Loi 96, Loi 25 et l’IA : ce que les fournisseurs américains ne diront pas

La semaine dernière, une directrice nous a écrit après un appel avec un représentant Brightwheel : « Ils m’ont dit que c’était conforme Loi 25 parce qu’ils ont une clause de consentement dans leurs conditions d’utilisation. C’est suffisant, non? » Non. Et la distinction compte — pour son CA, pour ses parents, et pour la crédibilité du réseau québécois face aux outils américains qui arrivent en masse.

Cet article explique pourquoi la souveraineté des données n’est pas un argument marketing, mais une architecture — et pourquoi la Loi 96 et la Loi 25 convergent vers la même conclusion pour les CPE québécois.

Ce que la Loi 25 autorise — et ce qu’elle n’exige pas

La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) autorise les transferts de renseignements personnels hors du Québec — à condition d’obtenir le consentement explicite des personnes concernées et de mener une évaluation des facteurs relatifs à la vie privée (EFVP).

Techniquement, un fournisseur américain peut donc opérer légalement au Québec. Brightwheel, Lillio, HiMama — tous proposent des clauses de consentement. Tous peuvent produire une EFVP générique. Le problème n’est pas la légalité. Le problème est ce que ça signifie concrètement pour un CPE :

• Les photos d’enfants transitent par des serveurs soumis au CLOUD Act américain.
• Les dossiers du personnel (NAS, DEC, évaluations) peuvent être demandés par une autorité américaine sans notification au CPE québécois.
• L’inférence IA — même « anonymisée » — se fait sur une infrastructure hors Québec, avec des modèles entraînés sur des corpus non québécois.

La Loi 25 dit : « c’est permis avec consentement. » Cocon dit : « nous ne demandons jamais ce consentement, parce que nous n’en avons pas besoin — nos données ne sortent pas. » C’est une différence de conception, pas de conformité minimale.

Loi 96 : la francophonie comme exigence opérationnelle

La Loi 96 (Loi sur la langue officielle et commune du Québec) exige que les services au public soient disponibles en français. Pour un CPE québécois, « au public » inclut les parents, le personnel et les rapports au ministère de la Famille.

Les fournisseurs américains traduisent leur interface. Certains embauchent des traducteurs québécois. Mais la traduction n’est pas la localisation :

• Le vocabulaire ministère (contribution réduite, reddition de comptes, R-24) est approximatif ou absent.
• Les ratios québécois (1:5 / 1:8 / 1:10, règle du 2/3 qualifié) ne sont pas natifs — ils sont configurés ou contournés.
• Le support se fait en anglais avec traduction, pas en français québécois par des gens qui comprennent un CPE.
• Les modèles IA sous-jacents (GPT-4, Claude) raisonnent en anglais et traduisent — ils ne comprennent pas la réglementation québécoise nativement.

La Loi 96 ne parle pas directement d’IA. Mais quand Aube rédige une reddition de comptes, elle le fait dans le vocabulaire du ministère, avec les formulaires GRICS corrects, en français québécois. Ce n’est pas une couche de traduction par-dessus un modèle américain — c’est un modèle d’IA libre que nous avons ajusté nous-mêmes sur un corpus réglementaire québécois, et qui tourne sur des cartes graphiques à Montréal.

L’argument souveraineté IA — comment nous l’expliquons

Notre approche commerciale auprès des partenaires de conception suit quatre étapes. Nous les partageons ici parce qu’elles fonctionnent — et parce que les fournisseurs américains ne peuvent pas les contester honnêtement :

1. Demande de réflexion

« Vous saviez qu’Amisgest envoie vos données vers où? » Réponse typique : non, ou pas certaine. Même les directrices expérimentées ne savent pas toujours où leurs données d’enfants sont hébergées — et Amisgest est un fournisseur québécois.

2. Révéler

« Tous nos concurrents — y compris les logiciels CPE existants qui ajoutent de l’IA — envoient vos données aux États-Unis pour le traitement IA. La Loi 25 le permet avec consentement, mais c’est un transfert. » ACCEO tourne sur AWS aux États-Unis. Brightwheel est entièrement américain. Amisgest explore des intégrations ChatGPT.

3. Différencier

« Cocon est la seule plateforme où la donnée du CPE ne sort jamais du Québec. L’IA tourne sur des cartes graphiques à Montréal, chez RunPod. On l’a fait exprès. » Hébergement OVHcloud Beauharnois. Inférence sur cartes graphiques RTX 6000 à Montréal. Entraînement périodique sur cartes graphiques H100 à Montréal. Aucun appel sortant vers OpenAI, Anthropic ou Google.

4. Preuve

« Voici notre EFVP. Voici notre architecture. Voici notre journal d’audit immuable qui le démontre. » Ce n’est pas une promesse — c’est vérifiable. Le trésorier du CA peut consulter la page souveraineté et la clause correspondante du Pacte Aube.

Ce que les fournisseurs américains ne diront pas

Voici ce que nous observons dans les appels de comparaison — et ce que les représentants commerciaux omettent systématiquement :

• « Conforme Loi 25 » signifie « nous avons une clause de consentement » — pas « vos données restent au Québec ».
• « IA intégrée » signifie « nous appelons l’API OpenAI depuis nos serveurs aux États-Unis » — pas « nous avons un modèle entraîné sur la réglementation québécoise ».
• « Support en français » signifie « clavardage traduit » — pas « ancienne directrice CPE au bout du fil ».
• « Sécurisé » signifie « certifié SOC 2 sur infrastructure AWS Virginia » — pas « journal d’audit immuable conservé 7 ans, exportable pour inspection Ministère ».

Aucun de ces fournisseurs ne ment ouvertement. Ils utilisent un vocabulaire de conformité qui sonne rassurant sans engager l’architecture. C’est efficace — jusqu’à ce qu’un trésorier pose la question : « Où exactement sont nos photos d’enfants ce soir? »

Pour le parent — l’argument indirect

Notre troisième angle ne s’adresse pas à la directrice, mais au parent par son entremise : « Les photos de votre enfant ne sont jamais sur un serveur américain. Loi 25 respectée nativement. »

L’app parent Cocon est gratuite. Quand un parent voit la qualité de l’expérience — albums style Apple Photos, filigrane discret en français, notifications en français québécois — il demande à sa garderie : « Pourquoi on n’a pas ça? » C’est notre principal canal de recrutement, que nous acceptons de prendre à notre charge (environ 5 $ par mois par parent gratuit) parce que la demande est réelle.

Conclusion : la souveraineté comme choix de conception

Rester au Québec coûte plus cher à opérer qu’une intégration ChatGPT. C’est le prix de tenir une garantie crédible devant un conseil d’administration d’OBNL. La Loi 96 et la Loi 25 ne nous obligent pas à rester — elles nous permettent de partir. Nous choisissons de rester parce que c’est la seule architecture compatible avec le Pacte Aube, avec Aube Continue (Aube personnalisée par CPE), et avec la promesse que nous faisons aux 100 000 enfants du réseau québécois.

Si un fournisseur vous dit « conforme Loi 25 » sans préciser où vos données dorment ce soir, posez la question. La réponse vous dira tout.