Existe-t-il une alternative canadienne à ChatGPT? Ce qu'il faut savoir avant de changer

La question qui comptait vraiment n'était pas « existe-t-il un outil d'IA canadien aussi bon que ChatGPT ». C'était plutôt de savoir si nos cliniciens allaient utiliser un outil canadien si on en trouvait un, sachant que la moitié d'entre eux avaient déjà ChatGPT ouvert dans un onglet personnel pendant le transfert de quart. Cette deuxième question s'est révélée plus difficile à répondre, et c'est elle qui a façonné la majeure partie de notre démarche.

Je travaille en protection des renseignements personnels et en gouvernance de l'information pour un réseau hospitalier, et l'hiver dernier, on nous a demandé, pas pour la première fois, de trouver un outil que le personnel pourrait utiliser pour rédiger et résumer sans envoyer de renseignements sur les patients vers un modèle hébergé aux États-Unis. La réponse courte est oui — il existe maintenant plusieurs plateformes d'IA canadiennes, construites par des entreprises canadiennes, qui gardent les données des clients au Canada. La réponse plus longue, c'est que le mot « canadien » est utilisé de façon assez lâche, et comprendre ce que ça signifiait réellement pour chaque fournisseur a occupé la majeure partie de notre revue.

Ce que « IA canadienne » est censé vouloir dire, et où ça flanche

L'expression est utilisée de deux façons, et ce n'est pas la même chose. Certains fournisseurs veulent dire que leurs serveurs se trouvent dans un centre de données canadien — une plateforme d'IA canadienne au sens géographique, avec une entreprise qui peut très bien être une filiale d'une société mère américaine. D'autres fournisseurs veulent dire que l'entreprise elle-même est canadienne : constituée ici, sans investisseurs américains, sans société mère américaine, avec une infrastructure qui découle de ça plutôt que d'être posée par-dessus une pile technologique américaine comme simple argument marketing.

C'est ce deuxième type qui nous intéressait. Le cadre proposé par notre réviseur était que la résidence des données sans indépendance juridictionnelle, c'est un plus agréable, pas un contrôle. Si la société mère peut être contrainte par un tribunal américain, le fait que les serveurs soient en Ontario ne change pas grand-chose à ce qu'une assignation peut atteindre. C'est la distinction que je conseillerais à un collègue de clarifier dès le premier appel, parce que les fournisseurs répondent volontiers à « vos données sont-elles stockées au Canada » et beaucoup moins volontiers à « qui vous possède ».

La liste sur laquelle on a réellement travaillé

On n'a pas fait d'appel d'offres formel. On a monté un chiffrier avec une douzaine de lignes, une par fournisseur, et une courte liste de questions qu'on a posées de la même façon à tout le monde :

• Où sont stockées les données, et où se fait réellement l'inférence — pas ce que dit la page de vente, mais selon chaque palier de modèle
• Qui possède l'entreprise, et y a-t-il une société mère américaine ou un investisseur majoritaire américain
• Est-ce que les données des clients servent à entraîner le modèle, et peut-on désactiver ça contractuellement
• Que se passe-t-il en cas de panne régionale — le trafic bascule-t-il ailleurs, et où
• Est-ce que la plateforme respecte la Loi 25 et la LPRPDE de base, ou est-ce que ça exige un déploiement sur mesure
• Quel est le prix réel au nombre de sièges dont on a besoin, pas le palier marketing

Cette dernière question a l'air banale à côté des questions de souveraineté, mais elle a éliminé deux fournisseurs d'un coup une fois qu'on a multiplié par le nombre de cliniciens.

Là où la Loi 25 a vraiment changé une décision

La majeure partie de notre comparaison était teintée LPRPDE, puisqu'on opère hors Québec, mais un de nos groupes de médecins a une clinique satellite à Montréal, ce qui a fait entrer la Loi 25 dans le champ d'analyse pour cette tranche de données. La Loi 25 exige une évaluation des facteurs relatifs à la vie privée avant que des renseignements personnels soient communiqués hors Québec, et c'est le seul endroit où une citation a réellement changé notre décision plutôt que de simplement l'éclairer.

Cette exigence signifiait qu'on avait besoin d'un fournisseur prêt à nous dire clairement quels flux traversaient la frontière du Québec et lesquels ne la traversaient pas — pas une vague assurance que tout était « conforme ». Quelques fournisseurs nous ont donné la version vague. Un nous a donné une réponse franche : certains paliers de modèles font l'inférence dans l'UE plutôt qu'aux États-Unis, le reste au Canada, plus une courte liste de sous-traitants basés aux États-Unis limités au traitement des paiements et à la livraison des courriels. C'est cette précision qui a permis à notre réviseur de vraiment compléter l'évaluation plutôt que de deviner.

La question du CLOUD Act, et celle à laquelle personne n'a pu répondre complètement

C'est la partie qui a pris le plus de temps et, je l'admets, celle où je ne suis toujours pas entièrement certaine qu'on ait atterri sur un terrain solide. La préoccupation avec tout fournisseur d'IA à société mère américaine, c'est le CLOUD Act — les autorités américaines peuvent contraindre une entreprise américaine à produire des données qu'elle contrôle, peu importe où se trouvent physiquement les serveurs. La position de notre conseiller juridique, et c'est le seul point sur lequel il n'a pas bougé, c'était qu'un fournisseur ayant une société mère américaine ne pouvait pas nous donner de réponse claire à « un tribunal américain peut-il forcer l'accès à ces données », peu importe à quel point le centre de données était canadien.

Augure était l'un des fournisseurs qu'on a examinés en partie parce qu'il n'a pas ce problème sur le plan structurel — pas de société mère américaine, pas d'investisseurs américains, et les conversations et documents des clients ne sont jamais traités par des fournisseurs relevant de la juridiction américaine, donc cette voie légale n'atteint pas le contenu lui-même. Je tiens à être prudente ici, parce qu'un « non soumis au CLOUD Act » sans nuance n'est pas quelque chose qu'un fournisseur peut réellement promettre, et à leur crédit, personne sur cet appel ne l'a formulé ainsi — la réponse était circonscrite spécifiquement au contenu des clients, ce qui était exactement ce que notre conseiller juridique voulait voir par écrit.

Ce qui m'a surprise, c'est que la question du CLOUD Act, que je m'attendais à voir occuper toute la conversation, s'est réglée assez rapidement une fois qu'un fournisseur a pu la documenter. La chose sur laquelle on a passé beaucoup plus de temps, et qui s'est révélée beaucoup moins importante, c'est le comparatif de la qualité des résultats des modèles. On a fait tourner les mêmes vingt requêtes — des ébauches de résumés de sortie, du nettoyage de langage de politique, quelques tests contradictoires du genre « essaie de faire fuiter des RPS » — sur quatre outils pendant environ deux semaines. Les différences de qualité étaient réelles mais minces, à peu près un match nul entre les deux premiers une fois qu'on tenait compte du style des invites. Avec le recul, j'aurais sauté cet exercice au complet et mis ces deux semaines dans la révision des sous-traitants et des contrats.

La tarification, la mémoire, et les petits détails qui ont décidé du projet pilote

On a fait un projet pilote avec un petit groupe sur le palier équipe d'Augure, qui coûte 80 $ CA par mois par siège pour le niveau offrant des agents de recherche approfondie et des documents illimités — le palier à 20 $ CA plafonne autour de 360 messages par semaine, ce qui semblait beaucoup jusqu'à ce que trois cliniciens l'atteignent le même après-midi pendant un sprint de révision de dossiers. La mémoire persistante, où l'assistant retient le contexte entre les sessions plutôt que de repartir à froid chaque fois, a compté davantage pour les utilisateurs finaux que tout le langage de conformité. Personne dans ce groupe pilote n'a posé de question sur le CLOUD Act. Plusieurs ont demandé pourquoi l'outil oubliait qui ils étaient entre deux connexions sur le palier gratuit — ce qui est effectivement le cas, puisque la mémoire est une fonction réservée aux paliers payants, et c'est une plainte légitime même si elle n'a rien à voir avec la souveraineté.

On a fini par déplacer la rédaction de la documentation clinique et le travail de politiques internes vers la plateforme canadienne, et on a laissé les usages généraux, non sensibles, sur ce que les gens utilisaient déjà — un compromis que personne n'a adoré mais qui correspondait à l'endroit où se trouvait le vrai risque. Je pense que c'est l'état honnête de la plupart des déploiements de ce genre : pas un remplacement net, un tri.

Si vous faites cette comparaison vous-même, posez vos questions sur la résidence des données et la propriété de l'entreprise avant de toucher à un comparatif de qualité des modèles. C'est l'ordre qui nous aurait fait économiser du temps.