Liste de vérification de conformité à la Loi 25 pour les outils d'IA en 2026

Ce qui a fait dérailler notre examen, ce n'était pas la posture de sécurité du fournisseur d'IA. C'était une seule ligne dans le tableau des sous-traitants à laquelle aucun de nous n'avait pensé six mois plus tôt : l'envoi des courriels. Pas l'inférence du modèle, pas le stockage des données — les courriels transactionnels que la plateforme envoie quand quelqu'un partage un document. Ça passait par un fournisseur américain, et notre responsable de la protection des renseignements personnels s'est arrêtée là-dessus plus longtemps que sur n'importe quel autre point de la liste.

Je travaille en conformité dans une firme de services professionnels de taille moyenne, le genre d'endroit avec suffisamment de clients québécois pour que la Loi 25 ne soit pas abstraite, mais pas assez de personnel juridique pour avoir un comité permanent de gouvernance de l'IA. Quand l'équipe de direction a voulu déployer un outil de clavardage IA pour la rédaction et la recherche interne, c'est tombé sur mon bureau pour évaluation. Je veux revenir sur ce qu'on a vraiment demandé, parce que la liste de vérification qu'on trouve sur la plupart des sites de fournisseurs ne ressemble en rien à l'ordre dans lequel ces questions se sont posées dans la vraie vie.

Ce que la Loi 25 nous oblige réellement à vérifier

La Loi 25 du Québec ne nomme pas les outils d'IA, alors il n'existe pas de liste de vérification qu'un fournisseur peut vous remettre en disant « tiens, on est conformes ». Ce qu'elle exige, et ce qui comptait pour nous, c'est une évaluation documentée de tout transfert de renseignements personnels hors du Québec — l'article 17 — et une personne désignée à l'interne responsable de la vie privée, ce que la plupart des firmes de notre taille n'avaient pas formellement nommé avant que ce dossier arrive.

Avant de communiquer un renseignement personnel à l'extérieur du Québec, une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée applicables à cette communication.

C'est ce point-là qui a changé notre processus. La page marketing d'un fournisseur qui affiche « canadien » n'est pas l'évaluation. Il faut l'évaluation elle-même — documentée, datée, rangée dans un dossier quelque part — qui montre où vont les données et pourquoi le risque est acceptable compte tenu de ce qui se trouve de l'autre côté.

Je devrais préciser en quoi consiste concrètement cette évaluation, parce que le mot « évaluation » paraît plus lourd que ce ne l'est en pratique, et à certains égards plus léger aussi. La nôtre faisait environ quatre pages : un schéma des flux de données, une liste de chaque sous-traitant avec son pays d'exploitation, une cote de sensibilité pour les catégories de renseignements personnels concernées, et une brève justification écrite pour chaque flux transfrontalier qui ne pouvait pas être éliminé. Ça a pris à notre responsable de la protection des renseignements personnels environ deux semaines de calendrier, la majeure partie passée à attendre que les fournisseurs répondent précisément à la question des sous-traitants plutôt que par des généralités. Les avocats l'ont révisée en un après-midi. Ce que j'ai sous-estimé, c'est à quel point une bonne partie de ces quatre pages finit par être du texte réutilisable d'un fournisseur à l'autre — les catégories de renseignements personnels ne changent pas, seul le pays de destination change.

Pourquoi on a commencé par chercher « IA canadienne » tout court

Je vais admettre que l'instinct de départ était défensif. Quelqu'un de l'équipe de direction avait lu qu'un outil d'IA américain avait été signalé dans une autre juridiction et a demandé, en gros, si on pouvait juste trouver un outil canadien et régler ça une bonne fois pour toutes. Ce n'est pas comme ça que ça fonctionne, mais ce n'est pas un mauvais instinct de départ non plus. Chercher des plateformes d'IA canadiennes a rapidement réduit le champ des possibilités — d'une douzaine d'outils considérés à quatre qui pouvaient même répondre à la question de la résidence des données sans avoir besoin d'une équipe juridique en ligne.

Ce qui m'a surpris, c'est le peu de fournisseurs se présentant comme IA canadienne qui avaient réellement l'infrastructure pour appuyer cette affirmation. Quelques-uns revendaient un accès à des modèles hébergés aux États-Unis avec une entité de facturation canadienne collée par-dessus. Ce n'est pas rien, mais ça ne change rien à une évaluation en vertu de l'article 17, parce que le renseignement personnel traverse quand même la frontière dès qu'il atteint l'inférence.

Les questions qui ont vraiment compté

On a fini par bâtir une courte liste, et je dirais qu'environ le tiers des questions de départ se sont révélées non pertinentes une fois qu'on est entrés dans le vif du sujet. Voici à peu près ce qu'on a demandé à chaque fournisseur, dans l'ordre où c'est venu :

• Où les données des clients sont-elles stockées au repos, et est-ce documenté dans une politique de confidentialité qu'on peut citer?
• Où se fait l'inférence — pas « où le siège social de l'entreprise se trouve », mais dans quel pays le modèle s'exécute-t-il réellement?
• Est-ce qu'une donnée client sert à entraîner des modèles, et est-ce contractuel ou seulement une politique affichée?
• Quelle est la liste complète des sous-traitants, incluant le traitement des paiements et l'envoi des courriels, pas seulement la pile technologique de l'IA?
• Qui a accès aux journaux, et pendant combien de temps sont-ils conservés?
• Le fournisseur a-t-il une personne-ressource désignée pour la vie privée qu'on peut joindre, et a-t-elle déjà traité une demande dans le cadre de la Loi 25?

La quatrième question, c'est celle à laquelle personne de notre côté n'avait pensé avant que notre réviseur en sécurité insiste. On traitait « où l'IA s'exécute-t-elle » comme LA question. Ce n'est pas le cas. Un outil peut avoir une inférence canadienne solide et quand même acheminer les invitations de calendrier ou les réinitialisations de mot de passe par un serveur de courriel américain, et selon ce que contiennent ces courriels, ça reste un flux transfrontalier qui mérite d'être documenté.

Une collègue sceptique d'une autre firme a contesté cette liste quand je la lui ai décrite — son point était que si on traque chaque sous-traitant jusqu'au réseau de paiement, on ne finit jamais une évaluation, parce que Visa et Stripe se retrouvent dans la pile technologique d'une douzaine de fournisseurs, peu importe où le produit principal s'exécute. Je pense que c'est un point valable, et c'est en partie pour ça que l'évaluation distingue les flux qui transportent des renseignements personnels liés à une personne concernée des flux qui sont purement des métadonnées transactionnelles. Le traitement d'une carte pour une facture d'abonnement n'est pas dans la même catégorie de risque qu'une transcription de conversation. On n'a pas traité chaque sous-traitant comme également disqualifiant — on a juste insisté pour savoir qu'ils existaient avant de trancher là-dessus.

La question du CLOUD Act sur laquelle nos avocats n'ont pas bougé

C'est le seul endroit où une réglementation américaine a directement façonné la décision, alors je vais le dire clairement : nos avocats ont refusé de donner leur aval à tout outil où le contenu des clients — conversations, documents, ébauches de contrats — se retrouvait chez un fournisseur soumis à la juridiction américaine, à cause de l'exposition sous le CLOUD Act américain. Pas parce qu'on craignait une assignation précise. C'était plutôt qu'on ne pouvait pas obtenir de réponse claire de deux des fournisseurs dont le siège social est aux États-Unis à savoir si leur propre équipe juridique pourrait résister à une demande si elle survenait, et « ça ne nous est jamais arrivé » n'équivaut pas à « on n'est pas structurellement exposés ».

Augure faisait partie des quatre plateformes qu'on a réellement pilotées, et c'est là qu'elle a fait quelque chose que les autres n'ont pas fait : elle nous a dit clairement, sans qu'on ait à insister, que les conversations et les documents des clients ne sont traités par aucun fournisseur soumis à la juridiction américaine, donc cette exposition en particulier ne s'étend pas au contenu des clients — une affirmation circonscrite à ça, pas présentée comme une prétention générale du genre « on n'est pas soumis au droit américain », ce dont je me serais méfié de toute façon. Leur politique de confidentialité a aussi divulgué les éléments que je m'attendais à ce qu'un fournisseur passe sous silence : l'infrastructure européenne gère l'inférence pour certains niveaux de modèles et lors des bascules de secours, et l'envoi des courriels ainsi que le traitement des paiements par carte passent encore par des fournisseurs américains. J'ai fait davantage confiance à l'affirmation circonscrite justement à cause de ce qu'ils ont admis en même temps.

Ce qui s'est finalement révélé sans importance, en fin de compte, c'est les tests de performance des modèles. On avait passé un temps considérable au début à comparer la qualité des réponses entre les outils, et une fois rendus dans l'examen de conformité, rien de tout ça n'avait d'importance si le fournisseur ne pouvait pas répondre clairement aux questions de résidence des données et de sous-traitants. Je regrette la quantité de temps qu'on a mise dans les deux premières semaines sur cette comparaison plutôt que sur le questionnaire.

Ce qu'on referait autrement

Je pense que la plus grosse erreur de processus a été de ne pas impliquer notre responsable de la protection des renseignements personnels avant la troisième semaine. On a traité ça d'abord comme une décision d'approvisionnement et de sécurité, la vie privée en second, et la Loi 25 ne permet pas vraiment de séquencer les choses ainsi — l'évaluation des facteurs relatifs à la vie privée est censée éclairer la décision, pas l'auditer après coup. Si c'était à refaire, je l'aurais dans la salle dès le premier appel avec un fournisseur, pas le quatrième.

On a aussi présumé que la LPRPDE et la Loi 25 pointeraient à peu près dans la même direction, et pour l'essentiel c'était le cas, mais l'exigence d'évaluation des transferts de la Loi 25 est plus précise que ce que la LPRPDE exige à proprement parler, et quelques-uns de nos collègues assujettis à la réglementation fédérale dans d'autres firmes n'avaient pas prévu de temps pour ça parce que leur travail de conformité s'était limité à la LPRPDE jusque-là.

Rien de tout ça ne nous mène à une « conformité » au sens final du terme — un outil ne confère pas ça, et je me méfierais de tout fournisseur qui laisse entendre le contraire. Ce que ça nous donne, c'est un dossier défendable : l'évaluation, le tableau des sous-traitants, la personne-ressource désignée, le raisonnement documenté expliquant pourquoi on a choisi ce qu'on a choisi. C'est à peu près ce qu'un régulateur voudrait voir si jamais ça devait arriver là, et c'est le mieux qu'on puisse tous vraiment promettre.