Le geste paraît simple : ouvrir le document, enlever les noms, l’envoyer. Il l’est si peu que des administrations, des rédactions et des cabinets ont diffusé des fichiers « anonymisés » dont le contenu d’origine se récupérait par un copier-coller. Voici ce qui échappe, format par format, et la seule méthode qui tienne quand on ne traite pas un document mais un flux quotidien.
Première erreur : recouvrir au lieu de supprimer. Un rectangle noir posé sur un PDF, un surligneur noir dans un traitement de texte, une case de couleur dans un tableur : dans les trois cas, on ajoute un objet graphique par-dessus un texte qui reste présent dans le fichier. Sélectionner la zone et coller ailleurs le restitue intégralement. C’est le cas d’école du caviardage raté, et il se reproduit chaque année.
Deuxième erreur : oublier ce qui n’est pas dans le corps du texte. Un document ne se limite pas à ce qui s’affiche. En-têtes et pieds de page, notes de bas de page, commentaires, modifications suivies, propriétés du fichier, texte masqué, objets incorporés : chacun de ces emplacements a déjà servi de fuite.
Troisième erreur : croire qu’une image protège. Un scan est illisible pour un humain pressé, pas pour une machine. La reconnaissance optique de caractères est appliquée d’office par la plupart des services d’IA, et le texte redevient indexable en une seconde.
Sur un document ponctuel, l’ordre suivant évite l’essentiel des oublis. Travaillez toujours sur une copie : la modification est destructrice, et vous aurez besoin de l’original.
La règle est simple à énoncer : il faut un outil de caviardage (« rédaction » dans certains logiciels), qui supprime réellement le contenu, et non un outil d’annotation ou de dessin.
Le repère qui ne trompe pas : après application, essayez de sélectionner le texte sous la zone masquée et de le coller dans un éditeur. S’il apparaît, vous n’avez rien masqué. Si le fichier a été produit par un vrai caviardage, la zone ne contient plus rien à sélectionner.
Vérifiez ensuite trois choses souvent négligées : les signets et la table des matières, qui reprennent parfois des titres nominatifs ; les pièces jointes incorporées au PDF ; et les métadonnées, où figurent le titre d’origine, l’auteur et le logiciel producteur.
Une méthode radicale existe, et elle a son coût : imprimer en image, puis retraiter. Elle supprime tout texte — donc aussi celui dont vous avez besoin, et elle empêche l’IA de lire correctement le document. Elle ne convient qu’à un document destiné à être vu, pas analysé.
Pour un document scanné, la seule occultation qui vaille est l’altération des pixels : effacer la zone, l’aplatir, réenregistrer. Poser un rectangle dans un éditeur qui conserve les calques ne suffit pas — c’est le même piège que le surlignage.
Attention aussi aux données EXIF d’une photographie : appareil, date, et parfois coordonnées GPS. Une photo de constat prise sur les lieux porte la position du lieu.
Si le document doit être analysé par une IA, le chemin utile est inverse : faire la reconnaissance de caractères d’abord, sur une infrastructure de confiance, puis substituer les identités dans le texte obtenu. C’est ce que fait lexform — la reconnaissance optique s’exécute en France, sur notre infrastructure, avant que quoi que ce soit ne parte vers l’IA.
La liste utile n’est pas « tout ce qui ressemble à un nom », mais ce qui permet d’identifier. Et surtout, elle comporte une exception assumée.
| Élément | Traitement | Pourquoi |
|---|---|---|
| Noms de personnes, sociétés | Jeton cohérent | Identifiants directs ; la cohérence préserve le raisonnement |
| Adresses, e-mails, téléphones | Jeton | Identifiants directs ou quasi directs |
| IBAN, SIREN, numéro de sécurité sociale, matricules | Jeton | Identifiants uniques par construction |
| Références de dossier, RG, Portalis | Jeton | Permettent de retrouver l’affaire dans une base |
| Dates | Conserver | Portent la prescription, l’ancienneté, les délais : les masquer rend le document inanalysable |
| Montants, qualifications, articles visés | Conserver | C’est la matière du raisonnement, et ils n’identifient pas |
Le cas des dates mérite d’être assumé plutôt que subi : une date de naissance est un quasi-identifiant, et la conserver est un choix. C’est le nôtre, parce qu’un dossier privé de ses dates n’a plus d’intérêt à être analysé — et que l’envoi n’aurait alors plus d’objet.
Tout ce qui précède fonctionne sur un document. Le problème réel est ailleurs : un cabinet n’envoie pas un document, il travaille avec l’IA une heure par jour, sur des pièces qui arrivent au fil de l’eau. Trois raisons font céder la méthode manuelle à cette échelle.
La complétude d’abord : sur un acte de trente pages, un nom apparaît sous cinq formes, et l’une d’elles échappe toujours. Le coût ensuite : dix minutes par pièce, c’est plus que le temps gagné, donc la procédure sera abandonnée en silence dès la deuxième semaine. La réversibilité enfin : une fois les noms enlevés, la réponse de l’IA parle de PERSON_1, et il faut tout remettre à la main pour produire quoi que ce soit d’utilisable.
C’est ce troisième point qui fait basculer la logique. Ce qu’il faut n’est pas un document anonymisé mais une substitution réversible, appliquée automatiquement à l’envoi et défaite automatiquement au retour, avec la table de correspondance conservée sur votre poste et nulle part ailleurs. La distinction, qui est aussi une distinction de régime juridique, est détaillée dans pseudonymisation et anonymisation.
Deux exigences restent à poser à l’outil, et elles se vérifient. Que son taux de détection soit mesuré et publié plutôt qu’affirmé — le nôtre l’est chaque matin sur une centaine d’actes réels, échecs compris, sur la page qualité. Et qu’il se comporte sûrement en cas de panne : si le moteur ne répond pas, l’envoi doit être bloqué, jamais transmis en clair.
Non, et c’est l’erreur la plus coûteuse. Un rectangle noir est un objet graphique dessiné par-dessus le texte : celui-ci reste dans le fichier, sélectionnable et copiable. Plusieurs administrations ont diffusé des documents « caviardés » dont il suffisait de copier-coller le contenu pour lire les noms. Un vrai caviardage supprime le texte, il ne le recouvre pas.
Le nom de l’auteur, celui de la société enregistrée dans la licence Office, la date de création, le temps d’édition, souvent le chemin d’enregistrement — donc l’arborescence de votre serveur — et, si le suivi des modifications a été laissé actif, l’intégralité des versions antérieures et des commentaires supprimés.
Non. Un scan passé à la reconnaissance optique de caractères redevient du texte parfaitement indexable, et la plupart des services d’IA appliquent cette reconnaissance automatiquement. L’image ne protège rien ; elle retarde seulement la lecture de quelques secondes.
Non, sauf cas particulier. Les dates sont des quasi-identifiants, mais elles portent le raisonnement juridique : prescription, ancienneté, délais de préavis, échéances. Les masquer rend le document inexploitable par l’IA, c’est-à-dire qu’on perd l’intérêt de l’envoi. Le choix courant est de les conserver et de compenser sur les autres éléments.
Aucune détection n’est parfaite, et se fier à un outil qui prétend l’être est le vrai danger. Ce qu’on peut exiger, c’est un taux mesuré et publié plutôt qu’affirmé, et un comportement sûr en cas de panne : si le moteur ne répond pas, l’envoi doit être bloqué et non transmis en clair.
Pour l’essayer sur vos propres fichiers — Word, PDF, e-mails, scans : anonymisateur.fr, vingt pages par mois offertes, sans carte bancaire.
Déposez le fichier. Le reste est automatique.
Word, PDF, e-mails et scans. La table de correspondance reste chez vous.