Le chiffrement au repos n'arrêtera pas le CLOUD Act — voici ce qui fonctionne vraiment

Le chiffrement au repos donne l'impression d'être un bouclier juridique. Ça n'en est pas un. Si une entreprise américaine détient vos données, les autorités américaines peuvent l'obliger à les remettre en vertu du CLOUD Act, chiffrées ou non, parce que c'est elle qui contrôle les clés de déchiffrement. C'est pour ça que de plus en plus d'entreprises canadiennes s'intéressent aux outils d'IA canadiens plutôt que de se tourner par défaut vers les plateformes des géants technologiques américains. La question qui compte n'est pas comment vos données sont chiffrées. C'est qui a le droit légal de les déverrouiller.

Qu'est-ce que le chiffrement empêche vraiment?

Le chiffrement au repos protège vos données contre quelqu'un qui volerait le disque dur ou s'infiltrerait dans le système de stockage sans permission. C'est une vraie protection. Tous les fournisseurs d'IA sérieux le font.

Mais ça n'a jamais été conçu pour empêcher un gouvernement de demander gentiment, ou avec une ordonnance de la cour.

Voici la partie que les fournisseurs passent sous silence. Le chiffrement au repos veut dire que les données restent brouillées quand personne ne les utilise. Mais dès qu'un système d'IA doit lire votre document ou répondre à votre question, il doit d'abord déchiffrer ces données. Impossible de faire tourner un modèle sur du texte brouillé. Le modèle a besoin de texte clair, lisible, pour travailler. Alors pendant les secondes ou les minutes où votre outil d'IA fonctionne réellement, vos données sont déverrouillées. Elles se trouvent en mémoire, parfaitement lisibles, sur l'infrastructure qui fait le traitement.

Si cette infrastructure appartient à une entreprise américaine, la loi américaine s'y applique. L'entreprise a déjà les moyens de produire les données en format lisible dès qu'une ordonnance arrive. Elle détient les clés. On peut l'obliger à les utiliser.

Pourquoi la propriété l'emporte-t-elle sur la technologie?

Le CLOUD Act, une loi américaine adoptée en 2018, permet aux autorités américaines de forcer des entreprises américaines à produire des données qu'elles contrôlent, peu importe où ces données se trouvent physiquement dans le monde. Un serveur à Toronto ne vous protège pas si l'entreprise qui l'exploite a son siège social en Californie.

C'est le détail qui prend les gens par surprise. La résidence des données — l'emplacement physique du serveur — devait être la solution. Stockez vos données au Canada, problème réglé, du moins c'est ce qu'on vous vend. Mais la résidence des données touche à la géographie. Le CLOUD Act, lui, touche au contrôle. Si une société mère américaine ou un fournisseur basé aux États-Unis contrôle l'infrastructure, la géographie ne bloque pas l'ordonnance.

La vraie question n'est pas où vivent les données. C'est de quel pays les tribunaux peuvent forcer l'entreprise qui les détient à agir.

Une plateforme d'IA véritablement canadienne change cette réponse, parce que l'entreprise elle-même se trouve hors de portée des États-Unis. Pas de société mère américaine. Pas d'investisseur américain ayant le pouvoir légal d'exiger une divulgation par le biais d'une chaîne corporative américaine.

Stocker les données au Canada règle-t-il le problème?

En partie. Ça vaut la peine d'être précis sur quelle partie.

Stocker les données au Canada répond aux exigences des lois canadiennes sur la protection des renseignements personnels, y compris la loi québécoise sur le secteur privé et la loi fédérale, la LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques). Les deux exigent que les organisations sachent où vont les renseignements personnels et qu'elles les protègent. L'emplacement du stockage est un fait réel, vérifiable, et ça compte.

Ce que l'emplacement du stockage ne change pas, c'est qui contrôle l'entreprise. Un fournisseur infonuagique américain qui exploite des centres de données canadiens reste une entreprise américaine. Les autorités américaines peuvent toujours l'obliger à collaborer en vertu du CLOUD Act, peu importe dans quel pays se trouvent les disques durs. C'est l'écart qui piège les acheteurs techniques qui ont fait leurs devoirs sur la résidence des données et se sont arrêtés là.

La solution n'est pas une meilleure norme de chiffrement. C'est une structure d'entreprise différente, où le fournisseur lui-même se trouve hors de la propriété américaine, sans société mère américaine ni investisseurs américains ayant un pouvoir légal.

Augure est bâtie autour de cette différence. C'est une entreprise canadienne, sans société mère américaine ni investisseurs américains. Les conversations, les documents et l'inférence de l'IA des clients tournent au Canada ou avec des partenaires européens vérifiés, sous des ententes de rétention zéro des données — jamais avec des fournisseurs aux États-Unis. Ça veut dire que la portée du CLOUD Act sur les entreprises contrôlées par les États-Unis ne s'étend pas à votre contenu client, parce qu'aucun fournisseur américain n'y touche jamais.

Il faut être honnête : pas chaque octet que génère votre entreprise évite l'infrastructure américaine. Le traitement des paiements et l'envoi de courriels impliquent certains systèmes basés aux États-Unis, et c'est clairement divulgué dans la politique de confidentialité, de la même façon que ça devrait l'être si vous évaluez un transfert hors Québec en vertu de la loi québécoise. Mais vos clavardages et vos documents — ce sur quoi l'IA raisonne réellement — restent hors de portée des mains américaines.

Le chiffrement en transit comble-t-il l'écart?

Non, et celui-là aussi fait trébucher bien du monde. Le chiffrement en transit protège les données pendant qu'elles voyagent entre votre navigateur et le serveur, comme une enveloppe scellée qui passe par la poste. Ça empêche quelqu'un de lire les données en cours de route.

Mais ça ne dit rien sur qui peut ouvrir l'enveloppe une fois arrivée à destination. Si la destination est un serveur contrôlé par les États-Unis, l'enveloppe arrive, s'ouvre, et la question du CLOUD Act revient sur la table.

Les deux types de chiffrement sont de bonnes pratiques. Aucun des deux ne répond à la question de qui possède l'entreprise. Les gens les traitent comme une liste de vérification qui, une fois cochée, veut dire « on est couverts ». Ça ne fonctionne pas comme ça. Il vous faut une couche de plus qui n'a rien à voir avec les mathématiques : qui possède l'entreprise, et de quel pays les tribunaux peuvent lui donner des ordres.

Qu'est-ce qu'un acheteur devrait vraiment vérifier?

Sautez la page marketing sur le chiffrement. Allez plutôt voir la liste des sous-traitants et la divulgation de propriété. La plupart des fournisseurs d'IA crédibles publient les deux. Cherchez trois choses :

• L'entreprise elle-même est-elle canadienne, sans société mère américaine ni investisseur américain qui la contrôle?
• Où l'inférence tourne-t-elle réellement — pas seulement le stockage, mais l'étape de traitement en direct?
• Qu'est-ce qui est divulgué sur les flux transfrontaliers pour les paiements et les courriels, et cette divulgation est-elle précise ou vague?

Si un fournisseur ne peut pas répondre clairement à la première question, les spécifications de chiffrement sur le reste de la page n'ont pas vraiment d'importance. Une plateforme d'IA canadienne avec une structure de propriété claire ferme un écart qu'aucun chiffrement ne peut fermer.

Quoi faire cette semaine

1. Demandez à votre fournisseur d'IA actuel, par écrit, s'il a une société mère américaine ou des investisseurs américains ayant un pouvoir légal sur l'entité qui détient vos données.
2. Consultez sa liste de sous-traitants et vérifiez où l'inférence — pas seulement le stockage — a réellement lieu.
3. Si les réponses sont vagues ou que le fournisseur refuse de le mettre par écrit, essayez Augure. C'est canadien, ça commence gratuitement, et la structure de propriété est publique.

Plus de détails sur comment ça fonctionne se trouvent sur augureai.ca.

D'où vient cette information : Le CLOUD Act a été adopté par le Congrès américain en 2018 et s'applique aux données contrôlées par des entreprises basées aux États-Unis, peu importe où elles sont stockées.