Connecteur MCP d'anonymisation : connecter Claude à vos documents sans exposer les données

Qu'est-ce que MCP, le Model Context Protocol ?

MCP est un protocole ouvert qui standardise la façon dont une application d'IA se connecte à des sources de données et à des outils externes. Sa spécification officielle, publiée sur modelcontextprotocol.io, en est à la version 2026-07-28 au moment où nous écrivons. Elle distingue trois rôles :

• l'hôte : l'application d'IA qui ouvre les connexions (Claude Desktop, Claude Code, Cursor…) ;
• le client : le connecteur, à l'intérieur de l'hôte, qui parle à un serveur ;
• le serveur : le programme qui fournit le contexte et les capacités.

Les messages suivent le format JSON-RPC 2.0. Un serveur peut offrir des ressources (des données), des modèles de messages et des outils, c'est-à-dire des fonctions que le modèle peut appeler : « lire ce fichier », « chercher dans ce dossier ». Deux transports sont standardisés : stdio, où l'hôte lance le serveur comme un sous-processus de l'ordinateur et lui parle par l'entrée et la sortie standard, et Streamable HTTP, où le serveur répond à des requêtes HTTP, en local ou sur Internet.

La spécification consacre une section à la sécurité. Elle demande que les utilisateurs consentent explicitement à tout accès aux données, que l'hôte obtienne leur consentement explicite avant d'invoquer un outil, et rappelle que les outils représentent l'exécution de code arbitraire. Mais elle le reconnaît aussi : MCP ne peut pas imposer ces principes au niveau du protocole. C'est à chaque application de les mettre en œuvre.

Pourquoi un connecteur de fichiers classique expose-t-il vos documents ?

Parce qu'il fait exactement ce qu'on lui demande : lire. Le tutoriel officiel de MCP montre comment donner à Claude Desktop l'accès à des dossiers de l'ordinateur avec le serveur « Filesystem » : Claude peut alors lire des fichiers, en créer, les déplacer et chercher dans leur contenu, chaque action étant soumise à votre approbation. Le texte lu devient le résultat de l'outil, qui entre dans la conversation : il est donc envoyé au modèle, chez son fournisseur, comme si vous l'aviez collé vous-même.

Les éditeurs le disent eux-mêmes. Le tutoriel MCP avertit que le serveur s'exécute avec les droits de votre compte et peut faire toute opération sur les fichiers que vous pourriez faire à la main. La documentation de Claude Code demande de vérifier qu'on fait confiance à chaque serveur avant de le connecter, et signale le risque d'injection de requêtes (prompt injection) des serveurs qui récupèrent du contenu externe.

L'approbation action par action protège contre une écriture ou une suppression non voulue. Elle ne protège pas contre la transmission : une fois que vous avez cliqué sur « Autoriser » pour lire un contrat, le contrat entier, noms compris, part chez le fournisseur. Pour un dossier client, un dossier patient ou un dossier RH, c'est précisément ce qu'on veut éviter. Sur ce que deviennent les données selon l'offre : Claude, ChatGPT, Mistral et Copilot sur un dossier client.

Qu'est-ce qu'un connecteur MCP d'anonymisation ?

C'est un serveur MCP qui s'interpose entre l'IA et vos fichiers. L'IA ne lit plus le document : elle demande à l'anonymiseur local de le lire pour elle. Celui-ci détecte sur l'ordinateur les noms, organisations, adresses, e-mails, téléphones, IBAN et identifiants, et ne renvoie que le texte où ils sont remplacés par des étiquettes stables, [PERSONNE_1], [EMAIL_1]. L'IA peut résumer, comparer, rédiger : elle raisonne sur des personnes distinctes et cohérentes, sans connaître leur identité.

La différence avec « pseudonymiser puis coller » tient au flux de travail : l'IA va chercher elle-même le document dont elle a besoin, au moment où elle en a besoin, sans que vous prépariez chaque pièce à l'avance. La contrepartie : la copie qui part n'a pas été relue pièce par pièce, comme dans un export classique. D'où l'importance de l'écran d'autorisation, décrit plus bas.

Comment fonctionne le connecteur local d'AnonymFiles ?

Le connecteur est inclus dans l'application : rien à installer en plus, aucun jeton à copier dans la configuration du client. Son fonctionnement, vérifié dans le code de l'application :

1. Le serveur MCP parle en stdio. Le client d'IA lance le moteur embarqué d'AnonymFiles comme sous-processus, avec un argument qui le met en mode connecteur. Le client d'IA ne se connecte à aucun port : il lui parle par l'entrée et la sortie standard.
2. Il joint l'application par un pont local. L'application écoute sur 127.0.0.1, sur un port choisi au hasard, jamais sur le réseau. Chaque requête doit porter un jeton aléatoire de 256 bits, régénéré à chaque lancement et stocké dans un fichier lisible par votre seul compte (droits 0600). Le pont refuse toute requête qui vient d'une page web (en-tête Origin présent) ou dont l'hôte n'est pas exactement 127.0.0.1, ce qui écarte les attaques par rebond DNS, n'accepte que les opérations d'une liste fermée, et limite la taille et le nombre des requêtes. Côté client, le connecteur ne suit ni proxy ni redirection.
3. Le moteur prépare le résultat sur l'ordinateur. La détection locale s'applique, avec vos listes de termes « toujours masquer » et « ne jamais masquer ».
4. L'application vous montre la demande. Le nom du client d'IA, le document, le dossier, la destination d'une copie, le décompte des informations masquées et le début du texte qui partira. Trois choix : Autoriser, Toujours pour ce dossier, Refuser. Sans réponse en 5 minutes, c'est un refus.
5. Seulement alors, l'IA reçoit la copie. Rien n'est remis ni écrit sur le disque avant votre accord, et le texte remis est exactement celui de l'aperçu. Un refus supprime la copie préparée et sa correspondance.

Quelques garde-fous complètent ce parcours :

• Désactivé par défaut. Tant que l'option « Autoriser les IA à me demander des documents » n'est pas cochée dans Réglages › Connexions IA, toute demande est refusée sans rien lire.
• Emplacements jamais servis, même avec votre accord : les données de l'application, le dossier ~/Library (trousseaux, préférences), les dossiers système, tout fichier ou dossier caché, les chemins réseau.
• Autorisation durable limitée. « Toujours pour ce dossier » vaut pour ce dossier exact, pas ses sous-dossiers ; ni la racine du disque ni votre dossier personnel ne peuvent être autorisés durablement. Chaque droit (lecture, écriture) se révoque séparément.
• Pas d'oracle. Hors dossier autorisé, une demande qui échoue (fichier absent, format non pris en charge) reçoit, après votre décision, la même réponse qu'un refus : l'IA n'apprend pas si le fichier existe.
• Journal des accès. Chaque demande est inscrite (date, outil, document, décision, nom du client), chiffrée, 500 entrées au plus, sans aucun contenu.
• Pas de réinjection pour l'IA. Aucun outil ne lui rend les vrais noms : un texte rétabli remis à l'IA annulerait la protection, et une IA pourrait demander de « rétablir » un texte fabriqué pour reconstituer la correspondance. La réinjection se fait dans l'application, sous vos yeux.

Quels outils le connecteur expose-t-il ?

Un cinquième outil, personne_operation_status, permet à l'IA de suivre une opération longue (chargement du modèle, attente de votre décision) : le client attend 20 secondes, puis interroge l'état. Formats lus : PDF (scans compris, par OCR local), Word, e-mails .eml et .msg, tableurs, présentations, images et textes. La distinction entre caviarder et pseudonymiser est détaillée dans pseudonymisation ou caviardage : que choisir ?

Le même serveur expose aussi les outils des « dossiers connectés », une intégration locale encore expérimentale destinée à Cowork, Codex ou Hermes : un dossier que vous connectez depuis l'application est préparé automatiquement, sans relecture humaine, et l'IA n'en lit que les copies TXT et Markdown (personne_list_dossiers, personne_open_dossier, personne_read_piece, personne_search, personne_save_result, qui rétablit les vrais noms dans un fichier privé et ne renvoie qu'un reçu).

Quels clients d'IA sont compatibles, et pourquoi pas ChatGPT ?

Pourquoi pas ChatGPT ? Parce que ChatGPT ne lance pas de serveur sur votre ordinateur : il appelle des serveurs MCP distants depuis l'infrastructure d'OpenAI. Pour un serveur privé, OpenAI propose un « Secure MCP Tunnel », une connexion sortante depuis votre réseau vers un point d'accès MCP hébergé par OpenAI, soumise aux permissions de l'espace de travail. AnonymFiles a fait le choix inverse : il n'ouvre aucun accès à vos documents depuis l'extérieur de l'ordinateur.

Comment configurer le connecteur sans affaiblir la protection ?

1. Activez-le seulement quand vous en avez besoin. Réglages › Connexions IA › « Autoriser les IA à me demander des documents ». Décoché, aucune demande n'aboutit.
2. Retirez les autres accès aux mêmes fichiers. Le connecteur ne peut pas empêcher l'IA d'utiliser un autre outil : si un serveur Filesystem ou un accès direct aux fichiers est aussi branché sur ce dossier, l'IA peut lire l'original par ce chemin. Désactivez ces outils, ou cantonnez-les à d'autres dossiers.
3. Donnez une consigne claire. Dites à l'IA, en début de conversation ou dans les instructions du projet, de lire les documents sensibles uniquement avec lire_document_anonymise. Le connecteur lui donne déjà une consigne en ce sens, mais la répéter aide.
4. Gardez l'approbation des outils dans le client. Cursor demande par défaut une approbation avant d'utiliser un outil MCP ; ne mettez pas ces outils en exécution automatique.
5. Réservez « Toujours pour ce dossier » à un dossier dédié. Par exemple un dossier « À analyser » où vous déposez ce que l'IA peut demander, plutôt que le dossier de tous vos clients.
6. Lisez l'aperçu. L'écran d'autorisation montre le début du texte qui partira et le décompte : un décompte nul sur un contrat signé doit vous alerter.
7. Consultez le journal des accès de temps en temps, et révoquez les autorisations durables dont vous n'avez plus besoin.
8. Laissez AnonymFiles ouvert. Si l'application est fermée, le connecteur répond qu'elle est indisponible et demande à l'IA de ne pas lire les originaux.

Quelles sont les limites d'un connecteur MCP d'anonymisation ?

• Pas de relecture pièce par pièce. La détection est automatique ; l'écran d'autorisation montre un décompte et un extrait, pas une relecture complète. Pour un dossier sensible à transmettre, l'export après relecture côte à côte reste la voie la plus sûre.
• Aucune détection n'est exhaustive. Un nom rare, un surnom, un détail indirect (fonction unique, petite commune) peuvent passer : voir le risque de ré-identification.
• Une fois le texte remis, AnonymFiles ne contrôle plus ce que l'IA en fait. La copie part chez le fournisseur du modèle, selon les conditions de votre offre.
• Le nom du client affiché est déclaré par ce client, et un client MCP reçoit le nom du fichier qu'il a lui-même demandé.
• Pas de séparation des droits entre vous et vos autres programmes : un autre logiciel qui tourne sous votre compte peut lire vos fichiers. Le connecteur protège ce que l'IA reçoit par ce chemin, pas l'ordinateur entier.
• Pas de ChatGPT, pour les raisons vues plus haut.

Connecteur MCP ou « Copier pour l'IA » : que choisir ?

AnonymFiles traite tout sur l'ordinateur, sans compte ni télémétrie, et n'appelle aucune IA lui-même. La table de correspondance est chiffrée (AES-256-GCM) et ne quitte jamais le poste. Prix : 290 € HT par an et par poste, essai de 14 jours (tarifs). Pour aller plus loin : comment ça marche, ce que l'application fait sur le réseau et, pour les avocats qui utilisent Cowork, Claude Cowork et le secret professionnel.