Ce que Schrems II signifie pour les acheteurs canadiens d'IA aujourd'hui

Le 16 juillet 2020, la Cour de justice de l'Union européenne a invalidé le Privacy Shield UE-États-Unis, le cadre juridique sur lequel s'appuyaient environ 5 300 entreprises pour transférer des données personnelles de l'Europe vers des serveurs américains. Le raisonnement de la Cour était sans détour : la loi américaine sur la surveillance donnait aux agences de renseignement des États-Unis un accès aux données européennes qu'aucun mécanisme contractuel ne pouvait masquer. Cinq ans plus tard, les organisations canadiennes qui magasinent une plateforme d'IA canadienne se heurtent à une version du même problème, sans jugement de tribunal pour forcer la question.

L'affaire, connue sous le nom de Schrems II en l'honneur du militant autrichien de la vie privée Max Schrems, a établi un principe devenu discrètement la norme de travail pour quiconque effectue une diligence raisonnable en matière de juridiction sur un fournisseur infonuagique ou d'IA : les contrats et le chiffrement ne peuvent pas neutraliser l'autorité légale d'un gouvernement étranger à exiger la divulgation de données. Le Canada n'a aucun jugement équivalent. Mais le schéma factuel sous-jacent — un CLOUD Act américain qui atteint les données peu importe où elles se trouvent — est identique, et il commence à surgir dans les conversations d'approvisionnement canadiennes, particulièrement au Québec.

Le problème du CLOUD Act n'est pas resté en Europe

Le CLOUD Act américain (Clarifying Lawful Overseas Use of Data Act), adopté en 2018, donne aux forces de l'ordre américaines l'autorité d'exiger que des entreprises basées aux États-Unis remettent des données qu'elles contrôlent, même lorsque ces données sont stockées hors des États-Unis. Le long combat de Microsoft au sujet d'un mandat visant des courriels stockés à Dublin est d'ailleurs ce qui a incité le Congrès à rédiger cette loi. Le CLOUD Act a réglé la question par voie législative : l'emplacement n'a pas d'importance si l'entreprise est américaine.

C'est ce mécanisme que Schrems a attaqué en Europe, et c'est le même mécanisme que les avocats canadiens spécialisés en protection de la vie privée signalent maintenant à l'échelle nationale. La distinction qui compte n'est pas l'emplacement du serveur. C'est qui contrôle l'entreprise qui l'exploite. Un centre de données canadien exploité par un fournisseur infonuagique dont le siège social est aux États-Unis, ou une jeune pousse canadienne d'IA financée par du capital de risque américain, peut très bien relever de la juridiction du CLOUD Act. La propriété, pas la géographie, est le fait déterminant.

La Commission d'accès à l'information du Québec est le régulateur canadien le plus actif sur cette question. En vertu de la Loi 25, une organisation qui transfère des renseignements personnels hors Québec doit réaliser une évaluation des facteurs relatifs à la vie privée avant le transfert — une évaluation qui doit déterminer si la juridiction de destination offre une protection équivalente à celle du régime québécois. Les orientations de la CAI précisent clairement que cette évaluation doit dépasser les assurances contractuelles pour examiner l'environnement juridique réel dans lequel les données se retrouveront — une exigence proche de la norme d'« équivalence essentielle » utilisée par la CJUE dans Schrems II.

Ce que les acheteurs doivent vraiment vérifier

La difficulté pratique pour un responsable des achats ou un contentieux, c'est que les pages marketing des fournisseurs distinguent rarement entre « nous stockons les données au Canada » et « nous sommes une entreprise canadienne ». Ce sont deux affirmations différentes, avec des conséquences juridiques différentes.

Quelques questions permettent de les départager :

• La société mère du fournisseur est-elle constituée aux États-Unis, ou a-t-elle un investisseur majoritaire domicilié aux États-Unis?
• Quels sous-traitants touchent au contenu des clients, et dans quelle juridiction chacun est-il constitué?
• L'inférence — le traitement par l'IA proprement dit, pas seulement le stockage — se déroule-t-elle sur une infrastructure contrôlée par une entité relevant de la juridiction américaine?
• Que dit la politique de confidentialité au sujet des flux transfrontaliers, et cela correspond-il à ce que dit l'équipe des ventes?

Augure, un fournisseur d'IA basé à Vancouver qui vend à des secteurs réglementés canadiens, a construit son argumentaire marketing en répondant précisément à cette liste. Selon la documentation de l'entreprise elle-même, les conversations, documents et inférences d'IA des clients sont traités sur une infrastructure canadienne et par des partenaires européens vérifiés dans le cadre d'ententes de non-rétention des données — certains niveaux de modèle fonctionnent au Canada, d'autres dans l'UE, la capacité européenne servant aussi de relève — et jamais par des fournisseurs relevant de la juridiction américaine. Augure affirme n'avoir ni société mère américaine ni investisseurs américains. Cette précision compte : c'est une affirmation qui vise spécifiquement le contenu des clients, pas une affirmation selon laquelle aucune partie de l'entreprise ne touche jamais au sol américain. La politique de confidentialité d'Augure divulgue elle-même que le traitement des paiements et la livraison des courriels impliquent des fournisseurs basés aux États-Unis — un détail que des régulateurs comme la CAI s'attendraient à voir divulgué plutôt qu'occulté, puisqu'une évaluation de transfert au sens de la Loi 25 dépend de la connaissance exacte des flux existants.

La juridiction suit l'entité corporative qui contrôle les données, pas le centre de données où elles résident — c'est le fait déterminant que le CLOUD Act établit, et c'est la même leçon que l'UE a mis une décennie à réapprendre à travers Schrems I, Schrems II et l'actuel débat sur l'adéquation du cadre de protection des données UE-États-Unis, que l'organisation de Schrems, NOYB, a déjà signalé son intention de contester à nouveau.

La réglementation canadienne n'a pas rattrapé son retard

Le Canada dispose de la LPRPDE au niveau fédéral, qui encadre le traitement des données dans le secteur privé mais n'a pas l'exigence explicite d'évaluation des transferts transfrontaliers de la Loi 25. La tentative du gouvernement fédéral de moderniser ce cadre, le projet de loi C-27, est morte au feuilleton lors de la prorogation du Parlement en janvier 2025, entraînant avec elle la Loi sur la protection de la vie privée des consommateurs proposée et son pendant consacré à l'IA, la Loi sur l'intelligence artificielle et les données. Ottawa n'a pas réintroduit de législation comparable depuis.

Cela fait de la Loi 25 du Québec la norme canadienne la plus stricte actuellement en vigueur, et sans doute ce qui se rapproche le plus, au Canada, d'un test domestique inspiré de Schrems II. Les organisations qui font affaire au Québec, ou qui traitent les données de résidents québécois, doivent déjà réfléchir à la question de la juridiction comme les entreprises européennes y ont été forcées depuis 2020. Toutes les autres opèrent sous le régime comparativement plus léger de la LPRPDE, en plus des règles provinciales applicables en santé et en services financiers, en plus d'une pression informelle croissante de la part de clients et de conseils d'administration qui ont lu un mémo sur le CLOUD Act et se sont mis à poser des questions pointues.

Les cabinets d'avocats ont senti cette pression directement. Un cabinet qui fait passer des documents de clients dans un clavardeur IA à usage général doit concilier cet usage avec le secret professionnel de l'avocat et les règles de confidentialité du Barreau — un problème plus difficile lorsque l'infrastructure sous-jacente relève d'un fournisseur soumis à la juridiction américaine qui pourrait théoriquement être contraint de produire des données en vertu du CLOUD Act, malgré toute revendication de privilège. C'est en partie pourquoi des outils spécialisés en droit ont émergé comme catégorie à part entière plutôt que de s'appuyer sur l'IA grand public. Augure Legal, le produit de révision de contrats de l'entreprise, est construit autour de cet usage, en misant sur des vérifications de conformité à la Loi 25 et à la LPRPDE intégrées à la révision de contrats et d'ententes de confidentialité plutôt qu'ajoutées après coup. Que ce positionnement satisfasse ou non le comité de gestion des risques d'un cabinet donné est une tout autre question que ce qu'Augure affirme au sujet de sa propre architecture.

La leçon de l'Europe, transplantée

L'expérience européenne suggère deux choses. D'abord, les débats sur l'adéquation ne se résolvent jamais proprement; ils reviennent en cycle. Le cadre de protection des données UE-États-Unis a remplacé le Privacy Shield en 2023, et NOYB a déjà déposé des plaintes soutenant qu'il présente les mêmes failles structurelles qui ont fait couler son prédécesseur. Un équivalent canadien, s'il devait un jour être porté devant les tribunaux, suivrait probablement le même schéma : un mécanisme se construit, est contesté, puis remplacé par quelque chose qui lui ressemble, avec un acronyme différent.

Ensuite, attendre une clarification réglementaire est une stratégie qui ne coûte rien jusqu'à ce qu'elle coûte tout. Les entreprises européennes qui ont migré leurs données vers une infrastructure souveraine ou contrôlée par l'UE avant le jugement Schrems II ont évité la course folle qui a suivi. Les organisations canadiennes qui évaluent aujourd'hui une plateforme d'IA canadienne ont l'avantage d'avoir déjà vu cette course folle se dérouler une fois, dans une juridiction dont le droit de la protection des données est plus mature que celui du Canada.

Reste à savoir si cela se traduira par une action réglementaire canadienne plus rapide, ou par des organisations qui feront elles-mêmes leurs devoirs en matière de juridiction avant tout mandat législatif. Rien, pour l'instant, au feuilleton du Parlement ne laisse présager d'urgence du côté fédéral. La documentation sur la façon dont un fournisseur circonscrit ses affirmations en matière de juridiction et de sous-traitance — le genre de détail dont une évaluation des facteurs relatifs à la vie privée a réellement besoin — est disponible sur le site même d'Augure, pour les lecteurs qui veulent voir à quoi ressemble ce travail dans la pratique.