Numéro d'identité sud-africain et POPIA : détecter et anonymiser avant l'IA

En Afrique du Sud, le numéro d'identité à 13 chiffres est partout. Il figure sur les demandes de crédit, les dossiers médicaux, les contrats de travail et les formulaires RICA des opérateurs mobiles. Il apparaît donc aussi dans les tableaux et les e-mails que les équipes collent chaque jour dans ChatGPT, Copilot ou Gemini.

Ce numéro n'est pas un simple identifiant. Sa structure révèle des informations sur la personne. Cet article explique pourquoi la POPIA impose de le protéger, comment le détecter de façon fiable dans un prompt, et comment l'anonymiser sans casser l'usage métier de l'IA.

POPIA et l'Information Regulator : le cadre

La Protection of Personal Information Act (loi n° 4 de 2013), dite POPIA, s'applique pleinement depuis le 1er juillet 2021, après une période de grâce d'un an. Elle est contrôlée par l'Information Regulator, une autorité indépendante.

La loi est explicite : la définition des informations personnelles inclut tout numéro d'identification attribué à une personne. Elle impose au responsable de traitement des mesures techniques et organisationnelles appropriées pour éviter la perte ou l'accès non autorisé aux données. En cas de compromission, il doit informer le régulateur et les personnes concernées dès que raisonnablement possible. Les transferts hors d'Afrique du Sud ne sont permis que dans des conditions précises, par exemple vers un pays offrant une protection adéquate ou avec le consentement de la personne.

Le régulateur sait sanctionner. En juillet 2023, il a infligé une amende administrative de 5 millions de rands au ministère de la Justice et du Développement constitutionnel. Le ministère n'avait pas respecté une mise en demeure : il avait laissé expirer ses licences de sécurité, dont l'antivirus, le SIEM et la détection d'intrusion.

Ce que révèle un numéro d'identité sud-africain

Le numéro suit le format AAMMJJ SSSS C A Z. Prenons un exemple fictif : 8804125123080.

1. 880412 : la date de naissance, ici le 12 avril 1988.

2. 5123 : un numéro de séquence qui indique aussi le sexe. De 0000 à 4999 pour les femmes, de 5000 à 9999 pour les hommes.

3. 0 : le statut, 0 pour un citoyen sud-africain, 1 pour un résident permanent.

4. 8 : un chiffre aujourd'hui sans signification particulière.

5. 0 : une clé de contrôle calculée avec l'algorithme de Luhn.

Un seul numéro donne donc l'âge, le sexe et le statut de citoyenneté. Associé à un nom ou à un dossier, il permet d'identifier quelqu'un avec certitude. C'est pourquoi il doit être traité comme une donnée sensible, même s'il n'apparaît pas dans la liste des informations personnelles spéciales de la loi.

Détecter un numéro d'identité dans un prompt

Une simple recherche de 13 chiffres consécutifs produit beaucoup de faux positifs : numéros de compte, références de commande, codes internes. Une détection fiable combine plusieurs contrôles.

• Le format : 13 chiffres, éventuellement séparés par des espaces après la date et la séquence.

• La date : les six premiers chiffres doivent former une date réelle, mois de 01 à 12 et jour cohérent avec le mois.

• Le statut : le onzième chiffre vaut 0 ou 1.

• La clé de Luhn : le dernier chiffre doit être valide. Ce seul test élimine environ neuf faux positifs sur dix.

• Le contexte : des mots comme « ID », « identity number », « ID no » ou « RSA ID » à proximité renforcent le score.

Le même raisonnement s'applique aux autres identifiants courants : numéros de téléphone au format +27, numéros de passeport, numéros fiscaux et coordonnées bancaires. C'est ce qui distingue une détection précise d'un filtre qui bloque tout et que les équipes finissent par contourner, un problème que nous détaillons dans pourquoi la DLP réseau échoue face à ChatGPT.

Anonymiser sans casser l'usage de l'IA

Supprimer le numéro rend souvent la réponse inutile. Si un analyste demande à l'IA de vérifier la cohérence d'un fichier, il a besoin de numéros qui ressemblent à de vrais numéros. La bonne approche est l'anonymisation qui préserve le format.

1. Le numéro réel 8804125123080 est remplacé, avant l'envoi, par un numéro fictif comme 9107235412081.

2. Le numéro de remplacement reste valide : date réelle, statut cohérent et clé de Luhn correcte. Le sexe peut être conservé si l'analyse en dépend.

3. La correspondance est conservée localement, sur le poste, pendant la session.

4. Quand l'IA répond, les numéros fictifs peuvent être remplacés par les vrais pour l'utilisateur.

L'IA ne voit jamais la vraie donnée, mais l'utilisateur obtient une réponse exploitable. Nous expliquons la méthode en détail dans l'anonymisation qui préserve le format.

Où placer ce contrôle

Un contrôle au niveau du réseau voit mal le contenu des sessions chiffrées et ignore les fichiers glissés dans le navigateur. Un contrôle sur le poste de travail voit le texte au moment où il est collé ou envoyé. C'est là qu'il faut agir, avant que la donnée ne quitte l'appareil. Pour comprendre comment une fuite se produit concrètement, lisez l'anatomie d'une fuite de données par l'IA.

Le contexte réglementaire pousse dans le même sens. Le ministère des Communications et des Technologies numériques a publié le 10 avril 2026 un projet de politique nationale sur l'IA, soumis à consultation jusqu'au 10 juin 2026. Non contraignant, il annonce une approche fondée sur les risques.

En résumé

Le numéro d'identité sud-africain concentre la date de naissance, le sexe et le statut de citoyenneté en 13 chiffres. La POPIA impose de le protéger et l'Information Regulator a montré qu'il sanctionne l'absence de contrôles techniques. ZeusLock détecte ces numéros et les autres identifiants sud-africains directement sur le poste, les anonymise en préservant leur format, alerte ou bloque selon vos règles et journalise chaque événement comme preuve de conformité.

Vous voulez tester la détection sur vos propres cas d'usage ? Demandez une démo de ZeusLock.