Dans le langage courant, les deux mots sont interchangeables : on « anonymise » un document dès qu’on en retire les noms. En droit, ils désignent deux opérations distinctes, aux conséquences opposées : l’une maintient vos traitements dans le champ du RGPD, l’autre les en fait sortir. Et la frontière entre les deux vient d’être précisée par la Cour de justice de l’Union européenne, dans un arrêt de septembre 2025 qui intéresse directement tous ceux qui envoient des documents à des outils d’IA.
La pseudonymisation est définie par l’article 4, paragraphe 5, du RGPD : un traitement effectué de telle façon que les données ne puissent plus être attribuées à une personne précise « sans avoir recours à des informations supplémentaires », ces informations étant conservées séparément et protégées. Remplacer « Monsieur Martin » par PERSON_1 en conservant une table de correspondance est l’exemple type. Les données pseudonymisées restent des données à caractère personnel : le RGPD continue de s’appliquer intégralement à qui peut inverser l’opération.
L’anonymisation, elle, n’est pas définie par un article mais par le considérant 26 du RGPD : des informations « ne concernant pas une personne physique identifiée ou identifiable », rendues anonymes de manière irréversible. Ces données sortent du champ du règlement. La contrepartie de cette liberté est l’exigence : l’irréversibilité s’apprécie au regard de « l’ensemble des moyens raisonnablement susceptibles d’être utilisés » pour ré-identifier la personne.
Depuis l’avis 05/2014 du G29, repris par les autorités européennes, une anonymisation robuste se mesure à trois critères. L’individualisation : peut-on encore isoler une personne dans le jeu de données ? La corrélation : peut-on relier entre eux des enregistrements concernant la même personne ? L’inférence : peut-on déduire, avec une quasi-certitude, une information sur elle ? Si l’une de ces trois opérations reste possible avec des moyens raisonnables, on se trouve au mieux face à une pseudonymisation. L’histoire des trente dernières années, du dossier médical du gouverneur Weld aux jeux de données AOL et Netflix, a montré combien ce test est exigeant : nous l’avons retracée dans notre article sur l’anonymisation depuis l’ère d’internet.
Deux arrêts de la CJUE encadrent la question. Dans l’affaire Breyer (2016), la Cour a jugé qu’une adresse IP dynamique constitue une donnée personnelle pour un éditeur de site dès lors qu’il existe des moyens légaux d’obtenir l’identification auprès du fournisseur d’accès : ce qui compte, ce sont les moyens de ré-identification raisonnablement disponibles.
Le 4 septembre 2025, dans l’affaire C-413/23 P (EDPS c. SRB), la Cour a franchi une étape attendue de longue date en consacrant une approche relative : la qualification de donnée personnelle s’apprécie du point de vue de celui qui détient les données. Des commentaires d’actionnaires, pseudonymisés puis transmis à un cabinet d’audit sans la clé de correspondance, pouvaient ne pas constituer des données personnelles pour ce destinataire, dépourvu de moyen raisonnable de ré-identifier les auteurs. La Cour maintient en revanche toutes les obligations de l’émetteur, qui conserve la clé : pour lui, les données restent personnelles, et son obligation d’informer les personnes concernées demeure entière.
Les lignes directrices 01/2025 du Comité européen de la protection des données, adoptées en janvier 2025, complètent le tableau : les données pseudonymisées restent des données personnelles pour qui peut les attribuer à une personne, la pseudonymisation facilite en contrepartie la conformité (minimisation, sécurité, intérêt légitime), et sa solidité repose sur des mesures précises, tables de correspondance sécurisées et strictement séparées des données transformées.
| Critère | Pseudonymisation | Anonymisation |
|---|---|---|
| Réversibilité | Oui, pour qui détient les informations supplémentaires (table, clé) | Non, irréversible avec des moyens raisonnables |
| Statut RGPD | Données personnelles, RGPD applicable | Hors champ du RGPD |
| Texte de référence | Article 4 § 5 du RGPD | Considérant 26 du RGPD |
| Exemple type | Jetons PERSON_1 avec table conservée séparément | Statistiques agrégées sans possibilité d’isoler quiconque |
| Usage type | Flux de travail où il faut pouvoir ré-identifier (dossiers, IA, sous-traitance) | Publication, archives, jeux de données ouverts |
La décision de justice en open data. Les noms des parties y sont occultés avant publication, mais le greffe et les parties peuvent évidemment faire le lien avec le dossier. Il s’agit d’une pseudonymisation, ce que confirme la persistance d’un régime protecteur autour de ces décisions.
Le jeu de statistiques agrégées. Un tableau de contentieux par juridiction et par trimestre, sans granularité permettant d’isoler une affaire, tend vers l’anonymisation véritable : personne ne peut y être individualisé, relié ni inféré.
Le document envoyé à une IA avec des jetons. C’est le cas qui nous occupe chez Lexform : les identifiants de vos documents sont remplacés par des jetons neutres, et la table de correspondance reste sur votre poste, jamais sur nos serveurs. De votre point de vue, l’opération est une pseudonymisation : vous gardez la clé, vous restez dans le RGPD, et vous pouvez ré-identifier le résultat au retour. Du point de vue du fournisseur d’IA situé en aval, qui ne reçoit ni la table ni de moyen raisonnable de remonter aux personnes, la logique de l’arrêt du 4 septembre 2025 conduit à considérer qu’il ne traite pas, pour lui, des données identifiables. Cette architecture, clé chez vous, jetons chez lui, est précisément celle que la jurisprudence récente vient de conforter. Elle suppose une transformation robuste et une relecture finale du document, qui reste sous votre contrôle avant envoi.
Le choix découle de l’usage. Pour un flux de travail quotidien avec l’IA, la pseudonymisation à table locale est l’outil adapté : elle protège ce qui sort, tout en vous laissant la possibilité de réinjecter les vraies identités dans le document au retour, ce qui est indispensable pour produire une conclusion ou un courrier utilisable. Pour une publication, un jeu de données ouvert ou des archives statistiques, visez l’anonymisation véritable, en vérifiant les trois critères d’individualisation, de corrélation et d’inférence.
Pour un cabinet d’Avocats, la question croise en outre le secret professionnel, qui obéit à sa propre logique et couvre jusqu’au nom des clients : nous y avons consacré un article complet sur le secret professionnel à l’ère de l’IA.
Oui, pour toute personne ou organisation en mesure de les ré-identifier, notamment celle qui détient la table de correspondance. L’arrêt CJUE du 4 septembre 2025 admet en revanche qu’un destinataire dépourvu de tout moyen raisonnable de ré-identification puisse ne pas traiter de données personnelles.
Elle empêche l’exposition des identités et de l’affaire dans le flux sortant, ce qui est l’essentiel du risque avec les outils d’IA. Le secret demeure une obligation personnelle de l’Avocat : l’outil réduit l’exposition, la vigilance reste la vôtre.
L’API Lexform s’intègre dans vos logiciels métier avec un endpoint unique et des SDK Node et Python, facturés au mot avec décompte renvoyé à chaque appel. L’extension navigateur couvre les usages quotidiens sans intégration.
Pour voir la différence sur vos propres documents, en conditions réelles : lexform.zevra.tech, 8 000 mots offerts chaque mois, sans carte bancaire.
Pseudonymisez vos échanges avec Claude, dès aujourd’hui.
L’extension s’installe en deux minutes. La table de correspondance reste chez vous.