Avez-vous besoin d'une évaluation des facteurs relatifs à la vie privée avant d'utiliser l'IA dans votre firme financière?

Oui, si vous utilisez l'IA pour traiter les données financières de clients au Canada, vous avez probablement besoin d'une évaluation des facteurs relatifs à la vie privée. La loi québécoise sur la protection des renseignements personnels en exige une, carrément, pour certains projets d'IA. Ailleurs au Canada, la loi fédérale s'attend à ce que vous démontriez que vous y avez réfléchi — et une évaluation écrite, c'est comment vous le prouvez.

Une évaluation des facteurs relatifs à la vie privée, ou ÉFVP, c'est un document. Elle pose une question simple, de façon formelle : qu'est-ce qui pourrait mal tourner si ces données sont utilisées, partagées ou divulguées, et qu'est-ce qu'on fait pour l'éviter. Pour une firme financière qui alimente un outil d'IA avec des relevés de clients, des historiques de crédit ou des dossiers de transactions, cette question n'est pas facultative.

Ce guide couvre quand vous en avez besoin, ce qui doit s'y trouver, combien ça coûte, et où une plateforme d'IA canadienne réduit vraiment le travail.

Est-ce que ma firme en a vraiment besoin?

Si vous opérez au Québec et que vous déployez un système d'IA qui prend des décisions touchant des personnes — approbations de prêts, signalements de fraude, cotation de risque — la loi québécoise exige une évaluation avant le lancement. C'est une obligation légale, pas une bonne pratique parmi d'autres.

Ailleurs au Québec, la LPRPDE, la loi fédérale sur la protection des renseignements personnels, ne nomme pas l'IA spécifiquement. Mais elle exige que vous soyez responsable des renseignements personnels que vous manipulez, et les régulateurs ont été clairs : « on n'y avait pas pensé » n'est pas une réponse responsable. Un cabinet de conseil financier en Ontario qui utilise l'IA pour résumer des notes de rencontres avec des clients, ou une caisse populaire en Alberta qui utilise l'IA pour rédiger des lettres de prêt, devrait faire cette évaluation même sans texte de loi qui l'exige mot pour mot.

La règle honnête : si l'IA touche des données financières de clients, faites l'évaluation. Si elle sert seulement à rédiger des notes internes sans données personnelles en jeu, vous n'avez probablement pas besoin du processus complet.

Qu'est-ce qui va vraiment dedans?

Une évaluation pour un outil d'IA en services financiers couvre habituellement cinq points :

• Quelles données personnelles entrent dans le système, et d'où elles viennent
• Qui peut les voir, incluant tout fournisseur ou sous-traitant derrière l'outil d'IA
• Où les données sont stockées et traitées — quel pays, quels serveurs
• Ce qui se passe si l'IA se trompe sur un client
• Combien de temps les données sont conservées, et comment elles sont supprimées

Ce dernier point fait trébucher bien du monde. Les firmes financières sont habituées aux règles de conservation pour les dossiers de transactions. Peu ont pensé aux règles de conservation pour les échanges de clavardage, les invites et les résumés générés par l'IA qui dorment dans le système d'un fournisseur.

Vous n'avez pas besoin d'un avocat externe pour écrire un premier brouillon. Un responsable de la conformité ou un gestionnaire des opérations peut le faire en un après-midi pour un seul outil, avec un gabarit. Le problème apparaît quand l'outil lui-même refuse de vous dire où vont les données.

Combien ça me coûte?

Faire l'évaluation vous-même coûte du temps, pas de l'argent. Comptez de deux à quatre heures pour un outil d'IA simple avec un flux de données clair. Si un avocat la révise, prévoyez de 500 $ à 2 000 $ CA selon la complexité et votre province.

Le vrai coût, c'est ce qui arrive si vous la sautez et choisissez le mauvais fournisseur. Bien des outils de clavardage IA populaires sont des entreprises américaines, ce qui veut dire que les données des clients peuvent être traitées sur une infrastructure américaine et, pour ces fournisseurs, accessibles en vertu du droit américain — le CLOUD Act. C'est un flux de données que vous devez divulguer dans une évaluation en bonne et due forme, et un flux qui rend l'évaluation plus difficile à rédiger, pas plus facile.

Si votre fournisseur d'IA ne peut pas vous dire dans quel pays se trouvent les données de votre client, vous ne pouvez pas terminer votre évaluation des facteurs relatifs à la vie privée.

Le fournisseur que vous choisissez change à quel point votre propre paperasse est compliquée.

Pourquoi une plateforme d'IA canadienne facilite les choses?

Une plateforme d'IA canadienne vous donne une réponse plus courte et plus claire à la question « où vont les données », qui représente la majeure partie de ce qu'une évaluation demande.

Augure est une entreprise canadienne qui opère sous juridiction canadienne. Les données des clients sont stockées au Canada, comme l'exige la loi canadienne sur la protection des renseignements personnels. Le traitement de l'IA se fait sur une infrastructure canadienne pour certains niveaux de modèle, et avec des partenaires européens vérifiés sous des ententes de rétention zéro des données pour d'autres, y compris pour la redondance — jamais sur une infrastructure américaine. Augure n'a pas de société mère américaine ni d'investisseurs américains, donc les conversations et documents des clients ne sont pas traités par des fournisseurs accessibles en vertu du CLOUD Act américain.

Ça ne veut pas dire que tout est canadien, et une bonne évaluation le dit clairement. Le traitement des paiements et l'envoi de courriels impliquent une certaine infrastructure américaine, comme presque toutes les entreprises de logiciel-service qui opèrent au Canada. L'objectif n'est pas d'avoir zéro donnée transfrontalière. L'objectif, c'est de savoir exactement quels flux existent et de les écrire noir sur blanc, plutôt que de deviner.

Pour une firme financière, cette précision fait la différence entre une évaluation qui prend un après-midi et une qui prend une semaine de courriels envoyés au service à la clientèle d'un fournisseur qui ne répond jamais vraiment à la question.

Où la tenue de dossiers entre-t-elle en jeu?

Une évaluation n'est pas un document qu'on fait une seule fois. Les régulateurs financiers s'attendent à ce que vous la révisiez quand l'outil change, quand vous ajoutez un nouvel usage, ou environ une fois par année de toute façon.

C'est ici que bien des petites firmes échouent — pas sur l'évaluation initiale, mais sur le suivi. Personne n'en est responsable. Elle dort dans un dossier. Six mois plus tard, le fournisseur d'IA change sa façon de traiter les données et personne ne le remarque.

Développer une habitude ici compte plus que le premier document. Assignez quelqu'un — même à temps partiel — pour être responsable des relations avec les fournisseurs d'IA et signaler les changements dans leur façon de traiter les données. Pour la plupart des firmes de neuf personnes, c'est le responsable de la conformité, le gestionnaire de bureau, ou qui que ce soit qui gère déjà les renouvellements d'assurance. Sachez ce que vous avez signé, et sachez quand ça change.

La fonctionnalité Base de connaissances d'Augure permet à une équipe de stocker l'évaluation elle-même, les contrats de fournisseurs et les notes de révision annuelle dans un seul endroit consultable, avec des contrôles d'accès d'équipe, pour que le document ne soit pas rédigé une fois puis oublié dans le dossier de téléchargements de quelqu'un.

Quoi faire cette semaine

1. Dressez la liste de tous les outils d'IA qui touchent aux données de vos clients. Incluez celui que votre adjoint administratif utilise pour rédiger des courriels. L'utilisation d'IA de l'ombre est la lacune la plus fréquente dans les évaluations des firmes financières.
2. Demandez à chaque fournisseur, par écrit, où les données sont traitées et stockées. S'ils ne répondent pas clairement, vous avez votre réponse.
3. Rédigez une évaluation d'une page pour votre outil le plus à risque — celui qui touche aux données les plus sensibles de vos clients — en utilisant les cinq points ci-dessus. N'attendez pas d'avoir le gabarit parfait.

Augure démarre gratuitement, sans carte de crédit, avec assez d'usage quotidien pour la plupart des travaux de rédaction en conformité. Quand vous serez prêt à stocker vos contrats, évaluations et documentation de fournisseurs dans une base de connaissances partagée, c'est augureai.ca.

D'où vient ceci : La loi québécoise sur la protection des renseignements personnels (Loi 25, article 3.3) exige une évaluation des facteurs relatifs à la vie privée avant la mise en service de certains systèmes d'IA ou de décision automatisée.