Remplacer les noms par des numéros suffit-il à sortir du RGPD ?

Non. Selon la CNIL, c'est une pseudonymisation : les données conservent un caractère personnel. Seule une anonymisation effective, qui rend l'identification impossible en pratique, sort du champ du RGPD.

Données personnelles dans les documents donnés à une IA

Q: Les questions posées à l'assistant sont-elles aussi des données à surveiller ?

Oui. L'ANSSI rappelle que les requêtes des utilisateurs et les réponses du modèle peuvent contenir des données sensibles et doivent être prises en compte dès la conception.

Oui, vos documents contiennent presque toujours des données personnelles : un nom dans un compte rendu, une adresse dans un devis, une signature dans un contrat. Les verser dans un assistant IA est un traitement soumis au RGPD (règlement général sur la protection des données). La méthode consiste à les repérer, à ne garder que ce qui sert la finalité, et à écarter ce qui est sensible.

Ce guide présente ce que dit le texte et une méthode de tri. Les choix de base légale et d'information des personnes se valident avec votre délégué à la protection des données ou un avocat.

Pourquoi c'est votre responsabilité

La CNIL (Commission nationale de l'informatique et des libertés) l'écrit dans ses questions-réponses du 18/07/2024 : l'organisme qui connecte un système d'IA à une base de connaissances contenant des données personnelles devient responsable de ce traitement. Votre fournisseur a ses obligations, mais le choix de ce qui entre dans la base est le vôtre.

Les quatre principes qui guident le tri

L'article 5 du RGPD impose notamment :

Limitation des finalités : les données sont collectées pour des finalités « déterminées, explicites et légitimes » et ne sont pas réutilisées de façon incompatible. Un fichier de suivi client constitué pour la facturation n'a pas vocation à nourrir un assistant de rédaction marketing.
Minimisation : les données doivent être « limitées à ce qui est nécessaire ». Un assistant qui explique la procédure de retour n'a pas besoin des noms des clients ayant déjà retourné un produit.
Exactitude : une donnée fausse ou périmée reprise par l'assistant reste une donnée fausse.
Limitation de la conservation : un document qui aurait dû être supprimé ne doit pas survivre dans la base de l'assistant.

L'article 6 exige en outre une base légale (consentement, contrat, obligation légale, intérêt légitime…). Le choix se discute avec votre délégué.

Les données à écarter par principe

Le paragraphe 1 de l'article 9 du RGPD interdit le traitement des catégories particulières de données : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques d'identification, données de santé, vie sexuelle ou orientation sexuelle.

Dans une PME, on les trouve plus souvent qu'on ne le croit : un arrêt de travail dans un dossier salarié, une mention syndicale dans un procès-verbal de réunion, une allergie dans une fiche client de restauration.

La méthode de tri en trois piles

Pile	Exemples	Traitement
Verser tel quel	Catalogue, notices, conditions générales, procédures sans noms	Vérifier la version et la date
Nettoyer avant	Modèles de contrats remplis, comptes rendus, FAQ construite à partir de vrais échanges	Retirer noms, coordonnées, montants individuels
Exclure	Dossiers RH, données de santé, contentieux, fichiers clients complets	Hors de la base, ou projet séparé avec analyse d'impact

Pour la pile du milieu, la CNIL distingue deux techniques :

La pseudonymisation remplace les identifiants directs (nom, prénom) par un alias ou un numéro. Les données « conservent donc un caractère personnel » : le RGPD continue de s'appliquer.
L'anonymisation rend l'identification impossible en pratique, de façon irréversible. La CNIL donne trois tests : on ne doit pas pouvoir isoler une personne, relier deux jeux de données sur une même personne, ni déduire une information sur elle.

Exemple tiré de la CNIL : une base de CV où les noms sont remplacés par des numéros reste pseudonymisée, car chaque numéro désigne encore une personne précise.

N'oubliez pas les conversations

Les documents ne sont qu'une partie du sujet. L'ANSSI (Agence nationale de la sécurité des systèmes d'information) rappelle dans son guide du 29/04/2024 que les requêtes des utilisateurs et les réponses du modèle peuvent contenir des données sensibles. Un salarié qui demande « Quelle est la procédure pour l'arrêt maladie de Mme X ? » vient d'introduire une donnée de santé. D'où l'intérêt de règles d'usage claires et d'une durée de conservation des conversations fixée au contrat.

Si le fournisseur peut réutiliser les données

La CNIL demande d'analyser, au cas par cas, s'il faut interdire tout ou partie des données personnelles lorsque le fournisseur peut réutiliser ce qu'on lui transmet. Voir la page réutilisation des données par le fournisseur.

Un exemple de démarche

Une entreprise de services veut un assistant pour répondre aux questions de ses chargés de clientèle. Elle verse les conditions générales, la grille de services et les procédures. Elle reprend la FAQ interne, qui citait des clients par leur nom, et remplace chaque nom par une description générique (« un client professionnel »). Elle laisse hors de la base l'historique des réclamations. Elle note ces choix, avec leur date, dans le registre de ses traitements.

Pour la suite : la checklist en 12 points et la page analyse d'impact.