Claude Duet en France : accès et RGPD

En bref

• L'article d'Anthropic, lu le 24 octobre 2026, ouvre Claude Duet par liste d'attente, d'abord aux abonnés Pro et Max aux États-Unis. Il ne dit rien de la France. Le produit est décrit en détail dans notre guide Claude Duet.
• L'article ne dit rien non plus de la localisation des données, d'un accord de traitement propre à Duet ni de Team et Enterprise. Ce sont pourtant les informations dont votre registre des traitements a besoin.
• Ce billet donne huit questions à poser à Anthropic avant de connecter des données de clients, et cinq choses à faire en attendant. Il ne tire aucune conclusion juridique.

Waimia n'est pas un cabinet d'avocats et n'a pas eu accès à Duet. Nous relevons ce que disent les sources, et ce qu'elles taisent. La qualification juridique de votre usage reste celle de votre délégué à la protection des données (DPO) ou de votre conseil.

Ce qu'on sait au 24 octobre 2026

D'après l'article de lancement d'Anthropic, publié le 21 octobre et lu le 24 octobre 2026 :

• Où. L'accès s'ouvre d'abord aux États-Unis.
• Pour qui. Les abonnés Pro et Max, par liste d'attente. Duet est inclus dans ces abonnements, avec les mêmes limites d'usage que le reste de Claude.
• Sous quelle forme. Une application autonome sur iOS et Android, et un accès sur claude.ai. Le produit est en aperçu de recherche, une version ouverte tôt dont le périmètre peut changer.
• Ce qu'il touche. Vos applications connectées (Gmail, Slack, HubSpot, Stripe, QuickBooks et d'autres), votre mémoire et vos skills Claude, et une machine virtuelle avec son propre navigateur qui tourne même appareils éteints.
• Ses garde-fous. Accord demandé avant tout envoi, paiement, signature ou suppression ; numéros de carte bancaire et pièces d'identité refusés ; données de santé ou financières personnelles partagées seulement sur ordre explicite ; identifiants gérés sans que l'agent voie les mots de passe ; déconnexion d'une application à tout moment.

Formulation exacte à retenir : l'article annonce un accès d'abord aux États-Unis ; il ne dit rien de la France. Il ne permet donc pas d'écrire que Duet est « indisponible en France », seulement qu'aucune date n'est annoncée. L'annonce elle-même est résumée dans la note Claude Duet : ce qu'Anthropic a lancé le 21 octobre 2026.

Ce que l'article ne dit pas

• La France et l'Union européenne. Ni date, ni condition.
• La localisation des données. Rien sur l'endroit où sont stockés l'historique, la mémoire, les récapitulatifs et ce que la machine virtuelle télécharge.
• Le contrat. Aucun accord de traitement des données (DPA) propre à Duet n'est mentionné.
• Team et Enterprise. Seuls Pro et Max sont cités ; selon des couvertures tierces, les offres d'entreprise ne sont pas concernées à ce stade.
• La conservation et le journal. Pas de durée de conservation, pas de journal des actions exportable décrit.

Ce que nos guides permettent d'ajouter, sans conclure pour Duet

Trois faits établis pour Claude en général, relevés dans nos guides, éclairent ces silences. Aucune source lue ne dit si Duet les suit.

• Les applications Claude stockent les données aux États-Unis par défaut, d'après la page de confidentialité d'Anthropic lue le 5 octobre 2026 (voir Claude et RGPD en PME).
• Pro et Max relèvent des conditions grand public. Leur version européenne, conclue avec Anthropic Ireland, Limited, contient une clause « Usage non commercial uniquement », relevée le 15 octobre 2026 dans notre guide Claude pour une TPE. Le DPA d'Anthropic, lui, fait partie des conditions commerciales (Team, Enterprise, API).
• Sur un compte Pro ou Max, l'entraînement est un réglage : activé, des données dé-identifiées peuvent être conservées jusqu'à cinq ans ; désactivé, la rétention est de 30 jours, d'après le centre de confidentialité lu le 5 octobre 2026.

Pourquoi ces silences comptent pour une PME

Un agent qui lit votre messagerie, votre agenda et votre CRM ne traite pas seulement vos données : il traite celles de vos clients, prospects, salariés et fournisseurs. Les questions classiques du RGPD s'appliquent alors, quel que soit l'outil : qui est responsable du traitement, sur quelle base légale, combien de temps les données sont conservées, où elles vont, quel contrat encadre le prestataire, et si une analyse d'impact (AIPD) est nécessaire. La CNIL publie des questions-réponses sur l'usage d'une IA générative et la liste des traitements soumis à AIPD (voir les sources).

Tant que l'éditeur ne répond pas aux points ci-dessus, vous ne pouvez pas remplir correctement la ligne de registre d'un tel usage. Ce n'est pas un verdict sur Duet : c'est un manque d'information, qui se comble en posant les bonnes questions.

Huit questions à poser à Anthropic avant de connecter des données clients

À poser par écrit, au support ou à votre interlocuteur commercial, et à archiver avec la réponse datée.

1. Où sont stockées les données de Duet ? Historique, mémoire, récapitulatifs, fichiers téléchargés par la machine virtuelle : dans quel pays, et une option européenne est-elle prévue ? Pourquoi : un stockage hors de l'Union est un transfert, que votre registre doit décrire.
2. Quel contrat couvre Duet ? Conditions grand public ou commerciales, quelle entité contractante pour un client européen, et un DPA s'applique-t-il ? Pourquoi : l'article 28 du RGPD demande un contrat avec le sous-traitant.
3. Quel calendrier pour l'Union européenne, et pour Team et Enterprise ? Pourquoi : les offres d'entreprise portent les réglages d'administration et le cadre contractuel commercial.
4. Combien de temps sont conservés les récapitulatifs, l'historique du navigateur et la trace des actions, et comment les supprimer ? Pourquoi : votre registre fixe une durée de conservation par traitement.
5. Les contenus que Duet lit dans vos applications servent-ils à l'entraînement ? Le réglage d'entraînement du compte s'applique-t-il aussi à eux ? Pourquoi : des e-mails de clients ne sont pas vos données à vous seul.
6. Peut-on exporter un journal des actions de l'agent et des accords donnés ? Pourquoi : c'est la seule façon de vérifier après coup ce qui a été envoyé, payé ou supprimé, et par qui.
7. Quels sous-traitants interviennent ? Hébergement de la machine virtuelle, paiements par Link ou Shop Pay, connecteurs tiers. Pourquoi : chaque connecteur ajoute un flux, parfois un sous-traitant, que le registre doit nommer.
8. En cas d'incident, qui prévient qui, et sous quel délai ? Fuite de données, action erronée, instruction cachée dans un e-mail qui aurait trompé l'agent. Pourquoi : l'article 33 vous donne 72 heures, si possible, pour notifier la CNIL ; il vous faut l'information de l'éditeur avant.

Le kit conformité Claude contient douze questions plus générales à poser au fournisseur avant de signer ; ces huit-là sont propres à un agent proactif comme Duet.

Que faire en attendant, en cinq étapes

Recommandations Waimia, à adapter avec votre DPO.

1. Inscrivez-vous sans en dépendre. Si vous avez déjà Pro ou Max, la liste d'attente ne coûte rien de plus. Ne bloquez aucun projet sur une date que personne n'a donnée.
2. Gardez les données clients hors des comptes individuels. Tant que le contrat de Duet n'est pas connu, testez-le, le jour venu, sur un compte de test et des données publiques ou fictives. Un dirigeant seul fait valider sa situation par un conseil juridique avant d'y mettre un document client.
3. Préparez la ligne de registre. Service et référent, applications connectées avec leurs droits (lecture ou écriture), catégories de données, qui valide avant envoi, durée de conservation, et une colonne « réponse de l'éditeur » à remplir avec les huit questions. La méthode est dans Claude et RGPD en PME, la liste de contrôle générale dans la checklist RGPD des agents IA.
4. Écrivez la règle d'usage d'un agent qui agit. Données interdites (santé, données bancaires, pièces d'identité, dossiers RH, mots de passe), validation humaine de tout envoi, paiement, signature ou suppression, journal tenu, revue à 30 jours. Côté AI Act, les obligations d'une entreprise utilisatrice sont dans le guide AI Act pour les PME.
5. Obtenez le service dans le cadre existant. Pour des tâches confiées à Claude, une équipe passe par Team et ses tâches, avec conditions commerciales et DPA (service Claude en entreprise). Pour un agent qui surveille et agit pour l'entreprise, avec validation humaine et journal, voir notre service agents IA pour entreprise.

Le concurrent d'OpenAI a lui aussi des restrictions européennes, selon les sources tierces citées dans notre comparatif Claude Duet et ChatGPT dots. Le choix entre agent d'éditeur et agent ouvert hébergé chez vous, qui change la question de la localisation, est posé dans agents IA toujours actifs : propriétaire ou open source. Pour situer Duet face aux tâches de Claude, voir Claude Duet ou Claude Cowork.

Ce que ce billet ne dit pas

Il ne dit pas que Duet est conforme, ni qu'il ne l'est pas. Il ne dit pas que Duet est interdit en France. Il ne remplace ni votre DPO, ni un conseil juridique, ni la réponse écrite de l'éditeur. Il dit ce que l'article d'Anthropic contenait le 24 octobre 2026, ce qui y manque, et comment combler ce manque avant de brancher des données de tiers.

Et après ?

• Pour suivre le produit lui-même : le guide Claude Duet, mis à jour quand Anthropic publie du nouveau.
• Pour cadrer vos usages de Claude et vos agents : la page conformité IA et le service agents IA pour entreprise.
• Pour faire le point sur vos usages : l'audit IA gratuit. Audit gratuit de 45 minutes en visio. Vous repartez avec une cartographie écrite et un ou deux chantiers classés.