Passer de ChatGPT à une alternative canadienne : un guide de migration
Un guide pratique et étape par étape pour migrer de ChatGPT vers une plateforme d'IA canadienne — exportation des données, vérifications de conformité et planification du déploiement.
Si vous lisez ceci, vous avez probablement déjà décidé que ChatGPT n'est pas la bonne solution à long terme — une question sur la résidence des données de votre équipe de conformité, un client qui demande où aboutissent les données de son contrat, ou un audit sur la Loi 25 qui a soulevé plus de questions que de réponses. Ce guide passe en revue les étapes concrètes de migration : exporter vos données, cartographier vos écarts de conformité et déployer une plateforme d'IA canadienne sans perdre en productivité au passage. Il est écrit pour la personne qui effectue le changement, pas pour celle qui décide si elle doit le faire.
Pourquoi les organisations quittent ChatGPT
La décision commence rarement comme une croisade pour la vie privée. Elle commence par un problème précis et concret : un membre de l'équipe juridique demande si les documents clients téléversés dans ChatGPT sont assujettis à une assignation américaine, et personne n'a de réponse claire.
Cette question n'est pas paranoïaque. En vertu du CLOUD Act américain, les entreprises américaines — y compris les fournisseurs d'infonuagique et d'IA — peuvent être contraintes de produire des données qu'elles contrôlent, peu importe où ces données sont physiquement stockées. OpenAI est une société américaine. Ses conditions d'utilisation, ses pratiques de conservation et son exposition juridique sont régies par le droit américain, point final.
Le CLOUD Act ne se soucie pas de l'endroit où se trouvent vos serveurs. Il se soucie de qui a signé les papiers d'incorporation.
Pour les organisations qui traitent des renseignements personnels en vertu de la Loi 25 (Québec) ou de la LPRPDE (fédérale), il s'agit d'un profil de risque fondamentalement différent de celui d'une plateforme sans société mère américaine ni investisseurs américains. Voici la véritable distinction qui compte — pas le marketing sur l'emplacement des serveurs, mais la juridiction légale à laquelle l'entreprise elle-même répond.
Ce que signifie réellement « IA canadienne »
L'expression « IA canadienne » est utilisée de façon vague, et il vaut la peine d'être précis à ce sujet. Une plateforme d'IA véritablement canadienne signifie que l'entreprise est incorporée au Canada, n'a aucune entité mère américaine, et n'est pas assujettie aux ordonnances de production du CLOUD Act parce qu'il n'existe aucune structure corporative américaine à contraindre.
Cela ne signifie pas nécessairement que chaque baie de serveurs se trouve sur le sol canadien — les charges de travail d'inférence de nombreuses plateformes d'IA canadiennes, y compris Augure, s'exécutent en partie sur une infrastructure européenne en vertu d'ententes strictes de zéro conservation des données, ce qui constitue une architecture légitime et de plus en plus standard pour les fournisseurs souverains de plus petite taille. Ce qui compte légalement, c'est la juridiction et le contrôle contractuel, pas seulement la géographie.
La souveraineté est une propriété juridique, pas physique. La question n'est pas « où se trouve le serveur » — c'est « qui peut être contraint de remettre ce qu'il contient ».
Cette distinction importe pour votre documentation en vertu de la Loi 25. L'article 17 exige une évaluation des facteurs relatifs à la vie privée avant que des renseignements personnels ne soient transférés hors Québec, et cette évaluation doit tenir compte des protections juridiques dans la juridiction de destination — pas seulement de la distance. Une plateforme d'IA canadienne avec un traitement zéro conservation en Europe et aucune exposition au CLOUD Act américain constitue une réponse fondamentalement différente à cette évaluation par rapport à un outil dont le siège social est aux États-Unis — une distinction que la Commission d'accès à l'information (CAI) a signalé qu'elle scrutera lors de ses interventions.
Étape 1 : faites l'inventaire de ce qui se trouve réellement dans votre compte ChatGPT
Avant de migrer quoi que ce soit, dressez l'inventaire de ce qui s'y trouve. La plupart des organisations sous-estiment la quantité de contenu sensible accumulé dans l'historique de conversations, les GPT personnalisés et les téléversements de fichiers connectés.
Rassemblez :
- Tous les fils de conversation contenant des noms de clients, des détails de dossiers ou des renseignements personnels
- Tout GPT personnalisé ou projet construit avec des documents internes
- Les fichiers téléversés utilisés pour des analyses (contrats, dossiers RH, états financiers)
- Les comptes des membres de l'équipe et leurs habitudes d'utilisation individuelles
Cet audit remplit une double fonction. C'est votre liste de vérification de migration, et c'est aussi la piste de preuves dont vous aurez besoin si un organisme de réglementation ou un client vous demande un jour quels renseignements personnels sont passés par un outil d'IA basé aux États-Unis durant la période précédant votre changement — une preuve qui compte directement pour la documentation de responsabilisation exigée par le principe 1 de la LPRPDE.
Étape 2 : exportez et documentez la suppression
Exportez vos données ChatGPT via Paramètres > Contrôles des données > Exporter les données. Cela produit une exportation JSON des conversations, utile comme référence interne même si elle ne s'importe pas directement dans une nouvelle plateforme.
Soumettez ensuite une demande formelle de suppression pour les données de votre compte. La politique de conservation d'OpenAI indique que les conversations supprimées peuvent subsister dans les systèmes d'arrière-plan jusqu'à 30 jours à des fins de révision liée à la sécurité et au droit — demandez une confirmation écrite de la suppression et conservez-la dans votre dossier de conformité.
Si vous ne pouvez pas produire une confirmation de suppression sur demande, vous ne savez pas réellement que vos données ont disparu. Vous ne faites que le présumer.
Ceci importe plus que la plupart des équipes ne le réalisent en vertu du principe de responsabilisation de la LPRPDE (principe 1 de l'annexe 1), qui exige des organisations qu'elles démontrent — pas seulement qu'elles affirment — avoir traité adéquatement la façon dont les renseignements personnels ont été gérés par des tiers processeurs. La Loi 25 impose une obligation parallèle en vertu de l'article 23 : les renseignements personnels doivent être détruits, anonymisés ou dépersonnalisés une fois que la fin pour laquelle ils ont été recueillis est accomplie, et les organisations doivent être en mesure de démontrer comment cela a été fait.
Étape 3 : cartographiez vos exigences de conformité avant de choisir un outil
Ne magasinez pas des outils d'IA pour ensuite adapter la conformité après coup. Cartographiez d'abord vos exigences, puis évaluez les plateformes en fonction de celles-ci.
Au minimum, votre liste d'exigences devrait inclure :
- Les obligations de la Loi 25 si vous traitez des renseignements personnels de résidents du Québec — les évaluations des facteurs relatifs à la vie privée en vertu de l'article 17, la notification de violation « sans délai » à la CAI et aux personnes concernées en vertu de l'article 63.7, et un responsable de la protection des renseignements personnels désigné en vertu de l'article 3.1 (le rôle revient par défaut au dirigeant le plus haut placé de l'organisation, sauf délégation écrite)
- Les obligations de la LPRPDE pour toute organisation exerçant une activité commerciale impliquant des renseignements personnels à travers le Canada, y compris les dix principes équitables en matière d'information de l'annexe 1 et la déclaration des atteintes aux mesures de sécurité au CPVP lorsqu'il existe un risque réel de préjudice grave
- L'harmonisation avec l'AIDA/CPCSC (composantes de la Loi sur l'intelligence artificielle et les données proposée par le Canada, faisant partie du projet de loi C-27) pour anticiper l'orientation de la réglementation fédérale en matière d'IA, particulièrement en ce qui concerne les obligations relatives aux systèmes d'IA à fort impact
- Les règles spécifiques au secteur — les exigences des barreaux provinciaux concernant l'utilisation de l'IA en droit, ou la ligne directrice E-23 du BSIF pour les institutions financières sous réglementation fédérale gérant le risque lié aux modèles
C'est ici qu'une plateforme d'IA canadienne conçue autour de ces cadres dès le départ fait gagner un temps considérable. Augure, par exemple, intègre des vérifications de conformité à la Loi 25 et à la LPRPDE directement dans son infrastructure plutôt que de les greffer sous forme de document de politique — ce qui importe lorsque votre équipe juridique ou de conformité doit réellement vérifier cette affirmation, pas seulement la lire.
Étape 4 : pilotez avec un cas d'usage à faible risque
Ne migrez pas toute l'utilisation de l'IA de votre organisation en un seul coup. Choisissez un cas d'usage contenu — un résumé de documents internes, ou le flux de travail de recherche d'une seule équipe — et exécutez-le en parallèle avec votre outil existant pendant deux à quatre semaines.
C'est aussi à ce moment que les équipes découvrent tôt les écarts fonctionnels. Si votre organisation dépend fortement de la continuité du contexte à travers de longs fils de recherche, vérifiez que la nouvelle plateforme le prend en charge avant un déploiement complet. Les paliers Pro et Max d'Augure incluent une mémoire persistante précisément parce que les équipes de conformité ont demandé de la continuité sans avoir à réexpliquer le contexte à chaque session — un véritable écart dans plusieurs outils concurrents.
Pour les équipes juridiques en particulier, un pilote portant sur la révision de contrats et le triage des ententes de confidentialité constitue un choix naturel. Augure Legal gère directement l'extraction de clauses et les vérifications de conformité à la Loi 25 et à la LPRPDE, ce qui donne aux cabinets d'avocats et aux conseillers juridiques internes une comparaison concrète avant-après par rapport à une révision manuelle ou à un clavardeur à usage général.
Étape 5 : formez à nouveau votre équipe sur ce qui change
La migration technique est la partie facile. La partie la plus ardue consiste à reformer le personnel qui a développé des habitudes autour de l'interface et des particularités d'un outil spécifique.
Deux éléments nécessitent habituellement une formation explicite :
- La continuité des invites — si votre nouvelle plateforme dispose d'une mémoire persistante, le personnel doit comprendre ce qui est retenu d'une session à l'autre et ce qui ne l'est pas, particulièrement pour tout ce qui touche aux données clients
- Les limites de gestion de documents — les paliers de forfaits varient en nombre de documents et en taille de téléversement (le palier Pro d'Augure prend en charge 100 documents, tandis que Max offre un nombre illimité avec des téléversements jusqu'à 50 Mo), donc les flux de travail construits autour de téléversements en vrac doivent être ajustés
Élaborez un guide interne d'une page couvrant les données pouvant être saisies dans l'outil, celles qui ne le peuvent pas, et à qui s'adresser en cas de doute. Ce seul document contribue davantage à prévenir un incident lié à la Loi 25 — et les sanctions administratives pécuniaires, pouvant atteindre 25 M$ ou 4 % du chiffre d'affaires mondial pour les violations les plus graves en vertu de l'article 90.1 — que toute quantité de sécurité au niveau de la plateforme.
Étape 6 : retirez correctement l'ancien outil
Une fois votre équipe entièrement migrée, mettez formellement hors service l'accès à ChatGPT — ne laissez pas simplement les licences expirer discrètement. Révoquez les clés API, retirez les intégrations d'authentification unique, et confirmez qu'aucune utilisation parallèle ne se poursuit sur des comptes personnels.
L'utilisation parallèle non autorisée de l'IA — des employés utilisant des comptes ChatGPT personnels pour des tâches de travail après un changement officiel — est l'un des écarts les plus fréquents relevés par les audits de conformité. Cela justifie une mise à jour explicite de la politique et un rappel selon lequel l'utilisation d'un compte personnel pour tout outil d'IA traitant des données de clients ou d'employés crée exactement la même exposition en vertu de la LPRPDE et de la Loi 25 que la migration visait à éliminer — y compris des questions de responsabilité personnelle pour l'employé qui aurait sciemment contourné le processeur désigné par l'organisation.
Une migration n'est pas terminée quand le nouvel outil est en ligne. Elle est terminée quand l'ancien a réellement disparu.
Ce qu'il faut chercher dans une plateforme d'IA canadienne
Tous les outils commercialisés comme de l'IA canadienne ne satisfont pas la norme qui compte réellement pour la conformité. Lors de l'évaluation des options, vérifiez :
- L'absence de société mère américaine ou de structure d'investisseurs américains exposée au CLOUD Act
- Des conditions documentées de zéro conservation des données pour toute infrastructure de traitement hors Canada
- Une cartographie de conformité intégrée à la Loi 25 (articles 17, 23 et 63.7 en particulier), aux principes de l'annexe 1 de la LPRPDE, et aux orientations émergentes de l'AIDA/CPCSC — pas seulement une affirmation dans un argumentaire de vente
- Une mémoire persistante et une gestion de documents qui correspondent à votre flux de travail réel, pas seulement une fenêtre de clavardage
- Des processus clairs de suppression et d'exportation des données, par écrit
Augure a été conçue en fonction de cette liste exacte — incorporation canadienne, aucune société mère américaine, conformité à la Loi 25 et à la LPRPDE intégrée dans l'architecture, et des modèles (Ossington 4.1, Tofino 2.5) développés en tenant compte du contexte réglementaire et bilingue canadien, plutôt qu'adaptés après coup.
Effectuer le changement
Une migration de ChatGPT n'est pas un projet d'une fin de semaine, mais ce n'en est pas un de tout un trimestre non plus. Faites l'inventaire, exportez, cartographiez vos exigences de conformité, pilotez, formez à nouveau et mettez hors service — six étapes, dont la plupart devraient déjà être familières à votre équipe de conformité à partir d'autres transitions de fournisseurs.
Les organisations qui réussissent cette démarche la considèrent comme une amélioration de la conformité, pas seulement un changement d'outil. Si vous êtes prêt à voir à quoi cela ressemble en pratique, augureai.ca présente les détails sur les forfaits, et legal.augureai.ca couvre les flux de travail de révision de contrats et de triage des ententes de confidentialité conçus spécifiquement pour les cabinets d'avocats canadiens qui font le même changement.
À propos d'Augure
Augure est une plateforme d'IA souveraine pour les organisations canadiennes réglementées. Clavardage, base de connaissances et outils de conformité — le tout sur une infrastructure canadienne.
