Anonymisation ou pseudonymisation : ce que vous faites vraiment avant l'IA

Remplacer les noms d'un contrat par des codes en gardant une table pour revenir en arrière, c'est une pseudonymisation au sens du RGPD, pas une anonymisation. Pour le cabinet qui détient la table, le document reste une donnée personnelle. Pour l'IA qui ne reçoit que les codes et n'a aucun moyen de les lever, la Cour de justice de l'Union admet depuis 2025 qu'il peut ne plus l'être.

Par Florent Lable · publié le 29 septembre 2026 · 4 min de lecture

Tout le monde dit « anonymiser » : les avocats, les éditeurs de logiciels, nous compris. Le mot est compris de tous et c'est celui qu'on cherche. Mais ce qu'on fait presque toujours avant de confier un document à une IA porte un autre nom en droit, et ce n'est pas un détail : les deux opérations n'ont pas le même régime.

Que dit le RGPD de la pseudonymisation ?

L'article 4, 5°, du RGPD la définit comme le traitement de données personnelles de telle façon qu'elles ne puissent plus être attribuées à une personne précise sans avoir recours à des informations supplémentaires, à condition que ces informations soient conservées séparément et protégées par des mesures techniques et organisationnelles.

Appliqué à un contrat : « Madame Éléonore Vasseur » devient {{CLIENT_REPRESENTANT}}, et la table qui dit que {{CLIENT_REPRESENTANT}} désigne Madame Vasseur est l'« information supplémentaire ». Tant que cette table existe, quelque part, le document est pseudonymisé.

Et l'anonymisation ?

Elle est définie en creux par le considérant 26 du RGPD : des données rendues anonymes de telle manière que la personne n'est plus identifiable, compte tenu de tous les moyens raisonnablement susceptibles d'être utilisés pour l'identifier. Ces données sortent du champ du RGPD. Les données pseudonymisées, elles, y restent : le même considérant le dit expressément.

Le groupe de travail « article 29 », prédécesseur du Comité européen de la protection des données, a donné trois critères pour juger qu'une anonymisation tient : on ne doit plus pouvoir isoler une personne dans le jeu de données, ni relier entre eux des éléments la concernant, ni déduire une information à son sujet. Un contrat dont on a simplement remplacé les noms échoue souvent au troisième : les faits eux-mêmes suffisent parfois à reconnaître les parties.

Pourquoi la différence compte pour un cabinet ?

• Le RGPD continue de s'appliquer. Pour le cabinet, le document pseudonymisé reste une donnée personnelle : obligations d'information, durée de conservation, sécurité et contrat avec chaque prestataire demeurent.
• La table devient le point sensible. C'est elle qui permet de tout rétablir. Où elle est stockée, qui peut la lire et combien de temps elle est gardée comptent davantage que le document lui-même.
• C'est précisément ce que demande la déontologie. Le guide IA du CNB attend un remplacement par codes neutres, documenté, réversible par l'avocat seul. Une anonymisation irréversible ne permettrait pas de réutiliser la réponse de l'IA dans le dossier ; c'est bien une pseudonymisation qui est demandée.

Qu'a changé l'arrêt de la CJUE du 4 septembre 2025 ?

Dans l'affaire CEPD contre CRU (C-413/23 P), la Cour de justice de l'Union européenne a jugé que des données pseudonymisées ne sont pas nécessairement des données personnelles pour tous ceux qui les reçoivent. Pour le responsable qui détient la clé, elles le restent. Pour un destinataire qui n'a aucun moyen raisonnable de ré-identifier les personnes, elles peuvent ne plus l'être. La qualification dépend donc de celui qui détient la donnée.

La Cour a aussi rappelé que l'obligation d'informer les personnes s'apprécie du point de vue du responsable, au moment de la collecte : la pseudonymisation opérée ensuite ne l'en dispense pas.

Transposé, avec prudence, au cas d'un cabinet : si l'IA ne reçoit que des codes, n'a jamais accès à la table et ne peut pas reconnaître les parties à partir du contexte, le texte qu'elle traite peut ne pas être, pour elle, une donnée personnelle. Deux conditions sont décisives, et elles sont pratiques plus que juridiques :

1. La table ne doit jamais accompagner le document, ni être accessible au fournisseur de l'IA.
2. Le contexte ne doit pas trahir les parties. Un litige unique en son genre, une ville et une activité très reconnaissables, un montant publié dans la presse : si un lecteur informé peut deviner de qui il s'agit, le remplacement des noms ne suffit pas.

Comment dire les choses sans se tromper ?

Employer « anonymiser » dans son sens courant n'est pas une faute ; c'est le mot de tout le monde. En revanche, dans une convention d'honoraires, une politique de confidentialité ou une réponse à un délégué à la protection des données, mieux vaut le mot exact : pseudonymisation préalable, avec une table conservée séparément et accessible au seul cabinet.

Et Caviardeur, que fait-il ?

Une pseudonymisation. Nous écrivons « anonymiser » sur ce site parce que c'est le mot que vous cherchez ; nos conditions d'utilisation disent « pseudonymiser », et ce sont elles qui ont raison. Concrètement : le texte en clair n'est lu que par le modèle qui repère les données, sans être conservé ; le document produit ne contient que des balises ; la table de correspondance est rangée dans un espace de votre compte que ni l'éditeur ni un administrateur ne peuvent lire. Ce que vous faites du document ensuite, dans l'IA de votre choix, ne porte plus que des balises.

Sources

1. Règlement (UE) 2016/679 (RGPD), article 4, 5°, et considérant 26 — EUR-Lex.
2. CJUE, 4 septembre 2025, CEPD c/ CRU, C-413/23 P — curia.europa.eu.
3. Groupe de travail « article 29 », avis 05/2014 sur les techniques d'anonymisation (WP 216), 10 avril 2014 — ec.europa.eu.
4. Comité européen de la protection des données, lignes directrices 01/2025 sur la pseudonymisation, adoptées le 16 janvier 2025 pour consultation publique — edpb.europa.eu.
5. CNIL, « L'anonymisation de données personnelles » — cnil.fr. Consulté le 29 septembre 2026.