Intelligence artificielle

Utiliser l'IA en sécurité pour les données personnelles

25 Jui 2026 à 15:37

Claude, Cowork, Code : comment exploiter l'IA sur des données sensibles sans les exposer. ZDR, DPA, RGPD et AI Act 2026, le cadre expliqué par Plateya.

Comment utiliser l’IA dans un cadre sécurisé pour les données personnelles

Guide opérationnel pour les entreprises qui utilisent déjà Claude, Claude Cowork et Claude Code avec des données sensibles — et veulent exploiter leur plein potentiel sans exposer leurs données confidentielles.

Vos équipes utilisent déjà Claude. Sans doute Claude Cowork pour les tâches métier, Claude Code pour le développement. La vraie question n’est plus « peut-on utiliser l’IA ? ». Elle est : « le faisons-nous dans un cadre qui protège nos données personnelles et confidentielles ? »

La bonne nouvelle : la sécurité ne dépend pas du modèle. Elle dépend de la façon dont vous l’opérez. Mauvais compte, mauvaise configuration, et vos données sensibles peuvent être conservées cinq ans. Bon plan, bon paramétrage, et elles ne sont ni stockées ni utilisées pour l’entraînement. Tout se joue là.

Cet article détaille, surface par surface, comment tirer le plein potentiel de Claude sans exposer vos données — et comment ProductivityAI, le Studio IA de Plateya, arbitre entre sécurité et budget pour chaque cas d’usage.

Le vrai risque n’est pas Claude. C’est votre type de compte.

Depuis septembre 2025, Anthropic distingue radicalement deux mondes. D’un côté, les comptes Consumer (Free, Pro, Max) : l’option d’entraînement est activée par défaut, la rétention des données passe à cinq ans pour qui l’accepte (contre 30 jours en cas de refus), et aucun avenant contractuel ne protège l’entreprise. De l’autre, les comptes Commerciaux (Team, Enterprise, API, Amazon Bedrock, Google Vertex AI) : Anthropic n’entraîne jamais ses modèles sur vos saisies, par défaut et par contrat.

Autrement dit : utiliser un compte personnel pour du travail confidentiel, c’est confier vos données à un cadre conçu pour les particuliers. C’est le piège n° 1.

À retenir : la sécurité commence par le contrat, pas par le prompt.

Claude, Claude Cowork, Claude Code : trois surfaces, trois niveaux de protection

Même sous Conditions Commerciales, vos trois outils n’offrent pas la même garantie. Le point clé à intégrer : le Zero Data Retention (ZDR) — le mode où Anthropic ne stocke ni vos entrées ni vos sorties au-delà du contrôle anti-abus — n’est pas éligible sur toutes les interfaces. Il l’est sur l’API Messages et sur Claude Code via Enterprise (activé au niveau de l’organisation) ou via une clé API commerciale. Il ne l’est pas, en l’état, sur les interfaces produit Claude et Claude Cowork — qui restent néanmoins couvertes par l’interdiction d’entraînement et par la politique de rétention de votre organisation.

Conséquence pratique : pour le développement sur données sensibles, privilégiez Claude Code en mode ZDR. Pour le travail métier dans Claude et Claude Cowork, jouez sur la rétention courte, le contrôle des données injectées et la traçabilité.

ZDR, DPA, chiffrement : le trio qui verrouille vos données

1. Le Zero Data Retention (ZDR)

Sous ZDR, Anthropic ne conserve pas vos entrées et sorties au repos une fois la réponse renvoyée, sauf obligation légale ou lutte contre les abus (les résultats des classificateurs de sécurité restent conservés). Le ZDR s’active par organisation, sur approbation d’Anthropic. C’est le standard adopté par les acteurs régulés (santé, finance, juridique).

2. L’avenant de traitement des données (DPA)

Le DPA est votre socle RGPD. Il encadre la sous-traitance, fixe les finalités, et intègre les clauses contractuelles types (SCC) approuvées par l’UE pour les transferts hors Europe. Sans DPA — donc sur un compte Consumer — vous n’avez aucune garantie contractuelle de confidentialité. C’est rédhibitoire pour des données personnelles.

3. Chiffrement, identité et traçabilité

Sur Enterprise, ajoutez les briques de gouvernance : authentification unique (SSO), provisioning des comptes (SCIM), journaux d’audit, politique de rétention paramétrable au niveau de l’organisation. Pour les données de santé (PHI), Anthropic propose un BAA et un accès API compatible HIPAA. Ces couches transforment un usage « toleré » en usage gouverné.

RGPD et AI Act : ce que la loi attend de vous en 2026

Deux textes se cumulent. Le RGPD régit les données personnelles. L’AI Act (Règlement UE 2024/1689) régit les systèmes d’IA. Ils sont complémentaires : dès qu’une IA traite des données personnelles, les deux s’appliquent en même temps.

Point essentiel : en utilisant Claude dans votre activité, vous êtes un déployeur au sens de l’AI Act. Vous restez co-responsable. Vous devez cartographier vos usages, documenter votre conformité, assurer une supervision humaine et — obligation déjà en vigueur depuis le 2 février 2025 — former vos équipes (l’AI literacy de l’article 4). En France, la CNIL est l’autorité de référence et a annoncé renforcer ses contrôles, notamment sur les usages RH, dès l’automne 2026.

Les sanctions ne sont pas symboliques : jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour le haut risque non conforme, 7,5 M€ ou 1 % pour les manquements de transparence. Le bon réflexe, comme pour le RGPD : recenser, qualifier le risque, documenter. Sans attendre.

Le « Shadow AI » : votre angle mort le plus coûteux

Le risque le plus fréquent n’est pas technique. Il est humain. Le Shadow AI désigne le moment où un collaborateur ouvre un compte Claude personnel pour avancer plus vite — et y colle un contrat client, une fiche de paie, une base prospects. Les données de l’entreprise basculent alors sous les règles Consumer : entraînement possible, rétention longue, aucun DPA.

Trois mesures cassent ce risque :

• Auditer tous les usages pour repérer les comptes personnels utilisés à des fins professionnelles.
• Migrer l’ensemble des collaborateurs vers une organisation Enterprise unique, avec SSO.
• Cadrer par une charte d’usage IA claire, adossée à votre politique cyber. Voir nos recommandations de logiciels de cybersécurité (RiskCyber).

La méthode en 7 étapes pour un cadre IA sécurisé

C’est la grille appliquée par le Studio IA de Plateya lors de ses diagnostics. Elle s’articule autour de deux outils propriétaires : la grille des 3 surfaces (Claude / Cowork / Code) et la matrice de sensibilité des données (publiques, internes, confidentielles, données personnelles).

1. Cartographier les usages : qui utilise quoi, sur quelle surface, avec quelles données.
2. Classer les données via la matrice de sensibilité et interdire les données personnelles sur les comptes Consumer.
3. Migrer vers une organisation Commerciale (Team ou Enterprise) avec SSO et SCIM.
4. Activer le ZDR là où il est éligible — en priorité sur Claude Code et l’API.
5. Signer le DPA et vérifier les clauses de transfert (SCC), voire le BAA si données de santé.
6. Régler la rétention au plus court et activer les journaux d’audit.
7. Former les équipes (AI literacy) et publier une charte d’usage IA opposable.
   
   
   

Zoom — ProductivityAI, le Studio IA par Plateya

Toutes les entreprises n’ont pas besoin d’un contrat Enterprise complet. Certaines sécurisent l’essentiel avec une clé API commerciale et un bon paramétrage. D’autres doivent passer en ZDR sur l’ensemble du périmètre. Le bon arbitrage dépend de vos données, de vos usages réels et de votre budget. C’est exactement le rôle du Studio IA de Plateya (ProductivityAI) : vous orienter vers la solution la mieux adaptée — ni surdimensionnée, ni risquée — pour un usage de l’IA intelligent et soucieux des coûts.

Ce que le Studio IA prend en charge :

• Audit des surfaces (Claude, Cowork, Code) et chasse au Shadow AI.
• Choix du plan et du mode de rétention au juste coût (Consumer sécurisé, Team, Enterprise, API + ZDR).
• Paramétrage de la gouvernance : SSO, journaux d’audit, rétention, DPA, charte d’usage.
• Montée en compétence des équipes (AI literacy AI Act) et cas d’usage à fort ROI.
  
  

Faire le point sur votre cadre IA : découvrir le Studio IA de Plateya.

FAQ — IA et sécurité des données personnelles

Anthropic utilise-t-elle mes données pour entraîner Claude ?

Pas sous Conditions Commerciales. Sur les plans Team, Enterprise, l’API, Amazon Bedrock et Google Vertex AI, Anthropic n’entraîne pas ses modèles sur vos saisies. Sur les comptes Consumer (Free, Pro, Max), l’entraînement est en revanche activé par défaut depuis septembre 2025 : il faut le désactiver manuellement.

Le Zero Data Retention est-il disponible sur Claude Cowork ?

Non en l’état : le ZDR vise l’API Messages et Claude Code (via Enterprise ou clé API commerciale). Claude et Claude Cowork restent des interfaces produit non éligibles au ZDR, mais couvertes par l’interdiction d’entraînement et la politique de rétention de votre organisation.

Puis-je utiliser un compte Claude Pro pour des données clients confidentielles ?

Ce n’est pas recommandé. Sans avenant de traitement des données (DPA), vous n’avez aucune garantie contractuelle de confidentialité, et la rétention peut atteindre cinq ans si l’entraînement est activé. Pour des données personnelles, passez sur un plan Commercial.

Mon entreprise est-elle concernée par l’AI Act si elle ne fait qu’utiliser Claude ?

Oui. Utiliser un outil d’IA dans votre activité fait de vous un déployeur au sens du Règlement UE 2024/1689. Vous devez au minimum former vos équipes (obligation en vigueur depuis février 2025), cartographier vos usages et documenter votre conformité d’ici l’application générale du 2 août 2026.

RGPD et AI Act : faut-il choisir ?

Non, ils se cumulent. Le RGPD encadre les données personnelles, l’AI Act encadre les systèmes d’IA. Dès qu’une IA traite des données personnelles, les deux s’appliquent simultanément. La CNIL est l’autorité de référence en France pour les deux volets.

Comment savoir quel plan choisir sans surpayer ?

En croisant la sensibilité de vos données, vos surfaces d’usage et votre budget. C’est la mission du Studio IA de Plateya (ProductivityAI) : un diagnostic qui débouche sur la configuration la plus sûre au coût le plus juste.

Sources

• Anthropic — API and data retention (platform.claude.com) : politiques de rétention, Zero Data Retention, HIPAA.
• Anthropic — Updates to Consumer Terms and Privacy Policy (anthropic.com, sept. 2025) : entraînement par défaut et rétention 5 ans des comptes Consumer.
• Anthropic — Claude Code : Data usage (code.claude.com) : ZDR pour Claude Code via Enterprise et clé API commerciale.
• Anthropic Privacy Center — Zero data retention agreement : périmètre du ZDR.
• Union européenne — Règlement (UE) 2024/1689 (AI Act) et calendrier d’application (digital-strategy.ec.europa.eu).
• Commission européenne — Accord politique sur l’AI Omnibus, 7 mai 2026 : calendrier révisé du haut risque.
• CNIL — autorité de référence pour le RGPD et l’AI Act en France (loi DDADUE, 2026).