Anonymisation

Comment ça marche

Avant de confier un document à un outil d’IA, on peut en retirer ce qui identifie les personnes. Deux niveaux existent. La pseudonymisation remplace les identifiants directs par des codes : Mme Dupont devient Client 17, et une table à part permet de retrouver qui est Client 17. C’est rapide, souvent automatisable, et ça réduit beaucoup le risque. Mais les données restent personnelles au sens du droit, parce qu’on peut revenir en arrière.

L’anonymisation va plus loin : elle supprime ou dégrade assez d’informations pour que personne ne puisse retrouver la personne, même en croisant avec d’autres sources. Elle est difficile : un âge exact devient une tranche, une ville devient une région, un montant devient un ordre de grandeur, une situation rare est retirée. Le document perd en précision. Pour l’IA, la pseudonymisation suffit souvent, à condition que l’outil soit sous contrat ; l’anonymisation s’impose pour les outils sans garantie ou pour les usages statistiques.

Un exemple concret

1. Le besoin : repérer les thèmes récurrents dans 120 comptes rendus d’entretiens, pour le plan de formation.
2. Premier réflexe, retirer les noms : un test montre qu’avec le poste, l’ancienneté et le service, la DRH reconnaît 80 % des personnes à la lecture. Ce n’est pas anonyme.
3. Pseudonymisation : noms remplacés par des codes, services par des lettres, anciennetés par des tranches. Les comptes rendus restent lisibles et personnels au sens du RGPD : ils passent par l’outil interne, sous contrat, avec le registre à jour.
4. Anonymisation pour la synthèse : le résultat de l’analyse, des thèmes avec des fréquences, ne contient plus rien d’individuel. Il peut circuler auprès des managers.
5. Ce qui n’a pas été fait : envoyer les comptes rendus « sans les noms » à un outil gratuit. La DRH avait prévu de le faire avant le test.

Le test de réidentification a pris vingt minutes. Il a changé la méthode.

Ce que ça change pour une équipe

• On sait ce qu’on fait. Pseudonymiser ou anonymiser, pour quel outil, avec quelles garanties : une décision explicite au lieu d’un « on a enlevé les noms ».
• Des usages deviennent possibles. Avec une pseudonymisation propre et un outil sous contrat, des documents sensibles peuvent être analysés.
• La pseudonymisation s’automatise. Un petit outil, ou un agent, remplace les identifiants selon des règles avant tout envoi. Il se construit en une journée.
• Le test de réidentification devient un réflexe. Avant de dire « anonyme », on demande à un collègue s’il reconnaît les gens.

Les limites et les erreurs fréquentes

• Croire que retirer le nom suffit. C’est l’erreur universelle. Les détails identifient autant que le nom.
• Perdre la table de correspondance, ou la laisser traîner. Elle est la clé de tout : protégée comme un secret, ou détruite quand elle ne sert plus.
• Anonymiser au point de rendre inutile. Un document sans aucun détail ne permet plus l’analyse voulue. On dose selon l’usage et l’outil.
• Confondre anonymisation et autorisation. Des données anonymisées peuvent circuler ; des données pseudonymisées restent soumises aux règles. La classification doit le dire.