Pourquoi tes données client devraient rester au Canada

Quand une PME québécoise signe un contrat avec un fournisseur IA américain, elle prend rarement le temps de lire où ses données vont vivre. Pourtant, depuis l'entrée en vigueur complète de la Loi 25 en septembre 2023, cette question n'est plus optionnelle, elle est légale.

Voici ce que tu dois savoir avant ton prochain renouvellement de contrat.

Ce que la Loi 25 a vraiment changé

La Loi 25, anciennement projet de loi 64, modernise la Loi sur la protection des renseignements personnels dans le secteur privé au Québec. Pour la majorité des PME, trois exigences sont opérationnellement importantes.

Premièrement, le consentement explicite. Avant de collecter, utiliser ou communiquer des renseignements personnels, tu dois obtenir un consentement clair, libre, éclairé et donné à des fins spécifiques. Le consentement implicite ne suffit plus dans la plupart des contextes.

Deuxièmement, l'évaluation des facteurs relatifs à la vie privée (EFVP). Avant tout transfert de renseignements personnels à l'extérieur du Québec, une organisation doit conduire une EFVP qui évalue si l'État destinataire offre une protection équivalente.

Troisièmement, le droit à la portabilité et à l'effacement. Tes clients peuvent demander leurs données dans un format structuré et exiger leur suppression. Si ton fournisseur IA n'a pas d'API pour répondre à ces demandes dans un délai raisonnable, c'est ton problème, pas le sien.

Le piège des transferts transfrontaliers

Les États-Unis n'ont pas, à l'échelle fédérale, une loi sur la protection des renseignements personnels comparable au RGPD européen ou à la Loi 25 québécoise. Le CLOUD Act américain permet aux autorités fédérales d'accéder à des données stockées par des fournisseurs américains, même quand ces données vivent physiquement à l'extérieur des États-Unis.

Cela veut dire qu'un fournisseur IA américain qui héberge tes données client dans un centre de Toronto reste assujetti au CLOUD Act. Tes données peuvent être réquisitionnées sans que tu le saches, sans recours pratique pour ton client.

L'EFVP exigée par la Loi 25 devrait, en toute rigueur, conclure que ce transfert ne respecte pas le critère de protection équivalente. La Commission d'accès à l'information du Québec n'a pas encore poursuivi de PME sur ce point, mais la jurisprudence européenne (arrêt Schrems II) a déjà tranché dans le même sens pour le RGPD.

Pourquoi l'IA concentre le risque

Un outil de courriel traditionnel traite tes données client à la pièce, requête par requête. Un outil IA, lui, doit souvent indexer ton historique au complet pour fonctionner correctement. La hotline IA qui répond à tes appels après les heures a accès à tes fiches client. Le CRM IA qui suggère le prochain contact à appeler interroge ton historique de conversations.

Cette concentration crée trois risques cumulatifs.

D'abord, la surface d'exposition. Un fournisseur IA détient typiquement plus de tes données qu'un fournisseur SaaS traditionnel, et il les détient sous une forme plus structurée, donc plus rapidement exfiltrable.

Ensuite, l'entraînement. Si ton fournisseur utilise tes données pour entraîner ses modèles, même de manière agrégée, les patrons de tes interactions client peuvent fuir vers d'autres clients du même fournisseur. C'est arrivé à plusieurs reprises avec des outils de génération de texte grand public.

Enfin, les dépendances en aval. Ton fournisseur IA utilise probablement lui-même des fournisseurs d'infrastructure (AWS, Azure, GCP) et d'inférence (OpenAI, Anthropic, Google). Chaque maillon de la chaîne est un point de transfert potentiel. La conformité de ton fournisseur direct ne te protège pas si son sous-traitant principal n'est pas conforme.

Les trois questions à poser à ton fournisseur IA

Avant de signer ou de renouveler, demande des réponses écrites à ces trois questions.

Où vivent physiquement mes données, en transit comme au repos, incluant les sauvegardes ? La réponse devrait nommer une région cloud spécifique. «Canada» n'est pas une réponse acceptable. «ca-central-1 chez AWS Montréal» en est une. Tout ce qui contient les mots «États-Unis», «multi-régions» ou «proche de tes utilisateurs» devrait te faire poser une deuxième question.

Mes données sont-elles utilisées pour entraîner des modèles, les tiens ou ceux d'un tiers ? La bonne réponse est non, sans condition, et la clause devrait être inscrite au contrat. Si la réponse est «seulement si tu acceptes», vérifie l'option par défaut. Si la réponse est «de manière agrégée et anonymisée», demande la méthode d'anonymisation. La réidentification est plus facile qu'on le pense.

Quel sous-traitant traite mes données pour l'inférence IA ? Si ton fournisseur direct est canadien mais que son moteur d'inférence est OpenAI hébergé aux États-Unis, le transfert se fait à chaque requête. Demande la liste complète des sous-traitants traitant des renseignements personnels et leur juridiction.

Notre position chez Reach Central

Nous avons construit Reach Central avec une seule contrainte non négociable: aucune donnée client ne traverse le 49e parallèle.

Concrètement, ça veut dire que l'inférence IA s'exécute dans ca-central-1 chez AWS Montréal. Les modèles utilisés sont accessibles via les régions canadiennes des fournisseurs concernés, ou auto-hébergés. Les sauvegardes restent au Canada. Les logs aussi.

Cette contrainte a un coût technique réel. Certaines fonctionnalités IA disponibles en région US arrivent trois à six mois plus tard chez nous, parce qu'il faut attendre la disponibilité régionale ou faire le travail de portage. Nous l'acceptons parce que la promesse de souveraineté ne tolère pas d'exception «temporaire».

La liste de vérification pour ta PME

Si tu utilises déjà un ou plusieurs outils IA, voici ce que tu peux faire dans les deux prochaines semaines.

Premièrement, dresse l'inventaire. Liste tous les outils IA actifs, leur fournisseur, et ce qu'ils traitent comme données client. Inclus les outils que tes employés utilisent sans approbation formelle, ils sont souvent plus nombreux que tu le penses.

Deuxièmement, demande les réponses écrites aux trois questions ci-dessus à chaque fournisseur. Donne-leur deux semaines. Le silence ou les réponses évasives sont des signaux.

Troisièmement, conduis une EFVP sommaire pour chaque outil qui traite des renseignements personnels. Si tu n'as pas de responsable de la protection des renseignements personnels désigné (c'est obligatoire depuis 2022 pour les organisations privées au Québec), c'est le moment de le faire.

Quatrièmement, prévois un budget de migration. Si un de tes outils ne passe pas le test, anticipe trois à six mois pour migrer proprement vers une solution conforme. Une migration urgente sous pression réglementaire coûte trois fois le prix d'une migration planifiée.

La Loi 25 ne va pas disparaître. Les outils IA vont continuer de proliférer. Les PME qui font le travail maintenant économisent les frais d'avocat plus tard.