Les questions à poser à un fournisseur de logiciel avant de lui confier des données

Six questions suffisent à évaluer un fournisseur de logiciel avant de lui confier des renseignements personnels : où les données sont hébergées physiquement, quels sous-traitants y accèdent, ce qui est transmis à un fournisseur de modèle de langage, combien de temps chaque copie est conservée, ce qui déclenche un avis en cas d’incident, et ce qu’il advient des données à la résiliation. La Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), telle que modifiée par la Loi 25, encadre chacune d’elles. Son article 18.3 prévoit que l’entreprise qui communique un renseignement personnel à un tiers pour l’exercice d’un mandat ou l’exécution d’un contrat de service doit confier ce mandat par écrit et y indiquer les mesures que le tiers doit prendre pour assurer la protection du caractère confidentiel du renseignement, pour qu’il ne l’utilise que dans l’exercice de son mandat et pour qu’il ne le conserve pas après l’expiration de celui-ci. La Commission d’accès à l’information en publie une synthèse. Un fournisseur incapable de répondre par écrit laisse ces exigences sans contenu vérifiable.

« Où sont hébergées les données ? » appelle une ville et une raison sociale, pas un adjectif. Une réponse honnête nomme l’exploitant du centre de données et la région précise où l’application et sa base sont servies, puis distingue l’hébergement principal des copies de sauvegarde, qui voyagent souvent plus loin que la base de production. Une réponse évasive parle d’« infrastructure sécurisée de calibre mondial » ou de « nuage canadien » sans nommer personne. L’écart compte parce que l’article 17 de la Loi impose une évaluation des facteurs relatifs à la vie privée avant de communiquer un renseignement personnel hors du Québec, mais aussi avant de confier à une personne ou à un organisme situé à l’extérieur du Québec la tâche de le recueillir, de l’utiliser, de le communiquer ou de le conserver pour son compte. L’évaluation porte notamment sur la sensibilité du renseignement, la finalité de son utilisation, les mesures de protection dont il bénéficierait et le régime juridique applicable dans l’État où il serait communiqué, et l’article prévoit ensuite une entente écrite tenant compte de ses résultats.

La liste des sous-traitants est plus révélatrice que la politique de confidentialité. Un logiciel d’affaires en fait intervenir plusieurs, à des titres différents : hébergeur, service d’envoi de courriels transactionnels, stockage de fichiers, journalisation applicative, passerelle de paiement, service de sauvegarde. L’article 18.3 de la Loi vise la communication d’un renseignement personnel à un tiers lorsqu’elle est nécessaire à l’exercice d’un mandat ou à l’exécution d’un contrat de service ou d’entreprise, et exige dans ce cas un mandat écrit énonçant les mesures de protection. Une réponse honnête prend la forme d’une liste datée, avec le rôle, la raison sociale et le pays de chaque fournisseur, et une mention de ce que chacun voit réellement. Une réponse évasive répond « nos partenaires sont tous certifiés » — une certification ne dit ni qui ils sont, ni quelles données transitent chez eux.

La question qui distingue les fournisseurs sérieux est celle du modèle de langage, et elle se pose en trois temps : quel fournisseur reçoit le texte, que contient exactement ce qui lui est transmis, et que se passe-t-il lorsque ce fournisseur est indisponible. Le troisième temps est celui qui peut défaire les deux autres : un repli automatique vers un second fournisseur est un motif de résilience banal, et rien n’impose que ce second fournisseur soit soumis au même régime juridique que le principal. Le cas d’OffrePro, décrit plus bas, en est un exemple vérifiable dans le code. Une réponse honnête nomme le fournisseur principal, la liste de repli dans l’ordre où elle est essayée, et sépare les identifiants masqués de la substance transmise en clair. Le raisonnement rejoint celui de l’adoption de l’IA générative dans une PME québécoise.

« Combien de temps les données sont-elles conservées ? » se pose au pluriel, parce qu’il existe plusieurs copies. Le document lui-même, les sauvegardes, les journaux applicatifs, le journal des appels à l’IA et les traces gardées par le fournisseur de modèle obéissent à des durées différentes, fixées par des parties différentes. L’article 23 de la Loi prévoit que le renseignement personnel doit être détruit ou anonymisé lorsque les fins auxquelles il a été recueilli ou utilisé sont accomplies, sous réserve d’un délai de conservation prévu par une loi. Une réponse honnête donne un nombre par catégorie et nomme ce qu’elle ne contrôle pas : la rétention chez un sous-traitant n’est pas la rétention chez l’éditeur. La mention « zéro rétention » n’est pas autoportante : elle se vérifie en demandant à quel compte elle s’applique, s’il s’agit du réglage par défaut ou d’une option activée, depuis quelle date, et par quel document du fournisseur elle est établie.

L’incident de confidentialité a un régime précis, et c’est un bon test de la maturité d’un fournisseur. L’article 3.5 de la Loi oblige l’entreprise qui a des motifs de croire qu’un incident est survenu à prendre les mesures raisonnables pour diminuer les risques qu’un préjudice soit causé, et, lorsque l’incident présente un risque qu’un préjudice sérieux soit causé, à aviser avec diligence la Commission d’accès à l’information ainsi que les personnes concernées. L’article 3.8 impose la tenue d’un registre des incidents de confidentialité, que le Règlement sur les incidents de confidentialité fait conserver au moins cinq ans. L’article 90.12 fixe le montant maximal de la sanction administrative pécuniaire à 50 000 $ dans le cas d’une personne physique et, dans les autres cas, à 10 000 000 $ ou, s’il est plus élevé, au montant correspondant à 2 % du chiffre d’affaires mondial de l’exercice financier précédent. Une réponse honnête donne un délai d’avis contractuel, un canal et une personne responsable nommée.

« Que deviennent les données à la fin du contrat ? » se décompose en deux questions distinctes : ce qui est restituable, et ce qui est détruit. Le droit à la portabilité prévu à l’article 27, en vigueur depuis le 22 septembre 2024, porte sur le renseignement personnel informatisé recueilli auprès du requérant (et non créé ou inféré à partir d’un renseignement le concernant), communiqué à sa demande dans un format technologique structuré et couramment utilisé. Il ne couvre donc ni l’ensemble d’un dossier d’affaires, ni les documents produits par le logiciel. Une réponse honnête distingue l’export offert par le produit du droit prévu par la Loi, précise le format et le délai, et dit franchement quand aucune fonction d’export n’existe encore. L’absence est une information utile ; l’ambiguïté ne l’est pas.

Appliquée à OffrePro, cette grille donne des réponses inégales, et c’est précisément le point. La première question, celle de l’hébergement, ne se tranche pas dans un fichier source : l’emplacement dépend entièrement de la configuration de déploiement, et c’est la politique de confidentialité qui l’énonce, pas le code. Le registre de fournisseurs de modèles compte neuf entrées : une entrée pour un modèle auto-hébergé, dont l’adresse est fournie au déploiement ; Cohere, société canadienne ; Mistral, société française ; et six entrées de sociétés américaines. La nationalité d’une société ne dit rien de la région où la requête est traitée, et le code ne la fixe pas. La chaîne de repli par défaut vaut « cerebras,groq,cohere », de sorte qu’un déploiement configuré sur un fournisseur canadien peut voir une requête reprise chez une société américaine lorsque le principal est indisponible.

Les autres réponses d’OffrePro sont du même ordre : vérifiables, et incomplètes. Les identifiants inscrits aux fiches clients (nom de la personne contact, nom de l’entreprise cliente, adresses courriel, numéros de téléphone) sont remplacés par des jetons neutres à un point de sortie unique, puis rétablis localement au retour. Cette pseudonymisation vise les identifiants, non la substance : la description du mandat, les services et les montants soumis pour la rédaction sont transmis tels quels, et un nom de personne écrit librement dans une note de contexte, sans correspondre à une fiche enregistrée, peut ne pas être masqué. Le terme exact compte : la table de correspondance est conservée en mémoire par l’application le temps de l’appel, ce qui rend l’opération réversible et interdit de parler d’anonymisation.

Le journal des appels à l’IA est pseudonymisé au repos et purgé après 90 jours par défaut ; les plans de l’assistant, eux, conservent un plan non masqué et le message brut de l’utilisateur, purgés sur le même horizon. Aucun drapeau de non-rétention n’est transmis au fournisseur de modèle : ce qu’il conserve de son côté relève de son propre contrat, pas du code. Aucune fonction d’export en bloc des données d’un compte dans un format structuré n’existe à ce jour ; les propositions, les factures et les lettres se téléchargent une à une en PDF. Le filtre des journaux applicatifs couvre les notes de contexte, les courriels et les jetons, mais pas les noms de personnes, les raisons sociales, les numéros de téléphone ni les objets et intitulés de documents. Un fournisseur qui répond ainsi n’est pas plus vertueux qu’un autre ; il est seulement vérifiable, ce qui reste la seule chose qu’un acheteur puisse évaluer avant de signer, y compris lorsqu’il s’agit d’automatiser ses documents d’affaires sans perdre sa signature. Cet article décrit des dispositions législatives ; il ne constitue pas un avis juridique.