Comment anonymiser un dossier avant de le confier à une IA : le guide pratique

Tu sais que tu ne dois pas envoyer le dossier de ton client tel quel à une IA. Mais concrètement, on fait comment ?

La réponse courte : avant de confier un document à une IA, un professionnel du droit doit remplacer toutes les informations identifiantes (noms, adresses, RIB, SIREN…) par des alias. Cette opération, la pseudonymisation, peut se faire automatiquement, en local, en quelques clics. Voici la méthode que j'applique sur mes propres dossiers et que j'enseigne en formation.

Anonymisation, pseudonymisation : quelle différence ?

Les deux notions viennent du RGPD, et la distinction est importante (la CNIL y consacre une fiche complète) :

• La pseudonymisation remplace les données directement identifiantes (nom, prénom…) par des alias, avec une table de correspondance conservée à part. L'opération est réversible, et les données restent des données personnelles soumises au RGPD.
• L'anonymisation rend toute réidentification impossible, de manière irréversible. Les données véritablement anonymisées sortent du champ du RGPD.

Pour travailler un dossier avec une IA, c'est presque toujours la pseudonymisation qu'il te faut : tu protèges l'identité de ton client pendant le traitement, puis tu réintègres les vrais noms dans le livrable final.

Que faut-il masquer concrètement dans un dossier ?

Ma checklist avant tout envoi à une IA :

• Identités : noms, prénoms, surnoms, noms de sociétés identifiables.
• Coordonnées : adresses postales, emails, numéros de téléphone.
• Identifiants : dates de naissance, numéros de pièce d'identité, SIREN/SIRET, immatriculations.
• Données financières : RIB, IBAN, numéros de compte, montants très singuliers qui rendraient le dossier reconnaissable.
• Références de procédure : numéros de RG, références de dossier, dès lors qu'ils permettent de remonter à l'affaire.

Pourquoi la méthode manuelle ne tient pas la route

Remplacer à la main chaque nom dans un dossier de 150 pages, c'est une heure de travail fastidieux, un risque d'oubli à chaque page, et la certitude de ne jamais le faire sur les gros dossiers. Résultat observé en formation : soit on anonymise mal, soit on renonce à l'IA. Les deux sont de mauvaises réponses.

La méthode automatique, en local

Des outils français font ce travail automatiquement, sans que le document quitte ton ordinateur. C'est le cas d'Hexagone, que j'utilise en formation : l'application détecte les données identifiantes (noms, adresses, RIB, SIREN…), les remplace par des alias en un clic, et conserve la table de correspondance en local uniquement.

Le workflow complet, celui que je montre en démonstration :

1. Dupliquer le dossier : on ne travaille jamais sur l'original.
2. Pseudonymiser la copie avec l'outil (le « jumeau » du dossier).
3. Travailler avec l'IA sur le jumeau : analyse, synthèse, rédaction.
4. Réidentifier le livrable final en local : les vrais noms reviennent, la confidentialité n'a jamais quitté ton poste.
5. Relire et vérifier : l'IA produit un brouillon, la responsabilité reste la tienne.

(Pour tester Hexagone sur un vrai dossier : le code ROMANE30 donne 30 % de réduction le premier mois.)

Les 3 pièges à éviter

• Les données indirectement identifiantes : un poste rare dans une petite ville, une date d'audience et une juridiction, un montant hors norme… La combinaison peut suffire à identifier. Relis le jumeau avec cet œil-là.
• Les pièces jointes et métadonnées : le corps du document est pseudonymisé, mais l'en-tête du PDF, le nom du fichier ou une pièce annexe ne le sont pas.
• Croire que pseudonymisé = hors RGPD : des données pseudonymisées restent des données personnelles. La pseudonymisation est une mesure de sécurité, pas une porte de sortie du règlement.

Questions fréquentes

Pseudonymiser suffit-il, ou faut-il anonymiser complètement ?

Pour travailler un dossier avec une IA, la pseudonymisation est généralement le bon outil : elle protège l'identité du client tout en restant réversible pour le livrable final. L'anonymisation irréversible se justifie quand aucune réidentification ne sera jamais nécessaire.

Avec une offre professionnelle (DPA), faut-il quand même pseudonymiser ?

Oui. Le DPA encadre juridiquement le traitement ; la pseudonymisation protège le secret professionnel. Le guide du CNB recommande ce réflexe quel que soit le contrat.

Ces réflexes concernent-ils aussi les juristes, notaires et commissaires de justice ?

Oui. Tout professionnel du droit soumis au secret ou à une obligation de confidentialité, et au RGPD, gagne à pseudonymiser ses documents avant de les soumettre à une IA générative.

En résumé

• Pseudonymiser (réversible) pour travailler, anonymiser (irréversible) pour publier ou archiver hors RGPD.
• Checklist : identités, coordonnées, identifiants, données financières, références de procédure.
• La méthode manuelle ne passe pas à l'échelle : outil automatique et local (Hexagone).
• Le workflow : dupliquer → pseudonymiser → travailler avec l'IA → réidentifier en local → relire.
• Attention aux données indirectement identifiantes et aux métadonnées.

Romane Lévy est avocate au Barreau de Paris et fondatrice de SILIV, l'IA pour les professionnels du droit. Elle forme avocats, juristes, notaires et commissaires de justice à l'IA et l'utilise quotidiennement sur ses propres dossiers.

À lire ensuite : peut-on utiliser Claude ou ChatGPT sans violer le secret professionnel ?