Loi 25 : la PII est pseudonymisée avant d'atteindre le modèle, puis dé-anonymisée dans la réponse. Aucune donnée n'est conservée par ce banc ; la trace de diagnostic expire côté passerelle en moins de 15 minutes. L'analyse et l'anonymisation sont affichées UNE fois, au-dessus des colonnes : elles sont communes aux trois modèles étrangers. Chaque colonne montre ensuite ses propres étapes, avec leur durée, au fur et à mesure qu'elles se terminent.
Votre donnée personnelle est tokenisée à Beauharnois : ce sont des pseudonymes qui partent chez les modèles étrangers.
Vers les modèles étrangers, seul le texte pseudonymisé voyage — et rien, chez eux, ne permet de le ré-identifier. Vers le GPU souverain québécois, le texte part tel quel : la donnée ne quitte pas le Québec.
Le mapping jeton → donnée reste au Québec. La dé-anonymisation se fait ici.
Le jeton est un identifiant pseudonyme stable : deux fournisseurs qui reçoivent le même jeton détiennent le même identifiant. Le fournisseur ne peut pas savoir qui ; il peut savoir que c'est la même personne que tout à l'heure. Le lien vers l'identité, lui, ne quitte jamais le Québec.
Schéma simplifié du trajet réseau — ce schéma n'affiche aucune latence ni valeur numérique (les temps de réponse mesurés, eux, sont affichés plus bas, colonne par colonne).
| Modèle | Où tourne le modèle |
|---|---|
| GPU souverain QC | Québec (Canada) |
| GLM (via Telnyx) | États-Unis |
| Claude Haiku | États-Unis |
| Mistral Large | Union européenne |
Dans cette démo, à l'exception de la colonne « GPU souverain QC » ci-dessous (elle n'anonymise plus depuis le 2026-09-01 : la donnée n'y quitte jamais le Québec, donc rien à tokeniser avant de l'envoyer), le texte est tokenisé avant de partir, sur les occurrences délimitées : une valeur qui n'apparaît qu'enchâssée dans un mot plus large — dans un nom de fichier, par exemple — n'est pas substituée et part telle quelle. Le badge ci-dessous affiche « 0 fuite relevée par le contrôle résiduel », jamais un absolu : c'est le résultat d'un contrôle nommé, pas une garantie sur ce qui a réellement quitté la gateway — un contournement de détection ou une occurrence non comptabilisée par ce contrôle ne changeraient pas sa couleur.
Colonne « GPU souverain QC » : le texte réel est envoyé sans anonymisation, pour comparer le temps de réponse à celui des 3 autres colonnes — ce n'est pas un oubli, c'est le choix retenu quand le modèle tourne déjà sur le territoire visé par la conformité.
Mode discussion : vous parlez au modèle GLM, message après message. Votre texte est pseudonymisé avant de partir : ce qui quitte ce banc ne porte que des pseudonymes, historique complet compris, à chaque tour — et le second panneau vous le montre. Pour réafficher sa réponse en clair ici, la correspondance pseudonyme → valeur d'origine est conservée chiffrée chez la passerelle, à Beauharnois, pendant 60 secondes au maximum, puis détruite. Ce banc-ci ne conserve rien : la conversation vit dans votre navigateur et part avec l'onglet que vous fermez.
En clair, dans votre navigateur. C'est la seule version en clair de cet échange.
Écrivez un message ci-dessous pour commencer.
Le corps que ce banc remet au transport, relevé au moment de l'émission — pas une reconstitution de ce qu'on croit envoyer. Il part vers la passerelle SecuAI, qui le route ensuite vers le modèle : ce que le fournisseur reçoit au bout de la chaîne n'est pas observable depuis cette page.
Rien n'est encore parti.
Banc de démonstration public — aucun contrôle d'accès, l'exposition est voulue. N'entrez pas de vraie donnée client. Egress unique : SecuAI Gateway.