Anonymiser un dossier avant de le soumettre à ChatGPT

Supprimer le nom du client ne suffit pas toujours. Une combinaison de faits, dates, montants ou fonctions peut permettre de reconnaître une personne ou une affaire, y compris dans un texte d’où toute identité nominative a disparu.

Suffit-il de retirer le nom du client ?

Non. L’anonymisation échoue sur le contexte, pas sur les noms : une date d’audience, un montant de transaction, une fonction dans une entreprise identifiable ou la combinaison d’un secteur et d’une région suffisent souvent à désigner le dossier.

Le bon critère n’est pas « ai-je enlevé les noms » mais « une personne informée pourrait-elle reconstituer l’affaire ». La différence change ce qu’il faut retirer.

Quelles informations ne doivent pas être collées dans un prompt ?

Tout ce qui relève du secret, et tout ce qui permet d’y remonter. La liste est plus large que les données personnelles au sens du RGPD, parce que le secret professionnel couvre aussi la stratégie et les travaux du cabinet.

Noms, coordonnées, stratégie, confidences, pièces, informations financières et travaux du cabinet exigent une attention particulière. Le Conseil national des barreaux rappelle le rôle de gardien du secret confié à l’avocat. Notre checklist des contrôles à passer avant de saisir un prompt reprend ces catégories sous une forme utilisable au quotidien. Pour décider plus largement quels usages autoriser, encadrer ou refuser, consultez aussi notre guide sur le secret professionnel IA pour l’avocat.

Comment savoir si l’outil est autorisé pour ce type de données ?

En le vérifiant avant la saisie, pas après. Une version grand public et une version professionnelle du même outil n’offrent pas les mêmes garanties de conservation ni d’entraînement, et l’écart ne se voit pas dans l’interface.

Avant toute transmission, vérifiez que l’outil et le type d’usage sont autorisés. Les conditions de conservation, d’entraînement, d’accès et de sous-traitance doivent avoir été analysées par les personnes compétentes du cabinet. Cette qualification des outils et des usages fait l’objet de la journée Gouvernance IA, déontologie et AI Act, et recoupe l’obligation de maîtrise de l’IA attendue des cabinets.

Comment tester qu’un dossier anonymisé n’est pas réidentifiable ?

En le relisant avec les yeux de quelqu’un qui connaît le milieu. Le test tient en une question : un confrère du même barreau, ou un journaliste suivant le secteur, reconnaîtrait-il l’affaire à partir de ce seul texte ?

Relisez le prompt comme une personne connaissant le secteur ou le litige. Si les éléments permettent de reconnaître le client ou l’affaire, l’anonymisation est insuffisante. Remplacez alors les valeurs plutôt que de les effacer : un montant transposé et une chronologie décalée conservent la logique du raisonnement sans conserver le dossier.

Que faire quand l’anonymisation ne suffit pas ?

Changer de support plutôt que de forcer le passage. Certains dossiers ne peuvent pas être suffisamment abstraits sans perdre la question juridique qui les rend intéressants.

Utilisez un scénario fictif, une structure abstraite ou un outil validé avec les garanties nécessaires. En cas de doute, suspendez la saisie et utilisez le canal défini par le cabinet.