CLOUD Act : pourquoi un serveur à Montréal n’est pas toujours souverain

En mars 2018, le Congrès américain adoptait le Clarifying Lawful Overseas Use of Data Act, mieux connu sous le nom de CLOUD Act. Le texte tranche une question que les tribunaux américains se posaient depuis des années : une autorité américaine peut-elle exiger d’un fournisseur de services la remise de données stockées à l’étranger? La réponse du législateur est sans ambiguïté. Un fournisseur assujetti à la juridiction des États-Unis doit remettre les données dont il a la possession, la garde ou le contrôle, peu importe où elles se trouvent physiquement.

Concrètement, une ordonnance visant une société dont le siège est à Seattle ou à Redmond couvre aussi les serveurs que cette société exploite à Montréal, à Toronto ou à Francfort. Le fournisseur peut contester l’ordonnance dans certains cas de conflit avec une loi étrangère, mais le principe demeure : c’est la juridiction du propriétaire qui compte, pas l’emplacement du serveur.

Le CLOUD Act prévoit aussi des accords bilatéraux qui encadrent l’accès réciproque aux données entre États. Les États-Unis en ont conclu avec le Royaume-Uni et l’Australie. Au moment d’écrire ces lignes, il n’existe aucun accord de ce type avec le Canada.

Prenons une PME de Granby qui migre ses soumissions, ses prix et ses données clients vers la « région Montréal » d’un grand fournisseur infonuagique américain. Sur le plan technique, tout est irréprochable : les données résident dans des centres de données situés au Québec, chiffrées et répliquées sur plusieurs sites. Sur le plan juridique, elles demeurent entre les mains d’une entreprise de droit américain, donc exposées au CLOUD Act.

C’est toute la distinction entre résidence des données et souveraineté des données. La résidence répond à la question « où sont les serveurs? ». La souveraineté répond à une question plus exigeante : « quel droit s’applique à celui qui les contrôle? ». Les régions canadiennes d’AWS, d’Azure et de Google Cloud offrent la première, pas la seconde.

Faut-il en conclure que ces services sont interdits? Non. Pour bien des usages peu sensibles, ils demeurent un choix raisonnable et documentable. Mais pour des renseignements personnels sensibles, des secrets industriels ou des dossiers couverts par le secret professionnel, le mot « souverain » dans une présentation commerciale mérite d’être confronté à la structure de propriété du fournisseur.

La Loi 25 (RLRQ c. P-39.1) encadre la communication de renseignements personnels à l’extérieur du Québec. Avant une telle communication, l’article 17 impose une évaluation qui tient compte notamment du régime juridique applicable dans l’État de destination. La communication ne peut avoir lieu que si l’évaluation démontre que les renseignements bénéficieraient d’une protection adéquate, et elle doit faire l’objet d’une entente écrite.

Et si les données restent physiquement au Québec, mais chez un fournisseur de propriété américaine? La lecture prudente consiste à traiter l’exposition au CLOUD Act comme un risque à documenter : dans l’évaluation des facteurs relatifs à la vie privée exigée par l’article 3.3 avant tout projet de système traitant des renseignements personnels, puis dans le contrat de sous-traitance prévu à l’article 18.3, qui doit couvrir la résidence des données et les délais d’avis d’incident. Ignorer cette exposition, c’est bâtir un dossier de conformité qui ne survivrait pas à un examen sérieux.

L’enjeu n’est plus théorique. La Commission d’accès à l’information peut imposer directement des sanctions administratives pécuniaires atteignant 10 M$ ou 2 % du chiffre d’affaires mondial, et le volet pénal, devant les tribunaux, monte jusqu’à 25 M$ ou 4 %. Les premières sanctions de la CAI ont été rendues publiques en 2026. Notre guide de conformité Loi 25 détaille l’ensemble des obligations.

Pour un cabinet d’avocats, un bureau de notaires, un cabinet comptable ou une clinique, trois couches juridiques se superposent. D’abord le secret professionnel, protégé par les codes de déontologie : confier des dossiers clients à un tiers demeure une communication encadrée, et le professionnel en reste responsable. Ensuite la Loi 25 et son article 17. Enfin le CLOUD Act, qui peut contraindre un fournisseur américain à divulguer un dossier, le droit américain permettant même, dans certains cas, d’assortir l’ordonnance d’une interdiction d’en aviser le client.

Les avocats comptent parmi les professionnels les plus exposés en matière de protection des renseignements. Un juriste qui verse ses dossiers dans un outil d’IA hébergé chez un fournisseur de propriété américaine devrait pouvoir répondre à une question toute simple de son client : qui, en dernier ressort, peut être contraint de remettre ce dossier?

La réponse passe par l’architecture, mais aussi par l’encadrement des usages internes. Une politique d’utilisation de l’IA qui interdit de verser des renseignements personnels ou des dossiers clients dans des outils publics non approuvés est désormais la norme dans les professions réglementées.

Tous les hébergements ne se valent pas. Voici la hiérarchie que nous utilisons chez Cogio pour évaluer une infrastructure d’IA, du plus souverain au moins souverain.

Sur le terrain, la question de l’hébergement se règle en même temps que celle de l’architecture d’IA. Nous en distinguons quatre, chacune avec son niveau de souveraineté et son ordre de coûts.

Soyons francs, parce que c’est notre façon de travailler : pour certains raisonnements très fins, comme l’analyse juridique complexe ou la synthèse pointue de dizaines de documents, les modèles frontière gardent une longueur d’avance sur les meilleurs modèles ouverts de 70 milliards de paramètres. Prétendre le contraire, ce serait vous vendre une déception.

C’est précisément le dilemme que résout l’architecture hybride. Les documents confidentiels, les renseignements personnels et les secrets d’affaires ne quittent jamais l’infrastructure locale, où un modèle ouvert traite la grande majorité des requêtes. Pour les questions qui exigent un raisonnement de pointe, un routeur de sensibilité caviarde et anonymise la requête avant de l’envoyer vers l’API externe, sous un contrat qui garantit la rétention zéro, le non-entraînement sur vos données et une juridiction documentée.

Bien cloisonnée, cette approche combine la confidentialité du local pour ce qui doit rester chez vous et la puissance des modèles frontière pour ce qui peut sortir une fois anonymisé.

Trois questions suffisent pour situer votre organisation. Où se trouvent physiquement vos données et celles que traitent vos outils d’IA? Qui est le propriétaire ultime de chaque fournisseur, et de quel droit relève-t-il? Ces réponses figurent-elles dans votre registre et dans vos évaluations exigées par la Loi 25?

Si une seule réponse manque, l’exercice suivant est un inventaire : la liste de vos outils, la juridiction de chaque fournisseur, la sensibilité des données concernées. C’est le point de départ de notre démarche, qui commence toujours par un audit avant de recommander quelque architecture que ce soit.

Et si vous exercez une profession réglementée, faites cet inventaire cette semaine plutôt que ce trimestre : le secret professionnel ne se répare pas après coup. Pour en discuter avec nous, écrivez-nous.