Sécurité et conformité de Claude en entreprise : RGPD, AI Act et gouvernance
Chaque déploiement d’IA en entreprise finit par buter sur la même réunion : celle avec le RSSI, le DPO et la direction juridique. C’est une bonne nouvelle. Dans les organisations que nous accompagnons, y compris dans des secteurs aux exigences fortes comme l’aéronautique, le spatial ou la défense, cette réunion est précisément ce qui permet ensuite d’aller vite. La question n’est jamais de savoir si l’on peut utiliser Claude en entreprise, mais à quelles conditions, avec quel cadre, et qui en répond.
Voici les cinq questions qui reviennent systématiquement, et pour chacune, l’artefact concret qui débloque le projet.
1. Où vont les données ?
C’est la question qui bloque le plus de projets, souvent par confusion entre les offres. Les plans professionnels des fournisseurs d’IA ne fonctionnent pas comme les versions grand public : les conditions d’utilisation des données à des fins d’entraînement, les durées de conservation, la localisation et les engagements de confidentialité y sont différents, et évoluent au fil des contrats.
L’artefact qui débloque : une note de validation contractuelle, signée par le juridique, qui cite le plan exact retenu, les clauses applicables et leur date de vérification. Une page suffit. C’est ce document qui autorise le déploiement, pas une conviction ni un article de blog, y compris celui-ci.
2. Quelles données peuvent y entrer ?
La plupart des incidents ne viennent pas de l’outil mais de l’usage : un collaborateur qui colle un document sensible dans une interface grand public, sur un compte personnel. Ce shadow AI existe déjà chez vous, que vous ayez déployé un outil officiel ou non ; le déploiement encadré est justement ce qui le résorbe.
L’artefact qui débloque : une matrice de classification en trois niveaux, tenant sur une page, avec des exemples parlants par niveau. Niveau vert : données publiques ou internes non sensibles, usage libre dans l’environnement validé. Niveau orange : données confidentielles, usage autorisé uniquement dans l’environnement d’entreprise, jamais sur un compte personnel. Niveau rouge : données réglementées ou stratégiques, qui ne sortent pas des systèmes désignés. Trois lignes que chacun retient valent mieux qu’une charte de quinze pages que personne ne lit.
3. À quoi les agents ont-ils accès ?
Dès qu’on branche l’IA sur le système d’information, par connecteurs ou via le protocole MCP, la question change de nature. Ce n’est plus « que met-on dans le prompt » mais « à quoi l’agent accède-t-il, au nom de qui, avec quelles permissions, et qui l’a autorisé ».
L’artefact qui débloque : un registre des connecteurs, tenu comme n’importe quel registre d’intégrations applicatives, avec cinq colonnes : connecteur, périmètre de données, populations autorisées, niveau de droits (lecture par défaut, écriture par exception), date de revue. Le principe directeur est celui du moindre privilège : un agent hérite exactement des droits qu’on lui donne, ni plus ni moins, et c’est ce qui rend l’exercice maîtrisable.
4. Et le RGPD ?
Les réflexes sont ceux de tout traitement de données personnelles, sans exotisme : recenser les traitements concernés dans le registre, identifier la base légale, appliquer la minimisation en n’exposant que les données nécessaires, informer les personnes, et vérifier si une analyse d’impact s’impose au regard du risque. Les autorités de contrôle européennes, dont la CNIL, publient des recommandations spécifiques aux systèmes d’IA : elles constituent le point de départ à jour pour votre DPO.
L’artefact qui débloque : la fiche de traitement type pour les usages IA, préparée une fois avec le DPO puis déclinée par cas d’usage, au lieu d’être redécouverte à chaque projet.
5. Que demande l’AI Act ?
Le règlement européen sur l’intelligence artificielle introduit une obligation qui concerne toutes les organisations, quel que soit le secteur : veiller à un niveau suffisant de maîtrise de l’IA chez les personnes qui l’utilisent pour leur compte. Former ses équipes n’est donc plus seulement une bonne pratique d’adoption, c’est une exigence de conformité. Le reste des obligations dépend du niveau de risque des systèmes utilisés ; pour un usage bureautique et de production intellectuelle, l’essentiel se joue sur la transparence, la traçabilité et la compétence des utilisateurs. Le calendrier d’application s’échelonnant, faites confirmer par votre juridique les échéances exactes applicables à votre situation.
L’artefact qui débloque : un plan de formation tracé, avec les populations, les dates et les attestations. C’est à la fois la réponse à l’obligation de maîtrise et le meilleur accélérateur d’adoption.
Qui fait quoi
| Acteur | Responsabilité principale |
|---|---|
| DSI et RSSI | Validation de l’environnement, registre des connecteurs, moindre privilège, revue périodique |
| DPO et juridique | Validation contractuelle, registre des traitements, analyses d’impact, veille réglementaire |
| Directions métiers | Classification appliquée aux cas d’usage, désignation des cas prioritaires, contrôle qualité des livrables |
| RH et formation | Plan de montée en compétence tracé, intégration au parcours des nouveaux arrivants |
Le cadrage en 30 jours
Ce cadre complet peut se poser en un mois, et nous le voyons régulièrement se poser en moins : semaine 1, validation contractuelle du plan et désignation des rôles ; semaine 2, matrice de classification et règles d’usage en une page ; semaine 3, registre des connecteurs et périmètre du pilote ; semaine 4, formation des populations pilotes et lancement. Les organisations qui déploient sereinement ne sont pas celles qui ont le moins de contraintes : ce sont celles qui ont transformé leurs contraintes en artefacts simples, connus de tous, révisés régulièrement.
Nous intégrons ces sujets dans le parcours de formation Claude en entreprise et dans notre accompagnement pour déployer Claude Cowork, où le cadre de gouvernance se construit avec vos équipes sécurité dès la phase pilote. Pour les secteurs les plus réglementés, nous avons des approches dédiées : aéronautique et spatial, défense et secteur public, pharma et santé.
Cet article présente des repères généraux et ne constitue pas un avis juridique. Faites valider votre analyse par votre direction juridique et votre DPO.
Pour aller plus loin : découvrez comment l’IA générative bouscule le RGPD et pourquoi la transparence sur l’IA reste un pari pour la confiance, puis appuyez-vous sur notre charte d’usage de l’IA générative et notre conseil en IA générative.