IA et RGPD : ce qu'un dirigeant doit vérifier avant de déployer

Votre service juridique pose la question avant tout déploiement : l'outil est-il conforme au RGPD ? La réponse tient en cinq points précis.

Cet article donne des repères pratiques. Il ne remplace pas un avis juridique. Pour votre situation précise, votre DPO ou un juriste spécialisé reste l'interlocuteur approprié.

Vous êtes responsable de traitement. L'éditeur est votre sous-traitant.

Quand vous confiez des données personnelles à un outil d'IA, vous restez le responsable de traitement. L'éditeur agit comme sous-traitant. Vous devez formaliser cette répartition dans un contrat dédié : le Data Processing Agreement (DPA).

Première vérification à faire : l'éditeur propose-t-il un DPA ? Sans DPA, aucune donnée personnelle de tiers ne peut légalement être confiée à l'outil. C'est non négociable.

Anthropic publie son DPA pour toutes les offres commerciales (Team, Enterprise, API). Il n'en existe pas pour les offres grand public.

Vos données servent-elles à entraîner le modèle ?

C'est le point qui inquiète le plus, et cette inquiétude est légitime. La réponse dépend de l'offre souscrite, pas de l'outil.

Pour les offres grand public (Claude.ai gratuit, Pro, Max), les conversations peuvent être utilisées pour améliorer les modèles, sauf opt-out explicite. Ces offres ne conviennent pas à un usage professionnel avec des données personnelles de clients ou d'employés.

Pour les offres commerciales (Team, Enterprise, API), Anthropic s'engage contractuellement à ne pas utiliser les données clients pour entraîner ses modèles. Cette garantie est stipulée dans le DPA.

La règle : vérifiez l'offre, pas seulement l'outil.

Transferts hors EEE : ce que le RGPD impose réellement

Beaucoup d'approximations circulent sur ce point. Voici ce que le RGPD impose réellement.

Le RGPD n'impose pas de stocker vos données en Europe. Il impose des mécanismes valides pour encadrer les transferts de données hors de l'Espace Économique Européen (EEE).

Trois mécanismes sont reconnus : les clauses contractuelles types (CCT), les règles d'entreprise contraignantes (BCR), ou un accord d'adéquation entre l'UE et le pays destinataire. Depuis juillet 2023, le Data Privacy Framework (DPF) constitue un cadre d'adéquation entre l'UE et les États-Unis, pour les entreprises qui y sont certifiées.

Anthropic traite les données sur une infrastructure américaine (AWS). Son DPA commercial inclut des clauses contractuelles types. Si vous avez une contrainte de résidence des données en Europe, des options existent : déployer Claude via AWS Bedrock (régions Frankfurt, Irlande, Paris) ou Google Vertex AI en zone européenne. Cette résidence européenne n'est pas proposée par Anthropic en direct.

Les preuves à exiger

Un éditeur qui ne publie pas ses certifications ne prouve rien. Trois certifications ont du poids.

ISO 27001 couvre le management de la sécurité de l'information. SOC 2 Type II atteste d'une surveillance continue des contrôles de sécurité par un auditeur indépendant. ISO 42001 est dédiée au management des systèmes d'IA. Anthropic est la première société d'IA à l'avoir obtenue, en janvier 2025.

Exigez les rapports, pas les déclarations marketing. Nous détaillons les certifications et garanties de Claude dans notre article de référence : conformité, RGPD et certifications de Claude. Appliquez la même exigence à chaque outil évalué : rapports d'audit, pas brochures.

Votre part de la conformité

Les garanties de l'éditeur ne vous dispensent pas de vos propres obligations. Trois actions concrètes.

Inscrivez l'usage de l'outil dans votre registre des activités de traitement (RAT), obligatoire pour toute organisation traitant des données personnelles. Définissez ce qui peut ou ne peut pas être confié à l'outil. Informez vos collaborateurs.

Ces vérifications précèdent le déploiement. Elles répondent aussi aux questions que vos équipes et vos clients poseront.

C'est précisément ce que nous structurons dans notre approche d'agence spécialisée Claude : nous posons le cadre juridique et technique avant tout déploiement.

Questions fréquentes

Le RGPD interdit-il les outils d'IA hébergés aux États-Unis ?

Non. Le RGPD n'interdit pas ces transferts ; il exige qu'ils soient encadrés par un mécanisme valide : clauses contractuelles types, Data Privacy Framework ou règles d'entreprise contraignantes. Depuis juillet 2023, le DPF constitue une base juridique valide pour les transferts vers les entreprises américaines certifiées.

La version gratuite ou Pro de Claude est-elle conforme au RGPD pour un usage professionnel ?

Non, pas pour traiter des données personnelles de tiers. Ces offres ne disposent pas de DPA et peuvent utiliser les conversations pour améliorer les modèles. Pour un usage professionnel, les offres Team, Enterprise ou API sont requises.

Qu'est-ce qu'un DPA et pourquoi est-il indispensable ?

Un DPA (Data Processing Agreement) est le contrat qui formalise la relation responsable de traitement / sous-traitant. Il précise les finalités du traitement, les mesures de sécurité et les droits de chaque partie. Sans DPA, aucune donnée personnelle de tiers ne peut légalement être confiée à l'outil.

Les données de santé sont-elles soumises à des règles supplémentaires ?

Oui. Les données de santé sont des données sensibles au sens de l'article 9 du RGPD. Leur traitement est interdit par principe, sauf exceptions. Un cadre spécifique s'applique : hébergeur certifié HDS obligatoire, analyse d'impact (AIPD) requise. Si vos données en font partie, consultez un juriste avant tout déploiement.

Faut-il déclarer l'usage de Claude à la CNIL ?

Pas sous forme de déclaration directe. Vous devez en revanche inscrire ce traitement dans votre registre des activités de traitement, puis réaliser une analyse d'impact (AIPD) si le traitement présente un risque élevé pour les personnes concernées.

Réservez un premier échange : 30 minutes, aucun engagement.