Remplacer le nom d’un client par « Client A » avant de demander un résumé à une IA réduit certaines expositions. Cela ne rend pas automatiquement le document anonyme. Une fonction rare, une adresse, une date précise ou le récit d’une situation peuvent permettre de reconnaître la personne.
La CNIL distingue l’anonymisation, qui vise à empêcher l’identification de façon irréversible, de la pseudonymisation, qui remplace des identifiants tout en laissant possible une réattribution avec des informations complémentaires. Des données pseudonymisées restent des données personnelles. Cette distinction doit guider les mots utilisés dans une interface, un contrat ou une politique interne.
Partir de la tâche, pas du document entier
Imaginons un cabinet qui souhaite reformuler un courrier. Pour améliorer le ton ou la structure, le modèle a-t-il besoin du nom du client, de sa date de naissance et du détail complet de son dossier ? Souvent, une partie du texte peut être retirée avant même d’envisager un mécanisme de remplacement.
Cet exemple décrit une méthode de préparation, pas une garantie applicable à tous les dossiers. Les secrets professionnels, les catégories de données et les règles propres au métier doivent être examinés avec les personnes compétentes de l’organisation.
Repérer aussi les indices indirects
Une préparation sérieuse regarde plusieurs éléments : noms, coordonnées, références de dossier, lieux précis, montants singuliers, dates et combinaisons d’informations. Elle examine aussi les pièces jointes, le nom des fichiers et les métadonnées lorsque ces éléments sont transmis au service.
Un outil automatique peut aider à détecter et remplacer des informations. La qualité dépend toutefois du format, de la langue et du contexte. Un scan mal reconnu ou un identifiant écrit de manière inhabituelle peut lui échapper. Une revue adaptée au niveau de sensibilité reste nécessaire avant l’envoi.
Protéger la table de correspondance
Si « Client A » peut être relié au nom réel au moyen d’une table, cette table mérite un accès distinct et limité. L’envoyer avec le texte remplacé annulerait l’intérêt pratique de la séparation.
Pensez également aux copies temporaires et aux journaux. Une interface peut afficher un texte préparé alors qu’une trace technique conserve le document d’origine. Décrire le parcours complet des données aide à repérer ces différences entre ce que l’utilisateur voit et ce que le système traite réellement.
Choisir le service et les usages autorisés
La préparation des documents ne remplace pas l’examen du fournisseur : conditions de réutilisation, conservation, sous-traitants, localisation des traitements et modalités d’effacement restent des sujets distincts. La CNIL invite les organisations à encadrer les usages et à former les utilisateurs aux limites des systèmes génératifs.
Pour votre équipe, une règle explicite est plus utile qu’une consigne générale de prudence. Indiquez les catégories de documents autorisées, les éléments à retirer, la procédure de contrôle et le contact en cas de doute. Prévoyez aussi le traitement d’un envoi accidentel.
Tester avant de généraliser
Préparez des documents fictifs qui représentent vos formats habituels : courriers, tableaux, comptes rendus, scans. Ajoutez volontairement des identifiants directs et indirects, puis observez ce qui est détecté, ce qui manque et ce qui est supprimé à tort.
Ce test permet de définir le rôle de l’outil et les vérifications humaines. Il ne constitue pas, à lui seul, une validation juridique d’anonymisation. Notre approche de la sécurité et de la maîtrise des données commence par ce type de périmètre concret, avant de choisir l’intégration et les protections adaptées.
