Publié le 26 août 2026
Où vivent vos données quand vous utilisez un outil d'IA
Quand un employé colle un courriel client dans un robot conversationnel, ce texte quitte votre entreprise. Il part vers les serveurs du fournisseur de l'outil — souvent aux États-Unis — où il peut être stocké, journalisé, relu. La question « où vivent vos données » n'est pas théorique : elle détermine quelles lois s'appliquent, qui peut y accéder, et ce que vous devez vérifier avant.
Trois questions avant d'adopter un outil
Avant de brancher un outil d'IA — robot conversationnel, API, assistant intégré à un logiciel que vous utilisez déjà — trois questions au fournisseur suffisent à cadrer le risque :
- Où les données sont-elles stockées et traitées ? Une région précise, écrite au contrat — pas « le nuage ».
- Qui y accède ? Le fournisseur, ses sous-traitants, ses employés ? Vos données servent-elles à entraîner ses modèles ?
- Que deviennent-elles ? Durée de conservation des requêtes, sort des copies de sauvegarde, procédure de suppression.
Ce que la Loi 25 exige quand ça sort du Québec
Communiquer des renseignements personnels à l'extérieur du Québec — et envoyer les données d'un client québécois vers un serveur américain en est une — exige une évaluation des facteurs relatifs à la vie privée. Il faut tenir compte du régime juridique de l'endroit où les données s'en vont, et encadrer la communication par contrat.
Autrement dit : « tout le monde utilise cet outil » n'est pas une évaluation. Si l'outil traite des renseignements personnels de personnes au Québec, l'évaluation se fait avant l'adoption, et elle s'écrit.
Les régions canadiennes existent
La bonne nouvelle : héberger au Canada n'est plus exotique. Les grands fournisseurs infonuagiques offrent des régions en sol canadien, et plusieurs outils d'IA permettent d'y confiner le traitement. C'est notre pratique par défaut : selon le forfait, les données de nos clients vivent chez AWS Montréal (ca-central-1) ou DigitalOcean Toronto (TOR1) — chiffrées en transit et au repos, sans copie de sauvegarde à l'étranger.
Le détail de cette pratique — certifications des centres de données, sauvegardes, ce que ça vous donne — est sur notre page dédiée.
Voir notre pratique : Où vivent vos données (hébergement canadien)La liste de vérification qu'on utilise en mandat
Pour chaque outil d'IA qu'un client veut adopter, on vérifie par écrit :
- La région d'hébergement, nommée au contrat.
- L'engagement du fournisseur de ne pas entraîner ses modèles sur vos données.
- La durée de rétention des requêtes et des journaux.
- Le chiffrement en transit et au repos.
- Les certifications des centres de données (ISO 27001, SOC 2).
- La localisation des sauvegardes — c'est là que les données « canadiennes » finissent parfois ailleurs.
Le réflexe à retenir
Un outil d'IA est un sous-traitant comme un autre : ce que vous exigez de votre comptable ou de votre hébergeur web, exigez-le de lui. Si le fournisseur ne peut pas répondre aux trois questions du début par écrit, la réponse est dans la question.
Sources
- Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) — LégisQuébec
- Notre pratique d'hébergement — Saber AI Consultant
Cet article décrit notre pratique et notre lecture de la loi au moment de sa publication. Il ne remplace pas un avis juridique.