Hébergement de données au Canada : comment vérifier qu’un fournisseur est vraiment souverain

« Données hébergées au Canada. » La mention figure sur les sites de presque tous les fournisseurs infonuagiques, y compris les plus grands. Elle est exacte et elle ne répond pas à la bonne question. Savoir où se trouvent les serveurs, c’est connaître la résidence des données. Savoir quel droit s’applique à celui qui les contrôle, c’est connaître leur souveraineté.

Le gouvernement du Canada fait la même distinction dans son livre blanc sur la souveraineté des données et l’infonuagique publique. Il y écrit que tant qu’un fournisseur de services infonuagiques exploité au Canada est assujetti aux lois d’un pays étranger, le Canada n’aura pas pleine souveraineté sur ses données, et que la résidence des données ne protège pas contre l’application de lois étrangères, peu importe où se trouvent physiquement les ressources.

Un document plus récent, préparé pour le Conseil du Trésor et rapporté par La Presse Canadienne en novembre 2025, va dans le même sens : stocker des données au Canada, ou même faire appel à un fournisseur canadien, ne garantit pas qu’un tribunal étranger n’aura pas compétence. D’où l’importance de vérifier plutôt que de se fier à une étiquette.

Le 10 juin 2025, devant une commission d’enquête du Sénat français sur la commande publique, le directeur juridique de Microsoft France, Anton Carniaux, s’est fait demander s’il pouvait garantir que les données de citoyens français hébergées par Microsoft ne seraient jamais transmises aux autorités américaines sans l’accord des autorités françaises. Il a répondu qu’il ne pouvait pas le garantir, tout en précisant, selon les comptes rendus publiés, qu’aucune demande de ce genre n’était survenue jusque-là.

Cette réponse ne dit rien de mal sur Microsoft : elle décrit honnêtement le droit américain. Notre article sur le CLOUD Act explique pourquoi une entreprise de propriété américaine doit remettre les données dont elle a la possession, la garde ou le contrôle, même stockées hors des États-Unis. Le livre blanc fédéral cite aussi la loi américaine sur la surveillance du renseignement étranger (FISA) comme principal risque.

Voici la liste que nous utilisons pour évaluer un hébergeur. Aucune n’exige d’être juriste. Toutes exigent des réponses écrites.

Au Québec, ces vérifications ne sont pas qu’une bonne pratique. Avant de communiquer des renseignements personnels à l’extérieur du Québec, l’article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé exige une évaluation qui tient compte notamment du régime juridique applicable dans l’État de destination, et la communication doit faire l’objet d’une entente écrite.

Les réponses aux dix questions ci-dessus constituent la matière première de cette évaluation, et de l’évaluation des facteurs relatifs à la vie privée exigée pour tout projet de système d’information qui traite des renseignements personnels. Un fournisseur incapable d’y répondre par écrit vous laisse avec un dossier de conformité vide.

Une fois les réponses obtenues, le classement est simple. Le serveur dans vos locaux reste le niveau maximal. Vient ensuite l’hébergeur de propriété canadienne qui exploite ses propres centres au Québec, sans sous-traitant étranger dans la chaîne. Un hébergeur étranger non américain établi au Canada se situe un cran plus bas : hors de la juridiction américaine, mais aussi hors de la juridiction canadienne. La région canadienne d’un géant américain offre la résidence, pas la souveraineté.

Ce classement ne condamne aucun fournisseur. Pour des données peu sensibles, une région canadienne d’un grand fournisseur peut être un choix raisonnable et documenté. Pour des dossiers de patients, des secrets industriels ou des renseignements protégés par le secret professionnel, l’analyse change.

Nos agents IA sont hébergés chez le client ou dans sa région, chez un fournisseur dont nous avons vérifié la chaîne de propriété selon la liste ci-dessus. C’est ce que nous entendons par IA souveraine : un modèle et des données qui relèvent du droit que vous connaissez, et des réponses écrites pour le prouver.

Pour comprendre comment nous bâtissons ces architectures, consultez notre page d’accueil ou écrivez-nous avec la liste de vos fournisseurs actuels : nous vous dirons lesquels méritent une deuxième lecture.