Ce qui suit est une information générale, arrêtée au 20 septembre 2026 à partir des sources publiques citées en fin d'article. Ce n'est pas une consultation juridique et cela ne se substitue pas à l'analyse de votre conseil ou de votre délégué à la protection des données, seuls à même d'apprécier votre situation. Les documentations citées évoluent : vérifiez leur version en vigueur avant toute décision.
Sources : claude.com/pricing, centre de confidentialité d'Anthropic et Trust Center, consultés le 20/09/2026.
Ces certifications sont celles d'Anthropic, pas les vôtres : elles renseignent le niveau de maîtrise du fournisseur et elles ne rendent conforme aucun traitement que vous mettez en œuvre. Vous restez responsable de traitement, avec vos propres obligations de registre, d'information et, le cas échéant, d'analyse d'impact. HIPAA, en particulier, est une norme du secteur de la santé aux États-Unis : elle ne vaut pas agrément ou certification d'hébergeur de données de santé au sens du droit français et ne dispense d'aucune des obligations qui vous incombent si des données de santé à caractère personnel passent par l'outil. Information générale au 20/09/2026, à faire valider par votre conseil.
Le point le plus souvent manqué. Désactiver l'entraînement ne remonte pas le temps : vos nouvelles conversations et sessions de code n'y serviront plus, mais vos données restent, selon l'éditeur, incluses dans un entraînement déjà commencé et dans les modèles déjà entraînés. Les chats incognito, eux, ne servent jamais à améliorer les modèles, et les conversations signalées par les systèmes de sécurité peuvent être examinées quel que soit votre réglage.
La protection Team et Enterprise n'est pas absolue. Anthropic écrit, pour ses produits commerciaux : « nous n'utiliserons pas vos conversations ni vos sessions de code pour entraîner nos modèles, sauf si vous choisissez de participer à notre Development Partner Program » (centre de confidentialité d'Anthropic, article 7996885, consulté le 20/09/2026). L'absence d'entraînement est donc un réglage par défaut assorti d'une exception sur adhésion : avant de la présenter comme un engagement ferme dans votre documentation interne, vérifiez que personne n'y a souscrit dans votre organisation.
Un fait contre-intuitif. Sur Team et Enterprise, sans période de rétention personnalisée, la conservation par défaut est indéfinie côté organisation, alors qu'un plan grand public sans entraînement efface une conversation supprimée sous 30 jours. Ce que Team et Enterprise achètent, c'est la protection contre l'entraînement, pas une conservation plus courte : le second sujet se règle dans les paramètres d'organisation.
Résidence des données. Au 20/09/2026, Anthropic documente des options de résidence régionale pour les déploiements via AWS Bedrock, Google Cloud Vertex et Microsoft Foundry. Sa page de conformité régionale n'en mentionne pas pour les abonnements claude.ai, et la documentation de l'API ne décrit que deux géographies d'inférence, États-Unis et mondiale. C'est une absence de documentation publique, pas une déclaration de l'éditeur : si votre politique impose un traitement en Europe, faites poser la question par écrit et vérifier le point par votre conseil. Distinguez deux questions que l'on confond souvent. La localisation du traitement, d'abord : c'est elle qui n'est pas documentée pour les abonnements claude.ai. Le mécanisme de transfert, ensuite : il l'est. L'avenant public de l'éditeur encadre les transferts hors Union européenne par les clauses contractuelles types de la Commission européenne, modules 2 et 3. Notez aussi votre cocontractant : les conditions commerciales d'Anthropic, consultées le 20/09/2026, désignent Anthropic Ireland, Limited pour les clients établis dans l'Espace économique européen, en Suisse et au Royaume-Uni, et Anthropic, PBC pour le reste du monde. Un traitement encadré par clauses types reste un transfert : il s'analyse et se documente, il ne se règle pas par le seul choix d'un abonnement. Notre page conformité IA reprend la méthode.
Contrat et sous-traitants. L'avenant de traitement des données d'Anthropic est public et librement consultable, sans formulaire ni compte : il est publié sur anthropic.com/legal/data-processing-addendum, porte la date d'effet du 24/02/2025 et les conditions commerciales de l'éditeur l'incorporent par référence, consultées le 20/09/2026. Il vous désigne comme responsable de traitement et Anthropic comme votre sous-traitant, et encadre les transferts par les clauses contractuelles types de la Commission européenne, modules 2 et 3, complétées d'addenda pour le Royaume-Uni et la Suisse. C'est ce document qui s'applique à vous : lisez-le avant de signer et faites-en analyser la portée par votre conseil. Le Trust Center propose par ailleurs d'autres pièces sur demande, via un formulaire : rapports SOC 2 et SOC 3, certificats ISO et questionnaires de sécurité. La liste publique des sous-traitants compte 20 entrées, publiée sur anthropic.com/subprocessors, adresse vers laquelle renvoie l'avenant lui-même et qui redirige vers trust.anthropic.com/subprocessors ; celles que nous avons lues comprennent Google Cloud, Amazon Web Services, Microsoft Azure, Cloudflare, Stripe, WorkOS et plusieurs prestataires de support situés aux États-Unis, en Afrique du Sud et au Canada. Nous ne la reproduisons pas intégralement : consultez-la à la source avant de bâtir votre registre. Anthropic a par ailleurs annoncé le 01/09/2026 une offre de garde-fous de sécurité pour l'entreprise, Enterprise Frontier Safeguards, combinant rétention zéro des données et détection des usages abusifs : son déploiement est prévu par phases à partir de l'automne 2026, sur demande, et ce n'est donc pas une fonction disponible aujourd'hui.
La règle d'orDécidez du plan à partir du traitement de vos données, pas de l'inverse. Si des données personnelles de clients ou de salariés passent par l'outil, la question du cadre contractuel se pose avant l'abonnement, pas après. Et sur Free, Pro et Max, vérifiez le réglage d'amélioration des modèles compte par compte : aucun administrateur ne peut le faire à la place de vos équipes.
