Être responsable, c'est assumer le coût d'une erreur. Or un logiciel n'a rien à perdre : c'est donc toujours une personne qui répond d'une anonymisation. Un outil d'anonymisation doit par conséquent vous laisser vérifier son travail avant de produire le fichier.
Répondre de quelque chose
Au bas d'un acte authentique, le notaire signe un texte souvent préparé par un clerc. Sa signature atteste qu'il a lu et contrôlé l'acte. En cas d'erreur, il en répond devant sa chambre : il engage son assurance et, dans les cas graves, son office.
L'avocat, l'expert-comptable et le médecin répondent eux aussi devant leur ordre, et risquent leur inscription ou leur clientèle. Un modèle de détection, lui, ne perd rien quand il laisse passer un numéro de sécurité sociale. On peut le corriger ou le remplacer, mais le sanctionner n'aurait aucun sens.
Imaginez un détecteur fictif qui retrouverait 99,5 % des identifiants. Sur un dossier qui en compte deux mille, il en laisserait une dizaine en clair. Ce chiffre est inventé et ne décrit aucun outil réel, le nôtre compris. Mais quel que soit le taux, il reste des erreurs, et une personne doit en répondre.
On ne garantit que ce qu'on a examiné
Signer un résultat que l'on n'a jamais examiné, c'est engager son nom à l'aveugle. C'est pourquoi un excellent modèle dont personne n'a relu le travail ne protège pas le signataire. À l'inverse, un outil modeste dont chaque proposition a été vérifiée le protège.
La tentation est connue : l'outil colore des zones, le bouton d'export attend, et le travail paraît achevé. Pourtant, un écran surligné montre ce qui a été trouvé, sans rien dire de ce qui a échappé.
Nous avons nous-mêmes connu ce travers. Nos textes ont affirmé, en sept langues, qu'une valeur recevait le même code dans toute la Bibliothèque. Cette affirmation était fausse, car les codes sont propres à chaque dossier, et personne ne l'avait vérifiée.
Sur qui les textes font peser la charge
Ce qui suit décrit d'où viennent les obligations. Ce qu'elles exigent dans votre cas relève de votre conseil ou de votre délégué à la protection des données. Retenez seulement ceci : le RGPD ne s'adresse qu'à des personnes, physiques ou morales, et le logiciel n'y est qu'un outil.
De même, l'article 226-13 du code pénal vise la révélation d'un secret « par une personne qui en est dépositaire ». Quant à l'anonymisation elle-même, l'avis 05/2014 du groupe « Article 29 », repris par la CNIL, fixe trois critères. Elle doit résister à l'individualisation, à la corrélation et à l'inférence. Le considérant 26 du RGPD, enfin, range les données pseudonymisées parmi les données personnelles.
Hors d'Europe, le NIST américain a publié en janvier 2023 un cadre de gestion des risques de l'IA. Ce cadre rattache lui aussi la responsabilité à des rôles tenus par des personnes.
La machine propose, vous disposez
Aucune détection ne dispense de relire, et promptShield ne prétend pas le contraire : il sert à relire plus vite. Sa détection s'appuie d'abord sur les Motifs, des expressions régulières de haute précision. Ils repèrent les valeurs au format fixe, comme un numéro de sécurité sociale ou un IBAN.
La Reconnaissance d'entités repère ensuite les noms, les sociétés et les adresses, avec un modèle choisi selon l'installation. Vient enfin l'Analyse approfondie, par modèle de langage, qui est facultative et désactivée par défaut. Les résultats sont alors fusionnés, dédoublonnés, propagés d'une page à l'autre, puis filtrés.
Chaque détection devient une zone que vous confirmez, ajustez ou supprimez dans Réviser. Vous tracez vous-même les zones qui manquent. Le fichier caviardé ou encodé n'est produit qu'ensuite : la machine propose, et rien n'est écrit tant qu'une personne n'a pas regardé.
Par défaut, un fichier qui contient des zones protégées ne peut pas être téléchargé tant qu'elles n'ont pas été vérifiées. Si vous appuyez trop tôt sur Télécharger, une fenêtre explique ce qui bloque et ouvre la révision. Valider la révision, c'est d'ailleurs précisément inscrire les codes au Registre de codes.
Ce que votre validation engage
Encoder remplace la valeur par un code réversible. Ce code se compose d'un crochet ouvrant, de la lettre du type de donnée, de caractères de remplissage et d'un crochet fermant. Sa longueur suit celle du texte remplacé, avec au moins six caractères, pour occuper la même place sur la page. Le détail figure dans notre article sur le caviardage réversible.
Caviarder, de son côté, retire le contenu au lieu de poser un rectangle noir dessus. À l'export, les parties d'un PDF que la page n'affiche pas sont traitées elles aussi, comme les métadonnées ou les champs de formulaire. Elles reçoivent le code de la valeur encodée, ou un marqueur neutre pour une valeur caviardée. La miniature calculée avant le caviardage est supprimée. Le document, lui, ne quitte jamais votre poste.
Questions fréquentes
Pourquoi une machine ne peut-elle pas répondre de ce qu'elle produit ?
Répondre suppose de pouvoir perdre quelque chose : une inscription, un patrimoine, une réputation. Or un logiciel n'a rien de tout cela. Les textes visent d'ailleurs des personnes : le responsable du traitement et le sous-traitant pour le RGPD, le dépositaire du secret pour le code pénal.
La validation humaine n'annule-t-elle pas le gain de temps ?
Non, pour l'essentiel. Le plus long est de repérer les noms et les numéros dans tout le document, et la machine s'en charge en grande partie. Elle signale aussi d'avance les autres occurrences d'une même valeur. Vous partez donc de zones déjà posées, au lieu de tout chercher vous-même.
Que doit vérifier le relecteur, concrètement ?
Il vérifie d'abord que chaque zone couvre toute la valeur, et que rien n'a été signalé à tort. Il s'assure aussi que le choix entre Encoder et Caviarder convient à l'usage du fichier. Il cherche ensuite ce qui manque, souvent hors du corps du texte : notes de bas de page, en-têtes, tampons, RIB d'une annexe numérisée.