Pourquoi c’est important
Les e-mails du support, les journaux de discussion, les documents et les textes collectés sur le web contiennent souvent des données personnelles. Au titre du RGPD, des données personnelles dans un jeu d’entraînement nécessitent une base légale et une finalité claire, et un modèle peut répéter ce qu’il a vu. Les trouver avant l’entraînement coûte beaucoup moins cher que de les traiter après.
Ce qu’il faut chercher
- Coordonnées : adresses e-mail, numéros de téléphone et adresses postales.
- Numéros d’identification nationaux : par exemple le numéro d’identité national norvégien (11 chiffres ; dans le système actuel, les deux derniers sont des chiffres de contrôle).
- Numéros financiers : numéros de carte (qui passent le contrôle de Luhn) et numéros de compte bancaire comme les IBAN (qui passent un contrôle modulo 97).
- Noms de particuliers, surtout lorsqu’ils figurent à côté d’autres informations.
- Secrets : clés d’API, jetons d’accès et mots de passe collés dans des tickets ou du code.
Comment les trouver
- Motifs avec validation. Les expressions régulières trouvent des candidats ; les chiffres de contrôle éliminent de nombreuses fausses correspondances. Environ un nombre aléatoire de 16 chiffres sur dix passe le contrôle de Luhn : combinez-le donc avec les préfixes de carte connus et le contexte.
- La reconnaissance d’entités nommées trouve les noms et les lieux qu’aucun motif ne peut décrire. Elle est utile, mais elle manque certains noms et signale certains mots ordinaires : traitez-la comme une indication, pas comme un verdict.
- La recherche de secrets repère les formats connus de clés et de jetons, ainsi que les longues chaînes aléatoires aux endroits où les secrets apparaissent habituellement.
- Le contexte. « Appelez-moi au » devant un numéro, ou un bloc de signature à la fin d’un e-mail, augmente la confiance dans une correspondance.
Que faire de ce que vous trouvez
Pour chaque type, décidez si le modèle en a besoin. Les choix courants sont d’écarter le document, de masquer la valeur (par exemple remplacer une adresse e-mail par un espace réservé) ou de la conserver lorsque vous disposez d’une base légale et d’une raison. Notez que les données pseudonymisées, pour lesquelles une personne reste identifiable avec des informations supplémentaires, restent des données personnelles au sens du RGPD. Les clés exposées doivent être révoquées, pas seulement retirées du jeu de données.
Attendez-vous à des oublis et à de fausses alertes
Aucun outil d’analyse ne trouve tout. Vérifiez un échantillon de documents signalés et non signalés, mesurez à quelle fréquence les contrôles se trompent sur vos propres données, et gardez une trace de ce que vous avez analysé, de ce que vous avez trouvé et de ce que vous avez décidé.