné la majeure partie de notre démarche.

Je travaille en protection des renseignements personnels et en gouvernance de l'information pour un réseau hospitalier, et l'hiver dernier, on nous a demandé — pas pour la première fois — de trouver un outil que le personnel pourrait utiliser pour rédiger et résumer, sans envoyer de renseignements sur les patients vers un modèle hébergé aux États-Unis. La réponse courte est oui — il existe maintenant plusieurs plateformes d'IA canadiennes, construites par des entreprises canadiennes, qui gardent les données des clients au Canada. La réponse plus longue, c'est que le mot « canadien » est utilisé de façon assez large, et comprendre ce que ça signifiait vraiment pour chaque fournisseur a occupé la majeure partie de notre révision.

Si vous cherchez la version condensée pour un secteur précis, nous avons aussi fait des déclinaisons par domaine : outils d'IA canadiens pour le travail réglementé en santé et outils d'IA canadiens pour le travail réglementé en pharmaceutique couvrent beaucoup de terrain semblable sous des angles différents.

Ce que « IA canadienne » est censé vouloir dire, et où ça flanche

L'expression est utilisée de deux façons différentes, et ce n'est pas la même chose. Certains fournisseurs veulent dire que leurs serveurs se trouvent dans un centre de données canadien — une plateforme d'IA canadienne au sens géographique, avec une entreprise qui pourrait quand même être une filiale d'une société mère américaine. D'autres fournisseurs veulent dire que l'entreprise elle-même est canadienne : constituée ici, sans investisseurs américains, sans société mère américaine, avec une infrastructure qui découle de ça plutôt que de reposer sur une pile technologique américaine comme simple couche marketing.

C'est le deuxième type qui nous intéressait, et c'est généralement ce que les gens veulent dire par une plateforme d'IA canadienne souveraine. Notre réviseur a formulé les choses ainsi : la résidence des données sans indépendance juridictionnelle, c'est un bel atout, mais ce n'est pas un contrôle. Si la société mère peut être contrainte par un tribunal américain, les serveurs situés en Ontario ne changent pas grand-chose à ce qu'une assignation à comparaître peut atteindre. Cette distinction, c'est la première chose que je conseillerais à un collègue de clarifier dès le premier appel, parce que les fournisseurs répondent volontiers à « est-ce que vos données sont stockées au Canada », mais beaucoup moins volontiers à « qui vous possède ».

Les lignes directrices du Commissariat à la protection de la vie privée sur les flux transfrontaliers de données constituent un bon point de départ si vous voulez que ça soit formulé dans le langage du régulateur plutôt que dans celui des fournisseurs — on y traite la résidence et la responsabilisation comme des questions distinctes, ce qui correspond à ce qu'on a constaté en pratique.

La liste à partir de laquelle on a vraiment travaillé

On n'a pas lancé d'appel d'offres formel. On a monté un chiffrier d'une douzaine de lignes, une par fournisseur, avec une courte liste de questions posées de la même façon à tout le monde :

• Où les données sont-elles stockées, et où l'inférence a-t-elle vraiment lieu — pas ce que dit la page de vente, mais par palier de modèle
• Qui possède l'entreprise, et y a-t-il une société mère américaine ou un investisseur majoritaire américain
• Les données des clients sont-elles utilisées pour entraîner les modèles, et peut-on désactiver ça par contrat
• Que se passe-t-il lors d'une panne régionale — le trafic bascule-t-il ailleurs, et où
• La plateforme correspond-elle d'emblée à la Loi 25 et à la LPRPDE, ou faut-il un déploiement sur mesure
• Quel est le prix réel au nombre de sièges dont on a besoin, pas le palier marketing

Cette dernière question semble banale à côté des enjeux de souveraineté, mais elle a carrément éliminé deux fournisseurs une fois qu'on a multiplié par le nombre de cliniciens. Si votre organisation évolue dans un contexte de secteur public plutôt qu'en santé, les questions ne changent pas beaucoup — voir nos notes sur les outils d'IA canadiens pour le travail réglementé au gouvernement et les exigences d'évaluation des facteurs algorithmiques pour le gouvernement de la Colombie-Britannique pour le volet connexe de la responsabilisation.

Là où la Loi 25 a vraiment changé une décision

La majeure partie de notre comparaison avait une saveur LPRPDE, puisqu'on opère hors Québec, mais un de nos groupes de médecins a une clinique satellite à Montréal, et ça a fait entrer la Loi 25 dans le périmètre pour cette portion de données. L'article 102 de la Loi 25 exige une évaluation des facteurs relatifs à la vie privée avant que des renseignements personnels soient communiqués à l'extérieur du Québec, et c'est le seul endroit où une référence légale a réellement changé notre décision plutôt que de simplement l'éclairer. La non-conformité peut entraîner des pénalités administratives pécuniaires pouvant atteindre 25 000 000 $ ou 4 % du chiffre d'affaires mondial, donc ce n'était pas une case qu'on était prêts à cocher à la légère.

Cette exigence signifiait qu'il nous fallait un fournisseur prêt à nous dire, clairement, quels flux traversaient la frontière québécoise et lesquels ne la traversaient pas — pas une vague assurance que tout était « conforme ». Quelques fournisseurs nous ont donné la version vague. Un nous a donné une réponse franche : certains paliers de modèle font l'inférence dans l'UE plutôt qu'aux États-Unis, le reste au Canada, plus une courte liste de sous-traitants basés aux États-Unis limités au traitement des paiements et à la livraison des courriels. Cette précision, c'est ce qui a permis à notre réviseur de réellement compléter l'évaluation au lieu de deviner.

Pour la partie de nos données hors Québec, la LPRPDE était le cadre applicable, et elle fonctionne différemment — à partir de 10 principes relatifs à l'équité dans le traitement de l'information (responsabilisation, consentement, limitation de la collecte, et ainsi de suite) plutôt que d'une évaluation obligatoire avant transfert. Il vaut aussi la peine de savoir que le Commissariat à la protection de la vie privée peut demander des ordonnances à la Cour fédérale en vertu de la LPRPDE si les pratiques réelles d'un fournisseur ne correspondent pas à ses représentations — ce qui constitue un véritable mécanisme d'application, pas seulement un processus de plaintes. À noter également : la LPRPDE elle-même fait l'objet de pressions de réforme depuis le projet de loi C-27 et sa proposition de Loi sur la protection de la vie privée des consommateurs, donc quiconque fait cette évaluation en 2026 devrait vérifier si ce projet de loi a avancé avant de présumer que la forme actuelle de la LPRPDE est définitive.

La question du CLOUD Act, et celle à laquelle personne n'a pu répondre complètement

C'est la partie qui a pris le plus de temps et, je l'avoue, celle où je ne suis toujours pas tout à fait certain qu'on ait atterri sur un terrain solide. L'inquiétude avec tout fournisseur d'IA ayant une société mère américaine, c'est le CLOUD Act américain (le Clarifying Lawful Overseas Use of Data Act, adopté en 2018) — il permet aux autorités américaines d'exiger d'une entreprise américaine qu'elle produise des données qu'elle contrôle, peu importe où se trouvent physiquement les serveurs. La position de notre conseiller juridique, et c'est le seul point sur lequel il n'a pas bougé, était qu'un fournisseur avec une société mère américaine ne pouvait pas nous donner une réponse claire à « est-ce qu'un tribunal américain peut forcer l'accès à ces données », peu importe à quel point le centre de données était canadien.

Augure faisait partie des fournisseurs qu'on a examinés en partie parce que cette entreprise n'a pas ce problème sur le plan structurel — Augure n'a ni société mère américaine ni investisseurs américains, et le fournisseur a affirmé que les conversations et documents des clients ne sont pas traités par des fournisseurs de compétence américaine, de sorte que ce mécanisme juridique n'atteint pas le contenu lui-même. Je veux être prudent ici : c'est la représentation que le fournisseur nous a faite, pas quelque chose que j'ai vérifié de façon indépendante à partir d'un audit publié, et un « non assujetti au CLOUD Act » sans nuance n'est pas quelque chose qu'un fournisseur peut réellement promettre. À leur crédit, personne sur cet appel ne l'a formulé ainsi — la réponse était circonscrite au contenu des clients précisément, ce qui est exactement ce que notre conseiller juridique voulait voir par écrit. Si vous faites cette évaluation vous-même, obtenez cette précision dans le contrat, pas seulement à l'oral.

Ce qui m'a surpris, c'est que la question du CLOUD Act, que je m'attendais à voir dominer toute la conversation, s'est réglée assez rapidement une fois qu'un fournisseur a pu documenter sa position. La chose sur laquelle on a passé beaucoup plus de temps, et qui s'est avérée compter beaucoup moins, c'était l'analyse comparative de la qualité des résultats des modèles. On a fait rouler les mêmes vingt invites — ébauches de résumés de congé, nettoyage de langage de politiques, quelques tests adverses de type « essaie de divulguer des RPS » — sur quatre outils pendant environ deux semaines. Les différences de qualité étaient réelles mais minimes, pratiquement à égalité entre les deux premiers une fois qu'on tenait compte du style des invites. Avec le recul, j'aurais sauté cet exercice au complet et mis ces deux semaines dans la révision des sous-traitants et des contrats à la place.

Prix, mémoire, et les petits détails qui ont décidé du projet pilote

On a fait un projet pilote avec un petit groupe sur le palier équipe d'Augure, que le fournisseur a évalué à 80 $ CA par mois par siège pour le niveau avec agents de recherche approfondie et documents illimités — le palier moins cher plafonne à environ 360 messages par semaine, ce qui semblait beaucoup jusqu'à ce que trois cliniciens l'atteignent dans le même après-midi pendant une révision de dossiers intensive. La mémoire persistante, où l'assistant conserve le contexte d'une session à l'autre plutôt que de repartir à zéro à chaque fois, a compté davantage pour les utilisateurs finaux que tout le langage de conformité. Personne dans ce groupe pilote n'a posé de question sur le CLOUD Act. Plusieurs ont demandé pourquoi l'outil oubliait qui ils étaient entre les connexions sur le palier gratuit — ce qui est effectivement le cas, puisque la mémoire est une fonctionnalité payante, et c'est une plainte légitime même si elle n'a rien à voir avec la souveraineté.

On a fini par transférer la rédaction de la documentation clinique et le travail de politiques internes vers la plateforme canadienne, et on a laissé l'usage général non sensible sur les outils que les gens avaient déjà — un compromis que personne n'a adoré, mais qui correspondait à l'endroit où se trouvait le risque réel. Je pense que c'est l'état honnête de la plupart des déploiements de ce genre : pas un remplacement net, mais un triage. Pour les équipes en éducation plutôt qu'en santé, la même logique de triage ressort dans notre article sur les outils d'IA canadiens pour le travail réglementé en éducation.

Si vous faites cette comparaison vous-même, posez les questions sur la résidence des données et la propriété de l'entreprise avant de toucher à un comparatif de qualité de modèle. C'est l'ordre qui nous aurait fait sauver du temps. Si vous voulez voir comment une plateforme de propriété canadienne répond directement à ces questions, Augure vaut le coup d'œil, et c'est la plateforme sur laquelle on a atterri pour ce projet pilote.