Confidentialité Claude entreprise : le guide concret

Vous avez peut-être déjà vu le cas dans votre équipe, ou il vous attend encore. Un collaborateur colle un contrat, un dossier RH, un échange client, puis demande à Claude de le résumer. Le gain de temps est réel. La question utile, elle, arrive après, qui a vu ces données, où sont-elles allées, et votre entreprise peut-elle le prouver ?

En pratique, la confidentialité Claude entreprise ne se joue pas sur le confort de l'interface. Elle se joue sur le compte utilisé, le contrat signé, la durée de conservation et la circulation réelle des données. Pour une PME, le mauvais choix n'est pas seulement un sujet de conformité, c'est un sujet d'exposition immédiate.

Table des matières

• Pourquoi la confidentialité de Claude en entreprise n'est pas un détail technique
• Ce que Claude Enterprise change vraiment côté cadre légal
• Compte individuel ou compte entreprise, la différence qui pèse
• Le DPA et les options de rétention, ce qu'Anthropic signe vraiment
  • Ce que le DPA couvre vraiment
  • Ce que le DPA ne couvre pas
• RGPD, AI Act et CNIL 2026, ce que la France exige concrètement
  • Ce qu'il faut inscrire dans vos règles internes
• Au-delà du chat, ce que deviennent vos données dans les agents et intégrations
• Checklist opérationnelle et prochain pas pour votre équipe
  • Les six actions à lancer dès lundi

Pourquoi la confidentialité de Claude en entreprise n'est pas un détail technique

Une PME industrielle de 25 personnes découvre qu'un alternant a copié un contrat fournisseur sensible dans son compte Claude personnel pour en sortir un résumé plus lisible. Le dirigeant appelle le DPO externalisé. La première réaction n'est pas technique, elle est simple. Qui a vu les données, où sont-elles stockées, et sur quelle base le transfert hors UE a-t-il été fait ?

Ce scénario résume le vrai sujet. Une fois le prompt envoyé, vous n'êtes plus dans un simple usage interne, vous entrez dans une chaîne de traitement où votre entreprise reste responsable. La CNIL rappelle que tout organisme qui utilise ou développe de l'IA doit respecter le RGPD, informer les personnes concernées, faciliter l'exercice de leurs droits et mettre en place une gouvernance interne claire, avec des politiques ou chartes internes pour encadrer l'usage d'une IA générative, et sans jamais soumettre d'informations confidentielles dans les prompts, notamment des données personnelles, des données d'entreprise ou des éléments couverts par le secret des affaires ou un secret professionnel. C'est précisément ce cadre qui rend un usage de Claude crédible pour les PME, cabinets et professions réglementées en France. CNIL, fiches pratiques IA

Règle simple. Si vous n'accepteriez pas de laisser ce document dans un tiroir partagé, ne le mettez pas dans un compte Claude personnel.

Avant d'autoriser l'outil au bureau, posez trois questions, sans jargon :

• Les données restent-elles sous votre contrôle ? Une donnée copiée dans un compte personnel n'obéit plus à votre politique interne.
• Pouvez-vous prouver où elles vont ? Si vous ne savez pas quel plan, quel hébergement ou quel sous-traitant est impliqué, vous n'avez pas de maîtrise sérieuse.
• Qui répond si elles fuient ? En cas de problème, la responsabilité ne disparaît pas parce que l'outil est “IA”.

Le bon arbitrage commence donc ici. Le sujet n'est pas “Claude est-il pratique ?”. Le sujet est “votre organisation a-t-elle encore la main sur ses données une fois le prompt envoyé ?”.

Ce que Claude Enterprise change vraiment côté cadre légal

Claude n'est pas une seule offre. Pour une entreprise française, il faut distinguer Claude Team, Claude Enterprise et l'API Anthropic. Team vise plutôt des petites équipes avec une console partagée. Enterprise ajoute une console web avec SSO et facturation centrale. L'API, elle, sert à intégrer Claude dans vos propres outils.

Sur le plan du RGPD, la logique est claire. Quand vous utilisez l'API ou une offre d'entreprise avec un accord de traitement signé, Anthropic intervient comme sous-traitant au sens de l'article 28, pas comme responsable de traitement. Votre entreprise reste responsable des usages, des finalités et des données envoyées. Cela compte parce qu'un prompt n'est pas un texte anodin, c'est un transfert de données vers un tiers technique, avec les obligations qui vont avec.

Le cadre français ne s'arrête pas au RGPD. Il faut aussi tenir compte de la loi Informatique et Libertés, des recommandations de la CNIL sur l'IA générative, et de l’AI Act européen. Le texte européen s'applique progressivement, avec des exigences renforcées pour certains systèmes à haut risque, et à partir du 2 août 2026, les entreprises qui développent ou commercialisent de tels systèmes devront notamment être inscrites dans la base de données de l'Union européenne, obtenir un marquage CE avant commercialisation, documenter la gestion des risques, assurer transparence et traçabilité, mettre en place un contrôle humain avant la mise en service et tenir un registre lié à la protection des données et à la cybersécurité. Service-Public, actualité AI Act et CNIL 2026

Pour un dirigeant, la conclusion est nette. Si vous utilisez Claude avec des données internes, vous devez raisonner en responsable de traitement, pas en simple utilisateur d'un logiciel. Et si vous cherchez une base pratique pour relier la conformité IA à vos usages concrets, consultez aussi notre page dédiée à l'AI Act.

Compte individuel ou compte entreprise, la différence qui pèse

Le piège le plus fréquent en PME, c'est le mélange. Un salarié utilise son compte personnel pour aller plus vite, puis le service passe au compte d'équipe sans changer les habitudes. Sur le papier, on parle du même outil. En réalité, la politique de données n'a rien de comparable.

Critère	Compte individuel (Free, Pro, Max)	Enterprise, Team, API
Entraînement des modèles	Peut dépendre du choix de l'utilisateur, avec conservation prolongée si l'amélioration du modèle est acceptée	Exclusion de l'entraînement par défaut sur les données clients
Conservation	Peut être beaucoup plus longue selon le plan et le consentement	Conservation plus encadrée, avec options de rétention réduite selon le produit
Contrôle centralisé	Pas de vraie console d'administration d'entreprise	Console d'administration, gestion des accès, logs et politiques internes
Maîtrise contractuelle	Cadre grand public, plus difficile à gouverner	Cadre commercial, plus adapté aux données pro

Anthropic précise que, pour les usages professionnels, les conversations et les sessions de code sont conservées dans le produit afin d'assurer une expérience cohérente, tandis que certains plans d'entreprise peuvent aussi relever d'une conservation standard de 30 jours. Certains modèles dits Covered Models imposent cette conservation minimale et excluent l'option de zéro conservation dans les workspaces et organisations Claude Enterprise. Anthropic, rétention et usage des données

Le point le plus important n'est pas seulement contractuel. Il est organisationnel. Si vos équipes utilisent déjà Claude sur leur compte perso, vous n'avez ni maîtrise technique ni maîtrise de la politique de rétention. Vous ne savez pas où les conversations restent, ni quelles règles s'appliquent selon le plan. C'est cette asymétrie qui justifie le basculement vers Enterprise ou l'API dès qu'il y a des données réelles.

Un compte personnel peut suffire pour des tests sans enjeu. Dès qu'il y a des clients, du RH, du juridique ou du financier, il faut un cadre d'entreprise.

La bonne lecture est simple. Le danger n'est pas Claude en soi. Le danger, c'est l'usage dispersé, hors gouvernance, avec des comptes individuels qui échappent à votre politique interne.

Le DPA et les options de rétention, ce qu'Anthropic signe vraiment

Le DPA, ou Data Processing Addendum, est le document qui précise ce qu'Anthropic fait pour votre compte. Il ne transforme pas l'entreprise en organisme conforme par magie. Il fixe les rôles, les finalités et les transferts. C'est utile, mais seulement si vous savez ce que vous cherchez à couvrir.

Ce que le DPA couvre vraiment

Dans un cadre professionnel, le DPA doit clarifier au minimum quatre points.

• Sous-traitance. Anthropic traite certaines données pour votre compte.
• Transferts. Les flux hors EEE sont encadrés par des mécanismes juridiques adaptés.
• Audit. Vous devez pouvoir vérifier le cadre de traitement et les engagements.
• Sous-traitants ultérieurs. Vous devez savoir qui intervient derrière Anthropic.

Pour les entreprises, la bonne exigence n'est pas “un DPA existe”. La bonne exigence est “le DPA est-il assez précis pour mes données, mon secteur et mes usages ?”. En France, le transfert hors EEE reste un point sensible. Il peut être encadré par des clauses contractuelles types, mais cela ne vaut pas hébergement européen automatique, ni résidence locale par défaut.

Anthropic indique aussi qu'un accord de zéro conservation des données n'est pas automatique. Il doit être approuvé pour certains clients, ne s'applique qu'à des produits éligibles, et concerne notamment certaines API Anthropic, les produits utilisant une clé API d'organisation commerciale, et Claude Code pour Enterprise. En dehors de ces cas, la conservation dépend des termes contractuels et peut rester plus longue pour la prévention des abus ou la conformité légale. Anthropic, usage et conservation des données

Ce que le DPA ne couvre pas

Le DPA ne corrige pas les erreurs d'usage interne. Il ne bloque pas un salarié qui colle un secret client dans un prompt personnel. Il ne protège pas non plus contre une prompt injection, c'est-à-dire une instruction cachée dans un contenu qui pousse l'agent à faire autre chose que ce qu'il devrait faire.

Il ne couvre pas davantage les extensions tierces, les intégrations non auditées, ni les agents persistants qui modifient des fichiers ou déclenchent des actions. Dès qu'un workflow externe entre en jeu, le risque dépasse le seul contrat.

Si vous devez négocier, visez des clauses claires sur :

• Notification d'incident sous 72h.
• Droit d'audit ou, à défaut, droit d'obtenir les preuves de contrôle.
• Liste des sous-traitants et de leurs évolutions.
• Résidence ou mécanisme de transfert adapté à votre politique interne.

Pour comparer un DPA avec d'autres critères de conformité d'un outil IA, vous pouvez aussi consulter ce guide de vérification RGPD.

RGPD, AI Act et CNIL 2026, ce que la France exige concrètement

Le RGPD se traduit en décisions opérationnelles. Si Claude sert à traiter des données personnelles, vous devez définir une base légale, limiter les finalités, fixer une durée de conservation, tenir un registre à jour et documenter les accès. La CNIL rappelle aussi que l'organisme doit intégrer la protection des données dès la conception et évaluer la conformité au RGPD à l'aide de sa grille d'analyse. CNIL, questions-réponses sur l'IA générative

Ce qu'il faut inscrire dans vos règles internes

Pour une PME, la charte d'usage n'a pas besoin d'être lourde. Elle doit être claire, visible et appliquée.

• Usages autorisés. Résumé de textes non sensibles, reformulation, aide à la rédaction.
• Usages interdits. Données personnelles non nécessaires, secrets d'affaires, dossiers clients complets, éléments couverts par le secret professionnel.
• Circuits validés. Seuls les comptes entreprise peuvent servir pour les données réelles.
• Traçabilité. Les actions importantes doivent laisser une trace exploitable.

L’AI Act ajoute une autre couche. Tous les usages de Claude ne tombent pas dans la catégorie “high risk”, mais dès qu'il intervient dans des domaines comme les ressources humaines, l'éducation ou le scoring, le niveau d'exigence monte. Les systèmes à haut risque doivent répondre à des obligations de documentation, de transparence, de contrôle humain et de suivi des risques. Pour un dirigeant, cela veut dire qu'un même outil peut rester acceptable pour de la rédaction et devenir nettement plus sensible pour de la décision automatisée.

Bon réflexe. Si l'usage peut produire un effet sur une personne, faites valider le cas par le DPO ou le conseil conformité avant déploiement.

La CNIL a aussi finalisé en 2026 des recommandations sur le développement des systèmes d'IA, avec une grille d'auto-évaluation pour mesurer la maturité RGPD des organismes. Si vos collaborateurs manipulent des données dans Claude sans cadrage, cette grille vous montrera vite où se situe le retard.

Conformité Claude par taille d'organisation	TPE/Freelance	PME 10-250	ETI/Grand groupe	Secteur sensible
Charte interne	Souvent une page suffit	Indispensable	Indispensable	Indispensable et plus stricte
Registre IA	Très utile si données personnelles	À tenir à jour	À industrialiser	À auditer régulièrement
AIPD	Selon le risque réel	Souvent nécessaire dès qu'il y a des données sensibles	Souvent requise selon les cas d'usage	Quasi systématique pour les cas à enjeu
Hébergement et transferts	À vérifier au cas par cas	À cadrer contractuellement	À intégrer au pilotage fournisseurs	À isoler ou restreindre fortement

La règle de fond est simple. Plus l'entreprise est grande, plus l'outillage de conformité doit être structuré. Plus le secteur est sensible, plus l'usage de Claude doit être restreint, isolé ou validé sur une base contractuelle très solide.

Au-delà du chat, ce que deviennent vos données dans les agents et intégrations

La confidentialité ne s'arrête pas à la conversation. Dès que Claude est connecté à un CRM, une GED, un connecteur MCP ou un agent autonome, le risque change de nature. Un simple chat peut rester maîtrisable. Un agent, lui, lit, agit et parfois écrit dans d'autres systèmes.

Chaque appel API transmet le prompt et le contexte utile à la réponse. Les outils connectés voient les pièces jointes, les fichiers, parfois les métadonnées. Quand un agent lit un mail client, le résume, puis le renvoie via un connecteur non audité, le problème ne relève plus seulement du DPA. Vous êtes déjà dans une chaîne d'exécution qu'il faut gouverner finement.

À retenir. Le vrai sujet n'est plus seulement “Claude entraîne-t-il sur mes données ?”, mais “quels systèmes reçoivent ces données, quels journaux restent, et qui peut rejouer l'action ?”.

Le plus sûr est de traiter ces usages comme des zones séparées. Si l'outil modifie des fichiers, interroge des services tiers ou déclenche des actions, isolez les workspaces par projet, désactivez l'entraînement quand l'option existe, et journalisez les actions des agents. Si vous avez besoin d'un rappel concret sur la construction d'un agent, le guide comment créer un agent IA est un bon point d'entrée.

Un usage chat bien cadré reste gérable. Un usage agent sans gouvernance, lui, expose vos données bien au-delà de la conversation initiale. C'est là que beaucoup de PME se trompent, en pensant que le contrat suffit alors que le problème vient du workflow.

Checklist opérationnelle et prochain pas pour votre équipe

Passez vos usages Claude en revue maintenant, bloquez les comptes personnels pour les données réelles, puis fixez un cadre commun à toute l'équipe.

Les six actions à lancer dès lundi

1. Auditer les comptes Claude existants. Faites la liste des comptes Free, Pro, Max, Team et API déjà utilisés. Responsable, RSSI, DPO ou référent conformité. Seuil de validation, aucun compte personnel ne doit rester autorisé pour des données sensibles.
2. Centraliser les licences. Regroupez les licences et les utilisateurs dans un inventaire unique. Responsable, direction ou IT. Seuil de validation, la facturation et les accès passent par une seule console.
3. Signer le DPA. Faites valider puis archiver le DPA Anthropic. Responsable, direction juridique ou conseil externe. Seuil de validation, aucun prompt contenant des données personnelles avant signature.
4. Rédiger la charte d'usage IA. Tenez-la en une page claire, avec les usages autorisés et interdits. Responsable, conformité, RH ou DPO. Seuil de validation, chaque collaborateur sait ce qu'il n'a pas le droit de saisir.
5. Configurer la rétention. Fixez une durée de conservation adaptée au besoin métier. Responsable, IT et conformité. Seuil de validation, la valeur choisie doit rester cohérente avec vos obligations internes.
6. Tester les agents sur des données anonymisées. Documentez le test avant tout passage en production. Responsable, métier avec validation conformité. Seuil de validation, aucun flux automatisé ne doit toucher des données réelles sans revue préalable.

Pour une PME de moins de 20 personnes, Team peut suffire si le DPA est en place, si les usages restent limités et si la charte est appliquée. Pour un cabinet réglementé en santé, droit ou finance, visez Enterprise avec un niveau de contrôle plus serré, et vérifiez l'hébergement, les journaux et les intégrations avant déploiement.

Le bon prochain pas est simple. Révisez les usages Claude, interdisez les comptes personnels pour les données réelles, puis formalisez le cadre commun à toute l'équipe.