Commissaire aux comptes anonymisation automatique docs clients transmis à une IA

H1 260713 France & DOM – Commissaire aux comptes : anonymisation automatique des documents transmis à une intelligence artificielle, quelles solutions ?

Christophe Guyot-Sionnest expert-comptable, commissaire aux comptes depuis 1990 MOB +33667399676 BUR +33188245403 email contact@conseil-cac.com site web www.conseil-cac.com

L’intelligence artificielle peut accélérer l’analyse de balances, FEC, contrats, procès-verbaux, rapports juridiques ou dossiers de consolidation. Pour un commissaire aux comptes, son utilisation soulève toutefois une question centrale : comment transmettre un document à une IA sans exposer les données confidentielles du client, les données personnelles et les informations couvertes par le secret professionnel ?

Les commissaires aux comptes sont soumis au secret professionnel et à une obligation de prudence et de discrétion. Le recours à une plateforme d’intelligence artificielle ne fait pas disparaître ces obligations. Avant tout téléversement, il faut donc apprécier la sensibilité des informations, les conditions contractuelles du fournisseur et le niveau réel d’anonymisation du document.

Notre cabinet intervient en France métropolitaine et dans les DOM — Guadeloupe, Martinique, Guyane, La Réunion et Mayotte — sur des missions d’audit légal, d’audit contractuel, d’analyse financière et de contrôle des systèmes d’information. L’anonymisation préalable constitue désormais un élément important de la gouvernance documentaire et numérique des cabinets.

Anonymisation et pseudonymisation : ne pas confondre

L’anonymisation consiste à rendre impossible, de manière effective et irréversible, l’identification d’une personne. Lorsqu’elle est réellement obtenue, les données ne sont plus considérées comme personnelles au sens du RGPD. À l’inverse, la pseudonymisation remplace les données directement identifiantes par des alias, des numéros ou des codes, mais une réidentification reste possible grâce à des informations complémentaires.

Dans un dossier d’audit, remplacer « Monsieur Martin » par « Dirigeant A » ne suffit donc pas toujours. La société peut rester identifiable par son chiffre d’affaires, son adresse, son secteur, le nom d’une filiale, un numéro SIREN, une opération exceptionnelle ou la combinaison de plusieurs indices.

En pratique, la plupart des outils dits « d’anonymisation automatique » effectuent surtout une pseudonymisation automatisée. Cette distinction doit être clairement comprise avant de transmettre des documents à une IA.

Quelles informations faut-il détecter et supprimer ?

Un outil adapté à un cabinet doit pouvoir identifier plusieurs catégories de données :

noms, prénoms et fonctions ;
adresses postales et électroniques ;
numéros de téléphone ;
SIREN, SIRET, TVA intracommunautaire et numéros de comptes ;
coordonnées bancaires et IBAN ;
signatures ;
données sociales et salariales ;
informations médicales ou disciplinaires ;
noms des clients, fournisseurs, banques et conseils ;
clauses contractuelles sensibles ;
métadonnées des fichiers.

La collecte et l’utilisation de données personnelles dans un système d’IA restent soumises au RGPD. La CNIL recommande donc d’identifier précisément les données traitées, les finalités poursuivies, les durées de conservation et les mesures de sécurité applicables.

Première solution : l’occultation automatique des PDF

Les logiciels d’occultation peuvent rechercher des termes, des motifs ou des catégories d’informations dans un PDF : nom, adresse, numéro fiscal, IBAN ou signature.

L’occultation doit être définitive. Un simple rectangle noir placé au-dessus d’un texte ne suffit pas si le contenu reste sélectionnable, copiable ou accessible dans la couche OCR. Le fichier doit être aplati ou expurgé, puis contrôlé après traitement.

Cette solution convient aux contrats, Kbis, statuts, procès-verbaux et rapports, à condition de vérifier également :

les en-têtes et pieds de page ;
les commentaires ;
les signets ;
les propriétés du document ;
les pièces jointes incorporées.

Deuxième solution : la reconnaissance automatique des entités

Des logiciels utilisent des modèles de reconnaissance d’entités nommées, souvent appelés NER, pour détecter automatiquement les personnes, sociétés, lieux, dates, références bancaires et identifiants.

Cette méthode est particulièrement utile pour traiter de gros volumes de documents. Elle peut remplacer automatiquement :

une société par « Société A » ;
un dirigeant par « Dirigeant 1 » ;
une banque par « Établissement financier A » ;
un montant sensible par une valeur arrondie ou une tranche.

Elle doit cependant être accompagnée d’une validation humaine. Une IA peut manquer un nom mal orthographié, un texte présent dans une image, une signature manuscrite ou une information indirectement identifiante.

Troisième solution : l’anonymisation locale avant transmission

La solution la plus protectrice consiste à réaliser le traitement sur un poste local ou sur un serveur contrôlé par le cabinet, avant toute communication à un service externe.

Le processus peut comprendre :

l’extraction locale du texte ;
la détection des données sensibles ;
leur remplacement par des identifiants neutres ;
la production d’une copie anonymisée ;
un contrôle visuel ;
la transmission de la seule copie traitée à l’IA.
La table de correspondance entre les noms réels et les pseudonymes doit être conservée séparément, avec un accès restreint.

Quatrième solution : une plateforme d’IA professionnelle sécurisée

Lorsque l’anonymisation intégrale rend le document inexploitable, le cabinet peut étudier une solution professionnelle disposant de garanties contractuelles renforcées :

absence d’utilisation des données pour entraîner les modèles ;
durée de conservation limitée ;
chiffrement ;
gestion des droits d’accès ;
journalisation ;
localisation ou encadrement des transferts de données ;
suppression administrative des contenus ;
accord de traitement des données.

La CNIL rappelle que certains modèles de langage peuvent contenir ou mémoriser des données personnelles et que leur statut doit être apprécié au regard du RGPD. Une analyse contractuelle et technique du fournisseur reste donc nécessaire.

Quelle procédure interne mettre en place ?

Une procédure simple peut classer les documents en trois niveaux :

Niveau 1 : données publiques. Transmission possible après contrôle.

Niveau 2 : données confidentielles pseudonymisées. Transmission après suppression des identifiants directs et validation humaine.

Niveau 3 : secret sensible ou données à haut risque. Absence de transmission à une IA externe, sauf environnement spécifiquement autorisé et sécurisé.

Pour les traitements susceptibles de créer un risque élevé pour les personnes, une analyse d’impact relative à la protection des données peut être nécessaire.

Besoin de sécuriser l’usage de l’IA dans vos travaux d’audit ?

Vous souhaitez mettre en place une procédure d’anonymisation des FEC, contrats, dossiers juridiques ou documents financiers avant leur analyse par une intelligence artificielle ?

Nous pouvons vous accompagner pour définir une méthode adaptée aux obligations d’un commissaire aux comptes, à la nature des données et aux outils utilisés.

Demandez une étude confidentielle de votre processus documentaire, partout en France métropolitaine et dans les DOM.

Questions fréquentes

Un document pseudonymisé peut-il être transmis sans précaution ?
Non. Les données pseudonymisées restent des données personnelles lorsqu’une réidentification est possible.

Masquer un nom avec un rectangle noir suffit-il ?
Non. Le texte peut rester présent dans la couche numérique du PDF. Il faut utiliser une véritable fonction d’occultation et contrôler le fichier final.

Existe-t-il une anonymisation entièrement automatique et fiable ?
Aucun outil ne garantit une détection parfaite dans tous les documents. Une validation humaine demeure indispensable, surtout pour les dossiers d’audit sensibles.

Faut-il supprimer les montants ?
Pas systématiquement. Ils doivent être supprimés, arrondis ou remplacés lorsqu’ils permettent d’identifier l’entité ou une personne.

Peut-on transmettre un FEC à une IA ?
Cela dépend de l’environnement utilisé et du niveau de protection. Un FEC contient souvent des noms, libellés, coordonnées bancaires et informations confidentielles. Une extraction ciblée ou une pseudonymisation préalable est généralement préférable.

Les métadonnées doivent-elles être supprimées ?
Oui. Les propriétés du fichier peuvent contenir le nom de l’auteur, de la société, le chemin du serveur ou l’historique de modification.

L’IA peut-elle être utilisée par un commissaire aux comptes ?
Oui. Les normes professionnelles reconnaissent l’utilisation d’outils et techniques automatisés, notamment des logiciels d’intelligence artificielle, mais leur usage doit rester maîtrisé, documenté et compatible avec les obligations professionnelles.

Article rédigé ou présenté par Christophe Guyot-Sionnest
Commissaire aux comptes inscrit – Interventions France métropolitaine et DOM
Mandats légaux et missions ponctuelles complexes

Besoin d’un commissaire aux comptes pour une opération ?

Mob 06 67 39 96 76 adresse email cgs.conseil@gmail.com

Demande de devis ou demande de rappel pastilles bleues sur toutes nos pages – échange direct et confidentiel.

Christophe Guyot-Sionnest mob +33667399676 bur +33188245403 email cgs.conseil@gmail.com site web www.conseil-cac.com

Ci-dessous liens avec les pages pivots des services ponctuels ou permanents que nous commercialisons en France et dans les DOM : index commissariat aux comptes, commissariat aux apports, commissariat à la transformation…

Ci-après un lien d'intérêt France & DOM Obtenez votre devis commissaire aux comptes audit légal CAC en 24h : https://www.conseil-cac.com/2605-france-et-dom-obtenez-votre-devis-commissaire-aux-comptes-audit-legal-cac-en-24h_ad44798.html

Ci-après un lien d’intérêt vers l’index des services ponctuels ou permanents de commissariat aux comptes que nous commercialisons en France et dans les DOM : https://www.conseil-cac.com/france-dom-christophe-guyot-sionnest-commissaire-aux-comptes-nos-services-index_ad44312.html

Ci-après un lien d'intérêt vers notre article pivot 2603 P1 France & DOM Commissaire aux comptes France rôle missions obligations des entreprises : https://www.conseil-cac.com/2603-p1-commissaire-aux-comptes-france-role-missions-obligations-des-entreprises_ad44174.html

Ci-après un lien d'intérêt 2603 P2 France & DOM Commissaire aux apports rôle et procédure pour les apports en nature : https://www.conseil-cac.com/2603-p2-france-commissaire-aux-apports-role-et-procedure-pour-les-apports-en-nature_ad44180.html

Ci-après un lien d'intérêt France & DOM Commissaire aux apports index services apports en nature voiture immeuble titres… : https://www.conseil-cac.com/commissaire-aux-apports-index-services-apports-en-nature-voiture-immeuble-titre---_ad44483.html

Ci-après un lien d'intérêt 2603 P3 France & DOM Commissaire à la transformation sécuriser le changement de forme sociale : https://www.conseil-cac.com/f-2603-p3-commissaire-a-la-transformation-securiser-le-changement-de-forme-sociale_ad44183.html

Ci-après un lien d'intérêt 2603 P20 France & DOM Émission d’obligations vérification préalable par un commissaire aux comptes : https://www.conseil-cac.com/2603-p20-france-emission-d---obligations-verification-prealable-par-1-commissaire_ad44243.html

Ci-après un lien d'intérêt sur les services ponctuels ou permanents de commissariat aux comptes que nous commercialisons en France et dans les DOM : https://www.conseil-cac.com/france-dom-christophe-guyot-sionnest-commissaire-aux-comptes-nos-services-index_ad44312.html