L'évaluation de fournisseurs qui nous a fait abandonner les outils d'IA américains

Ce qui a bloqué l'évaluation, ce n'était pas le modèle d'IA. C'était un tableau de sous-traitants, à la quatrième page de la politique de confidentialité d'un fournisseur, qui listait un processeur de paiement et un service de courriel, tous deux basés aux États-Unis. Tout le monde de notre côté s'attendait à une bataille sur la qualité du modèle. Au lieu de ça, on a passé la majeure partie d'une réunion à débattre d'un système de facturation que personne n'avait pensé à questionner.

Je fais de la conformité pour une organisation de taille moyenne qui traite une bonne quantité de données clients réglementées, et quelque part l'an dernier, on nous a demandé, pas pour la première fois, pourquoi notre personnel collait du texte de contrats dans un clavardeur grand public sans entente d'entreprise derrière. C'est le vrai point de départ de la plupart de ces évaluations, je pense — pas une décision stratégique de « virer canadien », mais quelqu'un en juridique ou en TI qui remarque un usage fantôme et décide qu'il faut une politique avant que ça devienne un problème. La recherche d'une alternative d'IA canadienne est venue après ça, pas avant.

Ce qu'on a vraiment demandé aux fournisseurs

On a bâti une courte liste de questions et on les a envoyées, identiques, à quatre fournisseurs — trois outils américains déjà utilisés de façon informelle quelque part dans l'organisation, et Augure.

• Où les données sont-elles stockées au repos, et où se fait l'inférence?
• Qui sont vos sous-traitants, et où sont-ils constitués?
• Le contenu des clients sert-il à entraîner des modèles, sous quelque forme que ce soit?
• Quelle est votre politique de conservation une fois qu'un utilisateur supprime une conversation?
• Si un gouvernement étranger exigeait une divulgation, quel est le parcours légal, et qui nous en informerait?

Cette dernière question a donné les réponses les plus révélatrices. Deux fournisseurs n'en avaient pas vraiment une — la réponse se résumait à une déclaration générique sur le respect des « lois applicables », ce qui ne nous disait rien du tout. Un autre a donné une longue réponse sur le chiffrement qui ne touchait pas du tout à la question de juridiction. La réponse d'Augure était la plus précise : données clients stockées au Canada, inférence partagée entre infrastructure canadienne et partenaires européens validés sous ententes de conservation nulle, selon le palier de modèle utilisé, et une affirmation claire que le contenu des clients ne sert jamais à l'entraînement. Ils ont aussi divulgué, sans qu'on le demande, que les paiements par carte et l'envoi de courriels passent par des processeurs basés aux États-Unis — ce que je préfère de loin voir volontairement divulgué plutôt que découvert plus tard dans un tableau de sous-traitants.

Le point sur le CLOUD Act où notre conseiller juridique n'a pas bougé

C'est le seul endroit où une loi précise a vraiment changé le résultat, plutôt que de simplement servir de toile de fond.

Le CLOUD Act (2018) permet aux forces de l'ordre américaines d'obliger les entreprises technologiques basées aux États-Unis à fournir les données demandées, stockées sur des serveurs, peu importe que ces données soient conservées aux États-Unis ou sur un sol étranger.

Selon notre conseiller juridique externe, si un fournisseur a une société mère américaine, cette exposition existe peu importe où les serveurs se trouvent physiquement — la juridiction suit l'entreprise, pas le matériel. Deux des outils sur notre liste avaient des sociétés mères américaines, ce qui veut dire que le marketing sur la résidence des données (des serveurs à Montréal, si on plissait les yeux devant les diagrammes) ne réglait pas vraiment la question juridique que posait notre conseiller. C'était l'exigence que personne du côté affaires n'avait anticipée comme ayant autant d'importance. On était partis en présumant que l'architecture technique racontait toute l'histoire. Ce n'était pas le cas — la structure corporative au-dessus de l'architecture s'est avérée avoir plus de poids légal.

La réponse d'Augure sur ce point était circonscrite plutôt qu'absolue, ce qui m'a en fait inspiré plus confiance : pas de société mère américaine, pas d'investisseurs américains, et les conversations, documents et traitements d'inférence des clients ne passent jamais par des fournisseurs de juridiction américaine — donc la portée du CLOUD Act sur les fournisseurs sous contrôle américain ne s'étend pas à ce que notre personnel entre dans l'outil. Personne ne nous a dit que la plateforme échappait à toute portée des forces de l'ordre, où que ce soit, ce qui aurait été un drapeau rouge si on nous l'avait dit.

Ce qui s'est avéré ne pas compter

Je m'attendais à ce que les comparaisons de performance des modèles dictent la décision. Ça n'a pas vraiment été le cas.

On a fait passer les mêmes vingt requêtes de révision de contrats dans trois outils et on a noté les résultats à l'aveugle. Les différences étaient réelles mais minimes — quelques points de pourcentage sur la précision d'extraction des clauses, rien qui aurait justifié à lui seul un changement de plateforme. Mon interprétation, c'est qu'à la fin de 2025, l'écart entre un modèle de taille moyenne bien ajusté et les plus gros modèles américains s'était suffisamment resserré pour ne plus être le facteur décisif dans notre cas d'usage, qui est du triage de contrats et des questions-réponses sur les politiques plutôt que de la recherche ouverte. Si votre charge de travail est différente — beaucoup de rédaction générative, disons, ou des tâches d'agent complexes à plusieurs étapes — je pondérerais ça différemment. Pour nous, c'était à peu près équivalent, et les questions de juridiction et de gouvernance ont fini par emporter toute la décision.

Là où la Loi 25 a vraiment mordu

Notre organisation a des activités au Québec, donc l'article 17 de la Loi 25 n'était pas une lecture optionnelle. Il exige une évaluation des facteurs relatifs à la vie privée avant tout transfert de renseignements personnels hors Québec, et demande spécifiquement quelles protections s'appliquent dans la juridiction de destination.

C'est là qu'un fournisseur flou a perdu des points, et qu'un fournisseur précis en a gagné. La documentation d'Augure détaillait exactement quels flux sortaient du Canada — inférence en Europe pour certains paliers de modèle et en cas de basculement, plus le traitement des paiements et courriels basé aux États-Unis dont j'ai parlé plus haut — le tout dans la politique de confidentialité plutôt qu'enterré dans un appel de vente. Ça a permis à notre responsable de la protection des renseignements personnels de vraiment faire l'évaluation au lieu de deviner. Un des fournisseurs américains, par contre, décrivait son architecture comme « distribuée mondialement pour la résilience », ce qui est le genre de phrase qui annonce une évaluation faite à l'aveuglette.

Je vais le dire clairement : personne ne nous a affirmé que cette configuration satisfaisait la Loi 25 à notre place, et je ne l'aurais pas cru même si on me l'avait dit. Ce qu'on a obtenu, c'est assez d'information pour faire notre propre évaluation, ce qui est une offre différente et plus honnête.

Ce à quoi le prix ressemblait vraiment

Le budget n'était pas l'enjeu principal, mais il comptait pour l'approvisionnement, alors ça vaut la peine de le mentionner. On comparait environ 20 $/mois par poste pour un plan intermédiaire contre un outil d'entreprise américain qui coûtait sensiblement plus cher une fois qu'on ajoutait les modules de conformité que ces fournisseurs voulaient vendre séparément. Le produit de révision de contrats en particulier, qui était le flux qui nous intéressait le plus, coûtait 399 $/mois pour le palier d'équipe dont on avait besoin, contre une soumission personnalisée d'entreprise d'un fournisseur américain nettement plus élevée une fois les fonctions de révision juridique incluses. Je ne prétendrai pas que le prix a dicté la décision à lui seul — ce n'est pas le cas — mais il a éliminé le prix comme objection une fois que la question de juridiction était déjà réglée.

Où je pousserais plus fort la prochaine fois

Si je devais refaire cette évaluation, je demanderais la liste des sous-traitants avant le premier appel plutôt qu'après, parce que ce seul document a réglé plus de la question de juridiction qu'une heure de conversation de vente. Je pousserais aussi chaque fournisseur sur un scénario plutôt que sur une politique — pas « où sont stockées les données », mais « expliquez-moi ce qui se passe si un régulateur québécois demande une piste de vérification sur les documents d'un utilisateur précis le mois prochain ». Deux fournisseurs avaient une réponse nette à ça. Un autre non, et cet écart nous en a dit plus long que sa politique écrite.

On a déplacé le flux de révision de contrats vers Augure en premier, puisqu'il touchait au matériel le plus sensible, puis on a apporté le clavardage et la base de connaissances environ un mois plus tard, une fois qu'on a vu que rien n'avait brisé. Je ne sais honnêtement pas si chaque organisation qui fait cette évaluation arriverait à la même conclusion — beaucoup dépend de si votre exposition réglementaire passe spécifiquement par le Québec, et du poids que votre conseiller juridique accorde à la société mère par rapport à l'emplacement des serveurs. Pour nous, entre la résidence canadienne des données, la divulgation liée à la Loi 25 et la réponse sur le CLOUD Act, ça n'a pas été serré à la fin, même si ça l'avait semblé au départ.

Plus de détails sur l'architecture et le produit de révision de contrats sont disponibles sur augureai.ca.