Predact et la confidentialité des documents : ce que disent les organisations canadiennes

Les organisations canadiennes qui comparent les options en matière de confidentialité des documents au Canada reviennent toujours à la même question au sujet de Predact : où vont réellement les données? Les avis des utilisateurs pointent vers des lacunes dans les protections liées aux transferts transfrontaliers en vertu de la LPRPDE et vers des mécanismes de consentement peu clairs au regard de la Loi 25.

Les comparaisons révèlent une préférence croissante pour des solutions de souveraineté canadienne qui évitent complètement ces risques juridictionnels. Ce bilan sur Predact s'appuie sur ces témoignages, ainsi que sur le cadre réglementaire auquel l'entreprise doit se conformer.

Comment les utilisateurs canadiens évaluent les allégations de Predact en matière de confidentialité

Les équipes juridiques et les responsables de la conformité qui évaluent Predact se concentrent sur trois enjeux : l'emplacement des données, les mécanismes de consentement et les procédures de notification en cas d'atteinte à la sécurité.

L'évaluation d'un cabinet d'avocats de Toronto a souligné que les conditions d'utilisation de Predact ne fournissent aucune garantie précise quant à la résidence des données au Canada, ce qui crée une incertitude au regard du principe de responsabilité de la LPRPDE. Les organisations québécoises font face à une complexité supplémentaire en vertu de la Loi 25, qui exige un consentement explicite pour tout transfert transfrontalier de renseignements personnels. Plusieurs entrepreneurs travaillant pour des gouvernements provinciaux rapportent que le cadre de consentement de Predact ne répond pas aux normes rehaussées de la Loi 25 pour le traitement de documents sensibles — une lacune qui revient souvent dans les évaluations d'approvisionnement des acheteurs du secteur public qui examinent des outils d'IA pour des travaux gouvernementaux réglementés.

« Le problème avec les plateformes documentaires basées aux États-Unis ne se limite pas aux politiques de confidentialité — c'est l'exposition juridictionnelle fondamentale découlant du CLOUD Act que la loi canadienne sur la vie privée ne peut pas contourner. Le principe 4.1.3 de la LPRPDE exige des mesures de protection proportionnelles à la sensibilité des renseignements, mais les transferts transfrontaliers vers des plateformes américaines compromettent intrinsèquement ces protections. »

Les organisations du secteur de la santé assujetties aux lois provinciales sur la protection des renseignements personnels expriment une préoccupation particulière concernant la gestion des données par Predact. L'évaluation d'une autorité sanitaire albertaine a révélé que le téléversement de documents vers l'infrastructure de Predact pourrait déclencher des obligations de divulgation en vertu du CLOUD Act, entrant potentiellement en conflit avec les protections provinciales des renseignements de santé des patients. Cette préoccupation rejoint ce que nous avons documenté ailleurs pour les équipes évaluant des travaux réglementés en santé.

Là où les outils documentaires se heurtent à des lacunes de conformité

La plupart des plateformes de confidentialité documentaire, y compris Predact, reposent sur des structures corporatives américaines avec une infrastructure principale hébergée dans des centres de données aux États-Unis.

Ce seul fait entraîne trois problèmes de conformité distincts pour les acheteurs canadiens. Le principe 4.1.3 de la LPRPDE exige des mesures de protection proportionnelles à la sensibilité des renseignements, et les flux de données transfrontaliers vers des plateformes américaines atteignent rarement ce seuil sans protections contractuelles additionnelles. La Loi 25 exige que les renseignements personnels demeurent au Québec ou dans une juridiction offrant une protection substantiellement similaire, et l'infrastructure américaine ne répond généralement pas aux critères d'adéquation du Québec. L'exposition au CLOUD Act signifie que les autorités américaines peuvent exiger la divulgation de données canadiennes stockées sur des plateformes américaines, peu importe ce que prévoit la loi canadienne.

Chacun de ces enjeux est gérable individuellement. Mais ensemble, ils créent une posture de conformité difficile à combler entièrement au moyen de simples clauses contractuelles.

« Les exigences territoriales de la Loi 25 ne concernent pas seulement l'endroit où résident les données — elles visent à garantir que les droits à la vie privée des Québécois demeurent applicables tout au long du cycle de vie des données. Les pénalités atteignent 25 millions de dollars précisément parce que les infractions transfrontalières minent l'ensemble du cadre provincial de protection de la vie privée. »

L'exposition financière est bien réelle. Les infractions à la LPRPDE peuvent mener à des ordonnances de la Cour fédérale et nuire à la réputation par la publication de conclusions du Commissariat à la protection de la vie privée du Canada. La Loi 25 prévoit des sanctions administratives pécuniaires pouvant atteindre 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial en cas de récidive, avec des pénalités initiales de 10 millions de dollars canadiens ou 2 %.

Ce que veulent réellement les acheteurs canadiens

Quatre éléments reviennent dans presque toutes les évaluations : une résidence des données confirmée, des mécanismes de consentement transparents, une notification claire en cas d'atteinte à la sécurité, et une absence totale d'exposition aux lois de surveillance étrangères.

La résidence des données arrive systématiquement en tête de liste. L'équipe d'approvisionnement d'une entreprise technologique de Vancouver a exigé des garanties écrites que les documents ne quitteraient jamais le territoire canadien, et a constaté que la plupart des plateformes internationales — Predact y compris — ne pouvaient fournir cette assurance sans déclencher des obligations de transfert transfrontalier en vertu de la LPRPDE.

Les équipes juridiques veulent des contrôles de consentement granulaires qui satisfont à la fois à la LPRPDE et à la Loi 25. Cela suppose une limitation des finalités d'un côté, et la possibilité de retirer son consentement de l'autre. De nombreuses plateformes existantes traitent encore le consentement comme une case à cocher unique plutôt que comme un droit continu.

Les entrepreneurs gouvernementaux ajoutent une couche supplémentaire. Ces organisations ont besoin de plateformes qui fonctionnent entièrement sous la juridiction légale canadienne, éliminant ainsi toute exposition aux lois américaines sur le renseignement étranger — une exigence qui revient constamment dans les évaluations sous-jacentes aux exigences d'évaluation des facteurs algorithmiques pour le gouvernement de la Colombie-Britannique.

Les industries réglementées, comme la pharmaceutique et l'éducation, font face à un calcul similaire. Les équipes qui évaluent des options pour des travaux réglementés en pharmaceutique et des travaux réglementés en éducation rapportent le même constat : des plateformes dotées de bonnes politiques de confidentialité échouent tout de même à l'étape de l'approvisionnement lorsque l'infrastructure sous-jacente se trouve hors du Canada.

« Pour les industries réglementées, la question n'est pas de savoir si une plateforme a de bonnes pratiques de confidentialité. C'est de savoir si ces pratiques demeurent applicables lorsqu'un gouvernement étranger invoque une loi extraterritoriale comme le CLOUD Act. »

Les organisations recherchent également des fournisseurs qui comprennent le contexte juridique canadien — un soutien bilingue pour les opérations québécoises, une connaissance des variations provinciales entre les lois sur l'accès à l'information, ainsi que des modèles intégrés conçus pour les cadres réglementaires canadiens plutôt que des solutions américaines adaptées après coup.

L'option de l'IA souveraine

Les organisations canadiennes évaluent de plus en plus des plateformes d'IA souveraines qui éliminent le risque de conformité transfrontalier plutôt que de simplement le gérer. Ces plateformes fonctionnent exclusivement sur une infrastructure canadienne, sous des structures corporatives canadiennes.

Augure illustre bien cette approche. Conçue spécifiquement pour les organisations réglementées ayant besoin de garanties en matière de confidentialité des documents au Canada, Augure offre une résidence des données 100 % canadienne, sans société mère ni investisseur américain. Cette structure élimine les conflits juridictionnels qui compliquent l'adoption de plateformes internationales, tout en soutenant la conformité à la LPRPDE et à la Loi 25 dès l'étape de conception, plutôt que de l'ajouter après coup.

L'architecture de conformité intègre dès le départ les principes fondamentaux de la LPRPDE et le cadre de consentement de la Loi 25. Les mécanismes de consentement, les politiques de conservation et les procédures de notification en cas d'atteinte à la sécurité s'harmonisent avec la loi canadienne sur la protection de la vie privée, sans nécessiter de protections contractuelles supplémentaires ajoutées à un produit conçu à l'étranger.

Les équipes juridiques peuvent traiter des contrats et des ententes de confidentialité sans déclencher d'exigences documentaires transfrontalières. Les organisations de santé évitent complètement les conflits liés aux renseignements de santé provinciaux. Les entrepreneurs gouvernementaux répondent aux directives fédérales sur la sécurité infonuagique sans avoir à déposer de demandes d'exemption.

Les organismes de réglementation de la vie privée vont également dans cette direction. La Commission d'accès à l'information du Québec a spécifiquement souligné que les plateformes d'IA nécessitent des évaluations des facteurs relatifs à la vie privée renforcées en vertu de la Loi 25. Les institutions financières régies par les lignes directrices sur le risque opérationnel du BSIF constatent que les plateformes canadiennes simplifient les examens des comités de gestion des risques — sans exposition à une juridiction étrangère, la discussion demeure technique plutôt que géopolitique.

Prendre la décision de conformité

Commencez par les exigences juridictionnelles, et non par la comparaison des fonctionnalités.

La loi canadienne sur la protection de la vie privée crée des obligations que les plateformes internationales ne peuvent pas toujours satisfaire, peu importe la solidité apparente de leurs capacités techniques. Pour la LPRPDE, documentez la justification du transfert transfrontalier exigée par le principe 4.1.3. Si votre organisation ne peut démontrer une protection adéquate dans la juridiction de destination, une plateforme canadienne élimine complètement ce fardeau.

Les organisations assujetties à la Loi 25 doivent produire une documentation de consentement explicite pour tout transfert transfrontalier de renseignements personnels. Le régulateur québécois en matière de vie privée a signalé que le traitement documentaire par IA implique généralement des renseignements personnels, ce qui déclenche des exigences d'évaluation des facteurs relatifs à la vie privée plus souvent que les fournisseurs veulent bien l'admettre.

Les acheteurs gouvernementaux devraient consulter les directives fédérales sur la sécurité infonuagique pour les charges de travail sensibles — celles-ci favorisent généralement les plateformes canadiennes pour le traitement de documents de niveau Protégé B et classifiés.

Structurez votre liste de vérification d'approvisionnement autour de trois questions : Où résident les données? Qui possède l'entreprise? Quelles lois étrangères pourraient forcer une divulgation? Les fournisseurs incapables de répondre clairement à ces questions ne pourront probablement pas non plus soutenir vos obligations de conformité.

La loi canadienne sur la protection de la vie privée se resserre, elle ne s'assouplit pas. Les exigences territoriales et les restrictions transfrontalières continuent de s'élargir tant au niveau fédéral que provincial. Choisir une plateforme canadienne dès maintenant permet d'éviter une migration ultérieure, à un moment où les règles seront plus strictes et les coûts de changement plus élevés.

Pour les organisations prêtes à passer à un traitement documentaire par IA souveraine, conçu dès le départ autour des exigences canadiennes en matière de protection de la vie privée, Augure propose une approche axée sur la conformité, disponible au augureai.ca.