Ce que le rapport de préparation à l'IA de Vancouver révèle vraiment aux équipes de conformité

L'administration municipale de Vancouver a signalé que 14 départements n'avaient aucune politique documentée de résidence des données pour les outils d'IA déjà en usage, selon une évaluation interne de préparation résumée dans un rapport du personnel de juin 2026. Ce chiffre dépasse largement les murs de l'hôtel de ville. C'est un instantané précis de ce qui arrive quand l'approvisionnement devance la gouvernance, et c'est un schéma que les équipes de conformité des organisations privées canadiennes reconnaîtront immédiatement. Le rapport ne dit pas à chaque lecteur si l'outil actuellement sur le bureau d'un employé crée un problème de conformité que personne n'a encore nommé. Il montre bien, en revanche, à quoi ressemble la piste d'audit une fois que quelqu'un finit par poser la question.

L'écart entre l'adoption et la gouvernance

Le rapport du personnel, préparé pour le comité de gouvernance des TI de Vancouver, a révélé que des outils d'IA — surtout des assistants de clavardage commerciaux et une poignée de modules de résumé de documents — avaient été adoptés de manière informelle dans des départements comme les permis, les parcs et les communications, bien avant toute évaluation formelle des risques. Quatorze des départements audités n'avaient aucune trace d'une entente de traitement des données couvrant les outils utilisés quotidiennement par le personnel. Trois n'avaient même aucun inventaire des outils d'IA en usage.

Il ne s'agit pas d'une défaillance propre à Vancouver. C'est la condition par défaut de la plupart des organisations qui laissent leur personnel s'inscrire à des comptes d'IA grand public avec une adresse courriel professionnelle, pour découvrir des mois plus tard qu'un contrat annoté, un dossier client ou une plainte en ressources humaines est passé par un serveur que personne n'a validé. La différence, c'est que Vancouver a produit un document là-dessus, et que ce document est maintenant assez public pour servir de leçon.

Les auteurs du rapport n'y sont pas allés de main morte sur le mécanisme en cause. Le personnel n'a pas choisi ses fournisseurs par un processus d'approvisionnement, disent-ils — il les a choisis comme n'importe qui choisit un outil gratuit : en cherchant, en s'inscrivant, et en collant tout ce qui devait être collé. Cette phrase mérite d'être répétée devant un comité de conformité, parce qu'elle décrit exactement comment le TI fantôme se transforme en incident de confidentialité.

Ce que le rapport ne précise pas, et sur quoi tout responsable de la conformité devrait s'attarder, c'est le coût de corriger le tir après coup plutôt qu'avant. Retirer un outil autour duquel trois départements ont discrètement bâti leurs flux de travail, ce n'est pas une note de politique; c'est un projet de gestion du changement. Quelqu'un doit repérer chaque fichier passé par l'outil non validé, déterminer si l'un d'eux contenait des renseignements personnels soumis à des obligations de notification, migrer le travail actif vers un remplaçant approuvé, et former à nouveau le personnel qui s'était habitué à l'ancienne façon de faire. Rien de tout cela n'apparaît dans un score de préparation. Cela apparaît des mois plus tard comme une ligne budgétaire que personne n'avait prévue, et c'est presque toujours plus coûteux que l'évaluation du risque fournisseur qui aurait détecté le problème dès la première semaine.

Ce que les équipes de conformité devraient réellement vérifier

L'évaluation de Vancouver se traduit en quatre questions que toute équipe de conformité canadienne peut poser à propos de son propre parc d'outils d'IA sans commander un audit formel.

• Où les données sont-elles traitées, et la documentation du fournisseur le précise-t-elle clairement, ou seulement en termes marketing vagues?
• Existe-t-il une entente de traitement des données signée abordant les transferts transfrontaliers, et quelqu'un l'a-t-il réellement lue à la lumière du principe de responsabilité de la LPRPDE ou, pour les entités québécoises, de la Loi 25?
• Le fournisseur utilise-t-il les données saisies par les clients pour entraîner ses modèles, et cette réponse est-elle donnée par écrit plutôt que présumée?
• Qui, à l'interne, sait quels outils d'IA sont réellement utilisés, et cette liste est-elle à jour?

Aucune de ces questions n'exige une expertise exotique. Elles exigent quelqu'un ayant l'autorité de demander une documentation à un fournisseur, et la patience de la lire. La plupart des organisations sautent cette étape parce que les outils en question sont arrivés gratuitement, de façon informelle, sans cycle d'approvisionnement associé — exactement le schéma décrit dans le rapport de Vancouver.

Un lecteur sceptique pourrait faire remarquer qu'un exercice d'inventaire semble simple sur papier et l'est rarement en pratique. Les extensions de navigateur, les applications mobiles installées sur des appareils personnels utilisés au travail, et les forfaits gratuits ouverts avec une adresse courriel personnelle plutôt que professionnelle échappent tous au type d'outils de gestion des actifs sur lesquels s'appuient la plupart des services de TI. Le rapport de Vancouver le reconnaît d'ailleurs indirectement : trois départements n'ont pu produire aucun inventaire, non pas parce que personne n'a essayé, mais parce que les outils en question ne laissaient aucune trace dans les systèmes que le service de TI surveillait déjà. Une équipe de conformité qui veut un inventaire réel, et non aspirationnel, doit généralement sonder directement son personnel — et accepter que la première réponse obtenue sous-estimera la réalité.

L'angle canadien que les équipes d'approvisionnement continuent de manquer

Là où cette histoire devient véritablement canadienne, plutôt qu'une simple question générique de gouvernance des TI, c'est sur la question de la juridiction. La plupart des outils signalés dans la vague d'adoption informelle de Vancouver sont des produits américains — construits par des entreprises américaines, soumis à une propriété corporative américaine, et accessibles sous le régime juridique américain peu importe où se trouve le client canadien. C'est exactement l'enjeu au cœur du débat sur le CLOUD Act depuis 2018.

Une poignée de fournisseurs d'IA canadiens ont commencé à faire valoir cet écart dans leur mise en marché, positionnant la résidence des données et la juridiction canadienne comme un facteur de différenciation plutôt qu'une réflexion après coup. Augure en fait partie. L'entreprise stocke les données de ses clients au Canada et exécute l'inférence sur une infrastructure canadienne, avec des partenaires européens validés sous des ententes de conservation nulle des données pour certains niveaux de modèles et en cas de relève — sans jamais être acheminées vers des fournisseurs basés aux États-Unis pour l'inférence ou le contenu des clients. Augure n'a aucune société mère américaine ni aucun investisseur américain, selon l'entreprise, ce qui signifie que les conversations et documents des clients ne sont pas traités par des fournisseurs soumis à la juridiction américaine comme le serait une filiale d'une entreprise infonuagique américaine. C'est une affirmation plus étroite, et plus défendable, qu'un « non assujetti au CLOUD Act » sans nuance — et c'est celle qui mérite d'être mise à l'épreuve face à la liste réelle des sous-traitants d'un fournisseur, plutôt que face au texte de sa page d'accueil.

« Le personnel n'a pas choisi ses fournisseurs par un processus d'approvisionnement — il les a choisis comme n'importe qui choisit un outil gratuit : en cherchant, en s'inscrivant, et en collant tout ce qui devait être collé. »

Cette phrase du rapport du personnel résume tout le problème à elle seule, et elle explique en bonne partie pourquoi « l'IA canadienne souveraine » est devenue, ces deux dernières années, une catégorie d'approvisionnement plutôt qu'un slogan. Le Commissariat à la protection de la vie privée du Canada a publié des lignes directrices sur les flux de données transfrontaliers et la responsabilité sous la LPRPDE qui font de l'emplacement d'un fournisseur, et de la transparence de ses ententes de sous-traitance, une question de conformité bien réelle plutôt qu'un détail d'arrière-plan.

Il existe une version de cette histoire où la juridiction ne s'avère finalement pas le facteur décisif. Une équipe de conformité peut cocher toutes les cases de la liste ci-dessus, choisir un fournisseur avec une résidence canadienne irréprochable et une divulgation complète de ses sous-traitants, et se faire quand même surprendre par quelque chose que la liste de vérification n'a jamais demandé — une politique d'accès interne trop large, une équipe de soutien technique capable de lire les conversations des clients sans piste d'audit, une clause de notification de violation qui accorde 30 jours au fournisseur alors que les propres obligations de l'organisation en vertu du droit provincial sont plus courtes. La résidence répond à une seule question. Elle ne répond pas à celle de savoir si le personnel du fournisseur peut lire les données une fois qu'elles y sont, ni si le contrat oblige réellement le fournisseur à avertir promptement un client lorsque quelque chose tourne mal.

La Loi 25 du Québec relève encore la barre

Pour toute organisation ayant des activités au Québec ou traitant des renseignements personnels de résidents québécois, la barre est plus haute que sous la seule LPRPDE. La Loi 25 exige une évaluation des facteurs relatifs à la vie privée documentée avant tout transfert de renseignements personnels à l'extérieur du Québec, selon les lignes directrices de la Commission d'accès à l'information, et cette évaluation doit tenir compte de l'endroit où le traitement a réellement lieu, pas seulement du siège social du fournisseur. Un fournisseur qui affirme être « canadien » sans divulguer qu'une partie de son inférence transite par des partenaires européens, ou que le traitement des paiements passe par des réseaux de cartes américains, ne donne pas à une équipe de conformité ce dont elle a besoin pour compléter cette évaluation.

La documentation d'Augure divulgue l'inférence effectuée en Europe pour certains niveaux de modèles et en cas de relève, ainsi qu'un traitement limité aux États-Unis lié aux réseaux de cartes de paiement et à l'envoi de courriels — le genre de précision dont une évaluation de transfert sous la Loi 25 a besoin, contrairement à une garantie de résidence en une seule ligne qui s'effondre au moindre examen. Reste à voir si ce niveau de divulgation deviendra la norme sur le marché canadien des fournisseurs d'IA, ou s'il demeurera un facteur de différenciation propre aux quelques entreprises prêtes à le publier.

L'exigence d'évaluation des transferts du Québec ne disparaît pas non plus du simple fait qu'un fournisseur a son siège social au Canada. Les organisations interprètent parfois le langage de la Loi 25 sur les transferts transfrontaliers comme une règle visant seulement les fournisseurs étrangers, et présument qu'un fournisseur domestique en est automatiquement exempté. Ce n'est pas le cas. L'obligation s'attache au transfert lui-même, pas au pays d'incorporation du fournisseur, ce qui signifie qu'une entreprise canadienne dont l'infrastructure touche l'Europe pour une partie du traitement doit tout de même être nommée, précisément, dans l'évaluation — un détail qui se perd quand l'approvisionnement traite la mention « fournisseur canadien » comme une case à cocher plutôt que comme le point de départ de l'analyse réelle.

Ce que le rapport laisse en suspens

Le rapport du personnel de Vancouver recommande une politique formelle d'approvisionnement en IA, une exigence d'inventaire départemental, et des évaluations de risque fournisseur obligatoires avant l'approbation de tout nouvel outil d'IA. Il ne nomme aucun fournisseur de remplacement, et les autorités municipales n'ont pas indiqué publiquement si les outils informels existants seront progressivement retirés ou maintenus une fois qu'un nouveau cadre sera en place. Cette décision revient au conseil municipal, et au moment d'écrire ces lignes, aucun vote n'a été fixé.

Le schéma plus large survivra au rapport. Un gouvernement municipal a passé des mois à découvrir, département par département, ce que bien des équipes de conformité du secteur privé n'ont jamais vérifié du tout : quels outils d'IA le personnel utilise réellement, où ces outils envoient les données, et si quelqu'un a signé quoi que ce soit qui le précise. Quatorze départements sans politique de résidence documentée, c'est assez précis pour être vérifiable et assez peu reluisant pour être crédible. C'est aussi, presque certainement, une sous-estimation de ce qu'un audit semblable révélerait au sein d'une entreprise canadienne de taille moyenne qui n'en a jamais mené un.

Les organisations qui se posent la même question à propos de leur propre parc d'outils d'IA peuvent consulter la documentation d'Augure sur le traitement des données et la conformité à augureai.ca.