Évaluer les outils d'IA juridique américains pour la pratique canadienne

Les cabinets canadiens peuvent tirer profit d'outils de rédaction et de recherche offerts par des fournisseurs internationaux. Il faut toutefois vérifier si le déploiement envisagé respecte leurs obligations de vie privée, de confidentialité et de déontologie. La nationalité du fournisseur et la région d'hébergement choisie constituent le début de cette analyse, non sa conclusion.

Évaluer l'adéquation à la pratique d'un cabinet canadien

Un produit peut être utile tout en exigeant des adaptations avant de convenir au travail du cabinet. Il faut examiner le régime applicable, les renseignements en cause, les véritables intervenants et accès, ainsi que les limites des résultats. Ces questions concernent les fournisseurs canadiens comme étrangers. Un cabinet québécois doit aussi vérifier le régime provincial de communication hors Québec.

L'article 17 et la requête comme communication

L'article 17 de la loi québécoise sur la vie privée dans le secteur privé exige une EFVP avant une communication de renseignements personnels hors Québec, notamment lorsqu'une personne située à l'extérieur reçoit le mandat de les traiter ou de les conserver pour l'entreprise. L'évaluation porte sur la sensibilité, la finalité, les protections et le régime juridique applicable. Les renseignements doivent bénéficier d'une protection adéquate, et une entente écrite doit refléter l'évaluation et les mesures d'atténuation convenues. La loi n'interdit pas catégoriquement l'hébergement américain et n'exempte pas une autre province canadienne. L'article 1 exclut des sections II et III les renseignements qui ont un caractère public en vertu de la loi ainsi que certains renseignements relatifs à l'exercice d'une fonction dans une entreprise; il faut donc aussi vérifier ces limites du champ d'application.

Une requête contenant des renseignements personnels peut donc constituer une communication encadrée. Un extrait contractuel qui n'en contient pas n'en est pas automatiquement une. Une évaluation existante doit réellement couvrir le déploiement et ses flux; le nombre de requêtes ne démontre ni l'absence d'évaluation ni la nécessité d'un nouveau document pour chacune. L'article 3.3 peut aussi exiger une évaluation de projet lorsque le traitement demeure au Québec.

Les régimes administratif et pénal doivent être distingués. Pour les personnes autres que les personnes physiques, les maxima respectifs sont le plus élevé de 10 millions de dollars ou de 2 % du chiffre d'affaires mondial et le plus élevé de 25 millions ou de 4 %, pour l'exercice précédent. D'autres limites visent les personnes physiques. Ces plafonds ne démontrent pas qu'une relation particulière avec un fournisseur est illégale.

Secret, privilège et CLOUD Act

La conformité aux lois sur la vie privée n'épuise pas les devoirs de l'avocat. Le guide pratique du Barreau du Québec traite notamment de la confidentialité, du secret professionnel et de la vérification des résultats de l'IA. Les règles applicables doivent être examinées avant de transmettre des renseignements du client. Le cabinet doit déterminer les règles de secret professionnel et de privilège applicables au dossier du client.

L'adaptation juridique concerne aussi la réponse du système. Un projet doit employer les concepts et les autorités du régime applicable. Il faut tester et réviser les résultats à l'aide de sources locales fiables, notamment le traitement des distinctions entre droit civil et common law.

Le CLOUD Act soulève une autre question d'accès. Comme l'explique le ministère américain de la Justice, un fournisseur assujetti à la compétence américaine peut être tenu, selon la procédure légale applicable, de produire des renseignements en sa possession, sous sa garde ou sous son contrôle, peu importe leur lieu de conservation. Cette loi n'a pas elle-même élargi la compétence sur les fournisseurs. Une région canadienne ne suffit donc pas à trancher, mais la propriété américaine ne remplace pas non plus l'analyse de la compétence, du contrôle et de la demande particulière. Une EFVP n'éteint pas les pouvoirs d'une autorité étrangère.

La pile canadienne sur laquelle nous misons

C'est le problème de conception auquel répond Supacorp : faciliter l'examen des flux et des accès par un cabinet canadien. Un hébergement canadien peut appuyer cette analyse, mais le traitement dans une autre province peut encore déclencher l'article 17 pour une entreprise québécoise. Une marque nationale ne garantit pas la conformité à la Loi 25.

Il faut aussi établir le fondement juridique de la communication. L'article 18.3 peut permettre, sans consentement, une communication nécessaire à un mandat ou à un contrat de service confié à un tiers, sous ses conditions. Le secret professionnel et l'autorisation appropriée de divulguer demeurent des questions distinctes. Articles 13, 17 et 18.3.

Les trois voies viables

Trois modèles de déploiement peuvent être envisagés, chacun sous réserve de vérification.

Le premier est un environnement local ou contrôlé par le client. Il faut vérifier le soutien à distance, la télémétrie, les sauvegardes et les sous-traitants avant de conclure que les renseignements restent dans le périmètre prévu. Un déploiement local ne supprime pas les autres obligations d'évaluation et de sécurité.

Le deuxième est un service commercial offrant une région de traitement canadienne. Il faut vérifier le lieu réel de chaque opération pertinente, les entités ayant accès et les usages contractuellement permis. Une conservation au Canada n'équivaut ni à un traitement exclusivement québécois ni à une immunité contre les procédures étrangères.

Le troisième est un produit conçu pour les processus professionnels canadiens. Sa couverture juridique et ses garanties contractuelles doivent être examinées aussi soigneusement que celles des autres fournisseurs. Un partenariat avec une association professionnelle ou un engagement de non-entraînement répond à certaines questions; aucun ne certifie l'ensemble du déploiement.

Ce qu'il faut surveiller

Il faut suivre l'évolution des conditions, des lieux de traitement, des accès et des décisions réglementaires publiées. Le déploiement doit être réévalué lorsqu'un changement modifie les faits sur lesquels reposait son approbation. L'objectif est un choix défendable pour un cabinet et un usage précis, plutôt qu'une règle selon laquelle tout outil étranger échoue ou tout outil canadien réussit.