Le cryptage fort protège efficacement un fichier contre une lecture non autorisée, mais il ne suffit pas à rendre les données anonymes. Tant qu’une clé, une table de correspondance ou des informations croisées permettent de retrouver une personne, les données restent potentiellement personnelles.
Cette distinction compte particulièrement lorsqu’un cabinet, une entreprise ou un chercheur transmet des documents à un outil d’intelligence artificielle. Pour choisir les bonnes mesures de sécurité, il faut distinguer le chiffrement, la pseudonymisation et l’anonymisation, puis vérifier ce qui peut réellement être déduit du document.
Cryptage et anonymisation : deux objectifs différents
Le cryptage, aussi appelé chiffrement, transforme des données lisibles en contenu incompréhensible sans la clé adéquate. Il limite donc les risques d’accès non autorisé, mais ne supprime pas nécessairement le lien entre les données et leur titulaire.
Un dossier chiffré contenant les noms de clients reste identifiable dès lors qu’une personne autorisée peut le déchiffrer. Il en va de même d’un document où les noms ont été remplacés par des codes, si une clé ou une table séparée permet de retrouver les identités.
Selon le RGPD, la pseudonymisation consiste à empêcher l’attribution des données à une personne sans recourir à des informations supplémentaires, conservées séparément et protégées. Elle constitue une mesure de protection des données, mais ne transforme pas automatiquement les données personnelles en données anonymes.
Selon la CNIL, une anonymisation doit rendre l’identification impossible en pratique et de manière irréversible. Il faut également considérer les recoupements possibles, les moyens raisonnablement accessibles et les informations détenues par des tiers.
Un exemple aide à saisir la différence : chiffrer le dossier de « Mme Martin » protège son contenu pendant le stockage, tandis que remplacer son nom par « Dossier 47 » relève généralement de la pseudonymisation si une correspondance subsiste.
Critères juridiques essentiels :
- Chiffrement : données illisibles sans la clé de décryptage
- Pseudonymisation : identité séparée, mais lien encore récupérable
- Anonymisation : identification rendue impossible par des moyens raisonnables
- RGPD : application maintenue aux données personnelles pseudonymisées
Pourquoi une clé robuste ne garantit pas l’anonymat
Une clé cryptographique robuste rend une attaque plus difficile, mais elle ne change pas la nature des données si le document peut être restauré. La sécurité dépend aussi de la génération de la clé, de son stockage, des personnes qui y accèdent et des procédures de renouvellement.
Selon le RGPD, les moyens raisonnablement susceptibles d’être utilisés pour identifier une personne entrent dans l’évaluation du caractère personnel des informations. Le temps, le coût, les ressources disponibles et les technologies accessibles peuvent donc modifier le niveau de risque au fil du temps.
Le hachage pose une difficulté particulière : une fonction de hachage produit une valeur qui n’est pas simplement « déchiffrée » comme un texte chiffré. Cependant, des identifiants prévisibles, comme un numéro de téléphone ou une adresse courriel, peuvent être testés par dictionnaire, surtout si aucune mesure complémentaire ne protège le procédé.
Le salage, les clés secrètes et des algorithmes adaptés renforcent certains mécanismes, sans constituer une preuve automatique d’anonymisation. Si les valeurs transformées peuvent être rapprochées d’autres fichiers, ou si une table de correspondance existe, le risque de réidentification demeure.
Risques à examiner avant partage :
- Clé accessible à trop de personnes ou conservée avec le document
- Identifiants directs laissés dans les métadonnées ou annexes
- Informations rares permettant une identification indirecte
- Recoupement possible avec des sources publiques ou internes
| Technique | Ce qu’elle apporte | Limite principale |
|---|---|---|
| Chiffrement | Protection de la lisibilité des fichiers | La clé permet de retrouver le contenu initial |
| Pseudonymisation | Réduction de l’exposition des identifiants | Une correspondance peut permettre la réidentification |
| Hachage | Transformation non directement réversible | Les valeurs prévisibles peuvent être devinées ou testées |
| Anonymisation | Réduction du lien avec une personne identifiable | Les recoupements et inférences doivent être évalués |
Pseudonymisation des documents avant une IA
Lorsqu’un professionnel envoie un contrat, une décision ou un dossier client à une IA générative, le masquage manuel des noms constitue un premier réflexe utile, mais rarement une garantie complète. Une adresse, une fonction rare, une date précise ou le récit d’un événement singulier peuvent suffire à reconnaître une personne.
Un cabinet qui remplace les noms par « Client A » et « Société B » peut encore transmettre des données identifiantes si le document mentionne une transaction très médiatisée ou une fonction unique. La confidentialité concerne aussi les informations confidentielles qui ne sont pas des données personnelles, comme une stratégie commerciale ou un projet d’acquisition.
Avant l’envoi, il faut donc examiner le contenu, les pièces jointes, les commentaires et les métadonnées. Il faut également vérifier les conditions du service : rôle du prestataire, conservation des données, éventuelle réutilisation, localisation et accès par des sous-traitants.
Une chaîne de contrôle pratique :
- Définir la tâche et supprimer les détails sans utilité
- Repérer les identifiants directs et les indices indirects
- Tester le document pseudonymisé sur un cas à risque
- Limiter les accès à la table de correspondance
- Valider le cadre contractuel et les paramètres de conservation
La pseudonymisation ne dispense pas du respect du RGPD ni du secret professionnel applicable. Pour les professions juridiques, la conformité technique doit accompagner une analyse déontologique : même si le nom disparaît, le contenu transmis peut révéler l’existence ou la substance d’une relation client.
Les outils locaux peuvent réduire les transferts de données vers des serveurs externes, mais leur seule présence ne garantit pas une conformité complète. Il faut contrôler leur fonctionnement, leurs journaux, leurs accès et la manière dont ils traitent les fichiers temporaires.
Anonymisation : tester les risques de réidentification
L’anonymisation exige davantage qu’un remplacement des noms par des caractères neutres. Des données restent identifiantes si une personne peut être isolée, si plusieurs informations peuvent être reliées ou si des attributs permettent de déduire une caractéristique sensible.
Pour un tableau statistique, généraliser les âges en tranches ou regrouper les lieux peut réduire les risques. L’ajout de bruit ou l’agrégation peuvent aussi limiter les inférences, mais ces techniques doivent préserver un niveau d’utilité compatible avec l’analyse attendue.
Selon l’avis 05/2014 du groupe de travail européen, l’évaluation doit notamment tenir compte de la singularisation, de la possibilité de relier les informations et de l’inférence. Une anonymisation qui échoue face à ces risques ne devient pas valable simplement parce qu’elle utilise une technique cryptographique avancée.
| Risque examiné | Question de contrôle | Mesure possible |
|---|---|---|
| Singularisation | Une ligne permet-elle d’isoler une personne ? | Généraliser ou supprimer les attributs rares |
| Recoupement | Les données correspondent-elles à une autre source ? | Réduire la précision des lieux et des dates |
| Inférence | Peut-on déduire une information sensible ? | Regrouper les catégories ou ajouter du bruit |
| Réversibilité | Une clé ou un fichier permet-il de retrouver l’identité ? | Séparer les secrets ou revoir le procédé |
Contrôles avant diffusion :
- Examiner les identifiants directs, indirects et rares
- Tester les recoupements avec des sources accessibles
- Documenter les choix techniques et les limites constatées
- Réévaluer le risque lorsque les données ou usages changent
Choisir une protection adaptée au document
Le bon choix dépend de l’usage prévu. Si une analyse nécessite de suivre un même dossier dans le temps, la pseudonymisation peut conserver cette continuité, à condition de séparer et sécuriser les informations permettant une réidentification.
Si le destinataire n’a aucune raison de retrouver les personnes, une anonymisation peut être préférable, mais seulement après une évaluation sérieuse des recoupements possibles. Lorsque cette irréversibilité ne peut être démontrée, il vaut mieux traiter les fichiers comme des données personnelles et appliquer les obligations correspondantes.
Un responsable peut commencer par un test simple : demander à une personne qui ne connaît pas le dossier si elle peut reconnaître un individu à partir du document expurgé. Ce contrôle ne remplace pas une analyse juridique ou technique, mais il révèle souvent des indices oubliés lors du masquage.
La cryptographie reste essentielle à la sécurité des fichiers et à la confidentialité des échanges. Elle protège les données contre certains accès, tandis que l’anonymisation vise à rompre le lien avec les personnes : ces objectifs sont complémentaires, mais ne doivent pas être confondus.
Sources : Règlement (UE) 2016/679, article 4 et considérant 26 ; CNIL, « L’anonymisation de données personnelles », mai 2020 ; G29, « Avis 05/2014 sur les techniques d’anonymisation », 10 avril 2014.
