Claude et le RGPD, la réponse courte. Depuis le 9 juin 2026, les modèles les plus capables d’Anthropic conservent vos échanges 30 jours. Le 1er septembre 2026, Anthropic a changé de pied. Ces données peuvent désormais rester dans votre cloud. Voici la chronologie exacte, et ce que votre DSI doit vérifier avant de signer.
Le point exact qui bloque un déploiement
Un directeur des systèmes d’information a une question simple. Où atterrissent les phrases que son équipe tape dedans, et combien de temps y restent-elles ?
La réponse a changé deux fois en trois mois, dans les deux sens. Les pages françaises sur le sujet décrivent surtout l’état de 2025, avant les deux décisions qui comptent aujourd’hui.
9 juin 2026 : 30 jours de conservation, sans dérogation
Anthropic a créé une catégorie de modèles, les « modèles couverts ». Claude Fable 5 et Claude Mythos 5 en font partie.
Pour ces modèles, les prompts envoyés et les réponses produites sont conservés 30 jours. Sur toutes les plateformes où ils sont proposés. La règle est entrée en vigueur le 9 juin 2026.
La conséquence est nette pour une équipe conformité. La conservation zéro n’existe plus sur ces modèles. Une organisation configurée en zéro rétention qui appelle Fable 5 reçoit une erreur 400 de l’API. L’appel échoue.
Anthropic encadre la lecture de ces données, et le détail mérite d’être lu. Par défaut, aucun salarié d’Anthropic ne peut ouvrir vos conversations. Une lecture humaine ne survient que si un système automatisé signale un contenu. Un petit groupe de relecteurs habilités y accède alors. Chaque accès s’inscrit dans un journal inviolable. Au bout de 30 jours, les données sont supprimées automatiquement. Le détail vit dans la note d’Anthropic sur les modèles couverts.
Pour une banque, un cabinet d’avocats ou un hôpital, ce cadre reste un caillou dans la chaussure. Le motif est défendable, et des données de production séjournent quand même ailleurs que chez vous.
1er septembre 2026 : les données conservées restent chez vous
Anthropic a annoncé Enterprise Frontier Safeguards, abrégé EFS. Le principe tient en une phrase. Les données conservées restent sur l’infrastructure cloud que vous contrôlez.
Elles atterrissent dans votre compte Amazon S3, Azure Blob Storage ou Google Cloud Storage. Sous vos clés de chiffrement, vos politiques d’accès et vos journaux d’audit.
La surveillance automatisée des usages malveillants continue de tourner. Les alertes arrivent chez vous. Aucune relecture par un salarié d’Anthropic n’est requise.
Trois éléments comptent pour un arbitrage budgétaire :
- C’est gratuit. Anthropic ne facture pas EFS. Vous payez votre stockage et votre trafic cloud, rien de plus.
- Le déploiement est progressif, par phases à partir de l’automne 2026. En attendant, les clients éligibles gardent la conservation zéro sur Fable 5 et Fable 5.1.
- La couverture est large : Claude Code, Claude Enterprise, la plateforme Claude, Amazon Bedrock, Google Agent Platform et Microsoft Foundry.
Anthropic dit avoir conçu EFS avec plus de 100 clients. Finance, santé, industrie, droit, télécoms, distribution, secteur public. Stripe est citée nommément dans l’annonce, par son responsable sécurité.
Le calendrier se lit tout seul. La règle de juin coûtait des contrats dans les secteurs régulés. CNBC rapporte qu’Anthropic a reculé après beaucoup de retours de ses clients entreprise.
Ce qui n’a pas bougé
Trois points restent identiques, et ce sont ceux que les guides français traitent correctement.
L’entraînement. Sur les offres commerciales, Anthropic s’engage à ne pas entraîner ses modèles sur vos données. Cela couvre Team, Enterprise, for Government, for Education et l’API. Sur les comptes grand public, c’est l’inverse par défaut depuis le 28 août 2025. La conservation peut y atteindre cinq ans sans opt-out.
Le contrat. Il vous faut un DPA signé, avec les clauses contractuelles types pour les transferts. Sans ce document, la qualification de sous-traitant au sens du RGPD ne tient pas.
Le compte personnel au bureau. Un salarié qui colle un extrait de base clients dans son abonnement Pro sort de votre cadre. Vos garanties ne le suivent pas. Le sujet a sa propre page : le shadow AI en entreprise.
Les cinq questions à poser en réunion
Votre DSI peut trancher le sujet en une réunion, avec cette grille.
- Quel modèle exactement ? Un modèle couvert impose 30 jours. Les autres non. Le détail par plan : Claude Fable 5.1.
- Quel contrat ? Offre commerciale et DPA signé, ou rien de sensible dans la fenêtre.
- Par quel chemin ? API directe, Amazon Bedrock, Google Cloud ou Microsoft Foundry. Le lieu de séjour des données change selon la porte d’entrée.
- Qui peut lire ? Clés de chiffrement, journal d’audit, personnes habilitées de votre côté.
- Qui traite les alertes ? EFS les envoie chez vous. Il faut quelqu’un pour les ouvrir.
Ces cinq réponses suffisent à cadrer un déploiement. C’est la grille de départ de la formation IA pour DSI.
Le morceau que le contrat ne couvre pas
Un DPA encadre le trajet des données. Le contenu du prompt lui échappe.
La minimisation des données se décide phrase par phrase, par la personne qui rédige le prompt. Aucune console d’administration ne la règle à sa place. Un contrat parfait n’empêche personne de coller une grille de salaires dans une conversation pour « juste voir ».
Deux leviers existent, et aucun n’est technique. Une charte IA écrite qui dit ce qui ne se colle pas. Et une équipe formée, ce que l’AI Act rend obligatoire pour les organisations qui déploient de l’IA.
Chez Digital.Green, j’ai formé 6 personnes en 9 jours sur leurs propres dossiers. En formation, c’est là que le sujet devient concret. Chez celle ou celui qui écrit : qu’est-ce que je mets dedans, qu’est-ce que je remplace par un identifiant ?
La question à poser lundi matin : qui, chez vous, sait déjà y répondre ?