Pour anonymiser un document avant d’utiliser une IA, travaillez sur une copie : gardez le strict nécessaire, remplacez les identifiants directs, généralisez les détails rares, supprimez métadonnées et commentaires, puis testez la réidentification. D’après la page de la CNIL consultée le 3 novembre 2026, des données pseudonymisées restent personnelles : cette préparation réduit le risque, sans garantir l’anonymat ni la conformité.
Comment anonymiser un document avant d’utiliser une IA ?
La méthode tient en sept gestes, à réaliser sur une copie et avant tout envoi à un service en ligne. Elle convient à la préparation d’un document ponctuel : compte rendu, note, tableau ou contrat de travail courant.
- Vérifier que l’envoi est permis. Contrôlez la politique interne, le contrat, le secret applicable et l’outil validé, comme le détaille cette méthode de désensibilisation avant ChatGPT.
- Réduire le périmètre. Écrivez ce que l’IA doit produire, puis ne gardez que les pages, colonnes ou paragraphes utiles à cette tâche.
- Remplacer les identifiants directs. Noms, coordonnées, numéros de dossier et signatures sortent du document.
- Traiter les identifiants indirects. Supprimez ou généralisez les détails qui, combinés, désignent encore quelqu’un.
- Nettoyer les couches invisibles. Propriétés du fichier, commentaires, suivi des modifications, onglets cachés et images.
- Tester la réidentification. Cherchez ce qu’un lecteur informé peut encore deviner.
- Envoyer, contrôler, restituer. Relisez la réponse de l’IA, puis réintroduisez les vraies valeurs hors de la conversation.
Ne demandez jamais à l’IA de faire ce travail à votre place. Pour anonymiser un texte, elle doit d’abord le recevoir en clair : ce guide sur le réflexe avant de coller dans une IA résume bien ce piège. Le même raisonnement vaut pour un service de pseudonymisation distant, comme l’explique cette page sur l’ordre des opérations.
Un outil de détection peut aider, sans dispenser de relire. Presidio, de Microsoft, remplace des données repérées par des marqueurs, mais peut manquer un nom inhabituel ou un numéro mal formaté, selon ce tutoriel sur Presidio et le RGPD. Son installation demande aussi une manipulation technique que cet article ne couvre pas.
Quelle différence entre anonymisation et pseudonymisation ?
L’anonymisation vise à rendre l’identification impossible en pratique et de façon irréversible, alors que la pseudonymisation laisse une possibilité de retour à l’identité. La page de la CNIL sur l’anonymisation précise que les données pseudonymisées conservent un caractère personnel. Elle ajoute que des données tierces permettent souvent de retrouver les personnes.
| Opération | Exemple fictif | Retour possible | Ce que vous pouvez affirmer |
|---|---|---|---|
| Anonymisation | Une statistique globale, sans individu isolable ni détail rare | Non | Seulement après évaluation : le seuil est très élevé |
| Pseudonymisation | « Camille Roussel » devient [PERSONNE_A], avec une table séparée | Oui | Le risque baisse, les données restent personnelles |
| Désensibilisation | Noms, références et montants exacts remplacés ou arrondis | Selon la méthode | Le document expose moins, sans garantie d’anonymat |
Le dernier terme n’est pas une catégorie de la CNIL : il vient de la distinction proposée par ChatGPT Formations. Il décrit honnêtement la plupart des copies préparées pour une IA. Parler d’un document « désensibilisé » ou « pseudonymisé » évite de relâcher les autres contrôles.
Les sources spécialisées ne tracent pas toutes la même frontière. Un article pratique pour les cabinets comptables présente comme anonymisé un client remplacé par un code unique. La CNIL donne pourtant l’exemple d’un CV dont le nom devient un numéro propre à la personne : ce cas reste pseudonymisé, car l’individu peut être isolé. Nous retenons la lecture de la CNIL.
Choisissez selon votre besoin. Si vous n’aurez jamais besoin de retrouver les identités, supprimez-les. Si vous devez réinjecter les noms dans la réponse, assumez la pseudonymisation et protégez la table.
Quels identifiants directs et indirects faut-il retirer ?
Retirez tout ce qui nomme une personne ou une organisation, puis tout ce qui permet de la reconnaître par recoupement. Un identifiant direct désigne une personne à lui seul. Un identifiant indirect, ou quasi-identifiant, devient révélateur lorsqu’il est combiné à d’autres informations.
- Identifiants directs : noms et prénoms, adresses, e-mails, téléphones, photographies, signatures, pièces d’identité scannées, numéros de Sécurité sociale, RIB et IBAN, immatriculations, numéros de client ou de salarié.
- Identifiants d’entreprise : raison sociale, SIREN ou SIRET, numéro de TVA intracommunautaire, comptes auxiliaires nominatifs et liens privés vers un fichier partagé.
- Identifiants indirects : fonction rare, petite commune, date précise, intitulé de projet, montant singulier, situation familiale, événement public reconnaissable.
Le numéro de TVA illustre le piège de l’anonymisation partielle : il contient le SIREN et peut donc trahir la société que vous aviez renommée, comme le montre la liste rouge des données à protéger. Les informations stratégiques méritent aussi un examen, même sans donnée personnelle : « la société sera vendue prochainement » peut suffire à créer un problème.
Pour les détails utiles, généralisez au lieu de supprimer. La CNIL conseille d’écarter les valeurs rares et de définir la finesse acceptable : un âge peut identifier un centenaire, et une date de naissance peut devenir une année. Dans un document de travail, une date devient une période, un âge une tranche, un montant un ordre de grandeur.
Utilisez des balises stables, comme [PERSONNE_A] ou [ENTREPRISE_B]. Une même information doit garder la même balise partout. Évitez les faux noms réalistes : on peut oublier qu’ils sont faux et les envoyer tels quels.
Comment supprimer métadonnées, commentaires et contenus cachés ?
Passez le fichier en revue couche par couche, car un texte visible propre peut cacher un auteur, une remarque ou l’ancienne version d’une phrase. Les métadonnées sont ces informations présentes dans le fichier sans apparaître dans le texte : auteur, dates, mots-clés, parfois lieu de prise de vue.
| Élément | Où regarder | Geste |
|---|---|---|
| Propriétés du fichier | Word : « Fichier » puis « Informations » ; Acrobat : « Menu » puis « Propriétés du document » | Effacer auteur, société et champs inutiles |
| Révisions | Commentaires et suivi des modifications | Supprimer les commentaires, traiter chaque modification, vérifier qu’il n’en reste aucune |
| Tableur | Onglets cachés, cellules masquées, formules, objets incorporés | Garder seulement les valeurs et colonnes nécessaires |
| Présentation | Notes du présentateur, objets incorporés | Vider les notes, retirer les pièces jointes |
| Mise en page | En-têtes, pieds de page, nom du fichier | Renommer le fichier, retirer logos et références |
| Images et scans | Signatures, tampons, captures ; photo : « Propriétés » puis « Détails » | Retirer l’image ou la remplacer par une description neutre |
| Texte sous un rectangle noir | Repartir d’une source nettoyée, puis tester la sélection du texte |
Ces emplacements viennent de la fiche sur les métadonnées des fichiers et de la liste des couches invisibles à vérifier. Les intitulés de menus peuvent varier selon votre version. Les logiciels de détection, eux, risquent de ne pas voir les informations contenues dans une image.
Pour un besoin ponctuel, le plus simple est souvent de coller le seul texte utile dans un nouveau fichier. Vous repartez ainsi sans historique apparent ni commentaires, mais vous devez encore relire le contenu collé. La vigilance vaut aussi pour un complément intégré à votre traitement de texte : le texte soumis part vers le service d’IA, il faut donc le préparer avant.
À quoi ressemble un document préparé ? Un exemple fictif
Un document bien préparé garde la logique utile à la tâche et perd ce qui permet de reconnaître les personnes. Voici un extrait entièrement inventé, à transmettre pour structurer un compte rendu.
Version d’origine : « Réunion du 12 mars 2026. Camille Roussel ([email protected], 06 39 98 00 00), seule responsable paie de l’Atelier Sorel à Belcourt, 58 ans, partira à l’automne après un litige de 18 430 € avec Luc Féron, dossier RH-2047. »
Version préparée : « Réunion du premier trimestre 2026. [PERSONNE_A], responsable d’une fonction support dans [ENTREPRISE_A], quittera l’entreprise au second semestre après un différend financier de l’ordre de 20 000 € avec [PERSONNE_B]. »
| Élément | Traitement | Raison |
|---|---|---|
| Nom, e-mail, téléphone | Balise ou suppression | Identification directe, coordonnées inutiles à la tâche |
| « Seule responsable paie » | « Fonction support » | Fonction unique dans l’entreprise |
| Commune, âge, numéro de dossier | Suppression | Inutiles pour structurer le texte |
| Date et montant exacts | Période et ordre de grandeur | La précision n’apporte rien à la tâche |
Ajoutez une consigne courte : « Ce texte contient des balises entre crochets. Ne cherche pas à les deviner et conserve-les telles quelles. » La tournure s’inspire de ce modèle de prompt pour un texte balisé. Vous pouvez ensuite utiliser l’un des outils de notre comparatif des IA pour rédiger, ou de celui des IA pour traduire si le besoin est une traduction.
Une fois la réponse obtenue, restituez les vraies valeurs dans votre traitement de texte avec Ctrl+H, jamais dans la conversation. Terminez par une recherche sur « [ » pour repérer une balise oubliée.
Ce résultat n’est pas anonyme. En interne, un collègue reconnaîtra peut-être la personne grâce au contexte du départ et du différend. Si c’est le cas, généralisez davantage ou passez à un cas entièrement fictif.
Comment vérifier qu’une personne ne peut pas être réidentifiée ?
Aucune relecture ne garantit l’absence totale de risque, mais trois questions de la CNIL révèlent les failles les plus sérieuses. Elles portent sur des jeux de données ; leur usage sur un document isolé est une transposition pratique.
- Individualisation : peut-on encore isoler une personne dans le document ?
- Corrélation : peut-on relier ce texte à une autre source sur la même personne, comme un site public ou un organigramme ?
- Inférence : peut-on déduire de façon quasi certaine une nouvelle information sur quelqu’un ?
Si une personne reste isolable ou reliable à d’autres données, le mot « anonyme » ne tient plus. La CNIL présente ces trois critères d’évaluation de l’anonymisation et classe alors les données comme pseudonymisées. À défaut de remplir parfaitement ces critères, elle exige une évaluation approfondie montrant que le risque d’identification est négligeable.
Ajoutez trois contrôles concrets :
- Le test du lecteur informé : demandez à une personne qui connaît le contexte, sans avoir participé au masquage, ce qu’elle peut déduire.
- La recherche ciblée : lancez Ctrl+F sur « @ », « 06 », les noms connus et les numéros de référence.
- Le contrôle de la sortie : une synthèse peut reprendre un détail rare ou inventer une information, comme le rappelle cette vérification du contenu, du contexte et de la sortie.
Un document préparé peut-il être envoyé à n’importe quelle IA ?
Non : la préparation réduit l’exposition, mais elle ne remplace ni l’autorisation d’usage, ni le choix de l’outil, ni l’analyse du risque. Tant que les données restent pseudonymisées, elles entrent dans le champ du RGPD. Le RGPD ne comporte pas d’obligation générale d’anonymisation : c’est une solution parmi d’autres, pas un tampon de conformité.
Les conditions du service comptent aussi. L’utilisation de vos contenus pour l’entraînement dépend de l’éditeur, de l’offre et des réglages. Une antisèche publiée en octobre 2025 conseille de toujours désactiver cet usage quand c’est possible, surtout avec une version gratuite. ChatGPT Formations rapporte de son côté qu’OpenAI n’utilise pas par défaut les données de ChatGPT Business, Enterprise et de l’API pour l’entraînement. Vérifiez la page officielle de votre outil le jour de l’envoi. Pour un cadre professionnel, notre comparatif des IA pour l’entreprise, RGPD et souveraineté peut aider à présélectionner une solution.
Renoncez au document réel et passez à un cas fictif dans ces situations :
- le texte touche à la santé, à la justice, à la situation administrative ou familiale d’une personne, des catégories que ce guide de tri des informations réserve à un niveau interdit ;
- un collègue reconnaît encore la personne ou l’opération ;
- un contrat, un secret professionnel ou la politique de votre employeur l’interdit ;
- la tâche ne fonctionne plus sans les détails qui identifient.
Certaines professions ont leurs propres règles. Process Efficace indique que le guide du Conseil national des barreaux adopté le 17 mars 2026 impose aux avocats de pseudonymiser avant toute saisie et de n’employer que des outils hébergés en Europe. Vérifiez ce point dans le texte de votre ordre professionnel.
Conservez la table de correspondance hors de l’IA, chiffrée et avec un accès restreint, et seulement si elle sert réellement. Ne la confiez pas non plus à une fonction de mémoire : notre guide sur Claude Memory et la personnalisation de l’assistant aide à garder la main sur ce que votre assistant retient.
Le cadre évolue également. La CNIL signale que le CEPD a adopté, le 7 juillet 2026, des lignes directrices sur l’anonymisation, mais l’extrait consulté n’en détaille pas le contenu. La CNIL rappelle enfin que les techniques de réidentification progressent : ce qui paraît anonyme aujourd’hui peut ne plus l’être demain.
Questions fréquentes
Est-ce que supprimer le nom suffit à anonymiser un document ?
Non. Une fonction rare, un lieu, une date ou un montant peuvent suffire à reconnaître une personne, surtout une fois combinés. Il faut aussi traiter ces identifiants indirects et les métadonnées, puis tester la réidentification.
Peut-on demander à ChatGPT d’anonymiser un texte ?
Ce n’est pas une bonne méthode, car ChatGPT reçoit alors le texte complet avec les données que vous vouliez protéger. Le remplacement doit se faire avant l’envoi, sur votre copie, dans un outil autorisé. L’IA n’intervient qu’ensuite, sur la version préparée.
Un document pseudonymisé est-il encore soumis au RGPD ?
Oui, selon la CNIL, des données pseudonymisées conservent un caractère personnel, car un retour à l’identité reste possible. La pseudonymisation est une mesure de sécurité utile, mais elle ne fait pas sortir le document du RGPD et ne vaut pas conformité automatique.
Comment enlever les métadonnées d’un document avant de l’envoyer à une IA ?
Consultez les propriétés du fichier, par exemple « Fichier » puis « Informations » dans Word ou « Propriétés du document » dans Acrobat, puis effacez les champs inutiles. Vérifiez aussi les commentaires, le suivi des modifications, les onglets cachés, les images et le nom du fichier. Pour un besoin ponctuel, coller le seul texte utile dans un nouveau fichier limite ces traces.
Que faire de la table de correspondance entre les balises et les vrais noms ?
Gardez-la séparément, hors de la conversation avec l’IA, avec un accès limité et idéalement chiffrée. Ne la créez que si vous devez réinjecter les vraies valeurs, puis supprimez-la lorsqu’elle ne sert plus et que vos règles internes le permettent. Elle concentre en effet toutes les informations que les balises masquaient.
Un document préparé est-il conforme au RGPD et sans danger ?
Pas automatiquement. La préparation réduit le risque, mais la conformité dépend aussi de l’objectif, de l’outil, du contrat et des règles de votre organisation. En cas de doute, demandez une décision au responsable compétent ou travaillez sur un cas fictif.
Sources consultées et vérifiées le 3 novembre 2026. Une erreur ? Écrivez-nous via la page contact.
- méthode de désensibilisation avant ChatGPT — chatgpt-formations.fr
- le réflexe avant de coller dans une IA — laurentberthelier.site
- cette page sur l’ordre des opérations — process-efficace.com
- tutoriel sur Presidio et le RGPD — jessem.fr
