Microsoft 365, AWS et le CLOUD Act : les petites lignes que les acheteurs canadiens ratent

Réponse courte : oui, ils peuvent. Si Microsoft ou Amazon reçoit une ordonnance légale d'un tribunal américain, ils peuvent être forcés de remettre vos données, même si ces données se trouvent dans un centre de données à Toronto ou à Montréal. Ça s'appelle le CLOUD Act, et ça s'applique à toute entreprise constituée aux États-Unis, peu importe où vivent physiquement leurs serveurs. C'est la partie que la plupart des entreprises canadiennes ne lisent jamais avant de cliquer sur « accepter ».

Qu'est-ce que le CLOUD Act, au juste?

Le CLOUD Act est une loi américaine de 2018. Ça veut dire Clarifying Lawful Overseas Use of Data Act, un nom à coucher dehors, alors personne ne l'appelle comme ça. Ce que ça fait est simple. Les autorités américaines peuvent ordonner à une entreprise américaine de produire des données qu'elle détient ou contrôle, même si ces données se trouvent hors des États-Unis.

Microsoft est une entreprise américaine. Amazon est une entreprise américaine. Google aussi, et OpenAI aussi. Ça ne change rien qu'AWS ait une région à Montréal, ou que Microsoft 365 vous laisse choisir un paramètre de résidence de données canadien. L'entreprise elle-même répond aux tribunaux américains. L'adresse du centre de données n'y change rien.

C'est différent du chiffrement, et c'est ça qui mêle les gens. Vos fichiers peuvent être chiffrés au repos, intouchés sur un serveur au Québec. Mais au moment où quelqu'un doit lire ce fichier, le chercher, ou le faire passer dans un modèle d'IA, il faut le déchiffrer quelque part. À ce moment-là, la question n'est plus où se trouve le serveur. C'est qui contrôle l'entreprise qui l'exploite, et quel gouvernement peut les forcer à obéir.

La « résidence des données au Canada », c'est pas suffisant?

C'est la phrase du dépliant de vente qui fait le plus de dégâts. Les fournisseurs disent « vos données restent au Canada » et c'est vrai techniquement, du point de vue du stockage. Mais ce n'est pas vrai légalement.

La résidence des données canadienne vous dit où se trouvent les octets. Ça ne dit rien sur qui peut légalement être forcé de les remettre. Une entreprise américaine qui stocke des données de clients canadiens dans un centre de données canadien reste une entreprise américaine, reste soumise aux citations à comparaître américaines, reste capable de recevoir une ordonnance du CLOUD Act accompagnée d'une clause de non-divulgation lui interdisant de vous en informer.

La loi québécoise sur la protection des renseignements personnels et la loi fédérale canadienne, la LPRPDE, s'intéressent toutes les deux à l'endroit où finissent les renseignements personnels et à qui peut y accéder. Aucune des deux ne peut renverser une ordonnance d'un tribunal américain servie à une société mère américaine. Ce n'est pas un problème qu'un régulateur canadien peut régler. C'est un problème de portée légale, et les problèmes de portée légale ne se règlent pas en cochant une case dans un menu de paramètres.

Une adresse de centre de données canadien ne vous met pas hors de portée légale des États-Unis si l'entreprise qui l'exploite est américaine.

Alors, qu'est-ce qui protège vraiment les données canadiennes?

La seule chose qui compte, c'est qui possède l'entreprise, pas où se trouvent les serveurs. Une entreprise sans société mère américaine, sans investisseurs américains, et sans aucune part de son infrastructure sous propriété américaine n'a aucune exposition au CLOUD Act. Il n'y a rien qu'un tribunal américain puisse forcer, parce qu'il n'y a aucune entité américaine dans la chaîne.

C'est ça, la vraie différence entre un outil américain avec un centre de données canadien et une plateforme d'IA détenue par des intérêts canadiens. Les outils d'IA canadiens, construits et détenus au Canada, répondent aux tribunaux canadiens et aux régulateurs canadiens. C'est une position légale nettement différente de celle d'une entreprise américaine qui loue de l'espace serveur au nord de la frontière.

Augure en est un exemple. C'est une entreprise canadienne, conçue pour les entreprises canadiennes qui doivent respecter la loi québécoise sur la protection des renseignements personnels et la LPRPDE. Les données des clients sont stockées au Canada, comme l'exigent les règles de confidentialité canadiennes. L'inférence, c'est-à-dire le travail réel qu'un modèle d'IA fait pour répondre à votre question, s'exécute sur une infrastructure canadienne et auprès de partenaires européens vérifiés sous ententes de rétention nulle — jamais chez des fournisseurs américains. Augure n'a ni société mère américaine ni investisseurs américains, et le contenu client ne passe jamais par des fournisseurs de juridiction américaine. La portée du CLOUD Act ne s'y étend donc pas, parce qu'il n'y a aucune entité américaine que le CLOUD Act pourrait nommer. Les données des clients ne sont jamais utilisées pour entraîner les modèles d'Augure.

Ce détail sur le repli en Europe compte si vous faites vos propres vérifications de conformité, surtout si vous évaluez des transferts de renseignements personnels hors Québec. Mieux vaut le savoir tout de suite que de le découvrir plus tard, alors le voici clairement : le Canada en premier, l'Europe seulement en solution de repli, jamais les États-Unis.

Devrais-je arrêter d'utiliser Microsoft 365 ou AWS?

Probablement pas complètement, et c'est là que les discussions sur les risques fournisseurs ont tendance à s'emballer. Microsoft 365 et AWS sont d'immenses plateformes qui font des dizaines de choses à la fois : courriel, stockage de fichiers, appels vidéo, feuilles de calcul, infrastructure de fond. Tout arracher pour un seul risque légal coûte cher, et ce n'est souvent pas la bonne solution.

La question plus pointue, c'est laquelle de ces tâches touche vos données les plus sensibles. Contrats. Dossiers clients. Dossiers RH. Tout ce que vous préféreriez qu'un régulateur, ou un tribunal américain, ne voie jamais. C'est habituellement la couche IA, pas tout le système de courriel, parce que c'est là que vous tapez votre matériel le plus franc, le plus précis, le plus lourd légalement, dans une boîte de clavardage, avant d'appuyer sur « entrée ».

Pour les petites entreprises qui gèrent des données de clients, des renseignements de santé, des dossiers financiers ou des documents juridiques, la couche IA mérite d'être examinée à part. Remplacer l'outil d'IA par une plateforme canadienne est un changement plus petit et moins coûteux que de migrer tout votre système de courriel et de stockage, et ça cible le vrai risque.

Combien ça me coûte?

Voici où le calcul devient simple. Augure débute gratuitement : 50 messages par jour, cinq documents, recherche Web de base, sans carte de crédit. L'abonnement payant coûte 20 $/mois par personne, ce qui vous donne des messages illimités, des modèles prioritaires, et une mémoire qui persiste entre les sessions. Un abonnement affaires coûte 80 $/mois avec des agents de recherche approfondie et des documents illimités. Rien de tout ça ne coûte plus cher que ce que la plupart des entreprises de neuf employés paient déjà pour un abonnement IA américain par utilisateur.

Si vous êtes un cabinet d'avocats ou que vous faites de la révision de contrats spécifiquement, Augure Legal débute à 149 $/mois pour un praticien seul, conçu pour vérifier les documents par rapport aux exigences de la loi québécoise sur la protection des renseignements personnels et de la LPRPDE dans le cadre même de la révision, pas après coup.

À faire cette semaine

• Dressez la liste de l'endroit où vont vraiment vos données les plus sensibles. Pas toute votre infrastructure technologique, seulement les outils où les noms de clients, les contrats, ou les détails de santé et financiers sont tapés chaque jour.
• Vérifiez qui possède l'outil d'IA que votre équipe utilise aujourd'hui. Une société mère américaine, des investisseurs américains, ou une infrastructure basée aux États-Unis signifient une exposition au CLOUD Act, peu importe le paramètre de résidence des données canadien.
• Essayez une plateforme d'IA canadienne pendant une semaine sur du vrai travail. L'abonnement gratuit d'Augure suffit pour la tester avec vos propres documents avant de vous engager.

Commencez sur augureai.ca.

D'où ça vient : Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) a été adopté par le Congrès américain en 2018 et s'applique aux entreprises soumises à la loi américaine, peu importe où les données elles-mêmes sont stockées.