Claude : un 4e incident de sécurité touche des données personnelles, ce que dit le RGPD

Le 9 septembre 2026, Anthropic a publié un billet qui a fait le tour des flux tech en quelques heures : un quatrième incident de sécurité impliquant Claude, découvert des mois après les faits, avec pour la première fois des données personnelles d'un individu touché. Les titres ont vite basculé dans l'alarmisme. Avant de fermer votre compte ou de bannir Claude de votre équipe, prenons dix minutes pour lire ce qui s'est réellement passé, ce que Claude fait des données que vous lui envoyez selon votre plan, et ce que le RGPD vous demande concrètement. Si vous débutez avec l'outil, notre guide complet pour apprendre Claude couvre les bases de configuration avant même de parler sécurité.

L'objectif ici n'est pas de vous rassurer artificiellement ni de vous faire peur. C'est de vous donner cinq réflexes actionnables cette semaine, pour continuer à utiliser Claude sans exposer vos clients ni votre entreprise.

Ce qui s'est passé, sans le sensationnalisme

Le 9 septembre 2026, Anthropic a annoncé avoir identifié un quatrième incident où un modèle Claude a accédé à un système tiers réel pendant une évaluation de cybersécurité censée être isolée. L'incident lui-même remonte à janvier 2026, mais il n'a été découvert qu'en septembre, après qu'Anthropic a réalisé avoir manqué un lot de sessions de test lors de la revue initiale qui avait permis d'identifier les trois premiers incidents en juillet.

Le modèle concerné est une version antérieure de Claude Opus 4.6 (donc pas les modèles actuels de la gamme 5). Comme pour les trois incidents précédents, le modèle pensait opérer dans un environnement simulé sans accès Internet, mais une mauvaise configuration de l'environnement de test, construit par le partenaire d'évaluation Irregular, a laissé un accès réel ouvert. Ce n'est pas un piratage volontaire du modèle, c'est un incident de configuration côté environnement de test.

Le point qui distingue ce quatrième incident des trois autres : il implique pour la première fois des informations personnelles d'un individu, pas seulement l'infrastructure d'une entreprise. Anthropic indique avoir notifié les parties concernées et a mandaté l'organisme indépendant METR pour investiguer l'ensemble des quatre incidents. Pour le détail technique de la série de juillet, l'article sur les trois premiers incidents pose le contexte.

Ce que ces incidents ne disent pas : que vos conversations Claude ont fuité. Aucun des quatre événements ne concerne des données de clients Claude standards utilisant l'application ou l'API pour leur travail. Ce sont des évaluations internes de cybersécurité, un contexte très spécifique.

Quelles données Claude collecte réellement selon votre plan

C'est le point que la plupart des articles alarmistes oublient. La règle change du tout au tout selon votre abonnement.

Sur Free, Pro et Max, vos conversations peuvent être utilisées pour améliorer les modèles, sauf si vous désactivez explicitement cette option dans Settings > Privacy. C'est une case à cocher, pas un formulaire à remplir. Sur Team, Enterprise et l'API, c'est l'inverse : rien ne part vers l'entraînement sauf accord explicite de votre côté.

Attention à un détail souvent oublié : les fonctionnalités comme Claude Projects et Artifacts héritent des règles du plan. Un Projet créé sur un compte Pro sans opt-out expose ses documents joints aux mêmes règles que le chat classique. Sur un compte Team, non. Cette différence pèse lourd quand vous chargez un fichier client dans un Projet dédié.

Si vous hésitez encore sur l'abonnement, l'article Claude Pro ou Max compare les deux plans grand public, et le passage à Team ou Enterprise détaille ce que change le mode organisation, dont l'absence d'entraînement par défaut.

Ce que dit le RGPD quand vous envoyez des données à Claude

Dès que vous envoyez à Claude un email client, un nom, un numéro de téléphone, un CV ou un contrat signé, vous effectuez un traitement de données personnelles au sens du RGPD. Claude devient alors votre sous-traitant au sens de l'article 28. Cette qualification déclenche quatre obligations concrètes.

1. Un DPA (Data Processing Agreement) signé. Anthropic en propose un pour les plans Team, Enterprise et API. Sans DPA, vous êtes en infraction dès le premier prompt contenant une donnée personnelle.
2. Un registre des traitements à jour. Vous devez y inscrire Claude comme sous-traitant, avec les catégories de données concernées, la finalité, la durée de conservation et la base légale.
3. Une base légale identifiée. Le plus souvent : intérêt légitime pour l'analyse interne, exécution d'un contrat pour le travail sur des documents clients, consentement pour le marketing.
4. Un encadrement des transferts hors UE. Anthropic est une entreprise américaine. Les transferts sont couverts par le Data Privacy Framework (DPF) et les clauses contractuelles types, à condition que vous ayez signé le DPA.

Sur le principe, coller un email de prospect dans un chatbot sans base légale ni encadrement du sous-traitant expose à un manquement RGPD. Le fait que ce soit rapide et gratuit ne change rien à la qualification juridique.

Les trois cas d'usage entrepreneurs qui posent problème

Voici les scénarios que je vois passer chaque semaine chez des entrepreneurs qui utilisent Claude sérieusement.

Cas 1 : coller un export CRM pour analyser ses clients. Vous exportez un CSV depuis HubSpot ou Notion, vous le collez dans Claude pour lui demander de segmenter ou de résumer. Si l'export contient noms, emails, montants et notes commerciales, vous transférez plusieurs centaines de fiches personnelles à un sous-traitant américain. Sur Pro sans opt-out, ces données peuvent nourrir l'entraînement. La solution propre : passer sur Team, ou anonymiser l'export (remplacer les noms par des identifiants, retirer les emails) avant de le coller. Si vous automatisez ce genre de flux, jetez un œil au pilier setup Claude propre qui traite la connexion aux outils tiers via MCP, une approche plus contrôlée.

Cas 2 : uploader un CV pour aider au tri en recrutement. Un CV contient nom, adresse, parcours, parfois photo et date de naissance. C'est une donnée personnelle sensible dans un contexte de décision RH. Sans base légale explicite (consentement du candidat pour l'usage d'un outil IA dans le tri), c'est un traitement à haut risque au sens de l'AI Act européen entré en application le 2 août 2026. La solution : Claude Enterprise avec DPA, mention explicite dans votre politique de recrutement, et une supervision humaine documentée sur chaque décision.

Cas 3 : faire relire un contrat client avec noms et montants. Vous préparez un contrat de prestation, vous demandez à Claude de vérifier une clause. Le document contient le nom du client, son adresse, le montant de la prestation, parfois des conditions confidentielles. Sur Pro sans opt-out, ces informations partent. La solution rapide : remplacer les identifiants par des placeholders (« CLIENT_A », « MONTANT_X ») avant de coller, puis réintégrer manuellement dans le contrat final. Cinq minutes de plus, zéro risque.

Vos cinq réflexes à mettre en place cette semaine

Voici la liste courte que je donne à mes clients qui utilisent Claude en équipe. Aucune n'est optionnelle si vous traitez des données personnelles régulièrement.

1. Vérifier votre plan et désactiver l'entraînement si vous êtes en Free, Pro ou Max. Direction Settings > Privacy, décochez l'option d'aide à l'amélioration des modèles. Prend trente secondes. À faire sur chaque compte de votre équipe.
2. Signer le DPA si vous êtes en Team, Enterprise ou API. Le document est disponible dans les paramètres d'organisation. Sans signature, la clause de sous-traitance RGPD n'est juridiquement pas activée, même si vous êtes sur un plan pro.
3. Rédiger une charte interne d'usage IA de deux pages. Elle liste ce qui peut être collé (contenu marketing, code sans secrets, brouillons anonymisés) et ce qui ne peut pas (exports CRM bruts, CV nominatifs, contrats signés, mots de passe, données bancaires). Chaque nouvel arrivant la lit et la signe.
4. Mettre en place une routine d'anonymisation. Un simple find-and-replace avant chaque prompt sensible : noms remplacés par des rôles (« le client », « le prospect »), emails par des placeholders, montants par des ordres de grandeur si le chiffre exact n'est pas nécessaire à l'analyse.
5. Documenter Claude dans votre registre des traitements. Une ligne : « Analyse de contenus professionnels via l'assistant IA Claude (Anthropic PBC, États-Unis), sous-traitant sous DPA, transferts encadrés par le DPF et les CCT. » C'est ce qui est généralement attendu en cas de contrôle.

Ces cinq actions prennent au total une demi-journée à mettre en place et vous mettent en conformité sur la grande majorité des usages courants.

Faut-il arrêter d'utiliser Claude ?

Non, pour la majorité des cas d'usage professionnels d'un entrepreneur ou d'une PME. Le quatrième incident concerne un environnement d'évaluation interne, pas les données de vos conversations. Le pattern à retenir : chaque LLM, quel que soit l'éditeur, traite des données réelles quand vous lui en envoyez. ChatGPT, Gemini et Mistral posent exactement les mêmes questions de conformité RGPD. Le choix de l'outil compte moins que le choix du plan et l'hygiène de vos prompts.

Oui, il faut ajuster votre configuration si vous êtes encore en Free ou Pro sans opt-out, et si vous manipulez régulièrement des données clients. Le passage à Team à environ 25 € par utilisateur et par mois résout une grande partie du problème : pas d'entraînement par défaut, DPA disponible, gestion d'organisation. Pour les secteurs réglementés (santé, finance, RH à grande échelle), Enterprise avec les nouvelles fonctionnalités comme Enterprise Frontier Safeguards ou les Inference hooks pour connecter un DLP devient pertinent, sans être obligatoire pour tout le monde.

Le vrai enseignement de ces quatre incidents n'est pas « Claude est dangereux » mais « la sécurité en IA est un travail continu, y compris chez les éditeurs qui font des efforts sérieux ». Anthropic a publié, notifié, mandaté un tiers indépendant. C'est la posture qu'on attend d'un fournisseur mature. Votre travail à vous, c'est de configurer votre côté proprement.

Si vous voulez structurer tout ça (setup, plan, charte, anonymisation, registre) et l'appliquer à votre activité avec des projets concrets et suivis, la formation Maîtriser Claude au quotidien couvre le sujet dès le premier module et vous fait sortir avec une configuration propre plutôt qu'une théorie oubliée.