Votre outil d'IA du secteur public doit-il garder les données au Canada?

Réponse courte : ça dépend de votre province, mais pour la plupart des organismes publics, oui. Vous devez savoir où votre fournisseur d'IA traite les données. Et vous devez être capable de l'expliquer en langage clair. C'est en train de devenir une attente documentée en vertu de la Loi 25 du Québec, et de la LPRPDE, la loi fédérale sur la protection des renseignements personnels qui s'applique là où la loi provinciale ne couvre pas le terrain.

Si vous gérez l'informatique, la protection des renseignements personnels ou l'approvisionnement pour une municipalité, une commission scolaire, un établissement de santé ou un ministère provincial, cette question a probablement déjà atterri sur votre bureau. Quelqu'un a demandé si le nouvel outil de clavardage est de « l'IA canadienne ». Vous n'aviez pas de réponse claire. En voici une.

Que veut dire « résidence des données », concrètement?

Ça veut dire deux choses, et les gens les mélangent constamment. Premièrement : où les données sont-elles stockées. Deuxièmement : où le modèle d'IA tourne-t-il réellement quand il traite une requête. Un outil peut stocker vos fichiers à Toronto et quand même envoyer le texte à un serveur en Virginie pour générer une réponse. Cette deuxième étape, c'est là où se trouve la vraie exposition.

Les organismes publics se soucient de ça parce que les dossiers citoyens, les dossiers médicaux et les notes de cas ont un poids légal. Si le traitement d'un fournisseur se fait hors du Canada, vous devez savoir dans quel pays, sous quelle entente, et si la société mère de ce fournisseur pourrait être forcée de remettre des données en vertu des lois de son pays d'origine. Pour les entreprises d'IA dont le siège social est aux États-Unis, c'est le CLOUD Act américain. Il donne aux autorités américaines un accès légal aux données détenues par des entreprises sous contrôle américain, peu importe où les serveurs se trouvent physiquement.

La Loi 25 du Québec exige-t-elle vraiment ça?

Pour les organisations qui font affaire au Québec, oui. La loi exige une évaluation documentée avant d'envoyer des renseignements personnels hors Québec, en tenant compte des lois du territoire récepteur et du fait que les protections là-bas sont à la hauteur. Vous ne pouvez pas faire cette évaluation si votre fournisseur ne veut pas vous dire où se fait le traitement. Un nombre surprenant de fournisseurs refusent, du moins clairement.

Voici ce que cette évaluation implique concrètement, étape par étape. Vous identifiez chaque endroit où des renseignements personnels pourraient voyager, pas seulement là où ils sont stockés au repos. Vous notez quelle loi régit chacun de ces endroits. Vous comparez les protections de cette loi à ce qu'exige la Loi 25. Ensuite, vous décidez, par écrit, si l'écart est acceptable, et quelles clauses contractuelles supplémentaires ou mesures de protection comblent cet écart s'il ne l'est pas. La plupart des organismes publics sautent directement à « le fournisseur dit que c'est correct », ce qui n'est pas une évaluation. C'est un vœu pieux.

Hors Québec, les lois provinciales sur l'accès et la protection des renseignements personnels pour les organismes publics vont dans la même direction. La Colombie-Britannique, l'Alberta et l'Ontario ont toutes des règles sur les flux transfrontaliers de données gouvernementales. Les équipes d'approvisionnement commencent à demander ce détail aux fournisseurs comme pratique standard, pas comme exception.

« IA canadienne » : une catégorie qui veut vraiment dire quelque chose, ou juste du marketing?

Ça peut être l'un ou l'autre, selon le fournisseur. L'expression est utilisée à toutes les sauces. Une vraie plateforme d'IA canadienne devrait pouvoir vous dire, précisément : où les données clients sont stockées, où le traitement s'exécute, si l'entreprise a une société mère américaine ou des investisseurs américains, et ce qui se passe lors d'une panne de service ou d'un basculement.

Augure est une entreprise canadienne qui opère sous juridiction canadienne, sans société mère américaine ni investisseurs américains. Les données clients sont stockées au Canada. Le traitement s'exécute sur une infrastructure canadienne pour la majorité des usages courants, avec des partenaires européens vérifiés sous ententes de rétention zéro qui gèrent certains niveaux de modèles et le basculement — jamais de fournisseurs américains. Cette distinction compte plus qu'il n'y paraît. Vos conversations et documents ne sont jamais traités par une entreprise qui répond à la loi américaine, ce qui est la vraie question que soulève le CLOUD Act pour le contenu client.

Ça vaut la peine de le dire clairement : tout n'est pas canadien ou européen. Les transactions par carte de paiement et l'acheminement des courriels touchent à l'infrastructure américaine, comme presque tous les fournisseurs dans ce domaine. Un outil d'IA canadien crédible documente ça plutôt que de le cacher, parce que la comparaison qui compte, c'est face aux outils hébergés aux États-Unis, pas face à la perfection. Si un fournisseur prétend « 100 % au Canada, toujours », demandez-lui de vous montrer la liste des sous-traitants. Cette affirmation survit rarement à la question.

Un lecteur sceptique pourrait demander : si des partenaires européens sont dans le portrait, est-ce que le fournisseur n'a pas juste échangé une juridiction étrangère pour une autre? Pas vraiment le même échange. La préoccupation avec les fournisseurs américains, c'est un mécanisme légal précis qui force la divulgation aux autorités américaines. L'UE n'a pas d'équivalent pour accéder au contenu client contrôlé au Canada, et les clauses de rétention zéro font en sorte que le partenaire européen ne conserve pas vos données après que la requête est complétée. C'est un risque plus restreint, pas un risque échangé.

Qu'est-ce qu'on devrait vraiment demander aux fournisseurs durant l'approvisionnement?

Mettez ces questions sur votre liste de vérification d'appel d'offres. C'est la seule liste de ce texte, alors profitez-en.

• Où les données clients sont-elles stockées au repos, et pouvez-vous nommer la province ou le pays?
• Où s'exécute le traitement, et est-ce que ça change selon le forfait ou en cas de panne?
• Votre entreprise a-t-elle une société mère américaine ou des investisseurs américains?
• Les données clients servent-elles jamais à entraîner vos modèles?
• Quel traitement non lié à l'IA (facturation, courriel, billets de soutien) touche à l'infrastructure américaine, et est-ce documenté?

Un fournisseur qui répond aux cinq questions sans tourner autour du pot a fait le travail. Un fournisseur qui répond avec des mots comme « de calibre mondial » au lieu de nommer un pays ne l'a pas fait.

Combien ça coûte à un organisme public?

Le budget est toujours la deuxième question après la conformité. Voici un chiffre à retenir.

Un outil d'IA canadien avec une vraie résidence des données peut coûter 0 $ pour commencer et 20 $ par mois par utilisateur pour un accès complet — pas une prime par rapport aux outils américains, un prix comparable.

L'offre gratuite d'Augure couvre environ 25 messages par jour, dix documents et une recherche web de base, suffisant pour une petite équipe qui pilote un cas d'usage. L'offre payante, à 20 $ par mois, retire le plafond quotidien et ajoute une mémoire persistante et des modèles prioritaires. Une offre supérieure à 80 $ par mois ajoute des agents de recherche approfondie et des documents illimités, utile pour les plus gros services qui font du travail d'IA soutenu. Aucun de ces prix ne suppose une prime pour rester au Canada.

Un coût que les gens oublient de budgéter : le temps du personnel pour faire l'évaluation elle-même. Rédiger l'analyse de transfert, mettre à jour l'avis de confidentialité et informer l'équipe d'approvisionnement prend quelques heures, pas quelques semaines, si le fournisseur a déjà répondu aux cinq questions ci-dessus. S'il ne l'a pas fait, prévoyez beaucoup plus de temps, parce que vous allez courir après des réponses au lieu de les documenter.

Quoi faire cette semaine

Sortez vos contrats actuels avec vos fournisseurs d'IA et vérifiez la liste des sous-traitants. La plupart des ententes infonuagiques en ont une, souvent enterrée dans une annexe ou une politique de confidentialité liée. Découvrez quel pays exécute réellement le traitement, pas seulement où l'entreprise a son siège social.

Rédigez une phrase de divulgation pour votre avis de confidentialité public. Précisez clairement si une partie du traitement par IA se fait hors du Canada, et où. Si vous ne le savez pas encore, c'est votre action du jour : allez le découvrir.

Pilotez une alternative d'IA canadienne avec une petite équipe avant votre prochain cycle d'appel d'offres. L'offre gratuite d'Augure rend ça à faible risque — pas besoin de processus d'approvisionnement pour tester si un outil fait ce que fait votre outil actuel, moins le point d'interrogation sur la résidence des données.

Commencez sur augureai.ca.

D'où vient tout ça

L'article 17 de la Loi 25 du Québec établit l'exigence d'évaluation des transferts transfrontaliers pour les organisations qui font affaire au Québec.