Brésil et LGPD : détecter le CPF et les identifiants avant l'IA

Au Brésil, le numéro de CPF circule partout : sur les factures, les contrats, les fiches clients, les tickets de support. C'est aussi l'une des données que l'on retrouve le plus souvent dans les prompts envoyés à ChatGPT, Gemini ou Copilot, collée avec le reste d'un tableau ou d'un e-mail. Pour une entreprise soumise à la LGPD, ce simple copier-coller est un traitement de données personnelles.

Cet article fait le point sur le cadre juridique brésilien, puis entre dans le détail technique : quels identifiants repérer, comment les reconnaître de façon fiable et comment les anonymiser sans rendre l'IA inutilisable.

Le cadre : LGPD, ANPD et règlement des sanctions

La Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) s'applique à tout traitement de données de personnes situées au Brésil. Elle distingue les données personnelles, les données sensibles (santé, origine raciale ou ethnique, convictions religieuses, opinions politiques, affiliation syndicale, données génétiques ou biométriques, vie sexuelle) et les données anonymisées. Son article 46 impose des mesures de sécurité techniques et administratives adaptées.

L'ANPD, l'autorité nationale de protection des données, contrôle son application. Son règlement de dosimétrie et d'application des sanctions (Resolução CD/ANPD nº 4 du 24 février 2023) précise comment elle calcule les amendes. La LGPD prévoit notamment l'avertissement, la publicité de l'infraction, le blocage ou la suppression des données, et une amende simple pouvant atteindre 2 % du chiffre d'affaires réalisé au Brésil, plafonnée à 50 millions de reais par infraction.

L'ANPD regarde déjà l'IA

L'autorité n'a pas attendu une loi spécifique pour s'intéresser à l'IA. Le 2 juillet 2024, elle a imposé à Meta une mesure préventive suspendant l'utilisation des données personnelles de ses utilisateurs brésiliens pour entraîner ses systèmes d'IA, sous peine d'une astreinte de 50 000 reais par jour.

Côté législation, le projet de loi PL 2338/2023, qui doit créer un cadre de l'IA fondé sur les risques, a été adopté par le Sénat fédéral le 10 décembre 2024. Il est depuis examiné par une commission spéciale de la Chambre des députés, sans vote final à ce jour. D'ici là, la LGPD suffit à encadrer les prompts.

Les identifiants brésiliens à détecter

Au Brésil, un moteur de détection efficace doit couvrir bien plus que les noms et les adresses e-mail. Voici les principaux formats :

• CPF : 11 chiffres, souvent écrits 000.000.000-00, dont deux chiffres de contrôle calculés en modulo 11.

• CNPJ : 14 positions, au format 00.000.000/0000-00. Depuis le 1er juillet 2026, les nouveaux CNPJ peuvent contenir des lettres dans les 12 premières positions, les deux dernières restant des chiffres de contrôle.

• Cartão Nacional de Saúde (CNS) : 15 chiffres, associé à des données de santé, donc sensibles.

• PIS/PASEP/NIT : 11 chiffres, présents dans les documents RH et de paie.

• Titre d'électeur, CNH et RG, sachant que le format du RG varie selon les États.

• Clés Pix : un CPF, un e-mail, un numéro de téléphone ou une clé aléatoire, à traiter comme des données financières.

Détecter sans noyer les équipes sous les faux positifs

Une simple expression régulière qui cherche 11 chiffres se déclenche sur des numéros de commande, des téléphones ou des références internes. Une méthode fiable combine plusieurs signaux :

1. Reconnaître le format, avec ou sans ponctuation (000.000.000-00 ou 00000000000).

2. Valider les chiffres de contrôle du CPF, du CNPJ ou du CNS. Un nombre aléatoire de 11 chiffres n'a qu'environ une chance sur cent de passer la validation du CPF.

3. Exclure les séquences invalides, comme 111.111.111-11, qui passent le calcul mais ne sont pas attribuées.

4. Analyser le contexte : des mots comme « CPF », « inscrição » ou « titular » à proximité augmentent la confiance.

Le format alphanumérique du CNPJ oblige à revoir les règles : un détecteur qui n'accepte que des chiffres ratera les entreprises immatriculées depuis juillet 2026.

Anonymiser sans casser l'usage de l'IA

Selon l'article 12 de la LGPD, une donnée anonymisée n'est plus une donnée personnelle, à condition que le processus ne puisse pas être inversé par des moyens raisonnables. Remplacer un CPF par des étoiles protège, mais rend souvent la réponse de l'IA inutilisable : le modèle ne sait plus qu'il s'agit d'un identifiant, ni lequel correspond à quelle ligne d'un tableau.

L'anonymisation préservant le format remplace chaque CPF par un CPF fictif mais valide, cohérent dans tout le document. Le modèle garde la structure et l'utilisateur obtient une réponse exploitable. Si la correspondance est conservée localement pour restaurer les vraies valeurs, on parle plutôt de pseudonymisation au sens de la LGPD, ce qui reste une mesure de sécurité solide au titre de l'article 46.

Placer le contrôle au bon endroit

Les outils DLP réseau classiques voient mal ce qui se passe dans une session ChatGPT chiffrée, comme nous l'expliquons dans pourquoi le DLP réseau échoue face à ChatGPT. Le contrôle doit se faire au plus près de l'utilisateur, dans le navigateur et sur le poste, avant le chiffrement. C'est aussi vrai pour les développeurs qui utilisent des agents IA en ligne de commande, capables d'envoyer des fichiers de configuration ou des extraits de base de données remplis de CPF.

C'est l'approche de ZeusLock. Il repère les données sensibles dans les prompts et les fichiers, y compris des identifiants nationaux comme le CPF ou le CNPJ, puis, selon vos règles, les anonymise en conservant leur format, avertit l'utilisateur ou bloque l'envoi. Chaque incident est journalisé, ce qui documente les mesures de sécurité attendues par la LGPD.

À retenir

• La LGPD (Lei 13.709/2018) s'applique à chaque prompt contenant des données personnelles.

• L'ANPD dispose d'un règlement des sanctions depuis 2023 et a déjà agi sur l'IA en 2024.

• Le PL 2338/2023 a été adopté par le Sénat et reste en discussion à la Chambre des députés.

• Une bonne détection combine format, chiffres de contrôle et contexte, et intègre le CNPJ alphanumérique.

Vous voulez tester la détection des données brésiliennes sur vos propres cas d'usage ? Demandez une démo de ZeusLock.