Anonymisation des données : le pare-feu entre votre PME et l'IA

Vos équipes collent déjà des contrats, des fiches RH et des courriers clients dans ChatGPT. Le problème n'est pas l'IA, c'est ce qu'il y a dedans. Et la seule parade qui tienne, c'est l'anonymisation des données.

Anonymisation des données : l'étape que tout le monde saute

Dans les faits : un collaborateur reçoit un litige client à résumer. Il ouvre une IA générative, copie-colle le dossier, demande une synthèse. Le gain de temps est réel. Le nom du client, son adresse, son numéro AVS, son salaire, parfois son état de santé : partis sur un serveur dont vous ne maîtrisez ni l'emplacement ni la durée de conservation.

Multipliez ça par le nombre d'employés et de prompts par jour. Vous obtenez une fuite organisée de données personnelles. Sans pirate. Sans intrusion. Juste un copier-coller.

L'anonymisation des données, c'est précisément l'étape que tout le monde saute. Et c'est exactement celle qui vous protège.

Pourquoi la nLPD ne rigole pas avec ça

Depuis le 1er septembre 2023, la nouvelle loi sur la protection des données (nLPD) a remplacé le texte de 1992. Elle s'applique à toute entreprise qui traite des données de personnes en Suisse, quelle que soit sa taille. (Oui, votre PME de huit personnes aussi.)

Ce qu'elle exige : transparence, documentation des traitements, sécurité technique, et annonce d'une violation au Préposé fédéral (PFPDT) en cas de fuite. La loi prévoit aussi des amendes qui visent les personnes responsables, pas seulement la société.

Transmettre un document truffé de données personnelles à un outil hébergé hors de Suisse, sans base légale ni information de la personne concernée, c'est typiquement le genre de traitement que la nLPD encadre. L'anonymisation des données coupe le problème à la racine : pas de donnée personnelle transmise, pas de traitement à justifier.

À noter : la qualification juridique exacte dépend du cas. Faites valider vos process par un juriste avant de les graver dans le marbre.

Anonymiser, pseudonymiser : ne confondez pas

Tout le monde dit « anonymiser ». Peu le font vraiment.

L'anonymisation des données rend l'identification d'une personne impossible, de façon irréversible. Une donnée réellement anonyme n'est plus une donnée personnelle : elle sort du champ de la loi. C'est le Graal.

La pseudonymisation, elle, remplace l'identité par un code, mais on peut faire marche arrière. La donnée reste personnelle. Elle reste soumise à la nLPD.

La nuance n'est pas cosmétique. Une anonymisation bâclée laisse des miettes : un contexte trop précis, une date, un montant unique suffisent parfois à ré-identifier quelqu'un. Les autorités décrivent trois risques à neutraliser : isoler un individu, recouper deux fichiers, déduire une information manquante.

Bref. Anonymiser, ce n'est pas masquer un nom. C'est s'assurer qu'on ne peut plus remonter à la personne.

Le piège de l'anonymisation à la main

La méthode artisanale existe : ouvrir le document, chercher chaque nom, chaque adresse, chaque date de naissance, et remplacer. Sur un contrat de deux pages, ça passe. Sur un dossier de cinquante, c'est fastidieux, chronophage et source d'erreurs. Il suffit d'un oubli pour que tout l'exercice ne serve à rien.

Résultat : par prudence, beaucoup d'entreprises renoncent à l'IA. Elles passent à côté d'un vrai gain de productivité pour éviter un risque qu'elles ne savent pas maîtriser. Dommage. Le risque se maîtrise.

SwissGeneris : anonymiser sans envoyer vos données nulle part

Se présente alors SwissGeneris, l'outil d'anonymisation des données développé par les équipes techniques de LegalPass. Gratuit, disponible en français, allemand et anglais, et surtout construit sur un principe simple : « no trust ».

Concrètement, vos documents en clair ne quittent jamais votre machine. Le traitement s'effectue intégralement sur votre ordinateur. LegalPass n'a aucun accès à vos données non anonymisées. Et vous validez chaque substitution avant l'export.

Le déroulé tient en quatre temps : vous chargez votre .docx, l'outil repère automatiquement les données sensibles, vous vérifiez et ajustez les propositions, vous exportez un document propre, prêt à passer dans l'IA. C'est un peu plus lent qu'une solution cloud. C'est le prix d'un outil qui ne fait confiance à personne, surtout pas au cloud.

Une version Pro est annoncée, avec anonymisation en temps réel et prise en charge des PDF.

Tester l'outil gratuitement sur SwissGeneris, l'outil d'anonymisation gratuit de LegalPass

Simplifiez votre gestion des tâches juridiques avec LegalPass

L'anonymisation des données, c'est le réflexe d'entrée. Le reste du juridique de votre PME mérite le même traitement : centralisé, prévisible, sans facture d'avocat à chaque question. C'est l'idée de LegalPass, le Bexio du droit : générer vos contrats au format suisse, faire relire vos clauses par l'IA, ranger vos dossiers dans un coffre hébergé en Suisse. Essai gratuit 15 jours sur legalpass.ch.

FAQ

L'anonymisation des données est-elle obligatoire en Suisse ?
La nLPD n'impose pas l'anonymisation en tant que telle, mais elle exige la sécurité et la minimisation des données. Anonymiser avant de confier un document à un tiers (dont une IA) reste l'un des moyens les plus efficaces d'y répondre.

Une donnée anonymisée est-elle encore soumise à la nLPD ?
Si l'anonymisation est réellement irréversible, la donnée n'est plus personnelle et sort du champ de la loi. Si on peut ré-identifier la personne, c'est de la pseudonymisation, et la loi continue de s'appliquer.

Puis-je utiliser ChatGPT au travail si j'anonymise d'abord ?
Anonymiser réduit fortement le risque lié aux données personnelles. Vérifiez tout de même les conditions de l'outil et votre politique interne, et faites valider votre process par un juriste.

SwissGeneris envoie-t-il mes documents sur Internet ?
Non. Le traitement est 100% local : vos documents en clair restent sur votre machine.

---

Ce contenu est informatif et ne remplace pas un conseil juridique individualisé. Pour une situation précise, consultez un·e juriste. Les points juridiques (qualification de l'anonymisation, obligations nLPD) sont à confirmer par un·e juriste avant publication.