Avis de responsabilité

tonia met à la disposition du Client une couche de gouvernance technique pour l'utilisation de modèles d'intelligence artificielle infonuagiques : une politique d'accès, un filtrage des données sensibles (« NGP ») et un journal d'audit signé. Le présent avis explique, en langage clair, ce que cette couche fait, ce qu'elle ne fait pas, et les limites de la responsabilité contractuelle de tonia. Il complète, sans remplacer, les Conditions de service (notamment leur §8, Responsabilité) et, pour les clients sous entente signée, l'Accord de service tonia (AST).

La version française de cet avis est remise avant la conclusion du contrat. Le Client peut ensuite exprimer la volonté expresse d'être lié par la version anglaise, conformément à la Charte de la langue française, art. 55 (RLRQ C-11). Le parcours de commande consigne la remise, la langue choisie et l'identifiant du document accepté.

1. La nature du produit : un moyen technique, pas un décideur

tonia est un moyen technique de restriction et de traçabilité. Pour un Client organisationnel, le Client détermine les finalités des invites, réponses et fichiers de ses utilisateurs; tonia exécute le mandat confié selon l'AST et le DPA, conformément à la Loi 25, art. 18.3 (RLRQ P-39.1). tonia demeure responsable de ses finalités propres de gestion, de facturation, de sécurité et de preuve contractuelle.

Pour un adulte qui utilise tonia personnellement, tonia est responsable du contenu traité pour fournir le service, comme le décrivent les Conditions et la Politique de confidentialité.

La Politique de confidentialité décrit les coordonnées de la PRPRP, les finalités propres de tonia, les catégories, les durées, les communications et les droits prévus notamment aux art. 27, 28 et 28.1 de la Loi 25 (RLRQ P-39.1). Le DPA et son annexe fournisseurs encadrent le traitement confié d'un Client organisationnel. Le présent avis ne prétend pas que la Politique publie une liste de fournisseurs.

2. Capacités et limites du filtrage des données sensibles

Le filtrage de tonia réduit un risque précis. Il ne l'élimine pas. Le présent article décrit, sans euphémisme, ce que le moteur de détection peut repérer, comment tonia réagit à une détection, et ce qui demeure hors portée.

Le moteur reconnaît certains identifiants structurés au moyen d'une vérification déterministe. Cette vérification combine une règle de format et, lorsque le format le permet, une validation de somme de contrôle. Parmi les catégories typiquement couvertes figurent, à titre d'exemples non exhaustifs : le numéro d'assurance sociale, le numéro d'assurance maladie du Québec (RAMQ), un numéro de carte de crédit, un passeport canadien, un permis de conduire de la SAAQ, un numéro d'entreprise du Québec ou fédéral, un numéro de compte bancaire canadien, une adresse civique et un numéro de dossier judiciaire. Le catalogue exact des catégories activées dépend de la configuration du Client et peut évoluer. Le moteur reconnaît également des mots-clés confidentiels que le Client configure lui-même (par exemple des noms de projet ou des noms de client visés par une entente de confidentialité), par recherche exacte de la chaîne de caractères, sans distinction de majuscules.

Cette approche comporte des limites connues. Un identifiant ou un mot-clé reformulé, traduit, encodé, ou délibérément fragmenté entre plusieurs champs d'une même requête peut échapper à la détection. Le moteur reconnaît des motifs de texte, pas une intention. Les renseignements personnels exprimés en langage narratif plutôt que sous une forme structurée reconnaissable ne sont pas non plus fiablement détectés. Cela inclut, notamment : l'état de santé, les données biométriques ou génétiques, l'orientation sexuelle, les convictions religieuses ou politiques, l'origine ethnique, les antécédents judiciaires, l'appartenance syndicale, et la plupart des détails financiers exprimés en texte libre. L'amélioration de la couverture de cette catégorie de renseignements fait l'objet de travaux en cours.

Par défaut, lorsqu'une détection survient et que le Client a configuré le service pour bloquer, tonia refuse la requête et n'envoie pas le contenu original au fournisseur infonuagique. Lorsque le Client a configuré le service pour n'émettre qu'un avertissement, la requête se poursuit avec le contenu original intact, même si une rédaction avait été demandée pour cette requête.

Le Client peut aussi activer sur une clé d'API un chemin optionnel de rédaction. Deux conditions doivent alors être réunies : le responsable autorise la rédaction sur la clé, et l'utilisateur final demande explicitement la rédaction pour cette requête précise. Seulement lorsque ces deux conditions sont réunies et que le service est configuré pour bloquer sur détection, tonia remplace, au Québec, les segments détectés par des marqueurs neutres et transmet la version rédigée au lieu de refuser. Si l'une ou l'autre condition manque, tonia refuse la requête comme par défaut. La rédaction ne porte que sur les segments que le moteur a effectivement détectés. Tout renseignement personnel non détecté peut encore être transmis. Le journal d'audit signé consigne si une requête a été refusée, rédigée puis transmise, ou transmise sans intervention.

Les pièces jointes (images, documents numérisés, fichiers bureautiques) sont traitées séparément. Lorsque l'extraction de texte est explicitement activée par le responsable du Client (elle n'est pas activée par défaut), tonia extrait localement le texte de la pièce jointe, notamment par reconnaissance optique de caractères (ROC), avant d'appliquer le même moteur de détection qu'au texte tapé. La fiabilité de cette extraction dépend directement de la qualité de l'image fournie. Un document imprimé, net, bien éclairé et numérisé à haute résolution est généralement extrait avec une fidélité élevée. Une photographie prise avec un téléphone, une numérisation de faible résolution, une page inclinée ou mal éclairée, ou un document manuscrit présente un taux d'erreur de reconnaissance nettement plus élevé. Une seule erreur de caractère dans un identifiant structuré (par exemple un chiffre du numéro d'assurance sociale) suffit à empêcher sa détection, même si l'identifiant est par ailleurs présent et que la fonction est activée.

Lorsque le chemin de rédaction est activé, la réaction de tonia à une détection dans une pièce jointe dépend de l'endroit où se trouve l'identifiant repéré. tonia ne peut pas garantir que chaque identifiant sensible présent sous forme de pixels ou dans une image soit masqué. Si l'identifiant fait partie du texte réel du fichier — un document Word, Excel ou PowerPoint, ou un PDF natif produit à partir de texte plutôt que numérisé — tonia réécrit ce seul segment à l'intérieur du fichier original et transmet le fichier ainsi modifié, plutôt qu'une transcription distincte. Si l'identifiant repéré n'existe que sous forme de pixels — une image, une page numérisée, ou la portion image d'un fichier bureautique ou d'un PDF mixte — tonia ne peut pas encore le masquer à cet endroit précis ; elle transmet alors la pièce jointe originale sans aucune modification, plutôt que de la rédiger ou de refuser la requête, afin qu'un modèle apte à traiter des images puisse continuer à la lire ou à la modifier. Un fichier qui combine un identifiant dans son texte réel et un identifiant qui n'existe que sous forme de pixels voit sa portion de texte réécrite en place ; la portion pixel est toujours transmise sans modification jusqu'à ce que le masquage pixel soit disponible. Ce risque résiduel ne s'applique qu'au chemin de rédaction : lorsque le service est configuré pour bloquer, toute pièce jointe où un identifiant a été repéré — qu'il se trouve dans le texte réel ou seulement dans les pixels — est refusée comme n'importe quelle autre détection. Lorsqu'une réécriture en place a été tentée mais n'a pas pu se terminer en toute sécurité, tonia peut substituer une transcription textuelle masquée à la pièce jointe plutôt que de transmettre un fichier corrompu ; elle ne transmet pas les octets adressables non masqués. Si ni la réécriture, ni la substitution de transcription, ni la transmission pixel ne s'appliquent, tonia refuse la requête.

tonia ne procède pas, à ce stade, à une analyse visuelle du contenu d'une image (reconnaître, par exemple, qu'une photographie représente un visage ou une pièce d'identité plutôt qu'en lire le texte). Un second moteur d'analyse visuelle est à l'étude mais n'est pas en service à la date du présent avis.

En somme : le filtrage tonia réduit de façon mesurable le risque que certaines catégories bien définies de renseignements sensibles soient transmises par inadvertance à un fournisseur infonuagique. Il ne remplace ni la formation du personnel du Client, ni la révision par le Client de ses propres pratiques d'utilisation, ni son évaluation des facteurs relatifs à la vie privée (Loi 25, art. 17, RLRQ c. P-39.1) pour ses propres transferts. Le Client demeure responsable de configurer le service selon son propre contexte réglementaire et sectoriel, y compris le mode de réaction aux détections, les catégories activées, l'autorisation de rédaction sur ses clés, et l'activation ou non de l'extraction des pièces jointes. La conformité à la Loi 25 dépend de cette configuration. Elle n'est pas automatique.

3. Portée de la responsabilité contractuelle de tonia

La responsabilité contractuelle de tonia envers le Client, pour tout manquement lié au présent service, est limitée conformément aux Conditions de service §8. Elle est plafonnée à la valeur des frais payés par le Client au cours des douze (12) mois précédant l'événement donnant lieu à la réclamation, sauf disposition contraire d'une entente-cadre signée entre les parties (l'Accord de service tonia).

Cette limitation s'applique dans la mesure permise par le droit québécois. Elle ne peut exclure ni limiter la responsabilité de tonia pour le préjudice corporel ou moral, ni pour le préjudice matériel causé par une faute intentionnelle ou une faute lourde, conformément à l'article 1474 du Code civil du Québec.

tonia détient une police d'assurance responsabilité professionnelle (erreurs et omissions). Le nom de l'assureur, le montant de la couverture et les autres modalités de la police ne sont pas rendus publics.

4. Ce qu'un refus, une rédaction ou un passage sans intervention ne constitue pas

Un refus HTTP 451 (« Unavailable For Legal Reasons ») émis par tonia n'est pas un avis juridique sur la licéité d'une invite donnée. C'est le déclenchement d'un garde-fou technique configuré par le Client lui-même, selon les paramètres qu'il a choisis.

De même, la transmission d'une requête après rédaction des segments détectés ne confirme pas l'absence de renseignements personnels vers le fournisseur infonuagique. Seuls les segments repérés par le moteur ont été remplacés. Le reste du contenu, y compris les renseignements personnels non détectés et les identifiants qui n'existent que sous forme de pixels ou dans une image, peut encore être transmis. Le mode bloquer n'a pas ce risque résiduel lorsqu'une détection a eu lieu dans une pièce jointe : la requête est refusée.

L'absence de refus ou de rédaction ne constitue pas non plus une confirmation que le contenu d'une invite est conforme à la Loi 25 (RLRQ c. P-39.1) ou à toute autre loi applicable au Client. Voir le §2 ci-dessus pour les limites connues du moteur de détection.

5. Droit applicable et tribunal compétent

Le droit du Québec régit le présent avis. Pour un Client organisationnel, les tribunaux du district judiciaire de Québec ont compétence. Un consommateur peut s'adresser au tribunal compétent selon la loi. Avant toute procédure, les parties tentent un règlement de bonne foi par écrit dans un délai de trente (30) jours, conformément aux Conditions de service.

6. Documents contractuels complets

Le présent avis est un résumé accessible. Il n'est pas le document qui prévaut lorsqu'une entente-cadre a été signée. En cas de conflit, l'entente-cadre signée entre tonia et le Client prévaut, suivie des Conditions de service publiques. Voir Conditions de service, Politique de confidentialité et, pour les clients sous entente signée, l'ÉFVP applicable à leur profil.