Claude et le RGPD : ce que dit vraiment le cadre

Le RGPD n’interdit pas l’IA en entreprise. Il encadre le traitement de données personnelles, quel que soit l’outil qui le réalise. Utiliser Claude en conformité repose donc sur trois piliers : une base légale identifiée pour chaque usage, un accord de sous-traitance signé avec le fournisseur, et une maîtrise réelle de ce qui entre dans les prompts.

Dans les entreprises que nous auditons, le blocage vient rarement du droit lui-même. Il vient de l’absence de règles opérationnelles : personne n’a décidé ce qu’un collaborateur peut coller dans une conversation, ni vérifié ce que prévoit le contrat. Reprenons les points dans l’ordre.

Quelle base légale pour un traitement IA ?

Dès qu’un prompt contient des données personnelles — un nom de client, un e-mail, un CV — il y a traitement au sens du RGPD, et il faut une base légale. Pour la plupart des usages internes (synthèse de réunions, aide à la rédaction, analyse de tickets support), c’est l’intérêt légitime qui s’applique : l’entreprise a un intérêt réel, le traitement est proportionné, les personnes concernées ne subissent pas d’atteinte disproportionnée.

L’intérêt légitime n’est pas un joker. Il exige un test de mise en balance documenté — un exercice d’une page, pas une thèse. Et pour les traitements à risque élevé, notamment tout ce qui touche à l’évaluation de personnes (screening de candidatures, scoring), une analyse d’impact (AIPD) s’impose avant le déploiement, pas après.

Les données personnelles dans les prompts : le vrai sujet

Le risque principal n’est pas théorique, il est quotidien : un commercial qui colle un export CRM complet pour « faire un tri », un RH qui soumet cinquante CV nominatifs sans base légale claire. Le principe de minimisation s’applique aux prompts comme à n’importe quel traitement : on n’envoie que ce qui est nécessaire à la tâche.

Concrètement, cela veut dire pseudonymiser quand l’identité n’apporte rien (« le client A », « la candidate 3 »), exclure par défaut les données sensibles — santé, opinions, données judiciaires — et définir des périmètres par équipe : ce que le service RH peut traiter n’est pas ce que le marketing peut traiter. Ces règles se codent dans l’architecture, pas seulement dans une charte.

DPA, sous-traitance, transferts : ce qu’il faut vérifier

Quand vos collaborateurs envoient des données personnelles à Claude, le fournisseur agit comme sous-traitant au sens de l’article 28. Il vous faut donc un DPA — Data Processing Agreement, l’accord qui encadre ce que le sous-traitant peut faire de vos données. Les offres entreprise d’Anthropic en proposent un ; l’erreur classique est de déployer sur des comptes individuels grand public, qui ne relèvent pas du même cadre contractuel.

Trois clauses méritent une lecture attentive : l’usage des données pour l’entraînement des modèles (les offres entreprise l’excluent contractuellement — vérifiez que c’est bien votre cas), les durées de conservation des conversations, et les mécanismes de transfert hors Union européenne. Sur ce dernier point, exigez les clauses contractuelles types et documentez-les dans votre registre des traitements.

Quatre pratiques qui tiennent en audit

La conformité ne se décrète pas dans un document, elle s’installe dans les usages. Quatre pratiques suffisent à couvrir l’essentiel :

• Inscrire l’usage de Claude au registre des traitements, avec la base légale, les catégories de données et les durées de conservation pour chaque cas d’usage.
• Déployer sur une offre entreprise avec DPA signé — jamais sur des comptes personnels — et centraliser la gestion des accès.
• Encadrer les prompts par des règles opérationnelles : pseudonymisation par défaut, données sensibles exclues, périmètres définis par équipe.
• Associer le DPO dès la conception du projet, pas au moment de l’incident : un traitement validé en amont coûte dix fois moins cher qu’un traitement régularisé.

La conformité n’est pas l’ennemie du déploiement

Les entreprises qui interdisent l’IA « par précaution RGPD » obtiennent l’inverse du résultat recherché : les collaborateurs utilisent des comptes personnels, hors de tout contrôle, et les données partent sans DPA, sans registre, sans périmètre. L’interdiction ne supprime pas le traitement — elle supprime la maîtrise du traitement.

Un déploiement encadré est, de loin, la position la plus défendable devant la CNIL. C’est d’ailleurs le rôle des garde-fous dans un Harness d’entreprise — la couche d’orchestration entre Claude et vos process : les règles de conformité y sont implémentées dans l’architecture, validées avec le DPO et la DSI, au lieu de reposer sur la bonne volonté de chacun. C’est ce que nous construisons dans le Programme Autonomie Claude, la conformité étant traitée comme un composant du système, pas comme une annexe.