Claude RGPD entreprise : 4 offres, 4 niveaux de garanties

Utiliser Claude en entreprise pose une question simple en apparence : l'outil respecte-t-il le RGPD ? La réponse tient en une phrase que répètent tous les guides juridiques consultés : cela dépend entièrement du plan souscrit. Poser la question « Claude RGPD entreprise » sans préciser l'offre utilisée n'a pas vraiment de sens, tant les garanties diffèrent entre un compte personnel gratuit et un contrat Enterprise signé avec Anthropic.

Ce que change le contrat Enterprise face au RGPD

Le sous-traitant au sens de l'article 28

Lorsqu'une organisation utilise Claude via l'API ou dans le cadre d'un contrat Enterprise, Anthropic agit en qualité de sous-traitant au sens de l'article 28 du RGPD, selon donneespersonnelles.fr. Concrètement, cela signifie que l'entreprise cliente reste responsable de traitement, mais qu'Anthropic doit lui offrir des garanties contractuelles : un accord de traitement des données (DPA), des clauses contractuelles types pour les transferts hors UE, et des engagements précis sur l'usage des données transmises.

Les offres commerciales (API, Team, Enterprise) n'entraînent pas leurs modèles sur les données des clients par défaut, avec DPA et sécurité certifiée, rappelle datacomplyone.eu. Cette absence d'entraînement par défaut est le point qui distingue le plus nettement l'usage professionnel de l'usage grand public.

Free, Pro, Max : la face grand public non couverte

Le DPA d'Anthropic couvre les offres Team, Enterprise et API, mais pas les plans Free ou Pro grand public, précise spotdev.co.uk dans une vérification datée du 12 septembre 2026. Un salarié qui colle un contrat client ou un dossier RH dans son compte Claude personnel place donc ces données hors de tout accord d'entreprise.

Depuis le 8 octobre 2025, les plans Free, Pro et Max sont passés en opt-in par défaut pour l'entraînement des modèles, selon ethanolle.com. Concrètement, chaque utilisateur grand public est désormais interrogé sur l'autorisation d'utiliser ses conversations pour améliorer le modèle. S'il accepte, les données peuvent être conservées jusqu'à cinq ans. S'il refuse, la conservation reste limitée à trente jours et les échanges ne nourrissent pas l'entraînement, selon fjdigital.fr.

Anthropic a procédé à un changement controversé à l'automne 2025 : les utilisateurs qui n'ont pas activement désactivé le nouveau choix de confidentialité autorisent la conservation de leurs conversations pendant une période pouvant aller jusqu'à cinq ans pour l'entraînement des modèles, note xylos.com. C'est précisément ce mécanisme d'opt-in par défaut qui inquiète les responsables conformité, puisqu'un simple oubli de paramétrage suffit à faire basculer des données professionnelles dans un circuit d'entraînement.

Conservation des données : durées et exceptions

La règle des trente jours et l'exception de cinq ans

Selon le tableau de rétention vérifié le 12 septembre 2026 par spotdev.co.uk, les règles varient fortement selon le type de contenu :

• les conversations supprimées sur Team ou Enterprise sont retirées des serveurs d'Anthropic sous trente jours
• les entrées et sorties API sont auto-supprimées sous trente jours par défaut
• le contenu signalé pour une revue de sécurité ou de confiance peut être conservé jusqu'à deux ans
• les scores de classification de sécurité peuvent être conservés jusqu'à sept ans
• les retours utilisateurs (pouces levés ou baissés, corrections) sont conservés jusqu'à cinq ans

Cette granularité surprend souvent les responsables conformité qui s'attendent à une règle unique. En réalité, la durée de conservation dépend de la nature exacte du contenu et non simplement du plan souscrit.

Le Zero Data Retention, une option à négocier

Le régime le plus strict, la Zero Data Retention (ZDR), n'est disponible que pour les charges de travail API et seulement sur demande spécifique, précise spotdev.co.uk. Elle ne s'étend ni à l'interface de conversation standard de Team ou Enterprise, ni à la Console, ni aux plans grand public Free et Pro, qui suivent tous les durées de rétention classiques. Un livre blanc consacré à la sécurité des LLM pour l'usage juridique confirme que l'activation d'un accord Zero Data Retention, la minimisation des données envoyées et le déploiement d'une politique de gouvernance interne constituent les trois piliers d'une utilisation sécurisée des LLM en cabinet d'avocats.

Localisation des données et transferts hors UE

Pas de région d'inférence européenne chez Anthropic

Premier point d'attention pour les organisations européennes : Claude en direct n'a aucune région d'inférence dans l'UE ou au Royaume-Uni. La documentation tarifaire d'Anthropic, vérifiée le 12 septembre 2026 par spotdev.co.uk, montre que le paramètre d'API inference_geo n'accepte que deux valeurs : « us », qui fixe l'inférence aux États-Unis moyennant un multiplicateur de 1,1 sur les prix d'entrée, de sortie et de cache, et « global », qui est la valeur par défaut au tarif standard mais ne garantit aucune résidence européenne.

Anthropic reste par ailleurs soumis au CLOUD Act américain, rappelle datacomplyone.eu, ce qui impose de vérifier la localisation des serveurs et de s'appuyer sur des clauses contractuelles types pour tout transfert hors UE.

AWS Bedrock et Google Vertex AI, les portes de sortie

Pour les organisations qui exigent une résidence des données strictement européenne, la voie directe via claude.ai ou l'API Anthropic ne suffit pas, selon xylos.com. Deux configurations offrent en revanche cette garantie :

• Claude via AWS Bedrock, avec des profils d'inférence disponibles dans les régions eu-central-1 et eu-west-1, moyennant un compte AWS et un réglage explicite de la région
• Claude via Google Vertex AI, avec des points de terminaison régionaux disponibles à Bruxelles (europe-west1) et aux Pays-Bas (europe-west4), moyennant un compte Google Cloud dédié

Le déploiement direct de Claude Enterprise reste, lui, standard sur l'infrastructure américaine, sauf recours à Bedrock ou Vertex AI si l'UE l'exige, précise la même source. Le compte Claude.ai grand public, Pro compris, n'est en revanche « jamais » une option conforme pour des données à caractère personnel dans un contexte européen.

Les obligations concrètes pour l'entreprise

Une méthode en quatre lettres, baptisée CLARA par formation-claude-ia.fr, résume les étapes à suivre pour un déploiement conforme :

• C comme Contrat : signer le DPA Anthropic via le tableau de bord, dans la section « Legal & Compliance », ce qui suppose un plan professionnel (Claude for Work ou Enterprise)
• L comme Localisation : décider de l'infrastructure, entre les États-Unis avec clauses contractuelles types, l'Europe via Frankfurt, ou un cloud partenaire en région UE
• A comme Analyse d'impact : réaliser une AIPD si le traitement présente un risque élevé
• R comme Registre : créer une fiche de traitement mentionnant Anthropic comme sous-traitant, la base légale retenue et les catégories de données concernées, une obligation posée par l'article 30 du RGPD pour toute organisation de plus de 250 salariés, et parfois en dessous de ce seuil si le traitement n'est pas occasionnel
• former les équipes et impliquer le délégué à la protection des données (DPO) avant tout déploiement à grande échelle
• bloquer explicitement l'usage de l'offre grand public non encadrée pour tout usage professionnel

Datacomplyone.eu propose une checklist proche : offre commerciale avec DPA signé, paramètres de confidentialité vérifiés, transferts hors UE encadrés par des clauses contractuelles types, registre des traitements tenu à jour, transparence au titre de l'article 50, équipes formées et DPO impliqué.

Sur le plan de la sécurité technique, Anthropic met en avant des certifications SOC 2 Type II, ISO 27001:2022 et ISO/IEC 42001:2023, ainsi qu'un chiffrement des données en transit en TLS 1.2 et supérieur, et au repos en AES-256, selon maverickai.it. Ces éléments techniques ne dispensent toutefois pas l'entreprise de son travail de conformité propre : choisir la bonne offre, minimiser les données saisies, définir une base légale claire, et informer les personnes concernées.

Tableau comparatif des offres Claude

Selon leto.legal, Claude rassemblait en janvier 2026 des dizaines de millions d'utilisateurs actifs mensuels, avec des estimations tierces autour de 30 millions, Anthropic ne communiquant pas de chiffre officiel, et plus de 300 000 entreprises clientes dans le monde. Ce succès commercial explique l'attention croissante portée par les juristes d'entreprise et les DPO à la question du cadre contractuel réellement applicable selon le plan choisi.

Questions frequentes

Un compte Claude Pro personnel suffit-il pour un usage professionnel ?

Non. Le DPA d'Anthropic ne couvre pas les plans Free ou Pro grand public, selon spotdev.co.uk. Un compte personnel, même payant, place les données hors de tout accord d'entreprise et sur une infrastructure américaine sans résidence garantie dans l'UE, précise xylos.com.

Claude conserve-t-il les données pour toujours ?

Non, mais les durées varient selon le contenu. Les conversations supprimées sur Team ou Enterprise disparaissent sous trente jours, tandis que les scores de classification de sécurité peuvent rester jusqu'à sept ans et les retours utilisateurs jusqu'à cinq ans, selon le tableau de rétention vérifié par spotdev.co.uk le 12 septembre 2026.

Faut-il un accord de traitement des données avec Anthropic ?

Oui, dès lors qu'Anthropic agit comme sous-traitant sur des données personnelles, le RGPD impose un accord de traitement, rappelle lebonprompt.com. Sans DPA signé, une organisation ne peut légalement confier aucune donnée personnelle à Claude dans un contexte professionnel, selon formation-claude-ia.fr.

Peut-on héberger Claude entièrement en Europe ?

Pas directement chez Anthropic, qui n'a pas de région d'inférence dans l'UE ou au Royaume-Uni, selon la documentation tarifaire vérifiée le 12 septembre 2026 par spotdev.co.uk. Deux options existent en revanche : AWS Bedrock, avec les régions eu-central-1 et eu-west-1, ou Google Vertex AI, avec les points de terminaison europe-west1 et europe-west4, selon xylos.com.

Le CLOUD Act américain s'applique-t-il aux données envoyées à Claude ?

Oui. Anthropic reste soumis au CLOUD Act américain, ce qui constitue un point de vigilance identifié par datacomplyone.eu. Les entreprises doivent vérifier la localisation effective des serveurs et s'appuyer sur des clauses contractuelles types pour encadrer tout transfert de données personnelles hors de l'Union européenne.