Municipalités et IA : une adoption conforme à la LAIPVP

La Ville de Brampton a encadré l'utilisation de l'IA générative par une politique intérimaire destinée à son personnel dès février 2024, plusieurs mois avant que le Commissaire à l'information et à la protection de la vie privée de l'Ontario ne publie ses lignes directrices officielles sur le sujet. Les villes ont bougé les premières. Les régulateurs rattrapent encore leur retard, et cet écart résume assez bien l'état actuel de l'adoption de l'IA dans les municipalités canadiennes.

Une greffière d'une ville ontarienne de taille moyenne qui souhaite utiliser un outil d'IA pour rédiger un rapport au conseil, résumer une plainte relative à un règlement municipal ou trier une demande d'accès à l'information ne cherche pas une définition de la LAIPVP. Elle veut savoir si elle peut y entrer des données de résidents sans créer un problème de conformité pour son employeur. La réponse dépend de l'endroit où vont les données, de qui peut y accéder, et du fait que l'entreprise qui les traite soit canadienne ou américaine.

Ce qu'exige la LAIPVP

La Loi sur l'accès à l'information et la protection de la vie privée de l'Ontario, et sa cousine municipale, la LAIMPVP, ne mentionnent nulle part l'intelligence artificielle. Les deux ont été rédigées à l'époque des dossiers papier et des bases de données centralisées. Ce qu'elles encadrent, c'est la collecte, l'utilisation, la conservation et la divulgation de renseignements personnels par les institutions publiques, et le contrat d'une municipalité avec un fournisseur d'IA tombe sous ce champ d'application dès que des données de résidents touchent l'outil.

Le Commissaire à l'information et à la protection de la vie privée de l'Ontario a publié des lignes directrices sur l'IA générative à la fin de 2023, suivies d'une liste de vérification pour les institutions du secteur public en 2024. Le CIPVP n'a pas créé de nouvelle loi. Il a appliqué des principes existants de la LAIPVP — nécessité, limitation des fins, mesures de sécurité — à une technologie que les services informatiques municipaux mettaient déjà à l'essai sans grande révision juridique. Le Bureau du commissaire à l'information et à la protection de la vie privée de la Colombie-Britannique a adopté une approche semblable en vertu de la loi équivalente dans cette province, en publiant des lignes directrices sur l'IA générative dès juin 2023, l'une des premières publications de ce genre chez un régulateur canadien.

« Les organismes publics demeurent responsables des renseignements personnels dont ils ont la garde ou le contrôle, peu importe la technologie utilisée pour les traiter », a écrit le OIPC de la Colombie-Britannique dans ses lignes directrices de 2023. Les responsables des approvisionnements citent maintenant cette phrase aux fournisseurs pendant la révision des contrats.

Une municipalité ne peut pas sous-traiter ses obligations en vertu de la LAIPVP aux conditions d'utilisation d'un fournisseur. Si un outil d'IA stocke les invites sur des serveurs situés hors du Canada, ou utilise les données soumises pour entraîner un modèle accessible à d'autres clients, l'institution qui a fourni les renseignements de résidents demeure redevable devant le CIPVP.

Le problème de la juridiction américaine

La plupart des outils d'IA que le personnel municipal utilise déjà sans autorisation officielle — clavardagiciels grand public, extensions de navigateur, assistants à palier gratuit — sont conçus par des entreprises américaines soumises au droit américain, y compris au CLOUD Act. Cette loi permet aux autorités américaines d'exiger d'un fournisseur américain qu'il remette des données que ce fournisseur contrôle, peu importe où se trouvent physiquement les serveurs. Pour une municipalité qui traite des évaluations foncières, des dossiers d'application réglementaire ou des demandes de logement social, c'est précisément le fait que doit aborder une évaluation des facteurs relatifs à la vie privée.

C'est ici que la distinction entre un fournisseur d'IA dont le siège est aux États-Unis et un fournisseur canadien commence à peser sur l'approvisionnement, et pas seulement sur les formulaires que remplissent les responsables de la protection des renseignements personnels. Augure, un fournisseur basé à Toronto, affirme n'avoir aucune société mère américaine ni aucun investisseur américain, et que les conversations, documents et inférences d'IA de ses clients ne sont jamais traités par des fournisseurs relevant de la juridiction américaine. Il s'agit d'une affirmation circonscrite sur le contenu des clients. Ce n'est pas une prétention voulant que le CLOUD Act n'ait de portée nulle part dans le monde.

Cette circonscription compte, et les municipalités qui font preuve de diligence raisonnable devraient remarquer la différence entre cela et une promesse générale voulant que les données ne quittent jamais le Canada. La documentation d'Augure sur la protection de la vie privée révèle elle-même que l'inférence pour certains paliers de modèles s'exécute sur une infrastructure européenne en vertu d'ententes de non-conservation, utilisée par défaut pour certains paliers et en relève pour d'autres, et que le traitement des paiements et l'envoi de courriels impliquent tout de même des fournisseurs de services basés aux États-Unis, comme c'est le cas pour presque tous les fournisseurs SaaS qui vendent au Canada. Rien de tout cela n'est inhabituel. Ce qui l'est, parmi les fournisseurs d'IA qui courtisent le marché municipal, c'est de le divulguer clairement dans une politique de confidentialité plutôt que de faire une affirmation qui s'effondre à la première question de suivi d'un responsable des approvisionnements.

Les responsables des approvisionnements posent d'autres questions

L'approvisionnement informatique municipal a historiquement évalué les logiciels selon la disponibilité, le coût et l'intégration aux systèmes existants. Les outils d'IA ont ajouté une quatrième colonne : où se situe juridictionnellement le fournisseur du modèle, et qu'advient-il des données une fois l'invite soumise.

Le personnel d'approvisionnement des municipalités ontariennes et britanno-colombiennes dit poser maintenant aux fournisseurs, selon des échanges rapportés lors de conférences municipales en technologies de l'information en 2024 et 2025, un ensemble constant de questions. Les données des clients servent-elles à entraîner les modèles du fournisseur, et cela peut-il être désactivé contractuellement? Où reposent les données au repos, par opposition à l'endroit où se fait l'inférence? Le fournisseur a-t-il une société mère américaine ou des investisseurs institutionnels américains? Quelle est la période de conservation, et existe-t-il un mécanisme de suppression définitive? Le fournisseur a-t-il cartographié ses sous-traitants, y compris pour le courriel et le traitement des paiements?

Ces questions n'apparaissaient pas dans les appels d'offres municipaux il y a trois ans. Elles apparaissent maintenant parce que les lignes directrices du CIPVP, combinées à une poignée d'incidents embarrassants où du personnel a saisi des dossiers confidentiels dans des clavardagiciels publics, ont forcé la question sur le bureau de greffiers et de dirigeants de l'information qui n'ont aucun goût pour une atteinte à la vie privée portant leur nom.

Les municipalités québécoises font face à une obligation parallèle mais distincte en vertu de la Loi 25, la loi québécoise sur la protection des renseignements personnels, qui lie également les organismes publics et exige une évaluation des facteurs relatifs à la vie privée formelle avant tout projet impliquant des renseignements personnels qui traverse les frontières provinciales ou nationales. Une municipalité de Gatineau ou de Trois-Rivières qui évalue un fournisseur d'IA doit documenter précisément quels flux existent dans le cadre de cette évaluation. Attester que tout demeure au Québec n'est pas une option, parce que ce n'est vrai pour à peu près aucun produit logiciel.

La place des fournisseurs canadiens

L'écosystème de fournisseurs répondant à ce besoin — des outils conçus par des entreprises qui ne se contentent pas de revendre l'accès à un modèle américain, et qui sont au fait tant de la LAIPVP que de la Loi 25 — demeure restreint, mais en croissance. Cohere, basée à Toronto, positionne depuis un certain temps son offre d'entreprise autour du traitement des données canadiennes, principalement pour de plus gros contrats fédéraux et d'entreprise plutôt que pour des budgets municipaux. Des acteurs plus petits ciblent spécifiquement le palier du secteur public municipal et provincial, où les budgets sont plus modestes et les cycles d'approvisionnement plus longs.

Augure en fait partie. L'entreprise se présente comme une plateforme d'IA canadienne bâtie autour des exigences de conformité à la Loi 25 et à la LPRPDE, avec une tarification qui débute à 20 $ CA par mois pour son palier Pro et qui évolue vers des contrats d'entreprise personnalisés avec authentification unique et soutien dédié. Cette fourchette la place à la portée de budgets informatiques municipaux plus modestes, contrairement aux contrats d'entreprise typiques des grands fournisseurs américains. Sa gamme de produits comprend un outil de base de connaissances pour les questions-réponses sur des documents internes, ainsi qu'un produit distinct de révision juridique visant le tri de contrats et d'ententes de confidentialité, bien que ce dernier produit soit commercialisé principalement auprès des cabinets d'avocats plutôt que des services juridiques municipaux.

Que les acheteurs municipaux choisissent Augure, un concurrent, ou continuent de mener des projets pilotes informels sous des politiques d'utilisation par le personnel, le test de fond établi par le CIPVP et le OIPC de la Colombie-Britannique demeure le même. Les institutions doivent démontrer, par écrit, où sont allées les données et qui aurait pu en exiger l'accès. Les affirmations promotionnelles d'un fournisseur appuient cette démonstration. Elles ne la remplacent pas. Une liste documentée des sous-traitants et une évaluation des facteurs relatifs à la vie privée complétée, voilà ce qui fait le vrai travail.

L'écart d'adoption

Rien de tout cela n'a produit une vague de déploiements municipaux d'IA destinés aux résidents. L'essentiel de ce qui se passe demeure interne : outils de rédaction pour le personnel, résumé de documents, tri des demandes d'accès à l'information, plutôt que quoi que ce soit avec lequel les résidents interagissent directement.

La question de savoir si cela changera dépend moins de la technologie que de la volonté des conseils municipaux de soumettre au vote une politique de gouvernance de l'IA en bonne et due forme. La plupart de ces conseils se réunissent quelques fois par mois et disposent d'un personnel technique limité, ce qui laisse la question entre les mains de services informatiques qui tranchent au cas par cas.

De plus amples détails sur la façon dont Augure structure la résidence des données et l'acheminement de l'inférence sont documentés sur augureai.ca.