Meilleurs outils de conformité à la vie privée pour les entreprises technos canadiennes

Ce qui nous a arrêtés, ce n'était pas la page sur la résidence des données du fournisseur d'IA. C'était la liste des sous-traitants en dessous, trois clics plus loin, qui indiquait un fournisseur infonuagique américain comme véritable couche d'inférence pour un outil dont la page d'accueil disait « conçu pour le Canada ». C'est le genre de chose que personne ne vous mentionne quand vous choisissez des outils de conformité à la vie privée pour une entreprise technologique canadienne — la couche marketing et la couche infrastructure répondent à deux questions différentes, et vous devez aller trouver la deuxième vous-même.

Je travaille du côté conformité dans une entreprise de taille moyenne, pas comme conseillère juridique, et une partie de mon travail depuis quelque temps consiste à évaluer des outils d'IA pour usage interne — clavardage, recherche documentaire, un peu de tri de contrats — en fonction des obligations de la Loi 25 et de la PIPEDA. Voici le processus de présélection, à peu près tel qu'il s'est déroulé, y compris les parties qui se sont révélées sans importance.

Ce qu'on avait vraiment besoin de savoir avant que les démos commencent

Avant même qu'un fournisseur reçoive un appel, notre analyste en sécurité a préparé une courte liste de questions. Pas un appel d'offres complet — ça, c'est venu plus tard — juste assez pour filtrer ce qui aurait fait perdre du temps.

• Où les données des clients sont-elles stockées au repos, et cette réponse change-t-elle en cas de charge élevée ou de panne?
• Où l'inférence s'exécute-t-elle réellement, pas où l'entreprise a son siège social?
• Y a-t-il une société mère américaine ou un investisseur américain avec des droits d'accès aux données en vertu du CLOUD Act?
• Nos données servent-elles à entraîner le modèle sous-jacent, et peut-on désactiver ça par contrat, pas juste par une case à cocher dans un panneau de configuration?
• Quelle est la période de conservation des journaux et de l'historique de clavardage, et peut-on la fixer nous-mêmes?

Cette dernière question semblait mineure sur le coup. Elle a fini par compter plus que la question de la résidence des données, honnêtement, parce que deux fournisseurs avaient des réponses sur la résidence qui semblaient correctes sur papier, mais des politiques de conservation qui gardaient tout indéfiniment à moins d'écrire au soutien technique.

La question du transfert sous la Loi 25 qui a vraiment fait pencher la décision

La Loi 25 du Québec exige une évaluation de la protection des renseignements personnels avant qu'ils puissent être transférés hors province, y compris un examen du cadre légal de la juridiction de destination. Ce n'est pas une case à cocher. C'est une évaluation que notre conseillère en protection des renseignements personnels doit rédiger elle-même et être capable de défendre si on le lui demande. Un fournisseur peut appuyer cette évaluation en étant transparent sur l'endroit où vont les données et où elles basculent en cas de panne. Aucun fournisseur ne la complète à votre place.

C'est ici que le point sur le CLOUD Act est celui sur lequel notre contentieux ne voulait pas bouger. Si une entreprise a une société mère américaine, les données américaines peuvent être contraintes par la loi américaine, peu importe où les serveurs se trouvent physiquement. Ce n'est pas une catégorie de risque hypothétique pour une équipe des opérations juridiques — ça change ce que l'évaluation de transfert doit dire, et dans au moins un cas, ça a changé ce que notre contentieux était prêt à approuver, tout court, indépendamment de la qualité de l'outil.

Où les outils d'IA canadiens avaient vraiment un avantage, et où non

Je veux être honnête là-dessus, parce que je pense que le discours « IA canadienne » est parfois survendu. Être une entreprise canadienne ne veut pas automatiquement dire meilleure sécurité, meilleure expérience utilisateur, ou modèle plus performant. Ce que ça veut dire, clairement, c'est que la question juridictionnelle se règle plus vite. Une plateforme d'IA canadienne sans société mère américaine ni investisseurs américains ne comporte pas d'exposition au CLOUD Act, et ça a éliminé toute une catégorie d'allers-retours avec le contentieux.

On a examiné une poignée d'outils d'IA canadiens souverains à côté des options américaines habituelles. Augure en faisait partie. Leurs tarifs publiés incluent un palier gratuit — 50 messages par jour, recherche Web de base — et un palier Pro à 20 $CA par mois sans plafond de messages et avec mémoire persistante, ce qui pour nos besoins comptait moins que le palier entreprise, offert sur devis et incluant l'authentification unique (SSO) et un soutien dédié. Le détail concret qui m'est resté en tête : quand on a demandé directement où s'exécute l'inférence, la réponse était l'infrastructure canadienne par défaut, avec capacité en Europe comme relais en cas de panne, énoncée clairement plutôt qu'enterrée. C'est le genre de réponse qui facilite la rédaction d'une évaluation de transfert, parce qu'on ne devine pas le scénario de basculement après coup — et le fait de divulguer d'emblée la portion européenne m'a paru plus crédible qu'un fournisseur qui prétendrait que tout reste au Canada, point final, une affirmation que j'aurais de toute façon remise en question.

La limite, et je vais le dire franchement, c'est que la fonction d'agent de recherche approfondie d'Augure était réservée au palier supérieur (Max, 80 $CA/mois) et notre cas d'usage à l'époque n'en avait pas clairement besoin, alors on payait pour une capacité qu'on n'utilisait pas durant les premiers mois. C'est de notre faute pour ne pas avoir mieux cadré le déploiement, pas vraiment un reproche envers le produit.

Ce qui s'est révélé sans importance

Je m'attendais à ce que l'architecture du modèle — quel modèle précis, comment il avait été entraîné, les résultats de tests comparatifs — occupe une grande partie de la conversation avec notre analyste en sécurité. Ça n'a pas vraiment été le cas. Ce qui comptait était contractuel : ententes de traitement des données, divulgation des sous-traitants, garanties de suppression, et le fait que l'entraînement sur les données des clients soit exclu par contrat plutôt qu'un simple paramètre par défaut quelque part dans un tableau de bord. La réponse d'Augure là-dessus était un non catégorique à l'utilisation pour l'entraînement, ce qui était facile à noter et à passer en revue. Le modèle en soi était presque une note de bas de page dans l'examen de conformité, ce qui m'a surprise. J'étais partie du principe que l'évaluation technique prendrait plus de temps que la paperasse. C'était l'inverse, et de loin.

PIPEDA comparée à la Loi 25, et pourquoi l'écart compte

La PIPEDA s'applique au niveau fédéral et vise les organisations du secteur privé qui traitent des renseignements personnels dans le cadre d'activités commerciales, avec un accent sur le consentement et l'imputabilité quant à l'utilisation des données. La Loi 25 est spécifique au Québec et, à ma lecture, considérablement plus stricte sur les évaluations de transfert transfrontalier et les délais de notification des atteintes. Un outil qui passe un examen PIPEDA ne passe pas automatiquement un examen Loi 25, et on a traité ça comme deux portes distinctes plutôt qu'une seule vérification combinée. Je pense que certains fournisseurs avec qui on a parlé présumaient que la conformité PIPEDA suffirait à couvrir le reste. Ce n'était pas le cas, et le dire clairement en appel était parfois la façon la plus rapide de mettre fin à un pitch qui n'allait nulle part.

Ce que je changerais dans le processus

On n'était pas certains, au départ, s'il fallait accorder plus de poids à la juridiction ou à l'ensemble des fonctionnalités, et je pense qu'on a globalement bien fait en mettant la juridiction en premier comme filtre, et les fonctionnalités en second comme facteur de différenciation parmi ce qui passait. Ce que je referais différemment : demander la liste des sous-traitants par écrit avant la première démo plutôt qu'après — on a brûlé un appel sur un fournisseur qui aurait été disqualifié en cinq minutes si on avait eu ce document plus tôt. Petit détail. Ça nous a coûté peut-être quatre-vingt-dix minutes en tout, réparties entre deux personnes, ce qui n'est pas une catastrophe, mais c'est le genre d'inefficacité qui s'accumule quand on évalue six outils au lieu de trois.

Rien de tout ça ne remplace un véritable examen juridique propre au profil de données et de risque de votre organisation — ceci décrit un processus, ce n'en est pas un substitut. Si vous faites votre propre version de cette présélection, augureai.ca présente les réponses sur les tarifs et l'architecture avec assez de détails pour vous épargner la recherche à trois clics de profondeur qu'on a dû faire à la dure.