L'utilisation pseudonymisée de l'IA est-elle automatiquement conforme au RGPD ?

Quelle est la différence entre données pseudonymisées et anonymes ?

L’article 4, point 5, du RGPD décrit la pseudonymisation ainsi : des données personnelles sont traitées de telle façon qu’elles ne peuvent plus être attribuées à une personne sans informations supplémentaires, et ces informations sont conservées séparément et protégées. Un identifiant comme « PATIENT_17 », dont une table connaît le vrai nom, en est l’exemple type. Selon l’article 32 du RGPD, la pseudonymisation est une mesure de protection reconnue, mais elle ne rend pas les données anonymes.

Selon le considérant 26 du RGPD, les données ne sont anonymes que lorsque la personne ne peut plus être identifiée par les moyens raisonnablement susceptibles d’être utilisés. Le RGPD ne s’applique alors pas à ces données.

Qu’a décidé la CJUE dans l’affaire C-413/23 P ?

L’affaire opposant le Contrôleur européen de la protection des données (CEPD) au Conseil de résolution unique (CRU) portait sur des observations d’actionnaires que le CRU avait transmises à un cabinet de conseil avec des codes à la place des noms. Le 4 septembre 2025, la Cour a retenu trois points :

• Les données pseudonymisées ne sont pas personnelles dans tous les cas et pour toute personne. Une pseudonymisation efficace peut effectivement empêcher d’autres personnes que le responsable du traitement d’identifier quelqu’un (point 86). Encore faut-il que le destinataire ne puisse pas lever ces mesures et que d’autres moyens ne permettent pas non plus l’identification (point 77).
• Pour le responsable du traitement, elles restent personnelles. Celui qui connaît la correspondance continue de traiter des données personnelles.
• L’obligation d’information dépend du responsable du traitement. La question de savoir si les personnes concernées doivent être informées des destinataires s’apprécie au moment de la collecte et du point de vue du responsable du traitement (point 111), et non de celui du destinataire.

L’arrêt porte sur le règlement relatif à la protection des données par les institutions de l’UE ; ses notions correspondent à celles du RGPD. La Cour a renvoyé l’affaire devant le Tribunal de l’UE pour un nouvel examen.

Qu’est-ce que cela signifie pour un proxy placé devant un modèle d’IA ?

Toute utilisation d’un proxy implique trois points de vue :

Acteur	Les données sont-elles personnelles ?	Conséquences
Votre organisation	oui, vous connaissez la correspondance	base légale selon l’art. 6 du RGPD, pour les données de santé une exception selon l’art. 9, paragraphe 2, information des personnes concernées, le plus souvent une analyse d’impact (AIPD)
Fournisseur du proxy	oui, s’il traite des données d’origine ou la table de correspondance	en règle générale sous-traitant, accord de traitement des données selon l’art. 28 du RGPD
Fournisseur du modèle	examen au cas par cas	dépend des moyens d’identification dont il dispose de manière réaliste

Pour le fournisseur du modèle, deux points comptent. Premièrement : selon le projet de lignes directrices 02/2026 (point 15), pour un organisme qui traite des données pour le compte d’un autre, c’est le point de vue du responsable du traitement qui prévaut. Si les données sont personnelles pour vous, elles le sont aussi pour votre sous-traitant. Un fournisseur de modèle qui effectue les calculs pour votre compte est dans ce rôle. Il ne peut en aller autrement que pour un destinataire qui décide de manière indépendante des finalités et des moyens ; le projet cite l’exemple d’un institut de recherche qui reçoit des extraits de dossiers de patients. Deuxièmement : même pour un destinataire indépendant, la séparation de la clé ne suffit pas à elle seule. Des diagnostics rares, des indications de lieu ou des liens entre plusieurs requêtes peuvent rendre une personne identifiable.

Comment les autorités de protection des données apprécient-elles l’anonymat ?

Le Comité européen de la protection des données (EDPB, son sigle anglais) a adopté le projet de lignes directrices 02/2026 sur l’anonymisation le 7 juillet 2026 ; la consultation publique court jusqu’au 30 octobre 2026. Le projet apprécie l’anonymat par rapport à chaque destinataire et examine trois critères :

1. Individualisation : Un enregistrement peut-il être attribué à une seule personne, par exemple par une combinaison rare de caractéristiques ?
2. Corrélation : Des enregistrements peuvent-ils être reliés à d’autres données concernant la même personne ?
3. Inférence : Peut-on déduire des données des informations précises sur une personne ?

La CNIL utilise elle aussi ces trois critères. Dans son guide d’orientation sur l’IA (mai 2024), la Datenschutzkonferenz (DSK, conférence des autorités allemandes de protection des données) souligne qu’il ne suffit généralement pas de retirer les noms et adresses d’une saisie, car le lien avec une personne peut découler du contexte. Nous n’avons connaissance d’aucune validation générale d’un logiciel de proxy particulier par une autorité de contrôle.

Que devez-vous faire malgré la pseudonymisation ?

• Définir la base légale de chaque étape de traitement, pour les données de santé l’exception selon l’art. 9, paragraphe 2, du RGPD.
• Informer les personnes concernées des destinataires selon les art. 13 et 14 du RGPD, même si ceux-ci ne reçoivent que des pseudonymes.
• Conclure les contrats : accord de traitement des données avec le fournisseur du proxy et, selon son rôle, avec le fournisseur du modèle (Accord de traitement des données avec les fournisseurs d’IA).
• Réaliser une analyse d’impact et évaluer le risque résiduel de réidentification (AIPD pour l’IA).
• Examiner séparément les transferts vers des pays tiers (Transferts hors UE).
• Pour les secrets professionnels, respecter le § 203 StGB (Code pénal allemand, secret professionnel).

Comment cela fonctionne-t-il avec basebox ?

Avec basebox, la plateforme et le modèle d’IA fonctionnent sur un serveur dans votre établissement ou dans notre cloud, au centre de données de Munich-Est ; par défaut, vos données ne vont à aucun modèle d’IA d’un autre fournisseur. La question de savoir si un fournisseur de modèle peut traiter des données pseudonymisées comme anonymes ne se pose donc pas. Les données restent personnelles et sont traitées sur la base de l’accord de traitement des données et, pour les professions soumises au secret, de l’accord selon le § 203 StGB. Si vous utilisez l’app optionnelle avec un modèle externe, vous décidez avec votre délégué à la protection des données (DPO) pour quelles données (détails).

Pas un conseil juridique : Cet article donne un aperçu de la situation au 11 octobre 2026. Les lignes directrices 02/2026 sont un projet en consultation et peuvent évoluer ; l’affaire C-413/23 P n’est pas encore close devant le Tribunal de l’UE. Vérifiez votre cas d’usage avec votre délégué à la protection des données.