Votre comptable colle un fichier clients dans ChatGPT pour gagner une heure. Geste anodin en apparence, vraie question de fond en réalité: ces données viennent de quitter le Québec, et vous ne savez plus trop où elles dorment. C’est exactement la tension que recouvre le terme d’IA souveraine. Les nouvelles dispositions de la Loi 25 sur la protection des renseignements personnels, en vigueur depuis septembre 2023, encadrent justement la façon dont une entreprise confie des données à des services externes. Avant de choisir entre un outil public et une solution plus fermée, il faut comprendre ce que chacun fait de vos informations. Décortiquons-le sans jargon.
IA souveraine: de quoi parle-t-on vraiment
Le mot sonne grand, presque géopolitique. Dans les faits, l’IA souveraine désigne une idée simple: garder le contrôle sur l’endroit où vos données sont traitées et sur les lois qui s’y appliquent. Ni plus, ni moins.
Attention au contresens le plus courant. IA souveraine ne veut pas dire IA 100 pour cent québécoise, ni intelligence artificielle que vous auriez bâtie vous-même. Un modèle entraîné ailleurs peut très bien tourner dans un environnement que vous maîtrisez. Ce qui compte, c’est le contrôle du traitement, pas le drapeau sur le logo.
Pourquoi ce débat prend de l’ampleur maintenant? Parce que l’adoption de l’IA générative a explosé dans les entreprises, souvent sans encadrement. Les employés utilisent des outils grand public avec des données professionnelles, par commodité. Et la plupart des dirigeants n’ont aucune idée de ce qui transite par ces services. Cette IA fantôme, utilisée en douce, est devenue le vrai angle mort de la gouvernance des données.
Ce que ChatGPT fait vraiment de vos données
Commençons par tordre le cou à un mythe. Non, ChatGPT ne diffuse pas vos secrets au premier venu. Mais le risque existe, et il dépend beaucoup de la version que vous utilisez.
Avec les versions grand public, les données saisies peuvent servir à entraîner le modèle, sauf réglage contraire. Vous collez un contrat, une liste de prix, un dossier médical, et cette information nourrit potentiellement un système que vous ne contrôlez pas. Les offres de niveau entreprise changent la donne: elles n’utilisent en général pas vos données pour l’entraînement, et appliquent des règles de conservation plus strictes. La version compte donc autant que l’outil.
Le second enjeu tient au volume. Avec un moteur de recherche, vous tapez quelques mots. Avec un assistant conversationnel, vous collez des documents entiers. La surface de fuite n’a rien à voir. Un seul copier-coller malheureux peut exposer plus d’informations qu’une année de recherches Google.
Il y a aussi la crainte, légitime, de la fuite entre entreprises. Beaucoup de dirigeants redoutent que le modèle apprenne de leurs échanges et restitue ces bribes à un concurrent qui poserait une question voisine. Le risque est plus théorique que réel avec les offres sérieuses, mais il rappelle une vérité simple: une donnée que vous ne transmettez pas ne peut pas fuir. La meilleure protection reste la retenue au moment de taper.
Dernier point, souvent oublié: l’hébergement. La plupart des grands services d’IA sont opérés par des entreprises américaines. Leurs serveurs sont puissants, leurs réponses excellentes, mais vos données relèvent alors d’un cadre juridique étranger. Ce qui nous amène au cœur du sujet.
La Loi 25, le CLOUD Act et vos renseignements
Voici où beaucoup de dirigeants se trompent. La Loi 25 n’oblige pas à héberger vos données au Québec. Contrairement à une idée répandue, elle n’impose pas d’infrastructure locale. Ce qu’elle exige, c’est de la gouvernance: évaluer les risques avant de transférer des renseignements personnels hors du Québec, et protéger ces informations.
Le déclencheur n’est pas la nationalité de votre entreprise. C’est le fait de traiter des données de citoyens québécois. Dès qu’un outil envoie ces données à l’étranger, une évaluation des facteurs relatifs à la vie privée s’impose. Et les sanctions ne sont pas symboliques: la Commission d’accès à l’information peut imposer des pénalités allant jusqu’à 25 millions de dollars ou 4 pour cent du chiffre d’affaires mondial.
S’ajoute une subtilité juridique que des experts décrivent comme un angle mort pour les entreprises québécoises: le CLOUD Act américain. Cette loi autorise le gouvernement des États-Unis à consulter les données détenues par une entreprise américaine, même lorsqu’elles sont stockées à l’étranger. Autrement dit, un centre de données situé au Canada mais opéré par une multinationale américaine ne vous met pas forcément à l’abri. Le critère qui compte, c’est le contrôle juridique de l’hébergeur, pas seulement l’adresse de la machine.
Trois façons concrètes de garder le contrôle
Bonne nouvelle: entre le tout ChatGPT public et l’usine à gaz, il existe un continuum. Trois approches couvrent la majorité des besoins d’une PME.
La première, la plus simple, consiste à mieux encadrer les outils existants. Passez aux contrats de niveau entreprise, désactivez l’entraînement sur vos données, formez vos équipes à ne jamais coller de données sensibles. Pour un usage courant et peu risqué, cela suffit souvent.
La deuxième mise sur des fournisseurs canadiens ou québécois, qui simplifient la conformité et réduisent l’exposition au CLOUD Act. La troisième, la plus protectrice, héberge un modèle ouvert comme Mistral ou Llama dans votre propre environnement. Vos requêtes ne sortent jamais de chez vous. Le tableau suivant compare ces options.
| Critère | ChatGPT grand public | Offre entreprise | IA hébergée chez vous |
|---|---|---|---|
| Entraînement sur vos données | Possible par défaut | Généralement exclu | Jamais |
| Où résident les données | Serveurs étrangers | Variable, selon contrat | Votre environnement |
| Exposition au CLOUD Act | Élevée | Présente | Nulle à faible |
| Qualité des réponses | Excellente | Excellente | Très bonne, en progrès |
| Effort et coût | Minime | Modéré | Plus élevé au départ |
| Conformité Loi 25 facilitée | Faible | Moyenne | Forte |
Aucune colonne n’est parfaite. À mon sens, la bonne démarche n’est pas de tout basculer d’un côté, mais de classer vos données par sensibilité. Les demandes anodines peuvent passer par un outil public. Les données clients, financières ou médicales méritent un cadre fermé. Mettre en place ce genre d’encadrement de l’intelligence artificielle adapté à votre réalité vaut mieux qu’une interdiction générale que personne ne respectera.
Faut-il vraiment héberger son IA au Québec?
La réponse honnête: pas toujours. Héberger un modèle en interne protège vos données, mais demande une infrastructure, des compétences et un budget que toutes les PME n’ont pas. Ce serait exagéré pour une boutique qui rédige des descriptions de produits.
Le bon réflexe est de partir de vos données, pas de la technologie. Quelles informations manipulez-vous? Sont-elles sensibles? Qui y a accès une fois dans l’outil? Ces questions mènent à une décision bien plus juste qu’un choix dicté par la mode ou la peur.
Une chose est certaine: l’option la plus risquée reste l’absence de décision. Laisser chaque employé improviser avec l’outil de son choix, voilà la vraie faille. Qu’elle soit souveraine, encadrée ou hébergée ailleurs, une IA dont vous connaissez les règles vaut mille fois mieux qu’une IA invisible. Le contrôle commence par savoir où vont vos données.
Questions fréquentes sur l’IA souveraine
L’IA souveraine est-elle obligatoire au Québec?
Non. La Loi 25 n’impose pas d’héberger vos données au Québec ni de développer votre propre IA. Elle exige d’évaluer les risques avant de transférer des renseignements personnels hors de la province et de protéger ces données. L’IA souveraine est un choix de gouvernance, pas une obligation légale.
Utiliser ChatGPT au travail est-il illégal?
Pas en soi. Le problème survient quand des renseignements personnels de Québécois y sont transmis sans évaluation ni encadrement. Avec une version entreprise, des règles internes claires et une sensibilisation des équipes, l’usage peut rester conforme. Tout dépend des données que vous y mettez.
Qu’est-ce que le CLOUD Act change pour une PME?
Cette loi américaine permet aux autorités des États-Unis d’accéder aux données détenues par une entreprise américaine, même hébergées à l’étranger. Pour une PME québécoise, cela signifie qu’un hébergement au Canada chez un fournisseur américain ne garantit pas une protection totale contre un accès étranger.
Une IA hébergée en interne est-elle moins performante?
L’écart se réduit vite. Les modèles ouverts comme Mistral ou Llama atteignent aujourd’hui un très bon niveau pour la plupart des usages d’entreprise. Ils demandent une configuration technique, mais offrent en retour un contrôle total sur vos données. Le compromis penche de plus en plus en leur faveur.
Par où commencer pour se mettre en conformité?
Dressez l’inventaire des outils d’IA utilisés dans votre entreprise et vérifiez où les données sont traitées. Réalisez une évaluation pour ceux qui transfèrent des données hors Québec ou touchent des informations sensibles. Puis fixez des règles claires sur ce qui peut, ou non, être soumis à un outil externe.
