Anonymisation, pseudonymisation, dé-identification : définitions et effet de ndaact.ai

L’anonymisation est irréversible, la pseudonymisation garde une clé, la dé-identification décrit l’effet pour le destinataire ; ndaact.ai fait la deuxième et vise la troisième.

Cette page donne les trois définitions, les textes qui les fondent et la position exacte de ndaact.ai, y compris ses limites. Elle s’adresse au DPO, à l’avocat solo, au médecin libéral ou à l’expert-comptable qui veut savoir quel mot employer dans son registre de traitements.

Les trois termes en un tableau

Terme	Définition	Texte de référence
Anonymisation	Les données ne permettent plus d'identifier la personne, par aucun moyen raisonnablement susceptible d'être utilisé. Le RGPD ne s'applique alors plus à ces informations. L'opération ne se défait pas.	RGPD, considérant 26
Pseudonymisation	Les données ne peuvent plus être attribuées à une personne précise sans informations supplémentaires, conservées séparément et protégées par des mesures techniques et organisationnelles. La clé existe, donc l'opération se défait pour celui qui la détient.	RGPD, article 4(5)
Dé-identification	Terme absent du RGPD. Nous l'employons pour décrire l'effet sur un destinataire donné : s'il ne dispose d'aucun moyen raisonnable de ré-identifier les personnes, les données peuvent ne plus être personnelles pour lui.	CJUE, C-413/23 P, 4 septembre 2025, points 76, 77, 85 et 86

Ce que fait ndaact.ai sur votre poste

ndaact.ai détecte des entités (noms, adresses, identifiants) dans le texte, puis remplace chacune par un marqueur du type {{PERSON_a1b2}}. La table de correspondance reste sur votre machine : c’est elle qui permet de restituer les valeurs d’origine dans la réponse du modèle.

Cette table existe, donc l’opération est une pseudonymisation côté client au sens de l’article 4(5). De votre côté, les données restent des données personnelles. Parler d’anonymisation pour votre poste serait inexact.

Ce que reçoit le fournisseur du modèle

Le texte part ensuite chez le fournisseur du modèle, avec des marqueurs à la place des entités détectées. Il ne reçoit pas la table de correspondance. L’effet visé est une dé-identification à son égard.

La CJUE a précisé cette approche relative dans l’arrêt EDPS c. CRU (C-413/23 P, 4 septembre 2025). Elle juge que des données pseudonymisées ne sont pas des données personnelles « en toute hypothèse et pour toute personne » (point 86). Pour le responsable du traitement qui détient les informations supplémentaires, elles restent personnelles (point 76). Pour le destinataire, tout dépend de deux conditions posées au point 77 : il ne doit pas pouvoir lever les mesures de pseudonymisation, et ces mesures doivent l’empêcher de rattacher les données à la personne par d’autres moyens, comme un recoupement.

Deux précisions de l’arrêt limitent ce raisonnement :

• Si le destinataire peut raisonnablement rattacher les données à la personne par recoupement, la personne reste identifiable pour lui et pour tout traitement ultérieur (point 85).
• Pour l’obligation d’informer les personnes concernées, le caractère identifiable s’apprécie au moment de la collecte, du point de vue du responsable du traitement (point 111).

L’arrêt annule par ailleurs l’arrêt du Tribunal de l’Union européenne et renvoie l’affaire devant lui. Il porte sur le règlement (UE) 2018/1725, dont les définitions sont en substance identiques à celles du RGPD, comme la Cour le relève au point 52.

Ce que dit l’EDPB

L’avis 28/2024 du Comité européen de la protection des données, adopté le 17 décembre 2024, traite des modèles d’IA. Il retient qu’un modèle entraîné avec des données personnelles ne peut pas être tenu pour anonyme dans tous les cas, et que l’anonymat s’apprécie au cas par cas, en tenant compte de « tous les moyens raisonnablement susceptibles d’être utilisés » par le responsable du traitement ou par une autre personne. Cet avis vise les modèles, pas les prompts. Nous le citons pour le critère des moyens raisonnables, qui est le même.

Les limites de ndaact.ai

• La détection peut manquer des entités. Une entité non détectée reste en clair dans le texte envoyé.
• Un identifiant indirect noyé dans le texte libre (« mon client, seul boulanger bio de la commune ») peut rester identifiant par recoupement.
• ndaact.ai ne rend donc pas le prompt entier anonyme. Il remplace les entités détectées et vous aide à limiter ce que le fournisseur reçoit, sans garantir que chaque entité soit trouvée.
• Relisez le texte avant l’envoi et vérifiez avec votre DPO ou votre conseil ce que votre déontologie et votre registre de traitements permettent.

Quel mot employer dans votre registre

Pour votre poste : pseudonymisation côté client. Vis-à-vis du fournisseur du modèle : mesure visant une dé-identification, dont l’effet dépend des entités réellement détectées et de ce que le fournisseur peut recouper. Ce vocabulaire est celui de notre politique de confidentialité.

Source : RGPD art. 4(5) et considérant 26, EUR-Lex, consulté le 11 octobre 2026 ; CJUE, EDPS c. CRU, C-413/23 P, 4 septembre 2025, EUR-Lex, consulté le 11 octobre 2026 ; EDPB, avis 28/2024, 17 décembre 2024, consulté le 11 octobre 2026.