Passer de ChatGPT à une plateforme d'IA canadienne : guide de migration

Si vous lisez ceci, vous avez probablement déjà conclu que ChatGPT n'est pas la bonne solution à long terme. Une question de votre équipe de conformité sur la résidence des données, un client qui demande où aboutissent les données de son contrat, ou un audit lié à la Loi 25 qui a soulevé plus de questions que de réponses. Ce guide présente les étapes concrètes pour quitter ChatGPT : exporter vos données, cartographier vos écarts de conformité et déployer une plateforme d'IA canadienne souveraine sans perdre en productivité. Il s'adresse à la personne qui effectue le changement, pas à celle qui doit décider si elle le fera.

Pourquoi les organisations délaissent ChatGPT

La décision commence rarement comme une croisade pour la protection de la vie privée. Elle part d'un problème concret et précis : un membre de l'équipe juridique demande si les documents clients téléversés dans ChatGPT sont assujettis au processus juridique américain, et personne n'a de réponse assurée.

Cette question n'est pas paranoïaque. En vertu du CLOUD Act américain, les forces de l'ordre des États-Unis peuvent contraindre des entreprises américaines, y compris des fournisseurs d'infonuagique et d'IA, à produire des données qu'elles contrôlent, au moyen d'un mandat ou d'une ordonnance judiciaire, peu importe où ces données sont physiquement stockées. OpenAI est une société américaine. Ses conditions d'utilisation, ses pratiques de conservation et son exposition juridique relèvent du droit américain.

Le CLOUD Act ne se soucie pas de l'emplacement de vos serveurs. Il se soucie de qui signe les documents d'incorporation.

Pour les organisations qui traitent des renseignements personnels en vertu de la Loi 25 (Québec) ou de la LPRPDE (fédérale), c'est un profil de risque nettement différent de celui d'une plateforme sans société mère américaine ni investisseurs américains. C'est cette distinction qui compte. Pas le marketing sur l'emplacement des serveurs, mais la juridiction juridique dont l'entreprise elle-même relève.

Ce que signifie réellement « IA canadienne »

L'expression « IA canadienne » est utilisée de façon plutôt vague, et il vaut la peine d'être précis à ce sujet. Une plateforme d'IA canadienne véritablement souveraine signifie que l'entreprise est constituée au Canada, qu'elle n'a pas de société mère américaine, et qu'elle n'est pas assujettie aux ordonnances de production du CLOUD Act, puisqu'il n'existe aucune structure corporative américaine pouvant y être contrainte.

Cela ne signifie pas nécessairement que chaque baie de serveurs se trouve en sol canadien. Certains fournisseurs d'IA canadiens, y compris de plus petits fournisseurs souverains, font tourner une partie de leur infrastructure sur des serveurs internationaux dans le cadre d'ententes contractuelles de traitement des données — une architecture légitime tant que la juridiction et le contrôle juridique demeurent entre les mains de l'entité canadienne. Ce qui compte légalement, c'est la juridiction et le contrôle contractuel, pas seulement la géographie.

La souveraineté est une propriété juridique. La question est de savoir qui peut être contraint de remettre ce qui se trouve sur le serveur, pas où se trouve le serveur.

Cette distinction a son importance pour votre documentation liée à la Loi 25. La loi québécoise sur la protection des renseignements personnels dans le secteur privé exige une évaluation des facteurs relatifs à la vie privée avant tout transfert de renseignements personnels à l'extérieur de la province, et cette évaluation doit tenir compte des protections juridiques offertes dans la juridiction de destination, pas seulement de la distance. Une plateforme d'IA conforme à la LPRPDE, avec des limites contractuelles claires sur le traitement à l'étranger et dont le contenu client échappe à la portée du CLOUD Act américain, constitue une réponse fondamentalement différente à cette évaluation qu'un outil dont le siège social se trouve aux États-Unis. Les organisations qui travaillent sur leurs obligations en vertu de la Loi 25 peuvent consulter directement les orientations actuelles de la Commission d'accès à l'information du Québec, plutôt que de se fier aux résumés des fournisseurs.

Étape 1 : faire l'inventaire de ce qui se trouve réellement dans votre compte ChatGPT

Avant de migrer quoi que ce soit, dressez l'inventaire de ce qui s'y trouve. La plupart des organisations sous-estiment la quantité de matériel sensible accumulé dans l'historique de clavardage, les GPT personnalisés et les fichiers téléversés associés.

Rassemblez :

• Tous les fils de conversation contenant des noms de clients, des détails de dossiers ou des renseignements personnels
• Tout GPT personnalisé ou projet construit à partir de documents internes
• Les fichiers téléversés utilisés pour l'analyse (contrats, dossiers RH, états financiers)
• Les comptes des membres de l'équipe et leurs habitudes d'utilisation individuelles

Cet audit remplit deux fonctions. C'est votre liste de vérification pour la migration, et c'est aussi la piste de vérification dont vous aurez besoin si un organisme de réglementation ou un client vous demande un jour quels renseignements personnels sont passés par un outil d'IA américain avant votre changement. Cette preuve compte directement pour la documentation de responsabilisation exigée par le principe 1 de la LPRPDE.

Si votre organisation exerce ses activités dans un secteur réglementé, c'est aussi le moment de vérifier l'exposition propre à ce secteur. Les organismes gouvernementaux de la Colombie-Britannique, par exemple, doivent respecter leurs propres exigences de piste de vérification en vertu des règles d'évaluation des incidences algorithmiques, qui vont bien au-delà de la loi générale sur la protection de la vie privée.

Étape 2 : exporter et documenter la suppression

Exportez vos données ChatGPT via Paramètres > Contrôles des données > Exporter les données. Cela produit une exportation JSON des conversations, utile comme référence interne même si elle ne s'importe pas directement dans une nouvelle plateforme.

Soumettez ensuite une demande formelle de suppression des données de votre compte. Les pratiques de conservation des conversations supprimées varient selon le niveau de produit OpenAI et ont changé au fil du temps; ne vous fiez donc pas à un chiffre retenu de mémoire. Demandez une confirmation écrite de la suppression selon la documentation de politique actuelle du fournisseur, et conservez cette confirmation dans votre dossier de conformité.

Si vous ne pouvez pas produire une confirmation de suppression sur demande, vous ne savez pas réellement si vos données ont disparu. Vous ne faites que le supposer.

Cela compte en vertu du principe de responsabilisation de la LPRPDE, qui exige des organisations qu'elles démontrent, et non seulement qu'elles affirment, avoir traité correctement les renseignements personnels confiés à des tiers. La Loi 25 impose une obligation parallèle de destruction : les renseignements personnels doivent être détruits, anonymisés ou dépersonnalisés une fois que la finalité pour laquelle ils ont été recueillis est atteinte, et les organisations doivent être en mesure de démontrer comment cela s'est fait. Le Commissariat à la protection de la vie privée du Canada publie des orientations sur ce à quoi cette preuve devrait ressembler en pratique.

Étape 3 : cartographier vos exigences de conformité avant de choisir un outil

Ne magasinez pas des outils d'IA pour ensuite adapter la conformité après coup. Cartographiez d'abord vos exigences, puis évaluez les plateformes en fonction de celles-ci.

Au minimum, votre liste d'exigences devrait comprendre :

• Les obligations liées à la Loi 25, si vous traitez des renseignements personnels de résidents du Québec : évaluations des facteurs relatifs à la vie privée avant tout transfert transfrontalier, notification sans délai des incidents de confidentialité à la CAI et aux personnes concernées, et un rôle désigné de responsable de la protection des renseignements personnels qui revient par défaut au dirigeant le plus haut placé de l'organisation, à moins d'être délégué par écrit
• Les obligations liées à la LPRPDE, pour toute organisation exerçant des activités commerciales impliquant des renseignements personnels au Canada, incluant les 10 principes d'équité de l'annexe 1 et la déclaration des atteintes aux mesures de sécurité au Commissariat lorsqu'il existe un risque réel de préjudice grave
• L'harmonisation avec la LIAD/CPCSC, soit les composantes de la Loi sur l'intelligence artificielle et les données proposée par le Canada et le Programme canadien pour la cybersécurité qui y est associé, pour anticiper l'orientation future de la réglementation fédérale de l'IA et des normes d'approvisionnement, particulièrement en ce qui concerne les obligations relatives aux systèmes d'IA à impact élevé
• Les règles propres au secteur, telles que les exigences des barreaux provinciaux en matière d'utilisation de l'IA juridique, ou la ligne directrice E-23 du BSIF pour les institutions financières fédérales réglementées en matière de gestion du risque lié aux modèles

Les secteurs réglementés ont leurs propres listes à consulter avant de vous engager envers une plateforme. Les équipes gouvernementales peuvent comparer les options conçues pour le secteur public, les organisations de santé disposent d'une liste dédiée, et les équipes pharmaceutiques font face à leurs propres normes documentaires abordées dans cet examen des outils d'IA pharmaceutiques réglementés.

C'est là qu'une plateforme d'IA canadienne bâtie autour de ces cadres dès l'architecture de base permet de gagner un temps précieux. Augure, par exemple, intègre des vérifications de conformité à la Loi 25 et à la LPRPDE directement dans son infrastructure, plutôt que de les ajouter après coup sous forme de document de politique — un aspect crucial lorsque votre équipe juridique ou de conformité doit vérifier l'affirmation, pas seulement la lire.

Étape 4 : piloter avec un cas d'usage à faible risque

Ne migrez pas l'ensemble de l'utilisation de l'IA de votre organisation en un seul mouvement. Choisissez un cas d'usage contenu, comme le résumé de documents internes ou le flux de travail de recherche d'une seule équipe, et exécutez-le en parallèle avec votre outil actuel pendant deux à quatre semaines.

C'est aussi à ce stade que les équipes découvrent les lacunes fonctionnelles rapidement. Si votre organisation dépend fortement du contexte persistant dans de longs fils de recherche, vérifiez que la nouvelle plateforme le prend en charge avant le déploiement complet. Les forfaits Pro et Max d'Augure incluent une mémoire persistante précisément parce que les équipes de conformité ont demandé une continuité sans avoir à réexpliquer le contexte à chaque session — une lacune réelle dans plusieurs outils concurrents.

Pour les équipes juridiques en particulier, un pilote sur la révision de contrats et le tri de NDA est un choix naturel. Augure Legal traite directement l'extraction de clauses et les vérifications de conformité à la Loi 25 et à la LPRPDE, ce qui donne aux cabinets d'avocats et aux conseillers juridiques internes une comparaison concrète avant-après par rapport à une révision manuelle ou à un clavardeur généraliste.

Étape 5 : reformer votre équipe sur ce qui change

La migration technique est la partie facile. La partie plus difficile consiste à reformer le personnel qui a développé des habitudes autour de l'interface et des particularités d'un outil précis.

Deux aspects nécessitent généralement une formation explicite. La continuité des invites : si votre nouvelle plateforme dispose d'une mémoire persistante, le personnel doit comprendre ce qui est retenu d'une session à l'autre et ce qui ne l'est pas, particulièrement pour tout ce qui touche aux données clients. Les limites de traitement des documents comptent aussi, puisque les forfaits varient en nombre de documents et en taille de téléversement (le forfait Pro d'Augure prend en charge 100 documents, tandis que le forfait Max permet un nombre illimité de documents avec des téléversements de 50 Mo), de sorte que les flux de travail basés sur des téléversements en masse nécessitent des ajustements.

Élaborez un guide interne d'une page qui précise quelles données peuvent être versées dans l'outil, lesquelles ne le peuvent pas, et à qui s'adresser en cas de doute. Ce seul document contribue davantage à prévenir un incident lié à la Loi 25, et les sanctions administratives pécuniaires qui peuvent en découler, pouvant atteindre 25 000 000 $ CA ou 4 % du chiffre d'affaires mondial pour les infractions les plus graves, que n'importe quelle mesure de sécurité au niveau de la plateforme.

Étape 6 : retirer correctement l'ancien outil

Une fois que votre équipe est entièrement migrée, mettez fin officiellement à l'accès à ChatGPT. Ne laissez pas simplement les licences expirer discrètement. Révoquez les clés API, retirez les intégrations d'authentification unique, et confirmez qu'aucune utilisation fantôme ne persiste sur des comptes personnels.

L'utilisation fantôme de l'IA, c'est-à-dire des employés qui utilisent leurs comptes ChatGPT personnels pour des tâches professionnelles après un changement officiel, est l'une des lacunes les plus courantes détectées par les audits de conformité. Cela vaut la peine d'une mise à jour explicite de politique et d'un rappel que l'utilisation d'un compte personnel pour tout outil d'IA avec des données de clients ou d'employés crée la même exposition à la LPRPDE et à la Loi 25 que la migration visait justement à éliminer, y compris des questions de responsabilité personnelle pour l'employé qui aurait sciemment contourné le processeur désigné de l'organisation.

Une migration n'est pas terminée quand le nouvel outil est en fonction. Elle est terminée quand l'ancien a réellement disparu.

Ce qu'il faut rechercher dans une plateforme d'IA canadienne

Tous les outils commercialisés comme « IA canadienne » n'atteignent pas la barre qui compte réellement pour la conformité. Lors de l'évaluation des options, vérifiez :

• Absence de société mère américaine ou de structure d'investisseurs américains exposée au CLOUD Act
• Limites documentées et contractuellement applicables sur toute infrastructure de traitement située à l'extérieur du Canada
• Cartographie de conformité intégrée aux obligations de transfert, de notification et de destruction de la Loi 25, aux principes de l'annexe 1 de la LPRPDE, et aux orientations émergentes de la LIAD/CPCSC, pas seulement une affirmation dans un argumentaire de vente
• Mémoire persistante et traitement des documents qui correspondent à votre flux de travail réel, pas seulement une fenêtre de clavardage
• Processus clairs de suppression et d'exportation des données, par écrit

Augure a été bâtie précisément selon cette liste de vérification : constitution canadienne, aucune société mère américaine, infrastructure d'IA conforme à la Loi 25 et à la LPRPDE intégrée à l'architecture, et modèles (Ossington 4.1, Tofino 2.5) développés en tenant compte du contexte réglementaire canadien et bilingue dès le départ, sans adaptation après coup. Les fournisseurs de services éducatifs qui pèsent les mêmes critères peuvent voir comment cela se traduit dans un secteur précis dans cet examen des outils d'IA canadiens pour le travail éducatif réglementé.

Effectuer le changement

Une migration de ChatGPT n'est pas un projet de fin de semaine, mais ce n'est pas non plus un projet de tout un trimestre.

Faites l'inventaire, exportez, cartographiez vos exigences de conformité, pilotez, reformez et mettez hors service. Six étapes, dont la plupart devraient déjà être familières à votre équipe