Claude est-il conforme au RGPD ? Quelle version utiliser avec des données sensibles ? Comment signer un DPA ? Ce guide répond à toutes les questions pratiques — sans jargon.
La conformité RGPD de Claude dépend entièrement de la version que vous utilisez. La version gratuite est insuffisante pour un usage professionnel avec données clients.
Claude for Work à 20€/mois offre le meilleur rapport conformité/prix du marché. C'est moins cher que ChatGPT Business (25€/mois) et plus conforme RGPD natif.
Claude a été conçu avec la conformité RGPD en tête dès le départ. Voici les différences clés avec ChatGPT.
Le DPA (Data Processing Addendum) est le contrat qui fait de Claude votre sous-traitant au sens du RGPD. Sans lui, vous n'avez aucune base légale pour traiter des données clients avec Claude.
Article 28 du RGPD : tout traitement de données personnelles par un sous-traitant doit faire l'objet d'un contrat. Sans DPA, vous êtes en infraction — même si vous utilisez Claude for Work.
claude.ai → Settings → Legal & Compliance
Depuis janvier 2026, Anthropic propose un DPA en self-service. Plus besoin d'attendre 48h.
Via la plateforme Anthropic ou par email à support@anthropic.com (objet : "DPA Request - [Nom entreprise]")
Le DPA est votre preuve de conformité en cas de contrôle CNIL.
La réponse dépend de votre version et de la nature des données. Voici la grille de décision claire.
| Type de données | Claude Gratuit | Claude for Work (EU) |
|---|---|---|
| Données publiques, marketing, brainstorming | ✅ Autorisé | ✅ Autorisé |
| Données internes non nominatives (procédures, budgets) | ⚠️ Avec prudence | ✅ Autorisé |
| Données clients identifiables (noms, emails, contrats) | ❌ Interdit | ✅ Avec DPA signé |
| Données RH (salaires, évaluations, dossiers) | ❌ Interdit | ⚠️ AIPD obligatoire |
| Données de santé / données sensibles art. 9 RGPD | ❌ Interdit | ❌ LLM local uniquement |
| Données financières (IBAN, RIB, numéros de carte) | ❌ Interdit | ❌ LLM local uniquement |
Avant chaque envoi à Claude : Département (qui utilise ?) + Donnée (quelle nature ?) + Outil (où ça part ?). Si Donnée = sensible ET Outil = cloud public → STOP. Solution isolée obligatoire.
Claude est un modèle d'IA à usage général (GPAI). L'AI Act s'applique donc à Anthropic — et à vous en tant qu'utilisatrice.
Documentation technique exhaustive, politique droits d'auteur, résumé des données d'entraînement, watermarking des contenus générés. Anthropic s'y conforme. Vous n'avez rien à faire sur ce point.
L'AI Literacy est en vigueur. Une session d'1h sur les bons usages et les risques suffit pour une TPE. C'est ce qu'on fait ce soir.
Listez tous les outils IA utilisés dans votre structure. C'est votre registre AI Act + RGPD en un seul document.
Usage haut risque : recrutement automatisé, scoring clients, évaluation salariés. Si Claude aide à prendre une décision impactant des droits → AIPD obligatoire.
Aucun contenu produit par Claude (email, document, contrat) ne peut être envoyé ou signé sans relecture humaine. Human in the loop = obligation légale.
Mentionner dans vos CGV si vous utilisez l'IA dans vos prestations. Une phrase suffit.
Les obligations pour les systèmes à haut risque ont été repoussées du 2 août 2026 au 2 décembre 2027. Ce n'est pas une raison de reporter — c'est une fenêtre d'avance à saisir maintenant.
Ce que vous faites cette semaine pour être conforme. Dans l'ordre.
claude.ai → Upgrade → Claude for Work (20€/mois). Activez Data Residency Europe (Frankfurt ou Paris) dans Settings → Data Residency.
Dashboard → Settings → Legal & Compliance → Télécharger et signer. Conservez-le avec votre registre RGPD.
Collez le prompt Secure Guard au début de chaque nouvelle conversation. Votre pare-feu est actif. Il bloque les injections et alerte sur les données sensibles.
Cartographiez vos outils, rédigez vos 3 règles d'or, formez votre équipe en 1h. Document dans votre pack ce soir.
Ajoutez une clause IA dans vos contrats clients. Une phrase : "Dans le cadre de nos prestations, nous utilisons des outils d'IA conformes au RGPD avec données hébergées en Europe."
Les amendes s'appliquent en pourcentage du chiffre d'affaires pour les TPE/PME — pas en montant fixe. C'est ce qui vous concerne.
Vous ne serez pas la première cible des régulateurs. Mais un incident client, une plainte, une fuite de données — et la CNIL peut être saisie. La conformité protège aussi votre réputation et votre relation client.
Les définitions que vous entendrez et que vous devez pouvoir expliquer à vos clients.