Trois barreaux, aucune norme commune : l'Ontario, le Québec et la C.-B. face à l'IA en pratique

Le Barreau de l'Ontario (Law Society of Ontario) n'a pas émis de règle formelle sur l'usage de l'IA générative dans la pratique du droit. Le Barreau de la Colombie-Britannique non plus. Le Barreau du Québec est allé plus loin que les deux autres, en publiant en 2024 des directives de pratique qui lient le choix des outils d'IA aux obligations de la Loi 25. C'est le seul des trois qui nomme une loi précise sur la protection des renseignements personnels dans ses directives sur l'IA.

Un avocat de Toronto, un de Vancouver et un de Montréal travaillent à partir de trois documents différents, avec trois priorités différentes. Un outil d'IA canadien qui satisfait aux attentes d'une juridiction ne passe pas automatiquement le test des deux autres. Voici une comparaison de ce que chaque régulateur a réellement énoncé.

Le silence de l'Ontario

Le Barreau de l'Ontario traite de l'IA par le biais de ses règles de déontologie existantes plutôt que par une politique dédiée à l'IA. Ses directives, publiées sur le site du Barreau, situent l'IA générative sous l'obligation de compétence prévue à la règle 3.1-2 et l'obligation de confidentialité prévue à la règle 3.3-1. Les avocats doivent comprendre un outil suffisamment bien pour l'utiliser avec compétence, et ne doivent pas divulguer de renseignements sur un client à un système qui n'a jamais été validé sous l'angle de la confidentialité.

Il n'existe aucune liste de vérification propre à la technologie. Le Barreau a plutôt signalé des problèmes récurrents relevés dans des dossiers disciplinaires et judiciaires : des citations jurisprudentielles fabriquées par des outils génératifs et soumises sans vérification, et des documents confidentiels de clients téléversés dans des outils de clavardage d'IA grand public sans aucune entente de traitement de données de niveau entreprise. Un avocat de Toronto a fait l'objet d'une réprimande formelle en 2024 après avoir déposé un mémoire citant des décisions qui n'existaient pas. Cette affaire a largement circulé dans la presse juridique canadienne et est devenue la référence que la plupart des cabinets ontariens citent maintenant en interne lors de la rédaction de leurs politiques d'usage de l'IA.

Deux cabinets peuvent arriver à des conclusions opposées sur le même outil et prétendre tous deux être conformes. L'approche fondée sur des principes de l'Ontario laisse une marge de manœuvre aux cabinets, et cette marge joue dans les deux sens. Cela signifie aussi que le Barreau n'a aucun mécanisme pour préapprouver un outil. Il n'existe ni registre de fournisseurs, ni liste approuvée, rien qu'un associé directeur puisse vérifier avant de déployer une plateforme à l'échelle du cabinet. Le fardeau repose entièrement sur le jugement de l'avocat individuel au moment de l'utilisation, ce qui est plus difficile à vérifier après coup qu'une liste de vérification, et plus difficile à défendre en cas de plainte si ce jugement s'avère erroné.

La Loi 25 change la donne au Québec

Le Québec, c'est différent, et la différence n'est pas qu'une question de style. La Loi 25, la loi modernisée sur la protection des renseignements personnels dans le secteur privé, pleinement en vigueur depuis septembre 2023, exige une évaluation des facteurs relatifs à la vie privée avant tout transfert de renseignements personnels hors Québec. Cette exigence s'applique que le transfert survienne parce qu'un cabinet a changé de fournisseur infonuagique ou parce qu'un avocat a collé le contrat d'un client dans un clavardeur hébergé dans un autre pays.

Les directives du Barreau du Québec relient explicitement ces éléments. Ses notes de pratique sur les outils d'IA demandent à ses membres de tenir compte de l'endroit où le fournisseur stocke les données, de la question de savoir si l'infrastructure du fournisseur relève d'un régime juridique étranger, et de la question de savoir si le cabinet a documenté une évaluation avant d'adopter l'outil. C'est l'ensemble de directives le plus concret des trois, et il l'est parce que la Loi 25 a donné au Barreau une loi précise sur laquelle s'appuyer plutôt qu'un devoir général de compétence. Une évaluation des facteurs relatifs à la vie privée est une condition préalable documentée dès que des renseignements personnels franchissent une frontière provinciale ou nationale, selon les directives de pratique publiées par le Barreau sur l'usage de la technologie.

Ce que cette évaluation implique concrètement n'a rien d'exotique, mais ce n'est pas non plus un formulaire qu'un cabinet remplit une fois et oublie. Une boutique de litige montréalaise qui a changé de fournisseur d'IA cette année a décrit le processus comme trois documents distincts plutôt qu'un seul : un inventaire des catégories de renseignements personnels que l'outil toucherait, une cartographie de chaque juridiction que les données traversent entre l'entrée et la sortie, et une section sur l'atténuation des risques expliquant ce qui se passe si une autorité étrangère exige l'accès aux données. La responsable de la protection des renseignements personnels du cabinet a indiqué que l'étape de cartographie avait pris plus de temps que prévu, parce que les documents commerciaux du fournisseur décrivaient l'infrastructure en termes généraux et que le cabinet avait dû retourner deux fois demander des précisions avant de pouvoir finaliser le document. Ce seul détail — un fournisseur incapable ou réticent à préciser exactement où l'inférence a lieu — fonctionne maintenant, selon plusieurs praticiens québécois en protection des renseignements personnels, comme un signal d'alarme informel en approvisionnement, indépendamment de ce que le Barreau a publié.

Les cabinets qui exercent au Québec et utilisent une plateforme d'IA hébergée aux États-Unis ne sont pas automatiquement en défaut. Ce sont eux qui doivent avoir l'évaluation au dossier, et cette évaluation doit traiter honnêtement de l'endroit où se fait l'inférence et de qui peut en exiger l'accès en vertu d'une loi étrangère. Le CLOUD Act est la préoccupation récurrente pour tout ce qui transite par un fournisseur américain. Un cabinet qui saute complètement l'évaluation est celui qui est exposé si la Commission d'accès à l'information demande un jour à la consulter, pas celui qui a documenté un transfert à l'étranger et procédé quand même avec des mesures d'atténuation au dossier.

L'approche plus légère de la C.-B.

Le Barreau de la Colombie-Britannique a adopté une position plus proche de celle de l'Ontario que de celle du Québec. Ses directives renvoient aux mêmes obligations fondamentales : compétence, confidentialité, supervision du travail produit avec l'aide de l'IA. Elle le fait sans qu'une loi dédiée à la protection des renseignements personnels équivalente à la Loi 25 vienne l'ancrer. La Personal Information Protection Act de la C.-B. couvre les données du secteur privé de façon générale, mais les commentaires du Barreau sur l'IA ne construisent pas le genre de cadre d'évaluation des transferts que le Barreau du Québec a établi.

Les avocats de la C.-B. reçoivent des instructions moins précises et, par conséquent, disposent d'une plus grande discrétion. Un cabinet de Vancouver qui évalue une plateforme d'IA canadienne face à une solution américaine le fait en fonction de règles de déontologie qui demandent simplement si l'avocat a compris et vérifié les résultats de l'outil. Aucune loi n'exige de laisser une trace documentaire avant qu'une donnée ne traverse une frontière. Un sceptique pourrait demander pourquoi cela importe si la PIPA s'applique quand même, peu importe ce que dit le Barreau. Elle s'applique effectivement toujours, mais la PIPA n'exige pas d'évaluation d'impact documentée comme condition préalable à un transfert précis, contrairement à la Loi 25; elle encadre la collecte et l'utilisation de façon générale et laisse l'application reposer sur des enquêtes déclenchées par des plaintes après coup, ce qui constitue un mécanisme de mise en application nettement plus faible sur les décisions d'approvisionnement prises avant qu'un outil soit mis en service.

La place d'une plateforme souveraine

La question pratique qui sous-tend les trois ensembles de directives est la même : où vont les données des clients, et qui peut y accéder une fois qu'elles y sont. Une plateforme d'IA canadienne peut répondre à cette question plus directement qu'une plateforme dont le siège est aux États-Unis, parce que la réponse à « qui peut exiger l'accès » change selon la juridiction où se trouve l'infrastructure.

Augure, une plateforme basée à Toronto destinée aux organisations canadiennes réglementées, y compris les cabinets d'avocats, stocke les données des clients au Canada et exécute l'inférence sur une infrastructure canadienne ainsi qu'avec des partenaires européens vérifiés dans le cadre d'ententes de rétention nulle des données, pour certains niveaux de modèles et pour offrir une capacité de redondance. Les conversations, documents et inférences d'IA des clients ne sont jamais traités par des fournisseurs relevant de la juridiction américaine, selon l'entreprise. Cette affirmation vise précisément le contenu des clients. La portée du CLOUD Act sur les fournisseurs contrôlés par les États-Unis s'applique à ce contenu précis, pas à chaque système que touche un fournisseur SaaS. La propre politique de confidentialité d'Augure divulgue un traitement limité aux États-Unis pour les réseaux de cartes de paiement et l'acheminement des courriels, comme la plupart des plateformes SaaS. C'est plus restreint et plus défendable que le langage général « les données ne quittent jamais le Canada » qu'utilisent certains fournisseurs.

Cette distinction est justement ce qu'une évaluation des facteurs relatifs à la vie privée en vertu de la Loi 25 est censée mettre en lumière. Un cabinet québécois qui effectue cette évaluation sur un concurrent hébergé aux États-Unis doit documenter la portée juridique d'une juridiction étrangère sur les données des clients. Un cabinet qui effectue la même évaluation sur un outil canadien avec une inférence européenne divulguée pour certains niveaux produit un document plus court, et plus complet, parce qu'il y a moins à expliquer et davantage que le fournisseur a déjà mis par écrit.

Le produit spécialisé en droit d'Augure, Augure Legal, ajoute la révision de contrats, le tri des ententes de confidentialité et l'extraction de clauses, dans l'esprit du flux de travail que décrivent les directives du Barreau : quelque chose qu'un cabinet peut invoquer quand on lui demande comment il a validé l'outil. Les tarifs vont de 149 $ CA par mois pour les praticiens autonomes à 799 $ CA pour l'accès complet à la plateforme avec intégrations, selon les tarifs publiés par l'entreprise. C'est une option parmi une liste grandissante. Les cabinets canadiens évaluent aussi des plateformes de recherche juridique développées au pays et des déploiements d'entreprise de modèles étrangers plus imposants avec des modules complémentaires de résidence des données canadienne. Aucun d'entre eux ne transforme les règles fondées sur des principes d'un barreau en une liste de vérification qui garantit la conformité à la place du cabinet.

L'écart que les régulateurs n'ont pas comblé

Aucun des trois barreaux n'a précisé ce qui se passe quand un avocat s'appuie sur une recherche générée par l'IA qui s'avère subtilement erronée plutôt qu'ouvertement fabriquée. C'est un cas plus difficile que les scandales de citations fictives qui ont fait les manchettes en 2023 et 2024. La règle de compétence de l'Ontario le couvre en théorie. Personne n'a encore testé cela dans une décision disciplinaire rapportée.

Il existe une version plus étroite de cet écart qui mérite d'être nommée directement : aucun des trois régulateurs n'a abordé ce qui se passe quand l'outil d'IA a raison, mais que les données sous-jacentes ont été mal gérées — un document téléversé sans le consentement du client vers une juridiction que le client n'a jamais approuvée, où la recherche qui en résulte est irréprochable, mais où le processus qui l'a produite ne l'était pas. Les règles de compétence demandent si le résultat était bon. Les règles de confidentialité demandent si l'intrant était protégé. Ni les directives de l'Ontario ni celles de la C.-B. ne traitent du cas où les deux réponses pointent dans des directions opposées, et seul le cadre du Barreau du Québec, ancré dans la Loi 25, force la question du transfert à être réglée avant que le travail commence plutôt qu'après le dépôt d'une plainte.

Les cabinets qui élaborent des politiques internes sur l'IA en 2026 rédigent, dans les faits, les directives que les régulateurs n'ont pas encore eu le temps de produire. Les trois provinces ne s'entendent pas sur le degré de structure à imposer. Elles s'entendent, sans le dire directement, sur le fait que l'avocat qui utilise l'outil demeure celui qui répond de ce qu'il produit.

Plus de détails sur l'architecture de résidence des données d'Augure et sur son produit juridique se trouvent sur augureai.ca et legal.augureai.ca.