- Vos données quittent votre entreprise dès qu'un employé colle un document dans un outil d'IA grand public. C'est déjà en train de se produire chez vous.
- Les offres destinées aux entreprises excluent généralement l'entraînement sur vos données. Les comptes personnels gratuits, souvent pas. La différence est majeure.
- Cinq questions suffisent pour évaluer n'importe quel fournisseur. Elles sont plus bas.
- L'hébergement canadien est possible et pertinent dans plusieurs cas, sans être une obligation universelle.
- Le plus grand risque de confidentialité en 2026 n'est pas le fournisseur que vous choisirez. C'est l'usage non encadré qui existe déjà.
Le portrait réel dans les entreprises québécoises
Je commence par là parce que c'est ce que je vois dans presque chaque mandat.
La direction n'a approuvé aucun outil d'IA. Officiellement, l'entreprise n'en fait pas. Dans les faits, plusieurs employés utilisent des services grand public sur des comptes personnels, avec des documents de l'entreprise dedans. Une soumission à reformuler. Un contrat à résumer. Une plainte client à répondre poliment.
Personne n'agit de mauvaise foi. Ce sont des gens efficaces qui essaient de bien faire leur travail. Mais chacun de ces gestes envoie de l'information de votre entreprise vers un service que vous n'avez pas évalué, sous des conditions que personne n'a lues.
C'est ça, le vrai enjeu de confidentialité. Pas le projet que vous n'avez pas encore lancé. L'usage qui existe déjà et que personne n'encadre.
Le trajet d'une donnée, étape par étape
Pour juger un risque, il faut savoir ce qui se passe réellement. Voici le parcours d'un document que vous soumettez à un système d'IA infonuagique.
- Le départ. Le texte quitte votre poste ou votre serveur, chiffré en transit.
- Le traitement. Il arrive chez le fournisseur, qui le découpe et le donne au modèle. Le modèle produit une réponse.
- La conservation. Selon le contrat, le contenu peut être conservé quelques jours pour des raisons de sécurité et d'abus, ou pas du tout. Sur les offres d'entreprise, cette durée est généralement courte et documentée.
- L'entraînement. Le point critique. Est ce que votre contenu sert à améliorer le modèle. Sur les offres d'entreprise sérieuses, non, et c'est écrit au contrat. Sur les comptes personnels gratuits, la réponse est souvent oui, ou variable selon les réglages.
- Le retour. La réponse revient chez vous.
À aucun moment le modèle ne « retient » votre document comme une base de données le ferait. Mais l'information a bel et bien voyagé, et c'est ce voyage que vous devez encadrer.
Les cinq questions à poser à tout fournisseur
Utilisez les telles quelles. Elles fonctionnent avec un fournisseur de modèle comme avec un intégrateur.
1. Mes données servent elles à entraîner vos modèles. La réponse acceptable est un non écrit au contrat, pas une assurance verbale. S'il faut cocher une case pour obtenir ce non, vérifiez qu'elle est cochée.
2. Combien de temps conservez vous mon contenu, et où. Cherchez une durée précise et une localisation géographique précise. « Nos partenaires infonuagiques » n'est pas une réponse.
3. Qui, chez vous, peut accéder à mon contenu, et dans quelles circonstances. Il existe presque toujours un accès humain possible pour des raisons de sécurité ou de soutien. Vous voulez savoir dans quels cas et sous quels contrôles.
4. Que se passe t il si je résilie. Suppression sous quel délai, avec quelle confirmation.
5. Quels engagements contractuels acceptez vous de prendre par écrit. C'est la question qui sépare les vrais fournisseurs d'entreprise des autres. Un service grand public ne signera rien de particulier pour vous. Un fournisseur d'entreprise, oui.
Une entreprise qui obtient cinq réponses claires et écrites est dans une position solide. Une qui obtient cinq réponses vagues devrait chercher ailleurs.
Les trois architectures possibles
Votre niveau de contrôle dépend de la structure choisie. Il y en a trois, du moins au plus contrôlé.
Service grand public. Un employé utilise un outil public avec un compte individuel. Contrôle minimal, aucune visibilité pour l'entreprise, conditions génériques. Acceptable pour du contenu non sensible. Inacceptable pour tout le reste, et c'est pourtant l'architecture la plus répandue en ce moment, par défaut.
Offre d'entreprise avec engagements contractuels. L'entreprise contracte directement, avec des clauses de non entraînement, de conservation limitée et parfois de localisation. Contrôle raisonnable, effort d'implantation modéré. C'est la solution appropriée pour la majorité des PME québécoises, y compris pour des données d'affaires sensibles.
Infrastructure contrôlée ou modèle hébergé. Le traitement se fait dans une infrastructure que vous contrôlez, possiblement au Canada, avec un modèle ouvert. Contrôle maximal. Coût et complexité réels. Ça se justifie pour des renseignements de santé, des dossiers d'employés, de l'information couverte par un ordre professionnel, ou des secrets industriels.
Beaucoup d'entreprises finissent avec une combinaison des deux dernières, ce qui évite de payer partout le prix du cas le plus contraignant.
| Architecture | Contrôle | Contexte approprié |
|---|---|---|
| Service grand public | Minimal | Contenu non sensible |
| Offre d’entreprise | Raisonnable | Données d’affaires encadrées |
| Infrastructure contrôlée | Maximal | Données hautement sensibles |
Suivez le niveau de contrôle requis
Explorez un flux; la qualification juridique demeure celle de votre conseiller.
Le compte individuel offre peu de visibilité et aucun engagement particulier à l’entreprise.
Loi 25 et intelligence artificielle
Ce que ça implique techniquement, en langage clair, avec le rappel que l'interprétation juridique appartient à votre conseiller.
Quand un système d'IA traite des renseignements personnels, les mêmes principes s'appliquent que pour n'importe quel autre traitement. Concrètement, ça soulève des questions techniques que vous devez pouvoir documenter.
- Quels renseignements personnels entrent réellement dans le système. Souvent plus que prévu, parce qu'un document « anonyme » contient un nom dans une signature ou une adresse dans un pied de page.
- Où sont ils traités et conservés. Question de localisation, à documenter.
- Qui y a accès. Chez vous, et chez le fournisseur.
- La communication hors Québec. Si le traitement se fait ailleurs, ça déclenche des obligations d'évaluation. Votre conseiller vous dira lesquelles s'appliquent à votre cas.
- Le droit d'accès et de retrait. Si une personne demande l'effacement de ses renseignements, pouvez vous le faire dans votre système d'IA, y compris dans les index de recherche.
- La minimisation. Envoyez vous plus d'information que nécessaire au modèle. Souvent, oui, par facilité de conception.
Ce sont des questions techniques auxquelles GXN répond par de l'implantation : filtrage avant envoi, journalisation, contrôle des accès, documentation des flux. La qualification juridique de vos obligations, elle, revient à votre conseiller.
Hébergement canadien : quand ça compte
Réponse honnête : parfois beaucoup, souvent pas.
Ça compte vraiment dans quatre situations. Quand vous traitez des renseignements de santé ou des données couvertes par un ordre professionnel. Quand vos clients d'affaires ou vos appels d'offres l'exigent contractuellement. Quand vous êtes un organisme public ou que vous travaillez pour un. Quand votre secteur a des attentes fortes, comme les services financiers.
Ça compte moins pour du contenu marketing, de la documentation publique ou des processus internes sans renseignements personnels.
Ce qui compte dans tous les cas, c'est de pouvoir répondre à la question. Le jour où un client d'affaires vous demande où vont ses données quand vous utilisez de l'IA, « je ne sais pas » est une mauvaise réponse. Documenter le trajet, même quand il passe ailleurs, vaut mieux que de ne rien savoir.
L'IA fantôme, votre risque numéro un
Revenons au vrai problème.
Vous pouvez choisir le fournisseur le plus rigoureux du marché, signer les meilleures clauses, héberger au Canada. Si trois employés continuent de coller des contrats dans un outil public sur leur compte personnel, tout ce travail est contourné.
Ce qui fonctionne, dans l'ordre.
- Regarder avant d'interdire. Demandez, sans menace, qui utilise quoi et pourquoi. Vous obtiendrez une carte gratuite de vos frictions internes.
- Fournir une option approuvée. L'interdiction sans solution produit de la clandestinité. Un outil sanctionné, même imparfait, ramène l'usage à la lumière.
- Écrire une politique courte. Trois pages que les gens lisent battent vingt pages qui dorment. Ce qui est permis, ce qui est interdit, quoi faire en cas de doute.
- Former sur les cas concrets. Pas de théorie. Des exemples tirés de leur travail réel, avec ce qui est acceptable et ce qui ne l'est pas.
- Revoir périodiquement. Les outils changent, les usages aussi.
Ce que je vois sur le terrain
Le réflexe le plus fréquent après une prise de conscience, c'est l'interdiction totale par courriel. Ça dure environ six semaines. Ensuite, l'usage reprend, plus discret qu'avant, et l'entreprise a perdu sa seule chance de savoir ce qui se passe.
L'autre erreur, c'est de croire que le problème vient de l'outil. Il vient de l'absence de décision. Une entreprise qui a décidé quelles catégories d'information peuvent sortir, et qui l'a écrit simplement, gère mieux son risque qu'une entreprise qui a acheté la solution la plus sécuritaire sans jamais définir de règle.
Quand ce guide ne suffit pas
Trois situations demandent un accompagnement en bonne et due forme, avec votre conseiller juridique dans la pièce.
- Vous traitez des renseignements de santé, des données d'employés ou de l'information couverte par un ordre professionnel.
- Vous êtes soumis à des exigences sectorielles ou contractuelles particulières.
- Vous vous apprêtez à signer un engagement pluriannuel avec un fournisseur d'IA.
GXN offre l'implantation technique et le soutien opérationnel. L'interprétation juridique doit venir d'un conseiller juridique qualifié.
Questions fréquentes
01Nos données servent elles à entraîner les modèles.
Sur les offres d'entreprise des grands fournisseurs, généralement non, et c'est contractuel. Sur les comptes personnels et gratuits, c'est variable et souvent oui par défaut. Vérifiez plutôt que de supposer.
02Peut on utiliser l'IA avec des renseignements personnels.
Techniquement oui, avec les protections appropriées. Les obligations exactes qui s'appliquent à votre situation relèvent de votre conseiller juridique. Sur le plan technique, ça implique minimisation, contrôle des accès, journalisation et capacité d'effacement.
03Faut il absolument héberger au Canada.
Pas universellement. Ça devient important pour certaines catégories de données et certaines exigences contractuelles. Ce qui est universel, c'est de savoir et documenter où vont vos données.
04Comment empêcher nos employés d'utiliser des outils non approuvés.
Vous ne les en empêcherez pas par interdiction seule. Fournissez une option approuvée, écrivez une politique courte, formez sur des cas réels, et revoyez régulièrement.
05Un modèle peut il révéler nos données à un autre client.
Avec une offre d'entreprise qui exclut l'entraînement, ce risque est très faible. Il augmente avec les services grand public et avec des configurations mal conçues, notamment quand plusieurs clients partagent un même index de documents mal cloisonné.
06Que demander à un intégrateur avant de signer.
Les cinq questions plus haut, plus une sixième : montrez moi le schéma du trajet de mes données, du poste de travail jusqu'à la réponse. S'il ne peut pas le dessiner, il ne l'a pas conçu.
Guide de fond écrit par Mario pour GXN (Gouvernance numérique), une division de MD79. Révision prévue selon le rythme documenté pour cette grappe.