Une « région canadienne », ce n'est pas de l'IA canadienne — voici la différence qui compte

Si votre fournisseur d'IA vous dit que vos données restent dans une « région canadienne », posez une seule question de suivi : qui possède l'entreprise. C'est tout le test. Un centre de données canadien exploité par une entreprise américaine reste, légalement, le centre de données d'une entreprise américaine. La loi américaine suit l'entreprise, pas le rack de serveurs.

Ça compte plus qu'avant, parce que les outils d'IA canadiens sont maintenant une vraie option face aux grandes plateformes américaines, pas un compromis. Mais « région canadienne » et « plateforme d'IA canadienne », ce n'est pas la même affirmation, et les fournisseurs le savent bien que la première sonne comme la deuxième.

Qu'est-ce qu'une « région canadienne » veut vraiment dire?

Ça veut dire que le matériel physique se trouve à l'intérieur des frontières canadiennes. C'est tout.

Microsoft, Google et Amazon vendent tous des régions canadiennes. Vos fichiers, vos historiques de clavardage, vos documents — les octets — sont sur un rack à Toronto ou à Montréal plutôt qu'en Virginie. Pour bien des besoins, ça cocherait la case.

Mais l'entreprise qui possède le rack, le logiciel qui tourne dessus, et le personnel qui peut y accéder en vertu d'une ordonnance légale, ça reste américain. Une région canadienne, c'est un emplacement. Ce n'est pas un changement de contrôle légal.

Pourquoi la propriété compte plus que l'emplacement?

En raison d'une loi américaine appelée le CLOUD Act, adoptée en 2018. Elle permet aux autorités américaines de forcer une entreprise américaine à remettre des données qu'elle contrôle, peu importe dans quel pays ces données se trouvent physiquement.

C'est la phrase à retenir. Le chiffrement au repos ne change rien à ça. Vos fichiers peuvent être chiffrés quand ils dorment, mais dès qu'un système d'IA doit les lire — pour répondre à une question, chercher dans un document, faire tourner un modèle — ils doivent être déchiffrés. Des données déchiffrées peuvent être produites. Le verrou sur la porte ne compte pas si l'entreprise qui possède le bâtiment peut être forcée de l'ouvrir.

Donc « région canadienne » est une fonctionnalité réelle avec une vraie limite. Ça vous protège de certaines choses : une panne de centre de données dans un autre pays, une partie de la paperasse sur les transferts de données, peut-être une règle d'approvisionnement qui dit « doit être stocké au Canada ». Ça ne vous protège pas d'une ordonnance légale américaine visant une entreprise américaine.

À quoi ressemble vraiment une plateforme d'IA canadienne?

Le test, c'est le contrôle de l'entreprise, pas l'emplacement du serveur. Une plateforme d'IA canadienne n'a aucune société mère américaine ni aucun investisseur américain plus haut dans la chaîne de propriété. Il n'y a aucune entité américaine qu'une ordonnance de tribunal américain peut atteindre, parce qu'il n'y a aucune entité américaine dans la chaîne, point, pour les données de ce client-là.

Augure est construite ainsi. Elle n'a aucune société mère américaine et aucun investisseur américain. Les conversations des clients, les documents et l'inférence en IA ne sont jamais traités par des fournisseurs de juridiction américaine, donc la portée du CLOUD Act sur les entreprises contrôlées par des intérêts américains ne s'étend pas à ce contenu.

C'est une affirmation précise, pas une affirmation marketing, et la précision compte ici. Augure ne prétend pas que chaque octet de chaque processus ne touche jamais rien d'américain. Le traitement des paiements et l'envoi de courriels impliquent une certaine infrastructure américaine, comme presque toutes les entreprises SaaS sur terre, et c'est indiqué clairement dans la politique de confidentialité. Ce qu'Augure affirme est plus restreint et vérifiable : vos conversations, vos documents et l'inférence en IA qui les traite restent hors de l'infrastructure contrôlée par les États-Unis, toujours. Les données des clients ne servent non plus jamais à entraîner des modèles.

L'endroit où l'inférence tourne vraiment vaut la peine d'être précisé aussi. Certains niveaux de modèles tournent sur une infrastructure canadienne. D'autres tournent avec des partenaires européens vérifiés, sous des ententes qui leur interdisent de conserver vos données — ça couvre certains modèles et ça sert aussi de solution de repli pour garder le service en fonction pendant les pointes d'achalandage. Rien de tout ça ne passe par les États-Unis.

Est-ce que ça change vraiment quelque chose sous la Loi 25?

Oui, d'une façon précise. La Loi 25 du Québec demande aux organisations d'évaluer où vont les renseignements personnels quand ils traversent des frontières provinciales ou nationales, et quelle protection s'applique une fois arrivés là-bas. Si votre fournisseur d'IA est une entreprise américaine avec un centre de données canadien, cette évaluation doit tenir compte de la loi américaine qui atteint de l'extérieur du pays, peu importe ce que dit la page marketing.

Une plateforme d'IA canadienne change la forme de cette évaluation. Elle ne l'élimine pas. Vous devez tout de même savoir exactement quels flux existent, c'est pourquoi les divulguer vaut mieux que les cacher. Avec Augure, ça veut dire : stockage canadien, inférence canadienne ou européenne selon le niveau de modèle, et traitement américain limité pour les paiements par carte et les courriels, tout ça listé dans la politique de confidentialité plutôt qu'enterré dans une liste de sous-traitants que personne ne lit.

Aucune plateforme ne peut vous garantir la conformité à la Loi 25 du Québec ou à la loi fédérale sur la protection des renseignements personnels, la LPRPDE. Ce n'est pas une promesse qu'un fournisseur peut honnêtement faire. Ce qu'une plateforme d'IA canadienne peut faire, c'est retirer toute une catégorie de risque de votre évaluation : la catégorie où la société mère de votre fournisseur peut être légalement forcée de remettre vos données à un gouvernement étranger.

« IA canadienne », c'est juste une étiquette, ou ça veut dire quelque chose de précis?

Ça devrait vouloir dire quelque chose de précis, et en ce moment l'étiquette est utilisée à la légère. Surveillez l'indice révélateur : un fournisseur qui parle de serveurs et qui ne dit rien sur la propriété.

La version honnête d'une affirmation d'IA canadienne répond clairement à trois questions. Qui possède l'entreprise? Où l'inférence tourne-t-elle, pas seulement le stockage? Qu'est-ce qui se passe quand un gouvernement étranger demande les données?

• Propriété : aucune société mère américaine, aucun investisseur américain plus haut dans l'entité qui détient vos données.
• Emplacement de l'inférence : infrastructure canadienne pour certains modèles, partenaires européens sous ententes de non-conservation pour d'autres — jamais les États-Unis.
• Portée légale étrangère : le contenu des clients n'est traité par aucun fournisseur qu'une ordonnance de tribunal américain peut forcer à agir.

Si un fournisseur ne peut pas répondre aux trois, c'est que « région canadienne » fait le travail que « IA canadienne » devrait faire à sa place.

Quoi faire cette semaine

1. Posez une question par écrit à votre fournisseur d'IA actuel : qui est la société mère ultime, et est-ce qu'une entité de juridiction américaine traite des données ou de l'inférence pour vos clients? Obtenez la réponse par courriel, pas lors d'un appel de vente.
2. Vérifiez où l'inférence se fait vraiment, pas juste le stockage. Demandez précisément pour les modèles que vous utilisez au quotidien, pas l'affirmation générale de la page marketing.
3. Essayez une plateforme d'IA vraiment canadienne pendant une semaine. Augure est canadienne et commence gratuitement, sans surprise de limite de messages au palier gratuit — une façon rapide de comparer avec ce que vous utilisez actuellement avant de vous engager plus longtemps.

Voyez comment c'est construit sur augureai.ca.

D'où ça vient : Le CLOUD Act américain, adopté en 2018, autorise les forces de l'ordre américaines à forcer les fournisseurs basés aux États-Unis à produire les données qu'ils contrôlent, peu importe l'emplacement de stockage.