Vos sous-traitants d'IA sont aussi le problème de vos clients

Un sous-traitant ultérieur est tout tiers qui traite des renseignements personnels pour votre compte, y compris le fournisseur de modèle derrière une fonction d'IA que vous avez développée. Si vous avez ajouté un résumeur, un agent conversationnel ou un assistant de rédaction cette année, vous avez presque certainement ajouté un sous-traitant, et vos contrats clients existants promettaient presque certainement de le signaler.

La plupart des entreprises ne l'ont pas fait. Non par mauvaise foi : la fonction a été développée par l'ingénierie, la liste des sous-traitants vit sur une page juridique dont personne n'est responsable, et aucun processus ne reliait les deux.

Pourquoi cela compte-t-il en droit canadien ?

Parce que la responsabilité ne se transfère pas le long de la chaîne. Sous la LPRPDE, une organisation demeure responsable des renseignements personnels transférés à un tiers aux fins de traitement, et doit recourir à des moyens contractuels ou autres pour assurer une protection comparable. La Loi 25 du Québec va plus loin sur la transparence, avec des obligations d'information lorsque des renseignements sont communiqués à l'extérieur du Québec et d'évaluation préalable de cette communication.

Aucune de ces lois ne contient une clause disant « sauf si le tiers est un fournisseur d'IA ». Le fournisseur de modèle derrière votre fonction est un sous-traitant comme un autre, et le fait que les données ne fassent que transiter en quelques millisecondes sans être conservées ne le retire pas de la chaîne.

Il existe aussi une couche contractuelle qui mord plus tôt que la couche réglementaire. Si votre entente client comprend une entente de traitement des données, elle vous engage très probablement à tenir une liste de sous-traitants à jour et à donner un préavis avant d'en ajouter un. Livrer une fonction d'IA sans mettre cette liste à jour est une violation de contrat, découverte par l'équipe d'approvisionnement d'un client au renouvellement, c'est-à-dire au pire moment possible.

Que faut-il divulguer exactement ?

Assez pour qu'un client raisonnable puisse évaluer la chaîne. En pratique, quatre éléments par entrée.

Deux arbitrages reviennent constamment.

Le premier : faut-il nommer le fournisseur ou décrire la catégorie ? Pour une page juridique publique, nommer la catégorie de service plutôt que le fournisseur précis se défend et correspond à la pratique de nombreuses entreprises, surtout lorsque le nommer révélerait un détail commercial. Lorsqu'un contrat vous engage toutefois à nommer les sous-traitants, le contrat l'emporte. Tranchez une fois, appliquez de façon constante, et ne laissez pas une préférence de marketing primer sur une promesse contractuelle.

Le second : le sous-traitant de votre fournisseur compte-t-il comme le vôtre ? Juridiquement, la chaîne se gère en général de fournisseur à fournisseur, mais en pratique vos clients poseront la question, et « nous l'ignorons » est une mauvaise réponse. Au minimum, sachez quel fournisseur de modèle se trouve derrière chaque fournisseur d'IA que vous utilisez, et consignez-le dans votre inventaire des fournisseurs.

Comment un sous-traitant s'ajoute-t-il sans que personne ne le remarque ?

Quatre chemins, tous courants.

Une fonction est livrée. L'ingénierie intègre une interface de modèle pour construire quelque chose d'utile. Aucun bon de commande, aucune revue fournisseur, car la clé provenait d'un compte existant.

Un fournisseur change sa propre pile. Votre centre d'assistance ajoute le résumé automatique et change de fournisseur de modèle. Vos données atteignent désormais une entreprise que vous n'avez jamais évaluée, à la faveur d'un avis enfoui dans un journal des versions.

Un pilote devient la production. Ce qui avait été essayé sur des données synthétiques se met discrètement à tourner sur de vrais dossiers clients parce que le pilote a bien marché.

Un forfait change. La version gratuite traitait les données autrement que la version payante, ou l'inverse, et quelqu'un a changé de forfait.

Seul le premier cas se prévient par des contrôles d'approvisionnement. Les trois autres expliquent pourquoi la liste des sous-traitants exige une revue planifiée, et pas seulement une porte d'entrée.

Comment garder la liste honnête ?

Rattachez-la aux événements qui la modifient réellement.

Faites en sorte que l'ajout d'une interface de modèle en production soit un changement exigeant la mise à jour de la liste dans le même billet. Les développeurs le feront si c'est une case dans un gabarit ; ils ne le feront pas s'il faut écrire au service juridique. Placez l'obligation d'aviser les clients sur le même déclencheur, car le préavis prévu à votre entente commence lorsque vous ajoutez le sous-traitant, pas lorsque quelqu'un s'en souvient.

Puis vérifiez chaque trimestre par rapport à la réalité : sortez la liste des fournisseurs de votre inventaire des fournisseurs, comparez-la à la page publiée et réconciliez les écarts. Chaque réconciliation que j'ai observée a révélé au moins une entrée erronée dans un sens ou dans l'autre, généralement un fournisseur remplacé des mois plus tôt.

Lorsque les communications sortent du Canada, l'évaluation constitue une obligation distincte, et une évaluation de communication hors frontières doit accompagner l'entrée plutôt que de vivre dans un fichier séparé que personne ne relie.

Que répondre à un client qui pose la question ?

Simplement, et plus vite qu'il ne s'y attend. Les acheteurs d'entreprise ne sont pas choqués que vous utilisiez un fournisseur de modèle ; ils sont choqués quand vous ne pouvez pas dire lequel.

Tenez une page qui y répond sans passer par une conversation commerciale, et gardez-la à jour. Une page de confiance publique présentant la liste des sous-traitants, les lieux de traitement et vos certifications retranche une semaine à la plupart des revues de sécurité, et sert mieux une transaction qu'une politique bien rédigée que personne ne lit.

Pour la relation fournisseur au sens large, le risque lié aux tiers et pourquoi votre conformité vaut celle de vos fournisseurs traite du volet diligence.

Ceci est de l'information générale et non un avis juridique.

Valdra réunit les fournisseurs, leurs sous-traitants, les évaluations de communication et la divulgation destinée aux clients dans une même chaîne, pour que la liste de votre page de confiance corresponde à ce qui tourne réellement.