OCR documentaire : limiter les données extraites

Un outil de reconnaissance optique de caractères transforme un document en texte exploitable. Il peut aussi recopier un numéro personnel, une signature ou une annotation qui n’ont aucune utilité pour le travail attendu. Un projet OCR se prépare donc en définissant ce qui doit entrer, ce qui doit sortir et ce qui peut déclencher une action dans le logiciel métier.

La bonne question n’est pas seulement « reconnaît-il correctement les caractères ? ». Il faut aussi savoir si la valeur appartient au bon document, au bon champ et au bon dossier. Voici une méthode pour rédiger cette spécification et décider des contrôles nécessaires.

Ce qu’il faut retenir

• Limitez les documents et les champs traités à une finalité précisément définie.
• Distinguez le résultat proposé par l’OCR de la donnée validée dans le dossier métier.
• Un score de confiance ne garantit ni le bon rattachement ni la pertinence juridique d’une utilisation.
• Définissez le sort de l’original, du texte intégral et des copies techniques séparément.

Partir d’une opération métier, pas de tous les documents disponibles

Décrivez l’action que l’extraction doit faciliter : classer un document, préparer une saisie ou mettre à jour une information. « Numériser les archives » reste trop large pour choisir les champs nécessaires. Pour chaque résultat attendu, demandez quelle personne l’utilisera et quelle décision elle pourra prendre.

L’OCR ne fournit aucune base légale supplémentaire. Celle du traitement doit être établie au titre de l’article 6(1) du RGPD ; les principes de finalité, de minimisation et d’exactitude restent applicables. Une extraction techniquement possible peut donc rester injustifiée. Art. 5(1)(b) à (d) et 6(1).

Prenons un exemple entièrement fictif. Maintenance Orme reçoit des bons d’intervention signés. Elle veut préparer la saisie de la référence d’intervention et de la date d’exécution dans son outil de suivi. Elle ne veut ni évaluer les techniciens ni constituer un annuaire à partir des signatures. Le projet ne transforme pas non plus automatiquement une date extraite en validation de la prestation par le client.

Le responsable métier précise ainsi une limite déterminante : l’OCR propose deux valeurs ; la clôture contractuelle suit son circuit habituel. Pour les personnes physiques clientes, la nécessité à l’exécution du contrat s’apprécie concrètement. Les coordonnées d’un salarié représentant une entreprise ne relèvent pas automatiquement de cette même base au seul motif que son employeur a signé un contrat.

Rédiger une spécification d’extraction remplie

Dans cet exemple, le formulaire comporte trois pages : identification de l’intervention, compte rendu technique et signatures. Le numéro et la date recherchés figurent sur la première. La spécification suivante est une proposition de fonctionnement à vérifier, pas la description d’un logiciel essayé.

La préparation des zones est elle-même un traitement. Si un outil externe reçoit d’abord les trois pages pour les découper, l’envoi initial demeure dans le périmètre RGPD. Il faut donc décrire où le découpage intervient et qui accède à l’original. Une réduction appliquée seulement après transmission ne réduit pas ce qui a déjà été communiqué.

Le découpage ne doit pas supprimer le contexte nécessaire à l’exactitude. Si plusieurs dates voisines peuvent être confondues, conserver leur libellé peut être indispensable. À l’inverse, extraire tout le texte « au cas où » puis ne montrer que deux champs laisse subsister un traitement plus étendu dans les fichiers intermédiaires. La protection dès la conception et par défaut porte aussi sur l’étendue du traitement et l’accessibilité. Art. 25(1) et 25(2).

Le parcours des copies d’identité appelle une analyse spécifique lorsque ces pièces sont concernées. La commodité de leur lecture automatique ne justifie pas leur collecte.

Contrôler le sens du résultat, pas seulement les caractères

Une extraction peut présenter trois défauts différents : une lettre mal reconnue, la bonne date prélevée dans le mauvais champ ou une valeur exacte associée au dossier d’une autre personne. Le contrôle doit couvrir ces trois niveaux.

Les scores techniques doivent être interprétés selon la documentation du service retenu. Microsoft indique, pour Document Intelligence, que les scores sont des estimations, que tous les champs n’en retournent pas et qu’ils peuvent servir à orienter une vérification humaine. Cela ne constitue pas une garantie universelle de conformité ou de performance de votre chaîne documentaire. Documentation Microsoft sur la confiance des résultats.

Dans le dossier fictif O-17, le bon porte la référence I-1048, mais le résultat proposé contient I-1O48, avec la lettre O. La recherche exacte ne trouve aucun dossier. Le système prévu par la spécification ne remplace pas silencieusement ce caractère et ne choisit pas le dossier « le plus proche ». Il soumet le document à la personne habilitée à contrôler les bons.

Cette personne relit la référence et le libellé de la date sur la pièce d’origine. Elle confirme I-1048 et le 14 septembre 2026, puis vérifie que le bon correspond bien à cette intervention. Le journal conserve l’identifiant du document, les deux valeurs validées, l’auteur de la validation et sa date. Il n’a pas besoin de recopier les trois pages pour démontrer cette opération.

Si l’original reste illisible, la valeur demeure non validée. Le service demande une précision par son circuit habituel, sans inventer une date pour terminer l’import. Cette issue doit être possible dans l’interface : une case obligatoire qui force une valeur quelconque fabrique des données inexactes.

Pour préparer la mise en service, constituez un jeu de documents fictifs couvrant les difficultés prévisibles : pages inversées, deux dates, champ absent, référence inconnue et document d’un autre type. Définissez les réponses attendues avant de comparer les résultats. Cette démarche proposée ici ne remplace pas une vérification effective dans votre environnement et ne fixe aucun seuil universel de confiance.

Prévoir la correction après utilisation

Un contrôle initial n’empêche pas toute erreur ultérieurement découverte. Le dossier doit permettre de remonter de la valeur utilisée au document et à la version d’extraction correspondants. Il faut aussi connaître les outils destinataires du résultat.

Si une date erronée a déjà alimenté un planning et un export client, corriger seulement l’écran de saisie ne suffit pas. Examinez les copies encore utilisées et les décisions affectées. La rectification dans les bases dérivées organise cette propagation. Lorsqu’une rectification est effectuée, l’information des destinataires relève de l’article 19, sous les exceptions prévues par ce texte. Art. 16 et 19 du RGPD.

Toute erreur OCR n’est pas automatiquement une violation de données. Toutefois, un rattachement accidentel peut résulter d’une atteinte à l’intégrité ou conduire à une divulgation non autorisée. Il faut alors qualifier les faits au regard de l’article 4(12), documenter la violation et apprécier les obligations de notification selon les risques. Définition de la violation ; Art. 33 et 34.

Vérifier le prestataire et les traitements intermédiaires

Demandez une réponse concrète sur le parcours d’un document : emplacement d’arrivée, extraction, accès éventuel d’opérateurs, traitement des erreurs, assistance et suppression. La cartographie de la chaîne de sous-traitance permet de dépasser le seul nom commercial de l’outil.

Lorsque le fournisseur intervient comme sous-traitant, le contrat doit couvrir les instructions, la confidentialité, la sécurité, l’assistance et les conditions de fin de prestation. L’article 28(3) fournit ce cadre. Une clause générique ne remplace pas la vérification des réglages réellement disponibles. Art. 28(3) et 32(1).

Posez notamment la question des documents utilisés pour améliorer le service ou entraîner un modèle. Ne présumez ni l’existence ni l’absence de cet usage. S’il existe, examinez sa finalité, le rôle de chaque acteur et son fondement ; l’autorisation d’extraire deux champs ne couvre pas automatiquement une réutilisation distincte.

Pour Orme, le cahier des charges exclut cette réutilisation du périmètre demandé. Si les engagements du fournisseur restent ambigus, cette réserve doit être résolue avant de lui envoyer les bons réels. Le dossier peut avancer avec des documents fictifs suffisamment représentatifs, sans présenter cette préparation comme une validation du futur traitement de données personnelles.

Séparer les durées de l’original et des résultats

Une extraction réussie ne permet pas de détruire automatiquement l’original. Il peut conserver une utilité contractuelle, probatoire ou répondre à une obligation particulière. Réciproquement, garder cet original ne justifie pas toutes les copies produites par l’OCR. La limitation de conservation s’apprécie selon les finalités. Art. 5(1)(e).

Pour le projet fictif, la règle opérationnelle distingue quatre objets :

• Le bon original rejoint le dossier documentaire avec sa règle de conservation propre et ses accès limités.
• La copie de travail sert à l’extraction et au contrôle ; sa suppression intervient après validation ou traitement de l’anomalie, selon une échéance définie.
• Le résultat validé suit la durée nécessaire au suivi de l’intervention concernée.
• Le journal de traitement conserve les éléments nécessaires au contrôle, sans reprendre le document intégral.

Cette distinction doit couvrir les dossiers temporaires, l’assistance, les sauvegardes et les éventuelles copies du prestataire. Une réponse limitée à « nous supprimons le fichier importé » laisse ouverte la question du texte extrait. En fin de prestation, articulez ces règles avec la restitution ou la suppression prévues par l’article 28(3)(g), y compris ses exceptions légales.

FAQ

L’OCR rend-il un document anonyme ?

Non. Il change sa représentation. Le texte peut conserver les mêmes données personnelles et devenir plus facile à rechercher ou à croiser. Retirer certains champs ne démontre pas, à lui seul, l’anonymat du résultat.

Faut-il relire chaque champ manuellement ?

Le RGPD n’impose pas une relecture humaine universelle de chaque champ OCR. Il impose notamment l’exactitude et des mesures appropriées. Définissez les contrôles selon les conséquences d’une erreur, les limites constatées et les usages autorisés du résultat.

Peut-on supprimer le texte intégral après extraction ?

Oui, lorsque ce texte n’est plus nécessaire et qu’aucune obligation applicable ne justifie sa conservation. Vérifiez cependant le périmètre de cette suppression : texte intermédiaire, index, diagnostic et copies externes peuvent être distincts du fichier visible dans l’interface.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.