Anonymiser un document avant de l’envoyer à une IA : retirer les identifiants et les indices indirects

Un nom disparaît du compte rendu, mais la fonction, la date de l’incident et le petit établissement restent visibles. Dans l’équipe, tout le monde reconnaît la personne. Le document a été expurgé de quelques informations ; cela ne suffit pas à le rendre anonyme.

Avant de confier un fichier à une IA, le travail utile consiste à déterminer ce dont elle a réellement besoin, puis à retirer ce qui permettrait de remonter aux personnes. Cette préparation demande aussi de regarder derrière les pages : commentaires, texte reconnu et propriétés peuvent conserver ce que l’œil ne voit plus.

Remplacer un nom ne rend pas forcément le document anonyme

La CNIL distingue l’anonymisation, qui doit empêcher en pratique l’identification de manière irréversible, de la pseudonymisation, qui remplace des identifiants sans supprimer nécessairement la possibilité de retrouver les personnes. Écrire « salarié A » au lieu d’un nom relève souvent de cette seconde logique.

La différence change la façon de traiter le fichier. Un tableau de correspondance gardé dans un autre dossier permet de rétablir les identités : ce mécanisme constitue une protection utile, mais ne transforme pas automatiquement les informations en données anonymes. Il faut conserver les précautions applicables aux données personnelles.

Même sans table, un rapprochement reste parfois facile. « Seule responsable maintenance du site de 18 personnes, absente depuis le 4 mars » peut désigner quelqu’un avec une grande précision. Le nom était l’identifiant le plus visible, pas nécessairement le plus révélateur.

La CNIL propose d’examiner trois risques : isoler une personne, relier plusieurs ensembles de données concernant cette personne et déduire de nouvelles informations sur elle. Pour préparer un document, traduisez ces questions en gestes concrets : une ligne est-elle unique ? Peut-elle être rapprochée d’un organigramme ? Permet-elle de déduire une situation sensible ?

Cette vérification dépend du contexte. Une fonction banale dans un groupe international peut devenir unique dans une association locale. Aucun remplacement automatique de mots ne connaît à lui seul toutes ces possibilités de rapprochement.

Réduire la demande avant de nettoyer le fichier

Commencez par écrire la tâche attendue en une phrase. Pour améliorer le ton d’une réponse à une réclamation, l’IA a-t-elle besoin du dossier complet, de l’identité du client et de l’historique commercial ? Souvent, quelques paragraphes reconstruits suffisent.

La minimisation des données réduit la surface à contrôler. Copiez uniquement le passage nécessaire dans un nouveau document et reformulez les détails sans rapport avec la tâche. Cette opération est généralement plus fiable que la suppression de dizaines d’éléments dans un dossier dont les annexes restent jointes.

Distinguez les données indispensables à la logique de celles qui rendent seulement l’histoire reconnaissable. Si vous demandez de clarifier une procédure, garder les rôles et les étapes peut suffire. Le nom du site, sa ville et la date exacte de l’événement n’apportent parfois rien.

Pour une analyse chiffrée, la réduction demande davantage de soin. Remplacer tous les montants au hasard détruirait les rapports que l’on cherche à étudier. Il peut être préférable de transmettre une série fictive explicitement présentée comme telle pour travailler sur une formule, puis d’appliquer le résultat localement aux données réelles.

Une autre solution consiste à demander une méthode sans transmettre le cas. « Quels contrôles effectuer sur ce type de tableau ? » expose moins d’informations que « examine ce tableau nominatif ». L’IA peut aider à construire la grille ; la comparaison avec les personnes se fait ensuite dans l’environnement autorisé.

Chercher les combinaisons qui trahissent une identité

Les identifiants directs comprennent notamment les noms, adresses, coordonnées, numéros de dossier ou références permettant une recherche immédiate. Pensez également aux signatures, visages, plaques, captures de conversation et liens vers des espaces personnels.

Les indices indirects sont plus difficiles à repérer. Une spécialité rare, un âge précis, une commune, un horaire, un trajet ou un récit d’accident peuvent devenir identifiants lorsqu’ils sont combinés. Leur danger ne se mesure pas à la longueur du champ.

Procédez par groupes. Relisez tout ce qui décrit la personne, puis tout ce qui situe l’événement et enfin ce qui permet un rapprochement externe. Un intitulé de poste plus une date de recrutement peut suffire à retrouver un profil professionnel public.

La généralisation aide parfois : une tranche d’âge remplace un âge exact, une période remplace une journée, une zone remplace une commune. Mais le bon niveau dépend de l’utilité recherchée. Une tranche trop étroite peut laisser une seule personne ; une catégorie trop large peut rendre l’analyse inutile.

Supposons qu’un compte rendu mentionne une intervention un dimanche soir dans l’unique atelier d’une petite ville. Retirer le nom du technicien conserve une combinaison rare. Pour une simple réécriture, « lors d’une intervention hors horaires habituels sur un site technique » préserve la situation sans fournir le même itinéraire de reconnaissance.

Recherchez aussi les références croisées. « Même client que le dossier précédent » réintroduit un lien ; un code projet peut être connu du destinataire ; un nom de fichier peut contenir le patronyme supprimé du texte. La réidentification se joue parfois dans ces raccords.

Supprimer réellement les informations, y compris celles cachées

Un rectangle noir posé sur une page n’est pas une suppression. Selon le logiciel et la méthode, le texte peut rester sélectionnable, copiable ou récupérable sous l’objet graphique. Utilisez une fonction de caviardage qui applique la suppression au contenu, puis enregistrez une nouvelle copie.

Dans un PDF numérisé, regardez également la couche de reconnaissance de caractères. L’image affichée et le texte extrait peuvent ne pas raconter la même chose. Après traitement, recherchez dans le fichier un nom ou une référence que vous savez avoir retirés et essayez de copier la zone concernée.

L’assainissement des PDF décrit par Adobe vise notamment les métadonnées, commentaires et calques cachés. Cette fonction complète le traitement des pages visibles. Elle ne décide cependant pas à votre place si une combinaison de faits permet encore d’identifier quelqu’un.

Pour un document bureautique, contrôlez les commentaires, modifications suivies, anciennes versions accessibles, objets incorporés et propriétés de l’auteur. Un tableau joint peut contenir des onglets masqués ; une capture peut montrer un avatar ou une barre de titre. Vérifiez le fichier final, pas seulement son aperçu.

Évitez de produire le fichier nettoyé dans un outil externe non autorisé : cela reviendrait à exposer l’original pendant l’opération censée le protéger. Préférez les fonctions locales ou l’environnement validé par votre organisation, en conservant l’original dans son emplacement habituel à accès limité.

Une exportation vers un nouveau format peut simplifier la structure, mais ne constitue pas une garantie universelle. Elle peut également casser des tableaux ou introduire une nouvelle reconnaissance de caractères. Il faut rouvrir le résultat et examiner ce qui sera effectivement envoyé.

Faire une dernière relecture du point de vue d’un tiers

Le contrôle le plus utile consiste à changer de question : « Ai-je supprimé les noms ? » devient « Que pourrait reconnaître quelqu’un qui connaît l’entreprise, le secteur ou l’événement ? ». Une seconde personne autorisée peut relever des détails devenus invisibles au rédacteur.

Voici une checklist avant envoi adaptée à un document de travail :

• La tâche exige bien ces passages, et aucune annexe supplémentaire.
• Les noms, coordonnées, signatures et références de recherche ont été retirés.
• Les combinaisons de rôle, lieu, date et événement ont été examinées.
• Les images, captures et tableaux ne réintroduisent pas d’identité.
• Le caviardage est appliqué et le texte supprimé n’est plus récupérable par copie.
• Les propriétés, commentaires, calques et pièces incorporées ont été contrôlés.
• Le nom du fichier et le message qui l’accompagne ne révèlent rien de plus.
• Le service et le compte utilisés sont autorisés pour les informations restantes.

Ne cochez pas « anonyme » par habitude si le résultat reste incertain. Décrivez honnêtement ce qui a été réalisé : identifiants directs retirés, dates généralisées, données encore personnelles le cas échéant. Cette précision permet au responsable du traitement ou au délégué à la protection des données d’évaluer la suite.

Les réglages d’historique ou d’entraînement d’un service ne remplacent pas cette préparation. Il faut aussi examiner les conditions de traitement, les accès et la conservation selon l’usage prévu. La CNIL recommande de ne soumettre que des informations que l’on est autorisé à partager.

Enfin, gardez une version de travail clairement séparée du document destiné à l’IA. Au moment du téléversement, vérifiez le nom et ouvrez une dernière fois le bon fichier. Une préparation rigoureuse perd toute utilité si la boîte de dialogue sélectionne l’original resté à côté de sa copie nettoyée.