§ Guide
Claude et RGPD : utiliser Claude en conformité dans une PME
Le RGPD ne se joue pas dans l'outil, il se joue dans le compte que vous ouvrez. Voici ce qu'Anthropic écrit dans ses propres pages et dans son DPA, ce que le texte du RGPD vous demande en face, et la courte liste des données qui ne passent pas par Claude. C'est un cadrage technique, pas un avis juridique.
- Sources Anthropic, CNIL et AWS lues les 5 et 6 octobre 2026
- Pas un avis juridique
- Pour dirigeants, DSI, DPO de PME
Réponse directe
Peut-on utiliser Claude en conformité avec le RGPD ?
Oui, avec un compte professionnel et un cadre écrit. En Team, Enterprise et API, Anthropic n'entraîne pas ses modèles sur vos données par défaut, et son DPA, intégré aux conditions commerciales, encadre le transfert par les clauses contractuelles types. Limite nette : les données de claude.ai sont stockées aux États-Unis, sans option européenne pour l'application.
§ Quatre faits à retenir
Ce qu'Anthropic établit, au 5 octobre 2026
Le premier tri : quel compte, quelles conditions
« Claude est-il conforme au RGPD ? » n'appelle pas une réponse unique, parce que Claude n'est pas un contrat unique. Deux jeux de conditions coexistent, et ce choix pèse plus que tous les réglages qui suivent.
Les comptes Free, Pro et Max relèvent des conditions grand public. Ils portent un réglage d'entraînement : activé, Anthropic conserve des données dé-identifiées jusqu'à cinq ans ; désactivé, la rétention est de 30 jours. Cela vaut aussi pour Claude Code utilisé depuis ces comptes (annonce des conditions grand public et aide sur la confidentialité, lues le 5 octobre 2026). Un collaborateur qui colle un dossier client dans son compte Pro personnel est dans cette famille.
Les offres Team, Enterprise et l'API relèvent des conditions commerciales. D'après la page de conformité d'Anthropic (claude.com/regional-compliance, lue le 5 octobre 2026), Anthropic n'utilise pas par défaut les données des déploiements commerciaux pour entraîner ses modèles. La même page indique qu'un DPA est disponible et liste les certifications : SOC 2 Type 2, ISO 27001, 27017, 27018 et CSA STAR.
Première décision, donc : aucun usage professionnel sur un compte personnel. Le choix de l'offre (Team ou Enterprise) se traite dans le guide Claude pour les PME et dans le guide d'achat. Un détail compte : « pas d'entraînement par défaut » est une position affichée par Anthropic. Ce qui vous engage, ce sont les conditions commerciales et le DPA qui en fait partie. Archivez-en la version datée le jour où vous ouvrez les comptes.
Entraînement, rétention, contrat : offre par offre
| Offre | Conditions | Entraînement sur vos données | Rétention | Ce que vous faites |
|---|---|---|---|---|
| Free, Pro, Max | Grand public | Réglage au choix de l'utilisateur | 30 jours si désactivé ; dé-identifié jusqu'à 5 ans si activé | Interdire pour le travail, le dire dans la politique d'usage |
| Team, Enterprise | Commerciales | Pas par défaut, d'après Anthropic | À lire dans le contrat ; personnalisable en Enterprise | Archiver la version datée du DPA (intégré aux conditions commerciales), noter les réglages d'administration |
| API (Console) | Commerciales | Pas par défaut, d'après Anthropic | À lire dans le contrat | Choisir la région si l'UE est exigée, voir plus bas |
| Claude via AWS Bedrock | Contrat AWS, en plus des conditions du modèle | D'après AWS, Anthropic n'a accès ni aux prompts ni aux réponses | Réglable par région ; jusqu'à 30 jours chez AWS pour les modèles qui exigent une revue humaine | Choisir une région UE et le mode de rétention, faire valider par votre conseil |
Où sont les données, qui les traite, et le contrat qui l'encadre
Le lieu. La page de confidentialité d'Anthropic (privacy.claude.com, article 7996890, mise à jour le 15 juin 2026, relue le 6 octobre 2026) est claire : les données sont stockées aux États-Unis. Le trafic peut être routé vers des pays des États-Unis, d'Europe, d'Asie et d'Australie, sauf accord contraire. Les offres Enterprise facturées à l'usage peuvent limiter l'inférence aux États-Unis ; il n'existe pas d'option « Europe seulement » pour l'application claude.ai.
La résidence européenne existe, mais par un fournisseur de cloud. Au 6 octobre 2026, la page de conformité d'Anthropic (claude.com/regional-compliance) marque l'Europe comme incluse pour AWS Bedrock et Google Vertex, et « coming soon » pour Microsoft Foundry. Foundry n'est donc pas une option européenne aujourd'hui. Sur Bedrock, on choisit une inférence limitée à l'UE (profil géographique, pas « Global ») ; d'après la documentation AWS, Anthropic n'a accès ni aux journaux ni aux prompts.
Conséquence : si un client ou un appel d'offres exige que les données restent dans l'Union, on ne déploie pas claude.ai. On construit une intégration par Bedrock ou Vertex, ce que nous faisons dans le cadre de l'intégration de Claude.
Le transfert. Un stockage aux États-Unis est un transfert hors de l'Union, encadré par le chapitre V du RGPD. Le DPA d'Anthropic (en vigueur depuis le 24 février 2025) s'appuie sur les clauses contractuelles types de la Commission européenne, module 2 (responsable vers sous-traitant) et module 3 (sous-traitant vers sous-traitant), soumises au droit irlandais. C'est le mécanisme de l'article 46, paragraphe 2, point c. Le DPA ne s'appuie pas sur le cadre de protection des données UE-États-Unis. Votre DPO a donc un texte précis à examiner.
Les sous-traitants. Anthropic est votre sous-traitant au sens de l'article 28. Son DPA renvoie à une liste publique de sous-traitants ultérieurs. Quand un nouveau s'ajoute, vous êtes prévenu et vous avez 15 jours pour vous y opposer ; passé ce délai, vous êtes réputé accepter. En cas de violation de données, Anthropic s'engage à vous prévenir par écrit sous 48 heures au plus. De votre côté, l'article 33 vous donne 72 heures, si possible, pour notifier la CNIL. Écrivez ces deux délais dans votre procédure d'incident.
Chaque connecteur ou plugin ajoute un flux, parfois un sous-traitant, que le registre doit nommer. Anthropic examine les connecteurs de son annuaire mais n'audite pas la sécurité des serveurs MCP : ce contrôle vous revient (voir le guide Claude et MCP).
Registre, analyse d'impact, politique d'usage, DPA : ce que chacun fait
| Document | À quoi il sert | Ce que votre DPO examine | Par où commencer |
|---|---|---|---|
| DPA | Encadrer Anthropic comme sous-traitant (art. 28) | Clauses contractuelles types (modules 2 et 3), sous-traitants ultérieurs, 15 jours pour s'opposer, alerte sous 48 h | Le DPA fait partie des conditions commerciales : archiver la version datée avec le contrat |
| Registre des traitements | Dire quels usages de Claude existent, avec quelles données (art. 30) | L'exemption des moins de 250 salariés tombe dès que le traitement n'est pas occasionnel (art. 30.5) : un usage quotidien de Claude ne l'est pas | Une ligne par usage : service, surface, données, connecteurs, validation humaine |
| Analyse d'impact (AIPD) | Évaluer un traitement à risque élevé pour les personnes (art. 35) | Si un usage figure sur la liste publiée par la CNIL, ou présente un risque élevé pour les personnes | Une fiche de décision par usage, même quand elle n'est pas obligatoire |
| Politique d'usage | Dire aux équipes ce qui passe par Claude, ce qui n'y passe pas | Cohérence avec le règlement intérieur et les contrats clients | Une page, signée, revue tous les six mois |
Le registre : une ligne par usage, pas un roman
Le registre est le document que les PME repoussent, et celui qui répond le plus vite à un client ou un auditeur qui demande « où passent mes données ? ». Une ligne par usage de Claude suffit : le service et son référent, la surface (chat, tâche automatisée, Claude Code, plugin), les catégories de données, les connecteurs avec leurs droits (lecture ou écriture), et qui valide avant que quelque chose parte à l'extérieur.
Un registre à jour sert à trois choses : répondre vite, savoir quoi revoir quand une offre, un plugin ou un réglage change, et préparer les obligations de l'AI Act qui vous concernent (voir le calendrier de l'AI Act pour les PME). Le kit de conformité fournit un modèle de registre à remplir, une trame d'analyse d'impact d'une page et un modèle de politique d'usage. La charte IA en donne la version longue.
Recevez le kit de conformité Claude en entreprise
- Les réglages d'administration à vérifier, avec la valeur par défaut et notre recommandation
- Les points RGPD et une mini trame d'analyse d'impact
- Un registre des usages et un modèle de politique d'usage d'une page
- Douze questions à poser au fournisseur avant de signer
Les cas où la donnée ne doit pas partir
La règle la plus utile d'une politique d'usage est une liste courte de données qui ne passent pas par Claude, quel que soit le compte. Dans le kit que nous diffusons, la liste de départ est : données de santé, données bancaires, pièces d'identité, dossiers RH, mots de passe et clés d'accès, documents sous accord de confidentialité sans accord écrit. Ajoutez ce que votre métier impose : secret professionnel, données de mineurs, pièces d'un contentieux en cours.
Le principe de minimisation du RGPD donne la méthode : l'usage fonctionne-t-il avec moins de données ? Un extrait, un nom remplacé par une référence, un total au lieu de la liste des clients ? Beaucoup d'usages utiles (reformuler, résumer, préparer une réponse, classer) n'ont pas besoin du nom de la personne.
Deux cas supplémentaires sont propres aux outils qui agissent. Un contenu reçu de l'extérieur (e-mail, page web, pièce jointe) peut contenir des consignes cachées : on ne laisse pas Claude agir sur un tel contenu sans relire ce qu'il propose. Et la documentation des skills l'écrit : ils ne sont pas couverts par les accords de rétention zéro (ZDR) d'Anthropic, et suivent la rétention standard. Pas de donnée sensible dans un skill.
Ce qui passe par Claude, ce qui reste dehors
Des contenus à faible risque, relus par une personne
- Reformuler, résumer ou traduire un texte sans donnée personnelle.
- Préparer une réponse client à partir d'un cas anonymisé.
- Classer des demandes entrantes dont les champs ont été limités au strict nécessaire.
- Écrire ou relire du code sans secret ni jeu de données réelles.
Des données qu'un compte standard ne doit pas recevoir
- Dossiers RH, santé, données bancaires, pièces d'identité, mots de passe.
- Contrat client sous confidentialité sans accord écrit du client.
- Toute donnée qu'un client exige de garder dans l'Union : intégration par Bedrock ou Vertex, validée par votre conseil.
- Toute décision qui touche une personne (recrutement, crédit, sanction) prise sans relecture humaine.
Cowork, Claude Code, plugins : là où la vigilance change
Les outils qui agissent (tâches dans vos fichiers, navigateur, connecteurs) posent des questions que le chat seul ne pose pas. Cowork, l'agent de Claude qui exécute des tâches dans vos fichiers et vos outils, est désormais intégré à Claude (déploiement en cours sur Pro et Max ; Team et Enterprise conservent pour l'instant Cowork séparé). Dans l'aide d'administration Team et Enterprise (support.claude.com, article 13455879, lue le 5 octobre 2026), un point intéresse directement le RGPD : l'historique local des sessions Cowork n'est pas soumis à la politique de rétention standard et ne peut pas être géré ni supprimé centralement par les administrateurs. Règle de poste : pas de donnée sensible dans Cowork en local. Voir le guide Claude Cowork.
Les réglages à contrôler avant le premier compte (exécution dans le cloud, navigateur intégré, Claude in Chrome, approbation automatique, « Always allow » des connecteurs) sont détaillés dans le guide des fonctionnalités et dans le kit. Pour la diffusion de plugins et de skills par marketplace privée, voir les plugins Claude en entreprise. Pour les développeurs, voir Claude Code en entreprise.
La recommandation de départ tient en une phrase : validation manuelle par défaut, exceptions écrites, et rien ne part à l'extérieur (e-mail, publication, devis, paiement) sans qu'une personne l'ait validé.
Quand avancer seul, quand faire intervenir un DPO ou Waimia
Waimia n'est pas un cabinet juridique et ne rend pas d'avis de droit. Nous cadrons l'usage technique de Claude ; la qualification juridique reste celle de votre DPO ou de votre conseil.
- Vous utilisez Claude en Team ou Enterprise, pour des usages à faible risque, sans donnée sensible
- Vous avez un DPO ou un conseil qui lit le DPA et valide le registre
- Les clients ne demandent aucune garantie de résidence des données
- Un client ou un appel d'offres impose que les données restent dans l'Union
- Vous voulez brancher Claude à votre CRM, votre messagerie ou vos fichiers avec des droits d'écriture
- Un usage touche des décisions sur des personnes : recrutement, crédit, évaluation
- Vous ne savez pas qui dans l'entreprise détient le registre
Comment Waimia s'y prend
On part de vos usages réels, pas d'un modèle de contrat. Aucune promesse de conformité : un cadre technique documenté, que votre DPO valide.
-
Audit gratuit de 45 minutes
On liste les usages de Claude déjà en place (y compris les comptes personnels) et ceux que vous voulez.
-
Sprint de cadrage
Registre, fiches de décision par usage, réglages d'administration, architecture si l'UE est exigée.
-
Mise en place
Comptes, plugins et connecteurs autorisés, politique d'usage, formation des équipes.
-
Revue périodique
Relecture quand une offre, un plugin ou un réglage change, avec les sources à jour.
Les changements de Claude qui touchent vos données, une fois par mois
Offres, réglages d'administration, hébergement, rétention : ce qui a changé, ce que ça change pour vous, avec la source. Sans relance commerciale.
✓ Bienvenue ! Vérifiez votre boîte mail.
Désinscription en un clic.
Claude et RGPD : questions fréquentes
Q.01 Claude est-il conforme au RGPD ?
Claude peut s'utiliser en conformité, pas n'importe comment. En Team, Enterprise ou API, Anthropic n'entraîne pas ses modèles sur vos données par défaut et fournit un DPA appuyé sur les clauses contractuelles types. Le reste dépend de vous : registre, données envoyées, analyse d'impact si elle s'impose. Ce guide n'est pas un avis juridique.
Q.02 Anthropic entraîne-t-il ses modèles sur mes données ?
Pas par défaut en Team, Enterprise et API, d'après la page de conformité d'Anthropic relue le 6 octobre 2026. Sur un compte Free, Pro ou Max, c'est un réglage : activé, des données dé-identifiées peuvent être conservées jusqu'à cinq ans ; désactivé, les conversations supprimées quittent les serveurs sous 30 jours. Raison de plus pour interdire les comptes personnels au travail.
Q.03 Mes données restent-elles en Europe ?
Pas avec l'application claude.ai : Anthropic indique un stockage aux États-Unis, sans option européenne. La résidence européenne passe par AWS Bedrock ou Google Vertex, donc par une intégration. Microsoft Foundry est annoncé en Europe mais pas disponible au 6 octobre 2026.
Q.04 Faut-il un DPA avec Anthropic ?
Oui. Dès que vous traitez des données personnelles, l'article 28 du RGPD exige un contrat avec votre sous-traitant. Chez Anthropic, le DPA fait partie des conditions commerciales (Team, Enterprise, API) : pas de signature séparée. Archivez la version datée et faites lire à votre DPO les clauses types de transfert et la liste des sous-traitants ultérieurs.
Q.05 Dois-je faire une analyse d'impact pour utiliser Claude ?
Pas systématiquement. L'article 35 l'impose pour les traitements susceptibles d'engendrer un risque élevé pour les personnes, et la CNIL publie la liste des cas où elle est obligatoire. Trier des candidatures avec Claude s'en approche ; reformuler des e-mails sans donnée sensible, non. Votre DPO tranche, une fiche de décision par usage garde la trace.
Q.06 Quelles données ne jamais envoyer à Claude ?
Données de santé, bancaires, pièces d'identité, dossiers RH, mots de passe et clés d'accès, documents sous confidentialité sans accord écrit. Ajoutez ce que votre métier impose, comme le secret professionnel. Pour le reste, appliquez la minimisation : l'usage fonctionne-t-il avec moins de données ?
Q.07 Cowork et les tâches automatisées posent-ils un risque particulier ?
Oui, deux : l'historique local des sessions Cowork n'est pas géré par la politique de rétention standard et les administrateurs ne peuvent pas le supprimer centralement ; et un contenu reçu de l'extérieur peut contenir des consignes cachées. D'où la règle de départ : validation manuelle, rien ne part sans relecture.
Q.08 Waimia peut-il garantir ma conformité ?
Non, et méfiez-vous de qui le promet. Waimia cadre l'usage technique de Claude (comptes, réglages, connecteurs, registre, formation) et date chaque source. La qualification juridique reste celle de votre DPO ou de votre conseil. L'audit de 45 minutes est gratuit, le sprint de cadrage coûte 999 € HT.
Page mise à jour le par Simon Beros, fondateur de Waimia.