Il y a d'abord eu la pandémie, les portables distribués en catastrophe et les cours transposés du jour au lendemain dans Teams ou Google Classroom. Puis il y a eu le Plan d'action numérique en éducation et en enseignement supérieur, ses centaines de millions de dollars, ses tableaux interactifs et ses tablettes. Cinq ans plus tard, un constat s'impose : le réseau scolaire québécois est massivement dépendant de trois entreprises américaines — Google, Microsoft et Apple — pour ses outils de travail quotidiens, sans que personne ne soit véritablement en mesure de dire qui détient les données des élèves, qui vérifie les ententes signées, ni qui répond quand elles fuient.
Un livre-enquête qui nomme le problème : « l'amnésie collective »
Le média spécialisé The 74 a récemment publié un entretien avec Natasha Singer, journaliste économique de longue date au New York Times, à propos de son ouvrage Coding Kids: Big Tech's Battle to Remake Public Schools. Sa thèse est brutale dans sa simplicité : depuis un siècle, les écoles publiques nord-américaines répètent le même cycle. Une industrie promet une révolution pédagogique — la radio éducative, la télévision scolaire, l'ordinateur personnel, le tableau blanc interactif, l'intelligence artificielle générative —, les commissions scolaires achètent en masse, les résultats déçoivent, et le cycle recommence avec la technologie suivante. Personne ne tire de bilan. C'est ce qu'elle appelle « l'amnésie collective ».
Singer documente notamment comment des programmes pédagogiques financés par l'industrie se sont installés dans les écoles américaines à une vitesse inédite, souvent sans évaluation indépendante préalable, et comment la gratuité apparente des outils — un compte scolaire ne coûte rien à l'établissement — masque une contrepartie : l'installation durable d'un écosystème logiciel, d'une dépendance technique et d'un rapport de force asymétrique lors du renouvellement des contrats.
La transposition québécoise est directe. Nos centres de services scolaires ont adopté massivement les suites collaboratives infonuagiques parce qu'elles étaient efficaces, familières et peu coûteuses à l'usage. Mais l'adhésion s'est faite établissement par établissement, centre par centre, sans stratégie nationale de souveraineté des données ni évaluation systématique des risques.
Londres a choisi de chiffrer ses exigences
La comparaison la plus instructive vient du Royaume-Uni. Le ministère de l'Éducation britannique publie et met à jour un corpus de normes numériques et technologiques opposables aux écoles et aux collèges d'Angleterre. Ce ne sont pas des vœux pieux : les documents « Meeting digital and technology standards in schools and colleges » et « Plan technology for your school » établissent des attentes précises en matière d'infrastructure réseau, de connectivité filaire et sans fil, de gestion des appareils et de cycles de renouvellement.
La pièce maîtresse est la norme fondamentale de cybersécurité — le « cyber security core standard ». Elle exige notamment l'authentification multifacteur pour les comptes administrateurs, la séparation des comptes privilégiés, la gestion rigoureuse des accès, des sauvegardes testées, des correctifs appliqués dans des délais définis et une formation obligatoire du personnel à la cybersécurité. Autrement dit : Londres a décidé que la sécurité des données scolaires ne relevait pas du bon vouloir de chaque direction d'école, mais d'un plancher réglementaire national vérifiable.
Le contraste avec le Québec est frappant. Le Plan d'action numérique en éducation, lancé en 2018 et prolongé depuis, a bien financé l'équipement et la formation. Mais il a été conçu comme un plan d'investissement et de compétences numériques, pas comme un cadre normatif de gouvernance des données. On y trouve des cibles d'acquisition et de développement professionnel, très peu d'obligations chiffrées de cybersécurité imposées aux centres de services scolaires.
La Loi 25 existe — mais qui l'applique dans une école?
Le Québec n'est pourtant pas dépourvu d'outils juridiques. La Loi 25, issue du projet de loi 64 adopté en 2021, a considérablement resserré le régime de protection des renseignements personnels dans les secteurs public et privé. Depuis septembre 2022, tout organisme public — y compris un centre de services scolaire — doit désigner un responsable de la protection des renseignements personnels, tenir un registre des incidents de confidentialité, déclarer à la Commission d'accès à l'information tout incident présentant un risque de préjudice sérieux, et réaliser une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements hors du Québec ou d'implanter un système d'information touchant des données personnelles.
Sur papier, cela couvre exactement la situation d'une école qui déploie une suite infonuagique américaine. En pratique, l'application dans le réseau scolaire soulève des questions que peu d'acteurs documentent publiquement. Combien d'évaluations des facteurs relatifs à la vie privée ont été menées avant l'adoption des grandes plateformes? Sont-elles publiques? Qui, dans un centre de services scolaire comptant des dizaines d'écoles, un service informatique restreint et un budget sous pression, a la capacité technique de négocier ou même de lire de manière critique un contrat-cadre rédigé par les juristes d'une entreprise de mille milliards de dollars de capitalisation?
La Commission d'accès à l'information a répété, dans ses rapports et interventions, que la sensibilisation et les ressources demeurent inégales dans le secteur public québécois. Le réseau de l'éducation, avec ses centaines d'organisations décentralisées et son million d'élèves mineurs, constitue le cas de figure le plus délicat : les données concernées sont celles d'enfants, souvent générées automatiquement — temps de connexion, historique de navigation dans les outils scolaires, résultats d'exercices, métadonnées de communication — et donc peu visibles pour les parents.
Les incidents, eux, sont bien réels
Le réseau québécois n'a rien d'un sanctuaire. En 2022, l'attaque informatique subie par le Centre de services scolaire de la Capitale a paralysé des systèmes pendant des jours. La même année, le Centre de services scolaire du Chemin-du-Roy a été frappé par un rançongiciel. En 2023, le ministère de l'Éducation a lui-même confirmé qu'une fuite de données touchant des employés du réseau avait eu lieu. À l'échelle canadienne, la cyberattaque contre le fournisseur PowerSchool, révélée au début de 2025, a exposé des renseignements sur des élèves et du personnel de plusieurs provinces — un rappel que le risque ne vient pas seulement des trois géants, mais de toute la chaîne de sous-traitants qui s'y greffe.
Ces épisodes ont un point commun : la reddition de comptes publique a été minimale. Le nombre exact de personnes touchées, la nature des données compromises, les mesures correctrices imposées et l'existence ou non de sanctions demeurent, dans la plupart des cas, difficiles à établir depuis l'extérieur. Or c'est précisément ce que le modèle britannique tente de prévenir : en fixant une norme, on crée un référentiel qui permet ensuite de mesurer l'écart et d'attribuer une responsabilité.
Ce qui pourrait changer — et ce qui bloque
Trois chantiers se dégagent. Le premier est la centralisation de la négociation contractuelle. Un centre de services scolaire seul n'a aucun levier face à Microsoft ou Google; un acheteur unique agissant pour l'ensemble du réseau, avec des clauses types sur la localisation des données, l'interdiction de tout usage secondaire à des fins publicitaires ou d'entraînement de modèles d'IA, et des obligations de notification, en aurait davantage.
Le deuxième est la transparence. Rendre publiques les évaluations des facteurs relatifs à la vie privée et les principales clauses des contrats-cadres ne relève pas du secret commercial lorsqu'il s'agit de données d'enfants financées par des fonds publics.
Le troisième est l'évaluation pédagogique — le cœur de la démonstration de Natasha Singer. Après un milliard investi dans le numérique éducatif, le Québec disposerait-il d'une mesure indépendante de ce que ces outils ont changé aux apprentissages? La question, posée sans détour, reste largement sans réponse. Et tant qu'elle le demeurera, le prochain cycle d'achats — celui de l'intelligence artificielle générative, déjà commencé — se déroulera exactement comme les précédents.