La mise à jour simultanée des Conditions générales d’utilisation et de la Politique de confidentialité de Claude annonce un changement de paradigme. Jusqu’ici, Anthropic supprimait automatiquement les conversations des utilisateurs au bout de trente jours. Désormais, sauf refus explicite, les échanges seront conservés jusqu’à cinq ans et utilisés pour améliorer les modèles, y compris Claude 3.5 et ses successeurs. Après une politique respectueuse des données de ses utilisateurs, Anthropic bascule vers l’opt‑out obligatoire et change sa politique de collecte et de conservation des données pour mieux les exploiter.
Cette évolution ne concerne que les offres grand public — Claude Free, Pro, Max et Code —, et ne s’applique ni aux API (Amazon Bedrock, Vertex AI), ni aux offres commerciales comme Claude for Work, Claude for Education ou Claude for Gov. L’entreprise conserve donc une distinction claire entre les usages soumis à ses conditions standards et ceux régis par contrat, mais impose une prise de décision active aux utilisateurs particuliers, sous peine de blocage d’accès à partir du 28 septembre.
Un risque majeur pour le « shadow AI » en entreprise
En surface, rien ne change pour les entreprises clientes : les données restent exclues par défaut du processus d’entraînement, conformément aux engagements contractuels d’Anthropic. En revanche, les usages non officiels — de type « shadow AI » — sont directement exposés. Dès lors qu’un salarié utilise Claude via un compte personnel ou non encadré, ses requêtes peuvent être stockées, analysées et intégrées au corpus d’entraînement de l’éditeur.Ce scénario n’est pas marginal. Selon une étude Gartner de 2024, près de 35 % des collaborateurs en entreprise auraient recours à des outils d’IA générative sans validation de leur direction informatique. La mise à jour d’Anthropic rend ces pratiques plus risquées : sauf action volontaire d’opt-out dans les paramètres, les informations soumises (y compris du code, des extraits contractuels ou des données RH) deviennent exploitables par l’éditeur.
Une interface qui favorise le consentement par défaut
Le choix d’Anthropic d’adopter un mécanisme d’opt-out plutôt qu’un opt-in pose une question de transparence. Une boîte de dialogue s’affiche au lancement, avec un bouton « Accepter » mis en avant, tandis que l’option de refus est reléguée à une étape secondaire. Une fois le consentement concédé, les données pourront être utilisées pour entraîner les futurs modèles, sans possibilité de rétractation rétroactive.Notons que, même en cas de refus, certaines exceptions demeurent. Les données signalées manuellement par les utilisateurs (contenus problématiques, propos illicites, etc.) ou identifiées comme potentiellement dangereuses peuvent être conservées à des fins de recherche et de sécurité. De même, et c’est une violation flagrante du RGPD : les informations techniques collectées incluent désormais l’adresse IP, l’identifiant de l’appareil et la localisation du terminal, introduisant une nouvelle dimension réglementaire, notamment vis-à-vis du RGPD.
De la collecte technique à l’identification implicite
En effet, la collecte conjointe de l’adresse IP, de l’identifiant de l’appareil et de la localisation du terminal constitue une forme d’identification indirecte, pleinement encadrée par le RGPD. Si ces données techniques sont croisées avec les contenus textuels, même de manière automatisée, elles deviennent un vecteur de réidentification fort, en contradiction avec le principe de minimisation inscrit à l’article 5 du règlement européen.Dans ce contexte, le mécanisme d’« opt-out » proposé par Anthropic — adossé à une interface orientée vers l’acceptation par défaut — soulève de sérieuses réserves. Un consentement valable au sens du RGPD doit être libre, spécifique, éclairé et univoque. Or, le parcours utilisateur mis en œuvre repose sur une présomption d’accord difficilement compatible avec ces exigences. L’utilisateur est placé devant une alternative asymétrique : accepter le traitement ou perdre l’accès au service, sans information claire sur la portée effective des données collectées.
Cette évolution traduit une tension structurelle entre la logique industrielle d’entraînement des modèles IA — qui exige de vastes corpus contextualisés — et les principes fondamentaux de la protection des données en Europe. Pour les entreprises, comme pour les individus, il ne s’agit plus seulement d’un enjeu de conformité, mais d’une interrogation sur la gouvernabilité des agents IA en environnement ouvert.
Une collecte stratégique qui vise les cas d’usage les plus riches
Ce changement est révélateur d’une logique d’optimisation des performances. En collectant davantage d’interactions, Anthropic peut améliorer la pertinence, l’adaptabilité et la contextualisation de ses modèles. Les usages ciblés incluent notamment la rédaction, la programmation et l’assistance contextuelle dans des environnements applicatifs, des segments déjà largement explorés par Claude Code ou via l’extension Claude pour Chrome.Anthropic emboîte ainsi le pas à OpenAI (ChatGPT), Google (Gemini) et Mistral (lequel prépare aussi un dispositif de collecte via ses interfaces interactives). Dans tous les cas, l’enjeu est le même : enrichir les modèles avec des données pour renforcer les performances en conditions métiers. Mais cette quête d’efficacité entre en tension directe avec les impératifs de confidentialité, de gouvernance des usages et de maîtrise du patrimoine informationnel.
Encadrer les usages, sensibiliser les équipes, sécuriser les accès
Pour les entreprises, cette évolution souligne une urgence : encadrer les usages d’outils IA via des politiques claires, des comptes professionnels contrôlés, et une sensibilisation proactive. Il est désormais crucial de repérer les usages personnels en contexte professionnel et de proposer des alternatives sécurisées. Le cloisonnement entre outils d’expérimentation et environnements de production doit être clairement balisé.Par ailleurs, les directions des systèmes d’information doivent s’assurer que les solutions officiellement autorisées (Claude for Work, API dédiées, intégrations dans des outils collaboratifs) garantissent un traitement conforme aux exigences de confidentialité et de souveraineté numérique. Cela passe par une contractualisation explicite, un audit des flux de données, et le suivi des mises à jour contractuelles des fournisseurs.
