Indice de résidence infonuagique d’IA au Canada : exposition au CLOUD Act par fournisseur

Lorsqu’une organisation canadienne déploie une charge de travail d’IA sur une plateforme infonuagique, deux questions structurent chaque discussion de conformité : le fournisseur possède-t-il une infrastructure au Canada, et le droit américain atteint-il ces données peu importe où elles résident? Cet ensemble de données confronte 22 grands fournisseurs d’IA et d’infonuagique à ces deux dimensions — disponibilité en région canadienne, contrôle par une société américaine, niveau d’exposition au CLOUD Act (18 U.S.C. § 2713) et posture face à la Loi 25 du Québec — afin que les praticiens partent de faits vérifiés plutôt que du langage marketing.

Le CLOUD Act confère aux autorités américaines le pouvoir de contraindre toute entité constituée aux États-Unis à produire des données qu’elle possède, dont elle a la garde ou qu’elle contrôle — peu importe le pays où ces données sont physiquement stockées. Une région AWS canadienne demeure une région AWS. Un centre de données Azure canadien demeure exploité par une société américaine. L’emplacement physique est une configuration de résidence; la souveraineté juridique, elle, est déterminée par la structure de l’entreprise et la juridiction applicable. Ce ne sont pas les mêmes choses, et la distinction est déterminante pour les évaluations des facteurs relatifs à la vie privée (ÉFVP) de la Loi 25, la gouvernance de l’approvisionnement et la stratégie d’IA souveraine.

Pour les organisations qui bâtissent sur Bitcoin, le calcul distribué ou l’infrastructure d’IA locale — des domaines où la souveraineté des données est fondamentale, pas optionnelle — comprendre quels fournisseurs réduisent réellement l’exposition juridictionnelle est un travail préalable. Voir aussi : exécuter des LLM locaux au Canada, conseil en IA souveraine et le carrefour du calcul distribué.

Indice de résidence infonuagique d’IA au Canada — les 22 fournisseurs

Filtrez par disponibilité en région canadienne ou par niveau d’exposition au CLOUD Act. Cliquez sur n’importe quel en-tête de colonne pour trier.

Aucun fournisseur ne correspond aux filtres sélectionnés.

22 fournisseurs. En date de juin 2026 — vérifiez à la source avant de vous fier à une ligne. PAS un avis juridique.

Foire aux questions

Qu’est-ce que le CLOUD Act et pourquoi importe-t-il pour les organisations canadiennes?

Le Clarifying Lawful Overseas Use of Data Act (18 U.S.C. § 2713, adopté en 2018) habilite les autorités américaines à contraindre toute société constituée aux États-Unis à produire des données qu’elle possède, dont elle a la garde ou qu’elle contrôle — peu importe où ces données sont physiquement stockées. Un serveur à Montreal appartenant à une société américaine demeure, du point de vue juridique américain, accessible par une procédure du CLOUD Act. Cela importe pour les organisations canadiennes parce que choisir la région canadienne d’un fournisseur américain réduit la latence et peut satisfaire aux exigences de résidence des données, mais ne soustrait pas la société à la juridiction juridique américaine. Cadrage juridique tiré de BLG, Data Sovereignty and the CLOUD Act (avril 2026). PAS un avis juridique — consultez un conseiller juridique qualifié en protection de la vie privée.

Choisir AWS Canada (ca-central-1) ou Azure Canada Central protège-t-il les données des demandes du CLOUD Act?

Cela satisfait à l’exigence de résidence des données — les données sont physiquement au Canada — mais n’élimine pas l’exposition au CLOUD Act. AWS et Microsoft ont tous deux reconnu publiquement qu’une ordonnance gouvernementale américaine juridiquement valide a préséance sur leurs engagements de résidence des données. Ce n’est pas un risque théorique : la documentation de Microsoft et des témoignages de ses dirigeants confirment la conformité aux ordonnances valides du CLOUD Act. L’emplacement physique est une dimension de conformité; la juridiction juridique en est une autre. Pour les organisations qui ont besoin des deux, un fournisseur non constitué aux États-Unis exploitant une infrastructure canadienne (comme une infonuagique souveraine à propriété canadienne) est la seule configuration qui retire le CLOUD Act de l’équation.

Qu’est-ce que la Loi 25 du Québec et qu’exige-t-elle pour les déploiements d’IA et d’infonuagique?

La Loi 25 (la Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c P-39.1, modifiée en 2022-2024) est la loi générale du Québec sur la protection de la vie privée, pleinement en vigueur depuis septembre 2023. Elle exige qu’avant toute communication de renseignements personnels à l’extérieur du Québec, l’organisation réalise une évaluation des facteurs relatifs à la vie privée (ÉFVP / évaluation de l’incidence des transferts) qui évalue le cadre juridique et réglementaire de la juridiction de destination. Fait crucial, l’existence d’une exposition au CLOUD Act dans la juridiction de destination — même pour un serveur physiquement au Canada — est directement pertinente pour cette ÉFVP, car le cadre juridique régissant les données comprend les lois qui s’appliquent à l’entité qui contrôle les données, et non seulement les lois du pays où se trouve le serveur. Les sanctions de la Loi 25 peuvent atteindre 25 millions de dollars canadiens ou 4 % du chiffre d’affaires mondial. PAS un avis juridique.

Quels fournisseurs de cet ensemble de données affichent une exposition nulle au CLOUD Act?

En date de juin 2026, six fournisseurs de cet ensemble de données affichent une exposition « Aucune » : ThinkOn (propriété canadienne, exploitation canadienne), Hetzner Cloud (allemand), Nebius AI (néerlandais), Mistral AI (français, API directe) et Scaleway (français). OVHcloud est classé « Faible » — et non « Aucune » — parce que, si la société mère française revendique une exemption, sa filiale américaine (OVH US LLC) pourrait y être assujettie distinctement, et une ordonnance d’un tribunal de l’Ontario en 2024 a montré que les procédures judiciaires canadiennes peuvent contraindre OVHcloud à divulguer des données indépendamment du CLOUD Act. Pour une exposition « Aucune » assortie d’un centre de données canadien, ThinkOn est actuellement le seul fournisseur de cet ensemble de données à respecter cette norme.

Qu’est-ce qu’une évaluation des facteurs relatifs à la vie privée (ÉFVP) et quand est-elle requise?

Une évaluation des facteurs relatifs à la vie privée (ÉFVP; aussi appelée évaluation de l’incidence des transferts dans le vocabulaire général de la protection de la vie privée) est une évaluation documentée des risques pour la vie privée que crée la communication de renseignements personnels à l’extérieur du Québec. En vertu de la Loi 25, elle est requise avant tout transfert de ce type. L’évaluation doit tenir compte : de la sensibilité des renseignements, de l’adéquation des protections juridiques dans la juridiction de destination et des mesures de sécurité en place. L’exposition au CLOUD Act est un facteur du volet « adéquation des protections juridiques » — elle démontre que le droit américain peut être en mesure d’atteindre des données contrôlées par une entité américaine, même dans un centre de données canadien. De nombreuses organisations de secteurs réglementés exigent désormais une ÉFVP pour chaque outil SaaS et infonuagique de leur pile. PAS un avis juridique.

Quelle est la différence entre la résidence des données et la souveraineté des données?

La résidence des données est un choix de configuration — l’endroit où vos données sont physiquement stockées. La souveraineté des données est une condition juridique — quelles lois d’une juridiction régissent réellement l’accès à ces données, et qui contrôle l’entité qui les détient. Une région AWS canadienne vous procure la résidence des données au Canada, mais pas la souveraineté des données canadienne, car AWS est une société américaine et le droit américain régit ses obligations. La véritable souveraineté des données exige que l’entité qui contrôle vos données ne soit pas assujettie à des demandes juridiques étrangères. Seuls les fournisseurs constitués à l’extérieur des États-Unis et exploitant leur propre infrastructure sans contrôle d’une société mère américaine peuvent l’offrir dans le contexte infonuagique.

Puis-je utiliser AWS, Azure ou GCP pour des charges de travail d’IA d’une manière conforme à la Loi 25?

Oui, avec les bons contrôles et la bonne documentation en place. La Loi 25 n’interdit pas de transférer des données à l’extérieur du Québec — elle exige que le transfert soit évalué, documenté et protégé. Les étapes comprennent généralement : choisir une région canadienne, réaliser une ÉFVP, mettre en place des ententes contractuelles de traitement des données, appliquer des contrôles techniques (chiffrement avec clés gérées par le client lorsque cela est offert) et revoir l’évaluation lorsque la posture juridique du fournisseur change. L’ÉFVP doit tenir compte honnêtement de l’exposition au CLOUD Act et conclure que des protections adéquates existent malgré celle-ci. De nombreuses organisations de secteurs réglementés y sont parvenues. Il s’agit d’un résumé de directives publiques, et non d’un avis juridique — travaillez avec un conseiller juridique en protection de la vie privée pour votre situation particulière.

Existe-t-il aujourd’hui une option d’infonuagique d’IA entièrement souveraine canadienne?

ThinkOn est le seul fournisseur de cet ensemble de données qui est de propriété canadienne, à exploitation canadienne et qui déclare une exposition nulle aux lois étrangères d’accès aux données. Pour les charges de travail d’IA en particulier, vérifiez les capacités actuelles des services d’IA directement auprès de ThinkOn, puisque son offre est axée sur l’infrastructure gérée et que les services propres à l’IA devraient être confirmés. L’inférence au Canada est aussi réalisable par les voies approuvées par le gouvernement (AWS Bedrock ca-central-1, Azure Canada Central, OCI Toronto/Montreal), mais celles-ci demeurent des entités sous contrôle américain assujetties à la juridiction du CLOUD Act. Le paysage du calcul d’IA souverain canadien prend de l’ampleur : la région dédiée de CoreWeave en Ontario et le futur campus de Bell en Saskatchewan ajouteront de la capacité GPU, bien que les deux soient des entités américaines. Les organisations qui ont besoin d’une IA souveraine sans exposition juridictionnelle étrangère doivent aujourd’hui concevoir leur architecture autour de ThinkOn ou d’un calcul auto-hébergé. Pour des conseils sur le déploiement de LLM locaux, consultez le carrefour LLM locaux au Canada et le service de conseil en IA souveraine.

Citer cet ensemble de données

@misc{dcentral2026cloudresidency,
  author    = {{D-Central Technologies}},
  title     = {Canada {AI} Cloud Residency & {CLOUD} Act Exposure Index},
  year      = {2026},
  month     = {June},
  version   = {1.0},
  url       = {https://d-central.tech/data/canada-ai-cloud-residency/},
  license   = {CC BY 4.0},
  note      = {Informational only; NOT legal advice. Verify at source.}
}

Téléchargements lisibles par machine

• API REST (JSON) : /wp-json/dc/v1/cloud-residency — prend en charge les filtres ?ca_region=true, ?us_controlled=false, ?cloud_act_exposure=none
• CSV : canada-ai-cloud-residency.csv
• JSON : canada-ai-cloud-residency.json
• Catalogue de données ouvertes : Catalogue de données ouvertes D-Central

Sur les épaules de géants : cet ensemble de données s’appuie sur la documentation primaire des politiques des fournisseurs, les directives de BLG sur le CLOUD Act, les conclusions d’enquête du Commissariat à la protection de la vie privée du Canada et le travail des praticiens juridiques et techniques canadiens qui ont écrit publiquement sur la souveraineté infonuagique. D-Central ne prétend aucunement être supérieure aux sources juridiques primaires — il s’agit d’une synthèse pour les praticiens, et non d’un substitut à un avis juridique.