En bref
Les dessins que vos donneurs d'ordre vous confient et l'historique qualité que vous accumulez au fil des ans sont des actifs sensibles — au même titre que vos machines. Deux protections différentes s'appliquent, et il ne faut pas les confondre : la Loi 25 encadre les renseignements personnels que contient votre système (noms d'inspecteurs, de machinistes, coordonnées de contacts), tandis que vos plans et dessins relèvent plutôt de la propriété intellectuelle industrielle — protégée par vos ententes de confidentialité et le secret industriel. Les deux enjeux vivent au même endroit : dans les fichiers de votre atelier. Ce n'est pas une contrainte administrative de plus : c'est une question de contrôle et de propriété.
Héberger ses données au Québec, c'est décider chez qui elles dorment et rester capable de le prouver. J'y ajoute une conviction : quand un logiciel confie une partie du travail à de l'IA, cette IA doit être traitée dans la même juridiction que le reste — pas expédiée ailleurs sans qu'on le sache. La clause ISO 9001 §7.5 sur les informations documentées, elle, ne demande rien de moins.
Un dessin coté n'est pas un fichier comme les autres
Quand un donneur d'ordre vous envoie un plan, il vous confie bien plus qu'un PDF. Il vous confie sa géométrie, ses tolérances, parfois son savoir-faire produit au complet. Dans certains secteurs — hydro, médical, défense — ce dessin est encadré par des clauses de confidentialité strictes. Le perdre, le laisser fuir, ou simplement être incapable de dire où il se trouve, ça peut coûter le contrat.
On a longtemps traité ces documents comme de la paperasse : un dossier réseau, une clé USB, une boîte courriel. Tant que le fichier s'ouvrait, on ne se posait pas de question. Or la vraie question n'a jamais été « est-ce que je peux l'ouvrir ». Elle est « où est-il rendu, et qui d'autre peut l'ouvrir ».
J'ai passé quatorze ans en qualité dans l'industrie avant de concevoir des logiciels. J'ai vu des ateliers extraordinairement rigoureux sur la traçabilité d'une pièce — chaque cote mesurée, chaque instrument identifié — et complètement flous sur la traçabilité de leurs propres fichiers. On savait tout du parcours d'une pièce d'acier, et rien du parcours du dessin qui l'a définie.
On savait tout du parcours d'une pièce d'acier, et rien du parcours du dessin qui l'a définie.
La Loi 25, en langage d'atelier
La Loi 25 — la modernisation québécoise des règles de protection des renseignements personnels — a changé la donne pour toutes les PME, pas seulement pour les banques et les hôpitaux. Elle vous demande, en substance, de savoir quels renseignements personnels vous détenez, où ils sont hébergés, qui y a accès, et de pouvoir répondre si quelqu'un vous le demande.
Un malentendu fréquent, que je veux dissiper tout de suite : la Loi 25 ne protège pas vos plans comme tels. Un dessin coté n'est pas un renseignement personnel ; sa confidentialité relève de vos ententes avec le donneur d'ordre et du secret industriel, pas de la loi sur les renseignements personnels. Mais votre système qualité, lui, est truffé de renseignements que la Loi 25 vise directement : le nom de l'inspecteur qui a signé un rapport, celui du machiniste qui a fait la pièce, les coordonnées de vos contacts chez le donneur d'ordre. Le plan et l'identité de qui l'a traité voyagent ensemble, dans les mêmes fichiers.
La conséquence pratique est simple, et elle vaut pour les deux enjeux à la fois. Le moment où vos rapports d'inspection, vos non-conformités et votre parc d'instruments quittent le classeur pour vivre dans un logiciel, vous devez pouvoir dire où ce logiciel range vos données. Pas « quelque part dans le nuage ». Le pays. La région. C'est une question qu'un auditeur, un donneur d'ordre ou un client peut légitimement vous poser — et à laquelle « je ne sais pas » n'est plus une réponse acceptable.
Souveraineté = contrôle et propriété, pas méfiance
Il faut sortir tout de suite d'un malentendu. Choisir d'héberger ses données au Québec, ce n'est pas de la méfiance envers qui que ce soit. C'est une décision de contrôle et de propriété, exactement comme choisir chez quel fournisseur on achète son acier ou à quelle banque on confie son compte.
Un actif sensible, on veut savoir où il est. On veut pouvoir dire à un client : « vos dessins sont hébergés au Canada, traités au Canada, et voici comment je peux le démontrer. » Ce n'est pas un argument contre quelqu'un ; c'est un argument pour vous. Ça vous rend maître de votre chaîne, capable de répondre sans hésiter, capable de rassurer un donneur d'ordre qui devient lui-même plus exigeant sur ses propres exigences.
Et c'est un avantage qui se retourne à votre profit commercial. De plus en plus, un donneur d'ordre qui doit lui-même prouver sa conformité préfère un sous-traitant qui héberge proprement ses documents. La souveraineté des données, présentée sobrement, devient un point de crédibilité — pas une posture défensive.
Un actif sensible, on veut savoir où il est. Le reste est du contrôle, pas de la méfiance.
La région, un choix irréversible qu'on ne voit jamais
Voici la partie que peu de gens réalisent, et je vais être honnête parce que je l'ai apprise à mes dépens. Quand on met en place l'infrastructure d'un logiciel infonuagique, on choisit une région d'hébergement. Ce choix, sur la plupart des plateformes, est fait par défaut — et le défaut n'est presque jamais le Canada. Pire : une fois la base de données créée, la région est souvent irréversible.
Sur une de nos premières briques, ce défaut nous a piégés. La base avait été créée dans une région hors Québec sans qu'on y prenne garde. Corriger a demandé de recréer une seconde base au bon endroit et de migrer les données existantes — deux jours de travail et un vrai risque en production, pour réparer un clic invisible fait des semaines plus tôt.
La leçon vaut pour tout dirigeant qui évalue un logiciel : la question « où sont hébergées mes données » ne se pose pas une fois que le contrat est signé et que les fichiers sont dedans. Elle se pose avant. Parce qu'après, déplacer des données d'une région à une autre, ce n'est pas cocher une case — c'est un chantier. Un logiciel qui a fait ce choix pour vous, dès la conception, hébergé au Québec par principe et non par option, vous épargne un problème que vous ne verrez jamais venir.
L'IA aussi doit être traitée ici
C'est là qu'entre en jeu une nuance que beaucoup oublient. Un logiciel moderne d'inspection ou de qualité ne se contente plus de stocker vos données : il en confie une partie à de l'IA. Chez nous, l'IA lit les cotes sur un plan pour vous éviter de tout retaper. Ailleurs, elle classe, résume, suggère. Dans tous les cas, un fragment de vos données sensibles part se faire traiter quelque part.
Et « quelque part », par défaut, ce n'est pas le Québec. La plupart des services d'IA grand public traitent la donnée là où le fournisseur a installé ses serveurs — souvent très loin de chez vous. On peut avoir soigneusement hébergé sa base de données au Canada, et laisser fuir par la porte de derrière chaque fois que l'IA entre en jeu. La souveraineté d'un côté, une passoire de l'autre.
La position que je défends est nette : si les données vivent au Québec, l'IA qui les traite doit être traitée au Québec elle aussi. C'est faisable — le traitement par IA peut être effectué dans une région canadienne, dans la même juridiction que le reste. Ce n'est pas le chemin le plus simple pour un concepteur de logiciel, c'est même souvent le plus contraignant. Mais c'est le seul qui soit cohérent avec la promesse faite au client.
Soyons honnêtes sur le prix de cette cohérence. Les moteurs d'IA vraiment performants hébergés à cent pour cent au Canada restent plus rares, et parfois plus coûteux, que ceux qu'on trouve par défaut ailleurs. C'est un vrai défi technique, pas un détail : la solution de facilité pousse toujours vers l'étranger. C'est justement ce qui rend le choix significatif. Quand on décide de traiter l'IA ici malgré la contrainte, ce n'est pas un slogan gratuit — c'est un arbitrage assumé, payé en effort d'ingénierie, au bénéfice du client.
Ne pas tout envoyer : le principe de minimisation
Il y a un deuxième réflexe, aussi important que la région d'hébergement : ne confier à l'IA que le strict nécessaire. La meilleure façon de protéger une donnée, c'est encore de ne pas l'envoyer.
Concrètement, un logiciel bien conçu ne balance pas le plan complet d'un client à un moteur d'IA. Il isole ce dont il a réellement besoin — un groupe de cotes, une zone du dessin — sans le nom du client, sans le numéro de pièce, sans les métadonnées du fichier CAO. L'IA voit des chiffres et des tolérances à lire, pas l'identité du donneur d'ordre ni la nature du produit. Elle fait son travail sur un fragment anonyme, et vous gardez le contexte de votre côté.
Ce principe a un nom en protection des données : la minimisation. On ne collecte, on ne transmet et on ne conserve que ce qui est nécessaire. Un logiciel de métier sérieux l'applique par conception, pas comme une option qu'on active. C'est la différence entre un outil qui a pensé à votre confidentialité avant vous, et un outil qui vous laisse le soin de découvrir le problème.
Ce que la clause §7.5 vous demande déjà
Si votre atelier est certifié ISO 9001 — ou vise à l'être — vous connaissez peut-être la clause §7.5 sur les informations documentées. On la lit souvent comme une exigence de paperasse : garder ses procédures, ses enregistrements, les tenir à jour. Mais elle dit plus que ça.
La clause §7.5 exige que les informations documentées soient maîtrisées : disponibles quand il faut, protégées de la perte de confidentialité et de l'altération, et conservées selon des règles claires de durée et d'accès. En clair, la norme qualité vous demande déjà de savoir où vivent vos rapports, qui peut les modifier, et pendant combien de temps vous les gardez.
Autrement dit, la Loi 25 et l'ISO 9001 tirent dans la même direction. L'une pour des raisons de protection des renseignements, l'autre pour des raisons de maîtrise documentaire. Un logiciel qui héberge proprement vos données au Québec, qui trace qui a fait quoi, et qui empêche la modification silencieuse d'un enregistrement, répond aux deux d'un même geste. Vous ne cochez pas deux cases séparées : vous adoptez une seule bonne pratique qui satisfait les deux mondes.
| La question | Ce qu'un bon logiciel de métier répond |
|---|---|
| Où sont hébergées mes données ? | Dans une région canadienne, choisie par conception — pas par défaut, pas modifiable par accident. |
| Où l'IA traite-t-elle mes dessins ? | Dans la même juridiction que le reste ; jamais expédiée ailleurs à mon insu. |
| Envoie-t-on tout le plan à l'IA ? | Non : seulement une zone anonymisée, sans nom de client ni numéro de pièce. |
| Puis-je le prouver à un auditeur ou un donneur d'ordre ? | Oui : hébergement documenté, traçabilité des accès, règles de conservation claires (§7.5). |
En conclusion : de qui vos données sont-elles vraiment ?
Posez-vous la question simplement. Si un de vos meilleurs donneurs d'ordre vous appelait demain pour vous demander où sont hébergés ses dessins et comment ils sont traités, sauriez-vous répondre sans hésiter ? Pourriez-vous le prouver ? Et l'IA qui vous fait gagner du temps sur vos rapports — savez-vous seulement dans quel pays elle lit vos plans ?
La souveraineté des données n'est pas un slogan et surtout pas une peur. C'est une discipline tranquille : décider où vivent ses actifs sensibles, ne confier que le nécessaire, et rester capable de le démontrer. Pour les renseignements personnels de votre système, la Loi 25 vous y oblige. Pour les plans eux-mêmes, ce sont vos ententes de confidentialité qui l'exigent. Et l'ISO 9001, par sa clause §7.5, vous demandait déjà de maîtriser tout ça d'un même geste. Le reste — choisir un outil qui a pris ces décisions à votre place, dès la conception — n'est plus qu'une question de bon sens industriel.
Reste une question ouverte, et je n'ai pas de réponse toute faite : à mesure que l'IA s'invite partout dans nos logiciels de métier, combien d'ateliers découvriront trop tard qu'ils avaient bien fermé la porte d'entrée en laissant grande ouverte celle de derrière ?
Les principes décrits dans cet article sont ceux qui ont guidé le développement d'Asterion Solutions, une suite de logiciels de métier pensés pour les PME manufacturières qui veulent structurer leur qualité sans multiplier les tâches administratives.