RegTech / PrivacyTech / IA privée et souveraine
Loi 25 — analyse assistée par l’IA
Une IA exécutée localement qui repère les renseignements personnels dans les documents d’une organisation, pour la Loi 25 du Québec
Respecter la Loi 25 commence par savoir où se trouvent les renseignements personnels — et la plupart des organisations ne peuvent pas dire lesquels de leurs milliers de documents contiennent un numéro d’assurance sociale, un numéro d’assurance maladie ou une condition médicale. Cette solution repère 42 catégories de renseignements personnels dans l’environnement même de l’organisation, sans nuage, sans API externe et sans grand modèle de langage.
- 42 catégories de renseignements personnels détectées
- 4 détecteurs exécutés en parallèle sur chaque document
- 0 appel d’API externe — sans nuage, sans LLM
- Statut
- En production
- Modèle
- B2B
- Marché
- Québec, Canada
Le problème
La Loi 25 du Québec — la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, dont l’application est surveillée par la Commission d’accès à l’information du Québec — oblige les organisations à savoir quels renseignements personnels elles détiennent et à les protéger. Dans une plateforme de gestion documentaire qui contient des milliers de fichiers hétérogènes, en français et en anglais, cet inventaire ne peut pas se faire à la main; et envoyer les documents à un service infonuagique pour les analyser créerait précisément l’exposition que la loi cherche à prévenir.
La solution
Un service IA autonome installé sur une machine dédiée dans le réseau de l’organisation. Il lit la file de documents de la plateforme de gestion documentaire, analyse chaque document localement avec quatre détecteurs en parallèle, réconcilie les candidats en trois étapes et réécrit des constats structurés dans la plateforme — les renseignements personnels restent là où ils sont déjà. Prochaines étapes de la feuille de route : identification des écarts par rapport aux obligations de la Loi 25, évaluations des facteurs relatifs à la vie privée (EFVP), politiques internes, cartographie des risques, mesures correctives, rapports et tableaux de bord, bâtis sur cette couche de détection.
Ce que fait la plateforme
- Détection locale, quatre détecteurs Deux modèles de reconnaissance d’entités nommées (CamemBERT pour le français, un DistilBERT multilingue), des dictionnaires d’entités couvrant les organisations et les lieux du Québec, et 79 règles de patrons pour les identifiants structurés — exécutés en parallèle sur chaque document, après identification automatique de la langue.
- Réconciliation en trois étapes Les candidats qui se chevauchent sont fusionnés et la catégorie la plus précise retenue; la validation contextuelle filtre ensuite les faux positifs (un titre de poste n’est pas une personne, un bloc de signature n’est pas une adresse); les vérifications algorithmiques ferment la passe.
- Validation algorithmique des identifiants Les numéros de carte de crédit et d’assurance sociale (Luhn), les numéros d’assurance maladie (RAMQ), les zones de lecture automatique des passeports (MRZ) et les identifiants bancaires (IBAN) sont validés par leurs propres règles de contrôle avant d’être signalés.
- Intégration à la plateforme Le service interroge la file de documents de la plateforme dans MariaDB, traite les documents par lots et y réécrit les constats sous forme d’enregistrement structuré par document — une seule connexion sortante, vers la base de données de l’organisation.
- Exploitation et installation Journalisation des exécutions et métriques de traitement par étape et par catégorie; un paquet d’installation hors ligne pour les machines sans accès Internet; déploiements versionnés avec retour arrière.
Architecture
Services Python (30 000+ lignes) pour le traitement des documents, la détection, la réconciliation et l’intégration à la base de données; modèles NER publics figés compilés en Core ML pour l’inférence locale sur le moteur neuronal de la machine; connecteur MariaDB vers la plateforme documentaire; tests unitaires et bancs d’essai par détecteur. Aucun apprentissage sur les données de l’organisation. Livrée avec un dossier complet d’architecture et de code pour une revue de sécurité indépendante par l’équipe TI de l’organisation.
Qui l’utilise
Les organisations assujetties à la Loi 25 qui exploitent une plateforme de gestion documentaire — les cabinets de services professionnels d’abord — et, de leur côté, les équipes TI et de protection des renseignements personnels qui examinent les constats et décident de la suite.
Marchés
Le Québec (Loi 25, formats d’identifiants propres au Québec et au Canada, documents bilingues); l’architecture de détection est conçue pour s’étendre aux autres régimes canadiens de protection des renseignements personnels.
Où intervient l’IA — et où elle n’intervient pas
L’IA, ce sont deux modèles publics et figés de reconnaissance d’entités nommées qui s’exécutent sur la machine elle-même — sans grand modèle de langage, sans inférence infonuagique, sans API externe, sans apprentissage sur les données du client. Ils proposent des candidats; les dictionnaires, les règles de patrons, la validation contextuelle et les vérifications algorithmiques décident de ce qui est signalé, ce qui garde le comportement auditable. La solution repère les renseignements personnels; elle ne certifie pas la conformité à la Loi 25 — l’interprétation juridique et les décisions restent celles des professionnels de l’organisation.
Mon rôle
Fondateur et architecte : vision du produit, architecture du pipeline de détection et du modèle de sécurité, direction technique; mon équipe chez SOFT M POWER CANADA l’a bâtie et l’exploite sous ma direction, et livrée avec le dossier de revue de sécurité.