Anonymisation par IA : masquer les identifiants ne suffit pas

Publié le 26 août 2026

Un compte rendu médical peut ne plus comporter ni nom, ni date de naissance, ni numéro de sécurité sociale et rester pourtant susceptible d’être relié à une personne. Une maladie rare, un âge précis, une profession peu courante ou une succession de dates peuvent former une combinaison distinctive. Le retrait des éléments visibles ne permet donc pas, à lui seul, de qualifier juridiquement le résultat.

Pour les DSI, RSSI, DPO et éditeurs de santé, la distinction est décisive. Une donnée pseudonymisée reste personnelle : le RGPD et, selon le traitement, les exigences HDS continuent de s’appliquer. Seule une anonymisation effectivement démontrée peut permettre de ne plus traiter le résultat comme une donnée personnelle ; les autres obligations contractuelles ou sectorielles doivent être examinées séparément.

Notion	Ce qu’elle décrit	Conséquence juridique
Masquage ou caviardage	Le retrait d’éléments visibles dans un document : nom, coordonnées, numéro ou passage sensible.	C’est une opération technique, sans qualification juridique automatique. Le document peut encore contenir des données personnelles.
Pseudonymisation — article 4(5) du RGPD	Les données ne peuvent plus être attribuées à une personne précise sans une information supplémentaire, conservée séparément et protégée. Cette information permet encore la réattribution.	Les données restent personnelles et soumises au RGPD.
Anonymisation — considérant 26 du RGPD	L’identification est raisonnablement impossible compte tenu des moyens susceptibles d’être employés par le responsable du traitement ou par une autre personne : temps, coût, connaissances, sources auxiliaires et techniques disponibles.	Le résultat n’est plus une donnée personnelle et sort du RGPD pour ses traitements ultérieurs. L’opération ayant produit ce résultat reste, elle, un traitement de données personnelles.

L’objectif pratique n’est pas de rendre le document méconnaissable. Il est de fournir à un tiers un document encore lisible et utile sans que ce tiers puisse raisonnablement identifier la personne. Préserver la lisibilité n’est pas un échec ; l’échec serait de laisser des identifiants directs ou une combinaison de quasi-identifiants exploitable avec des informations auxiliaires plausiblement accessibles.

Nos essais ont mesuré l’écart entre un masquage apparemment réussi et une anonymisation démontrable dans son contexte. Tous les documents, personnes, établissements et identifiants étaient synthétiques. Aucun dossier de patient, aucune donnée de client et aucune information réelle n’ont été utilisés.

L’essentiel en 30 secondes

• Le masquage n’est pas une qualification juridique ; la pseudonymisation relève de l’article 4(5) du RGPD et l’anonymisation du considérant 26.
• L’objectif est un document lisible qu’un tiers ne peut raisonnablement rattacher à une personne. Il faut donc évaluer identifiants directs, quasi-identifiants, combinaisons uniques et informations auxiliaires.
• L’outil chargé d’anonymiser reçoit d’abord le document en clair. L’opération constitue donc elle-même un traitement de données personnelles.
• Dans le meilleur traitement observé sur 30 documents synthétiques, aucun identifiant direct annoté n’est resté visible, mais 4,9 % des quasi-identifiants contrôlés subsistaient. Ce résultat limité ne vaut pas preuve d’anonymat.

Anonymisation ou pseudonymisation : quelle différence au sens du RGPD ?

Le masquage et le caviardage décrivent une opération visible, pas son résultat juridique. La qualification dépend de ce que le document permet encore d’apprendre et des moyens du destinataire.

L’article 4(5) définit la pseudonymisation comme un traitement empêchant l’attribution à une personne précise sans information supplémentaire, conservée séparément et protégée. La réattribution reste possible et les données demeurent personnelles.

L’anonymisation exige que l’identification ne soit plus raisonnablement possible. Le considérant 26 impose d’examiner le coût, le temps, les informations accessibles au destinataire et l’évolution des techniques. La CNIL parle d’une identification rendue impossible en pratique, par quelque moyen que ce soit, et de manière irréversible. Remplacer un nom par un code ou préserver un récit lisible ne tranche donc pas la question.

Que changent les lignes directrices CEPD 02/2026 ?

Le Comité européen de la protection des données a adopté le 7 juillet 2026 une première version de ses lignes directrices sur l’anonymisation, soumise à consultation jusqu’au 30 octobre 2026. Il s’agit encore d’un projet, et non d’une nouvelle obligation législative.

Le texte replace la preuve au centre de l’analyse. Il faut vérifier qu’aucune personne ne peut être isolée, qu’aucune information la concernant ne peut être reliée ou déduite avec une forte certitude. L’approche peut tenir compte des moyens de chaque destinataire ou, par prudence, conserver la qualification de donnée personnelle. Le point d’étape de la CNIL rappelle qu’un échec sur l’un des trois critères exige une analyse plus poussée. L’opération d’anonymisation reste elle-même soumise au RGPD.

Pourquoi un k-anonymat déclaré par un LLM ne suffit-il pas ?

Un niveau de k-anonymat fixé à 5 signifie que chaque combinaison de quasi-identifiants est partagée par au moins cinq personnes. Ce résultat se calcule sur la distribution réelle ; il ne peut pas être garanti par une affirmation du modèle.

Notre registre hospitalier synthétique comptait 60 lignes. Le modèle a annoncé un k égal à 5 ; le calcul a pourtant donné un k égal à 1, avec 34 lignes uniques sur 60. Il avait appliqué une généralisation sans vérifier son effet sur les classes d’équivalence. Un LLM peut aider à proposer des catégories, mais l’unicité des combinaisons et la valeur de k doivent être calculées de manière déterministe et auditable.

Pourquoi anonymiser avec un LLM crée-t-il d’abord un nouveau traitement ?

Avant de masquer quoi que ce soit, le système lit le document en clair. Il reçoit donc les noms, les données de santé et le contexte que l’on souhaite retirer. Cette étape exige déjà une finalité, une base juridique, une exception applicable aux données de santé, des accès définis, une durée de conservation et des mesures de sécurité adaptées.

L’auto-hébergement peut limiter certains transferts, mais ne dispense d’aucune de ces obligations. Les consignes, réponses, listes d’entités, fichiers temporaires et journaux doivent être inventoriés et protégés. Voir nos cas d’usage d’un LLM auto-hébergé en environnement HDS. Dans une chaîne vocale, la transcription en environnement HDS précède elle aussi le masquage.

Quel taux d’erreur est acceptable pour retirer des identifiants ?

Aucun texte ne fixe un taux universel. Le seuil dépend de la finalité, du volume, des destinataires et des conséquences d’une divulgation. Les identifiants directs et les quasi-identifiants doivent être mesurés séparément : l’absence d’un nom ne compense pas une combinaison unique.

Dans le meilleur traitement observé sur 30 documents synthétiques, aucun identifiant direct annoté n’est resté visible, tandis que 4,9 % des quasi-identifiants contrôlés subsistaient. La mesure vaut seulement pour ce corpus construit, ses catégories, un modèle Qwen et un paramétrage. La même personne a préparé les documents et l’annotation, sans relecture indépendante complète. Elle n’est ni un taux de production ni une garantie sur d’autres formats ; l’absence de fuite observée ne démontre pas un taux d’erreur nul.

La décision d’autoriser un usage doit donc associer contrôles de structure, revue des combinaisons rares, estimation de l’incertitude et rejet explicite lorsque le contexte ne permet pas de conclure.

Les évaluations génériques valent-elles sur du français médical ?

Un résultat obtenu sur des dépêches en anglais ne prédit pas le comportement sur des comptes rendus médicaux français, avec leurs acronymes, homographes, tableaux ou scans. Il faut comparer la langue, le domaine, les entités recherchées, la définition d’une erreur et le nombre d’occurrences réellement évaluées.

Nos essais ne comportaient ni système classique de comparaison ni relecture indépendante. Ils ne démontrent donc aucune supériorité du LLM. Pour des formats réguliers, une règle déterministe ou la vérification d’une clé peut être moins coûteuse et plus facile à auditer. La détection contextuelle est surtout utile pour les formes ambiguës, fractionnées ou indirectes.

Quel est le mode de défaillance silencieux sur un identifiant ?

Le danger est l’omission qui laisse une référence plausible dans un document par ailleurs correctement traité. Une liste d’entités générée par le même modèle n’est pas un contrôle indépendant : elle peut répéter le silence de la transformation. Les documents longs, tableaux, scans et résultats de reconnaissance de caractères exigent donc des vérifications distinctes. Une erreur de lecture peut même produire une valeur structurée visuellement crédible.

Des vérifications déterministes transforment ce silence en rejet explicite : mod-97 pour l’IBAN, Luhn pour le SIRET, clé de TVA dérivée du SIREN, contrôles de structure pour le NIR ou le RPPS. Le protocole général est présenté dans notre retour d’expérience sur Qwen auto-hébergé.

Un embedding est-il une donnée personnelle ?

Une représentation vectorielle, ou embedding, traduit un contenu en valeurs destinées à la recherche sémantique. Cette transformation ne rend pas la source anonyme. Tant que l’impossibilité raisonnable d’extraire, de relier ou d’inférer des informations n’est pas démontrée, le vecteur doit être traité comme une donnée personnelle.

Nous n’avons mené aucune attaque de reconstruction à partir de tels vecteurs : il s’agit ici d’un cadrage de risque, pas d’un résultat expérimental. Un index RAG médical doit rester chiffré, contrôlé et effaçable dans le périmètre approprié. Voir comment sécuriser un RAG et protéger les données utilisées par une IA générative.

Que dit le Conseil d’État du 13 février 2026 ?

Dans sa décision n° 498628 relative à des bases de données de santé, le Conseil d’État rappelle qu’une pseudonymisation ne rend les données anonymes que si le risque d’identification est insignifiant. L’identification doit être irréalisable en pratique, notamment parce qu’elle demanderait un effort démesuré en temps, en coût et en main-d’œuvre.

Pour transposer ce test juridique à une sortie documentaire, il faut partir des moyens plausibles du destinataire : identifiants directs encore visibles, combinaison de quasi-identifiants, caractère unique d’un profil et sources auxiliaires qu’il peut raisonnablement consulter. Le fait qu’un texte reste reconnaissable comme la version transformée d’un document connu ne dit pas, à lui seul, si ce destinataire peut identifier la personne concernée.

La CJUE et le Conseil d’État imposent-ils la même lecture ?

Ces décisions portent sur des contextes distincts, mais convergent sur un point : la qualification dépend des possibilités réelles d’identification. Dans l’arrêt C-413/23 P du 4 septembre 2025, la CJUE apprécie le caractère personnel de données pseudonymisées selon le contexte du destinataire et ses moyens. Le Conseil d’État applique en France un test d’impossibilité pratique au regard de moyens raisonnables.

Pour une organisation traitant des données de santé, conclure qu’un jeu est « anonyme pour elle » sans examiner les autres destinataires, les sources auxiliaires et l’évolution des techniques reste fragile. La position prudente consiste à conserver la qualification de donnée personnelle jusqu’à démonstration contraire.

Une sortie déclarée anonymisée peut-elle quitter le périmètre HDS ?

Seulement si son anonymat effectif est démontré pour les destinataires et les usages prévus. Même lorsqu’un corpus d’essai ne laisse apparaître aucun identifiant direct annoté, la présence résiduelle de quasi-identifiants interdit de conclure sur ce seul contrôle. Réussir le masquage des noms ne suffit donc pas à autoriser une sortie de périmètre.

L’évaluation doit ensuite rechercher si les éléments résiduels individualisent une personne, si leur combinaison est unique et quelles informations auxiliaires sont plausiblement accessibles à chaque destinataire. Une pathologie rare associée à un âge précis et à un lieu peut être plus révélatrice qu’un identifiant isolé, même si le récit demeure parfaitement lisible.

Les essais ne démontrent pas l’anonymat. Par prudence, les sorties restent donc traitées comme des données personnelles tant qu’une évaluation contextuelle, documentée et adaptée au destinataire n’établit pas le contraire.

Quelles obligations subsistent après une opération présentée comme une anonymisation ?

Le traitement conduisant au résultat reste soumis au RGPD puisqu’il manipule les données sources. Tant que l’anonymat n’est pas établi, le secret médical, les restrictions d’accès, les contrats, les durées, les droits des personnes et, le cas échéant, le référentiel HDS continuent de s’appliquer.

Une anonymisation réelle n’efface pas rétroactivement les obligations liées à la collecte initiale. Des clauses contractuelles ou sectorielles peuvent aussi limiter l’usage indépendamment du RGPD. La décision doit être validée pour une finalité et des destinataires précis avec le DPO et, si nécessaire, le conseil juridique.

Faut-il réévaluer les jeux déjà déclarés anonymes ?

Le considérant 26 impose de tenir compte de l’évolution des moyens d’identification. La CNIL recommande donc une veille régulière sur les techniques et les nouvelles sources de rapprochement. Une preuve d’anonymat n’est jamais acquise pour toujours.

Le dossier doit préciser le jeu évalué, les destinataires, les hypothèses d’attaque, les sources examinées et la prochaine date de contrôle. Tout changement important impose un nouvel examen. Voir aussi notre étude des agents IA en environnement régulé.

Les données synthétiques sont-elles automatiquement anonymes ?

Le mot « synthétique » décrit un mode de production, pas une qualification juridique. Un jeu généré à partir de données personnelles peut reproduire des cas réels ou conserver des liens propices à l’inférence ; le procédé de génération peut aussi mémoriser certaines entrées.

Notre étude n’a évalué aucun générateur. Ses corpus ne contiennent aucune personne réelle parce qu’ils ont été construits expressément dans ce but. Dans un projet de production, l’individualisation, la corrélation, la mémorisation et l’inférence doivent être testées sur le procédé comme sur ses sorties.

Comment documenter une preuve d’anonymisation pour un audit ?

Le dossier doit permettre à un tiers de comprendre ce qui a été protégé, contre quels moyens de ré-identification et pendant combien de temps la conclusion reste valable.

1. Définir le contexte : finalité, destinataires, sources auxiliaires plausibles et conséquences d’une ré-identification.
2. Versionner une référence vérifiée : corpus, annotation attendue, règles de calcul et cas difficiles.
3. Mesurer séparément les risques : identifiants directs, quasi-identifiants, individualisation, corrélation et inférence.
4. Ajouter des contrôles déterministes : clés, formats structurés et classes d’équivalence. Une incohérence doit bloquer la sortie.
5. Tester les moyens plausibles du destinataire : informations auxiliaires effectivement accessibles, unicité des profils, possibilités d’inférence et revue humaine des cas rares.
6. Maîtriser les traces et réévaluer : listes d’entités, journaux, fichiers temporaires et autres contenus intermédiaires peuvent conserver des informations personnelles. Ils ne doivent pas être journalisés ou conservés sans nécessité.

La méthode de mesure doit elle-même être contrôlée. Nous avons écarté un indicateur de rappel dont l’alignement n’était pas assez fiable. Un chiffre produit par un outil de mesure défaillant n’apporte aucune preuve. La documentation de conformité IA doit inclure cette validation.

FAQ : comment vérifier une offre d’anonymisation par IA ?

Comment les essais ont-ils été conduits et quelles limites faut-il publier ?

La campagne a utilisé des corpus synthétiques : des récits pour examiner identifiants directs et quasi-identifiants, un tableau de 60 lignes pour le k-anonymat et 30 documents pour comparer plusieurs traitements. Les annotations distinguaient les identifiants directs des caractéristiques susceptibles de devenir révélatrices seules, combinées entre elles ou croisées avec une information extérieure.

Des homonymies, combinaisons distinctives et cas uniques ont été introduits volontairement. Les résultats décrivent ces situations construites, pas une fréquence de production.

La même personne a conçu les corpus, l’annotation et les mesures, sans revue complète par un tiers. Un seul modèle Qwen et un paramétrage ont été évalués, sans système classique de comparaison ni document réel de plusieurs pages. Les scénarios auxiliaires ne reproduisent pas toute l’information d’un destinataire réel. Les valeurs ne sont pas transposables à la production.

Conclusion

Masquer les identifiants directs réduit le risque, mais ne démontre pas l’anonymat. Dans nos essais synthétiques, 17 quasi-identifiants sur 18 subsistaient dans des textes dont les identifiants directs avaient été masqués. Sur le registre de 60 lignes, le modèle annonçait un k de 5 alors que le calcul donnait 1, avec 34 lignes uniques. Dans le meilleur traitement observé sur 30 documents, aucun identifiant direct annoté n’est resté visible, mais 4,9 % des quasi-identifiants contrôlés restaient présents. Ces constats sont limités aux corpus, à l’annotation, au modèle et au paramétrage testés.

Aucune personne réelle n’a été utilisée ni identifiée. Les essais ne démontrent pas l’anonymat. Une démarche défendable associe transformation, contrôles déterministes, analyse de l’unicité, informations auxiliaires plausibles, revue humaine et réévaluation. Par prudence, les sorties restent traitées comme des données personnelles tant qu’une évaluation contextuelle n’établit pas le contraire.