Avant de confier un corpus à une IA, une question simple se pose : que contient-il, et que peut-on encore y laisser ? L’anonymiseur de documents que nous avons mis en ligne sert à préparer ce corpus : repérer des identifiants directs, les remplacer, récupérer une archive, la relire. Il ne prétend pas rendre les fichiers « anonymes » au sens strict. Voici ce qu’il fait, comment les fichiers sont traités, et ce que nous demandons encore à un humain.
À quoi sert l’outil, concrètement
Vous déposez des fichiers, ou vous importez une sélection de messages. Vous choisissez les catégories à remplacer et le mode de remplacement. L’outil réécrit chaque document et prépare une archive à télécharger. Vous la relisez, surtout les documents signalés « À vérifier », avant de la confier à une IA, ou de la partager.
La détection s’effectue sur le serveur de l’outil, par règles, dictionnaires et OCR. Les documents ne sont pas envoyés à un modèle génératif, ni à un service d’IA tiers, pour être analysés. C’est un point de conception, pas un argument de catalogue. Beaucoup d’équipes veulent justement préparer un corpus avant qu’il ne parte vers un modèle. L’outil se place à cette étape.
Les formats acceptés incluent les PDF natifs ou scannés, Word, Excel, PowerPoint, les images, le texte, le CSV, les e-mails .eml et .msg, ainsi que d’autres extensions proches (markdown, variantes de documents bureautiques, formats d’image courants). La limite est de 50 Mo par fichier, 200 Mo et 100 fichiers par lot. Au-delà, il faut découper le travail, pas forcer l’archive.
Aucun compte n’est créé pour utiliser l’anonymiseur. On arrive, on dépose, on récupère, on s’en va. Ce n’est pas un espace de travail permanent. C’est un passage.
Catégories, modes, table de correspondance
On peut choisir ce que l’on remplace : noms de personnes, adresses e-mail, téléphones, adresses postales, dates de naissance, numéros de sécurité sociale (NIR), IBAN, BIC / SWIFT, cartes bancaires, SIRET, SIREN, passeports et cartes d’identité, plaques d’immatriculation, adresses IP, profils de réseaux sociaux. D’autres catégories, désactivées par défaut, portent sur certaines URL, les lieux (villes, pays) et les organisations. Tout activer « par précaution » n’est pas toujours plus sûr, ni plus utile : un corpus trop masqué peut devenir inexploitable, un corpus trop ouvert reste risqué. On choisit selon l’usage prévu.
Deux modes existent. La pseudonymisation cohérente donne à chaque personne un jeton stable dans tout le corpus, du type [PERSONNE_1], [EMAIL_2]. C’est souvent le plus utile pour une IA, qui peut encore relier des mentions entre elles sans voir le nom. Le masquage simple n’affiche que la catégorie, [PERSONNE] : on ne peut plus relier deux mentions entre elles. Selon que l’on veuille analyser un dossier ou seulement réduire des identifiants, on ne choisit pas le même mode.
On peut aussi proposer une table de correspondance : un fichier séparé, qui relie chaque jeton à sa valeur d’origine, téléchargeable une seule fois. Ce fichier permet de réidentifier les personnes. Il doit rester à part, et ne doit jamais être transmis à une IA. Nous y reviendrons dans une note suivante, avec ce que disent la CNIL et l’avis du G29. Dès maintenant, le principe est net : la table n’est pas un livrable pour le modèle.
Ce que deviennent les fichiers
Chaque original est effacé du serveur dès sa réécriture, avant même la fin du lot. Aucune copie source n’est conservée. Il reste l’archive pseudonymisée, le temps de la télécharger. Cette archive est supprimée automatiquement au bout de dix minutes, et aussi dès le téléchargement. Le contenu des documents n’est pas journalisé. Si la session expire, si le traitement échoue, si le serveur redémarre, les messages de l’interface le disent : les données de la session ont été effacées.
L’archive contient les documents dans leur format d’origine, ainsi qu’un rapport de conformité. Le rapport distingue notamment des statuts : conforme, à vérifier, risqué. Des alertes peuvent précéder la lecture. Ce rapport n’est pas une décision juridique. C’est une aide pour savoir où relire.
On peut importer des e-mails depuis Gmail ou Outlook, en lecture seule. On coche des messages, ou l’on prend les 10, 30, 50 ou 100 derniers. Le jeton d’accès reste sur le serveur le temps de cette sélection, puis il est effacé. Aucun message n’est modifié ni supprimé dans la boîte. Pour Outlook, un compte personnel (Hotmail, Outlook.com) se distingue d’un compte professionnel (Microsoft 365). Cette connexion n’est pas un compte de l’anonymiseur : c’est seulement l’autorisation, le temps de choisir les messages.
Cookies, audience, absence de tarif d’abonnement
Un cookie technique de session n’est déposé que si l’on connecte Gmail ou Outlook, le temps de choisir les messages. Aucun cookie publicitaire n’est utilisé. Une mesure d’audience, de type Google Analytics, reste inactive tant qu’on ne l’autorise pas, et seulement si elle est configurée côté serveur. La bannière le propose : refuser, personnaliser, tout accepter.
Il n’y a pas d’abonnement à souscrire pour se servir de l’outil tel qu’il est publié. Pas de plan, pas de siège, pas de page tarifs. On l’utilise sans créer de compte. Si vos contraintes exigent un autre déploiement, c’est un sujet de projet, à parler à part, pas un tarif caché dans cette note.
L’interface est en français. Le site ne propose pas de version anglaise distincte au moment où nous écrivons.
Ce que l’outil ne fait pas
Il ne rend pas, à lui seul, un jeu de données anonyme au sens du RGPD. Il pseudonymise des identifiants qu’il a pu repérer. Le contexte — une fonction rare, un récit reconnaissable, un recoupement avec une autre source — peut encore permettre d’identifier quelqu’un. La relecture humaine n’est pas optionnelle, surtout sur les documents « À vérifier » ou « Risqué ».
Il ne voit pas non plus « tout ». Un identifiant mal formé, un surnom, une image où le nom est écrit de façon peu lisible, un tableau exotique, peuvent passer entre les mailles. Les règles, les dictionnaires et l’OCR réduisent le risque. Ils ne le suppriment pas. D’où, encore, la relecture.
Nous n’inventons pas, ici, de taux de détection, ni de volume de documents déjà traités, ni de clients. Nous décrivons le service public tel qu’il est en ligne, et la façon dont nous conseillons de s’en servir : préparer, relire, puis seulement envoyer au modèle ce que l’on a décidé d’envoyer. Un corpus plus petit, relu, vaut souvent mieux qu’un grand dossier versé d’un seul geste, dont plus personne ne sait ce qu’il contient encore.
Le rapport de conformité, une fois l’archive ouverte, donne un ordre de lecture. On commence par les documents risqués et à vérifier, on ouvre les pages signalées, on cherche ce que l’outil a pu manquer. Ensuite seulement on regarde les documents jugés conformes, par sondage, pour ne pas s’endormir sur un feu vert. Cette passe n’est pas longue si le lot est raisonnable. Elle l’est si l’on a déposé cent fichiers « pour voir ».
Préparer, relire, ensuite seulement confier
L’anonymiseur est un passage, volontairement éphémère, pour réduire des identifiants avant un usage d’IA, ou avant un partage interne mieux cadré. Il s’utilise sans compte, sur son propre serveur de traitement, sans envoyer les documents à une IA tierce pour les analyser. Il demande ensuite une relecture, et une discipline sur la table de correspondance.
Si vous voulez poser ce geste dans un projet — quels documents, quelles catégories, quel mode, qui relit — nous pouvons l’écrire avec vous. Un message sur la page contact, ou un rendez-vous, suffit. On part du corpus, pas d’une promesse d’anonymat total.