Claude et RGPD : l'inscrire au registre des traitements

Un client vous écrit : « Est-ce que nos données passent par une intelligence artificielle ? » Vous savez que la réponse est oui. Vous ne savez pas ce que répond votre registre des traitements, ni si quelqu'un l'a rouvert depuis que l'équipe s'est mise à travailler avec Claude.

Ce guide ne fait pas le tour du RGPD. Il traite les quatre points qui se posent dès qu'un dirigeant de PME utilise Claude sur des données de clients ou de salariés : le contrat, les réglages, le registre, l'information des personnes.

Ce que ça fait

En vingt minutes, vous savez si votre offre Claude couvre vos usages, et vous repartez avec le texte à coller dans votre registre et dans votre politique de confidentialité.

Prérequis

• Le nom exact de votre offre. Free, Pro et Max d'un côté, Team, Enterprise et API de l'autre. Le traitement juridique diffère entre ces deux familles.
• Votre registre des traitements. Le fichier existant, même incomplet. Sous le seuil de 250 salariés, la dispense de l'article 30 tombe dès que le traitement est régulier, ce qui est le cas ici.
• La liste des usages réels dans l'équipe. Elle s'établit à l'étape 1 et réserve souvent des surprises.
• Vingt minutes. Aucune compétence juridique, le texte modèle est fourni.

Les étapes

1. Faire l'inventaire des usages, comptes personnels compris

   Posez la question à chacun, par écrit, sans chercher de coupable : quel outil, pour quelle tâche, avec quelles données, depuis quel compte. Le tableau tient en cinq colonnes.

   Le cas le plus fréquent apparaît ici : un commercial qui colle des fichiers clients dans un compte gratuit ouvert à son nom personnel. Aucun contrat ne couvre cet usage, et il n'apparaît dans aucun registre. Le traiter d'abord vaut mieux que de soigner la rédaction des fiches.

2. Vérifier ce que votre contrat couvre

   Anthropic met à disposition un accord de sous-traitance au sens de l'article 28, avec des clauses contractuelles types pour les transferts hors Union européenne. Cet accord est intégré aux conditions commerciales et vaut pour Team, Enterprise et l'API. Les offres grand public, Free, Pro et Max, n'en bénéficient pas.

   La conséquence est nette pour une PME : dès que des données personnelles de clients, de salariés ou de candidats entrent dans une conversation, l'offre commerciale devient le socle minimal. Un abonnement Pro payé sur la carte de l'entreprise ne suffit pas à constituer une relation de sous-traitance.

   La résidence des données en Europe n'est pas native. Elle passe par un déploiement via AWS Bedrock ou Google Vertex AI en région européenne, ce qui relève d'un autre montage que l'abonnement direct.

3. Régler l'entraînement et la conservation

   Sur Free, Pro et Max, le choix vous appartient et se vérifie dans Réglages > Confidentialité :

   claude.ai/settings/data-privacy-controls

   La bascule d'amélioration des modèles, activée, allonge la conservation à cinq ans et fait servir vos conversations à l'entraînement. Laissée inactive, la durée reste de trente jours. Sur Team et Enterprise, les contenus ne servent pas à l'entraînement des modèles par défaut. Notez la date de votre vérification : elle sera utile à l'étape suivante.

4. Compléter le registre, sans créer de fiche « IA »

   L'erreur courante consiste à ouvrir une fiche intitulée « Intelligence artificielle ». L'IA n'est pas une finalité, c'est un moyen employé à l'intérieur de traitements qui existent déjà : gestion de la facturation, recrutement, gestion du personnel, relation client. Vous complétez donc les fiches existantes.

   Dans chacune des fiches concernées, ajoutez ce bloc :

   Sous-traitant : Anthropic PBC (Claude), offre [Team / Enterprise / API]. Rôle : sous-traitant au sens de l'article 28 du RGPD, accord de sous-traitance intégré aux conditions commerciales. Données transmises : [liste des catégories réellement envoyées, après minimisation]. Finalité de la transmission : [ex. extraction de données de facturation, préparation de courriers]. Transfert hors UE : États-Unis, encadré par les clauses contractuelles types annexées à l'accord de sous-traitance. Durée de conservation chez le sous-traitant : [30 jours par défaut sur les offres commerciales, à vérifier au contrat]. Mesures techniques : pseudonymisation des tiers avant transmission, minimisation des colonnes, entraînement des modèles désactivé, suppression des conversations après usage. Date de la dernière vérification des réglages : [date].

   Le dernier champ fait plus de travail qu'il n'y paraît. Il vous oblige à rouvrir les réglages à intervalle régulier, et il vaut preuve de diligence si la question se pose.

5. Informer les personnes concernées

   L'article 13 impose de dire aux personnes ce que vous faites de leurs données. Deux phrases suffisent, une pour l'extérieur, une pour l'interne.

   Dans la politique de confidentialité du site ou les conditions de mission :

   Dans le cadre de [finalité], nous recourons à un assistant d'intelligence artificielle fourni par Anthropic PBC, agissant en qualité de sous-traitant. Les données transmises sont limitées à [catégories] et font l'objet d'une pseudonymisation préalable lorsque la finalité le permet. Ces traitements impliquent un transfert vers les États-Unis, encadré par les clauses contractuelles types de la Commission européenne.

   Pour les salariés, une note d'information au même contenu, remise contre émargement ou diffusée par la voie habituelle. Si vous avez un CSE, son information est requise avant la mise en place d'un outil qui touche à l'organisation du travail.

6. Tracer la formation des utilisateurs

   Le règlement européen sur l'IA impose depuis le 2 février 2025 un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent ces systèmes pour le compte de l'entreprise. L'obligation vise toutes les tailles d'entreprise et ne prévoit pas de seuil.

   Une page suffit à la satisfaire dans une PME : date de la session, participants, sujets couverts, règles internes remises. Les règles internes, ce sont les vôtres : quelles données ne partent jamais, quel compte utiliser, qui relit avant envoi au client.

7. Mettre de côté les usages qui ne passent pas encore

   Le tri de candidatures et l'évaluation des salariés relèvent de l'annexe III du règlement sur l'IA, la catégorie la plus encadrée. Les obligations correspondantes ont été reportées au 2 décembre 2027 par le règlement dit Digital Omnibus, adopté en juin 2026.

   Ce report ne libère rien côté RGPD. L'article 22 encadre déjà les décisions produisant des effets juridiques sur une personne et prises sur le seul fondement d'un traitement automatisé. Un tri de CV reste donc licite à condition qu'une personne décide, que les candidats soient informés, et que les critères soient documentés. La lecture assistée d'un dossier tient. L'écartement automatique d'une candidature ne tient pas.

Pour tester

Trois demandes à passer avec vos fiches rédigées, sans y laisser de données réelles.

« Voici une fiche de mon registre des traitements. Compare-la aux mentions exigées par l'article 30 du RGPD et liste uniquement ce qui manque. »

« Voici la liste des usages de Claude dans mon entreprise. Pour chacun, dis-moi s'il fait entrer des données personnelles dans la conversation, et lesquelles. »

« Relis cette note d'information aux salariés. Signale les phrases qui promettent plus que ce que le texte précédent décrit. »

Bon à savoir

L'analyse d'impact se pose à part. Une AIPD devient nécessaire quand le traitement présente un risque élevé, par exemple une évaluation systématique de personnes ou un traitement de données sensibles à grande échelle. Les listes publiées par la CNIL disent dans quels cas elle est obligatoire. Ajouter Claude à un traitement existant ne déclenche pas mécaniquement une AIPD, mais change parfois le niveau de risque de ce traitement.

Le contrat et la minimisation ne se remplacent pas. L'accord de sous-traitance règle la relation juridique. La préparation des fichiers réduit ce que cette relation touche réellement. Une PME qui fait les deux se trouve dans une position défendable, y compris en cas de contrôle.

Ce guide donne un cadre de travail, sans valoir avis juridique. Sur un traitement sensible, un dossier prud'homal ou une donnée de santé, la question se pose à un conseil avant l'usage.

Les dates bougent. Le calendrier du règlement sur l'IA a déjà été modifié une fois. Les échéances citées ici sont celles en vigueur à la date de vérification indiquée ci-dessous.