La pseudonymisation remplace les données identifiantes par des jetons neutres, en conservant une table de correspondance : elle est réversible. L'anonymisation supprime définitivement toute possibilité de ré-identification : elle est irréversible.
La conséquence juridique est nette. Au sens du RGPD (article 4(5) et considérant 26), un texte anonymisé sort du champ du règlement ; un texte pseudonymisé y reste, et demeure une donnée à caractère personnel pour quiconque détient la table de correspondance ou peut raisonnablement l'obtenir.
Les deux mots sont employés l'un pour l'autre dans la communication de nombreux outils. La confusion n'est pas anodine : elle conduit à croire qu'un document « anonymisé » échappe à toute obligation, alors qu'il n'en est rien dans la quasi-totalité des usages professionnels.
La distinction, terme à terme
| Pseudonymisation | Anonymisation | |
|---|---|---|
| Opération | Les identifiants sont remplacés par des jetons : [PERSONNE_1], [ADRESSE_2] | Les identifiants sont détruits, généralisés ou bruités sans retour possible |
| Réversible ? | Oui, au moyen de la table de correspondance | Non, par définition |
| Statut RGPD | Reste une donnée à caractère personnel (art. 4(5)) | Sort du champ du RGPD (cons. 26) |
| Le document reste-t-il exploitable ? | Oui — on peut restituer un livrable nominatif complet | Souvent non : un acte anonymisé n'est plus un acte |
| Statut juridique | Mesure de sécurité expressément citée par le RGPD (art. 32) | Sortie du régime de protection |
Pourquoi Redacta pseudonymise, et ne prétend pas anonymiser
Parce qu'un acte doit être restitué. Si l'on anonymisait irréversiblement un compromis de vente, la synthèse produite par l'IA serait inutilisable : il faudrait réintroduire à la main chaque nom, chaque adresse, chaque référence cadastrale — c'est-à-dire refaire le travail.
Redacta remplace donc les éléments identifiants par des scellés, soumet le texte scellé au modèle, puis réintègre les valeurs réelles dans la zone de confiance pour produire un livrable complet. La table de correspondance est la pièce qui rend cette réintégration possible — et c'est aussi la pièce la plus sensible du dispositif. Elle ne quitte jamais la zone de confiance, hébergée en France, et elle est purgée sous vingt-quatre heures au plus.
Nous employons donc le mot exact. Une communication qui promettrait une « anonymisation irréversible » tout en restituant un document nominatif se contredirait dans la même phrase.
Le point que la Cour de justice a clarifié en 2025
Une objection vient naturellement : si un texte pseudonymisé reste une donnée personnelle, en quoi le transmettre à un modèle d'IA serait-il plus protecteur ?
La réponse tient à ce que le caractère personnel s'apprécie relativement à celui qui détient la donnée. La Cour de justice de l'Union européenne l'a jugé le 4 septembre 2025 (EDPS c/ SRB, aff. C-413/23 P) : des données pseudonymisées transmises à un tiers ne constituent pas des données à caractère personnel pour ce tiers lorsqu'il ne dispose pas de moyens raisonnablement susceptibles d'être utilisés pour ré-identifier les personnes. Elles demeurent des données personnelles pour l'entité qui conserve la clé.
Appliqué à un usage d'IA : le texte scellé n'est pas une donnée personnelle pour le fournisseur du modèle, qui ne possède ni la table ni le document d'origine. Il en reste une pour le cabinet et pour son sous-traitant — d'où les obligations qui continuent de s'appliquer à eux, et à eux seuls.
Ce que cela change en pratique
- Vous restez responsable de traitement. Pseudonymiser ne fait pas sortir votre traitement du RGPD : cela le sécurise. Registre, base légale, information des personnes et durées de conservation demeurent.
- La qualité de la détection est le vrai sujet. Une entité non détectée part en clair : c'est le risque résiduel n°1 de toute solution de ce type, y compris la nôtre. Nous le traitons par la validation humaine de chaque détection avant transmission, et par une mesure continue de la qualité de détection.
- Certains faits restent identifiants. Une situation suffisamment singulière peut permettre de reconnaître une personne alors que tous les noms ont disparu. Le jugement du professionnel demeure nécessaire — et doit pouvoir s'exercer, ce qui suppose de voir le texte avant qu'il ne parte.
- Le lieu de la table de correspondance est décisif. Une solution qui conserve la table sur ses propres serveurs, ou qui ne dit pas où elle se trouve ni combien de temps elle est conservée, déplace le problème sans le résoudre. C'est la première question à poser à tout éditeur.
Chez Redacta : la table est conservée en mémoire, dans la zone de confiance hébergée en France, purgée en fin de flux, avec une expiration de 24 heures au maximum comme filet de sécurité. Elle n'est jamais transmise à un fournisseur de modèle. Voir Sécurité et flux des données.
Sources
- Règlement (UE) 2016/679 (RGPD), article 4(5), considérant 26 et article 32 — eur-lex.europa.eu
- CJUE, 4 septembre 2025, EDPS c/ SRB, aff. C-413/23 P — curia.europa.eu
- CNIL, fiches pratiques sur l'anonymisation et la pseudonymisation — cnil.fr