Anonymisation ou pseudonymisation : ce que dit le RGPD, et ce que ça change pour l'IA

Les deux mots sont employés comme s'ils étaient interchangeables. Dans le RGPD, ils ne le sont pas : l'un fait sortir la donnée du règlement, l'autre l'y maintient. Pour un avocat, un notaire ou un médecin qui veut utiliser l'IA sur un dossier, la différence décide de ce que vous pourrez faire de la réponse.

1. La pseudonymisation : la définition du RGPD

L'article 4(5) du RGPD définit la pseudonymisation comme « le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles ». Concrètement : « Jean Martin » devient « Personne_1 », et la table qui relie « Personne_1 » à « Jean Martin » est gardée ailleurs, sous clé.

Le considérant 26 en tire la conséquence : des données pseudonymisées « qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable ». Elles restent des données personnelles, et le RGPD continue de s'appliquer.

2. L'anonymisation : pas de retour possible

Pour la CNIL, anonymiser consiste à « rendre impossible, en pratique, toute identification de la personne par quelque moyen que ce soit et de manière irréversible ». Le même considérant 26 exclut du RGPD les données « rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable ». La barre est haute : il ne suffit pas de retirer le nom si la fonction, la ville et la date suffisent à retrouver la personne.

3. La différence en un tableau

4. Ce que le RGPD attend de la pseudonymisation

Le RGPD cite la pseudonymisation deux fois comme mesure de protection (chapitre IV) : l'article 25 (protection des données dès la conception) évoque « des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation », et l'article 32 (sécurité du traitement) mentionne « la pseudonymisation et le chiffrement des données à caractère personnel ». Pseudonymiser ne vous dispense donc pas du RGPD, mais c'est l'une des mesures qu'il attend de vous.

Le Comité européen de la protection des données (CEPD) a publié en janvier 2025 des lignes directrices 01/2025 sur la pseudonymisation, en version soumise à consultation publique. Elles confirment que les données pseudonymisées restent des données personnelles, même lorsque les données et la table de correspondance ne sont pas entre les mains de la même personne, et introduisent la notion de « domaine de pseudonymisation ». En juillet 2026, le CEPD a ouvert la consultation sur des lignes directrices 02/2026 sur l'anonymisation, elles aussi au stade de projet.

5. L'arrêt SRB : une nuance, pas une échappatoire

Le 4 septembre 2025, dans l'affaire C-413/23 P, CEPD c/ CRU (SRB), la Cour de justice de l'Union européenne a jugé que « des données pseudonymisées ne doivent pas être considérées comme constituant, en toute hypothèse et pour toute personne, des données à caractère personnel » : la pseudonymisation « peut, selon les circonstances de l'espèce, effectivement empêcher des personnes autres que le responsable du traitement d'identifier la personne concernée ». Mais la Cour rappelle que, pour le responsable du traitement, l'identifiabilité s'apprécie de son propre point de vue.

Trois réserves avant d'en tirer des conclusions. L'arrêt interprète le règlement 2018/1725, applicable aux institutions de l'Union, et non le RGPD lui-même, même si les définitions sont parallèles. L'affaire a été renvoyée devant le Tribunal. Et pour un cabinet qui pseudonymise ses propres dossiers et conserve la table de correspondance, rien ne change : il détient la clé, les données restent pour lui des données personnelles, et le secret professionnel s'applique pleinement.

6. Pourquoi le travail avec l'IA demande en général la pseudonymisation

Un avocat qui demande à une IA de rédiger un courrier, de résumer des pièces ou de comparer des clauses a besoin que la réponse revienne sur le vrai client. Sur un texte anonymisé, le courrier n'est adressé à personne et la synthèse ne nomme personne. Sur un texte pseudonymisé, l'IA raisonne sur « Personne_1 » et « Société_2 », et la table conservée par le cabinet remet les vrais noms dans la réponse.

C'est aussi la voie retenue par le guide du CNB « La déontologie et l'intelligence artificielle » (2026), qui recommande de « pseudonymiser ou anonymiser systématiquement les données avant toute utilisation d'un outil d'IA générative ». Nous détaillons ses recommandations dans un article dédié.

7. Le piège : l'identification indirecte

Remplacer les noms ne suffit pas quand le reste du texte désigne encore une seule personne : le seul chirurgien pédiatrique d'une commune de 3 000 habitants, une date de naissance à côté d'un code postal, un montant très précis. C'est l'écart entre pseudonymisé et anonyme, et la raison pour laquelle une copie pseudonymisée doit être relue avant de partir.

Nous avons consacré un article au risque de réidentification, et nous le mesurons sur RAT-Bench, le benchmark de l'Imperial College London, qui cherche à retrouver la personne parmi 3 millions d'enregistrements réels à partir du texte anonymisé.

8. Comment Hexagone AI traite les deux

• Masquage. Chaque identifiant est remplacé par un marqueur neutre et stable (PNAME_1, CNAME_2). Une même personne garde le même marqueur dans tous les documents d'un dossier.
• Remplacement synthétique. Les identifiants sont remplacés par des valeurs réalistes mais fictives, pour que le document reste naturel à lire.
• Une table de correspondance qui reste chez vous. Détection, remplacement et table de correspondance s'exécutent sur votre propre ordinateur. C'est ce qui rend le processus réversible pour vous, et pour vous seul : l'IA reçoit la copie protégée, et la réponse est réidentifiée sur votre poste.