Déployer Claude en entreprise : les cinq décisions avant le premier euro

Par Ralf Schmidt | 7 août 2026 | Tech Corner

Depuis le 2 août 2026, le règlement européen sur l'IA s'applique en grande partie : les obligations de transparence de l'art. 50 sont applicables et l'Agence fédérale des réseaux assure la surveillance du marché de l'IA en Allemagne. Parallèlement, le Digital Omnibus a repoussé de plus d'un an les strictes obligations relatives aux systèmes à haut risque. Le dirigeant, le responsable informatique ou le délégué à la protection des données qui décide aujourd'hui du déploiement d'un assistant IA doit savoir distinguer les deux.

Claude est le système d'assistance IA du fournisseur américain Anthropic et, dans de nombreuses maisons, l'outil dont on débat actuellement. Les cinq décisions suivantes sont toutefois largement indépendantes de l'outil : qui déploie Microsoft Copilot ou Google Gemini se pose les mêmes questions. Toutes les cinq se prennent dans les six premières semaines, bien avant que la DSI ne commence à construire. Et lorsqu'un déploiement s'enlise plus tard, cela s'explique presque toujours par l'une de ces cinq décisions prise trop tard, ou pas du tout.

1. Les formules grand public sont exclues — et sont déjà dans la maison

Claude Free, Pro et Max n'offrent pas de contrat de sous-traitance et les saisies peuvent alimenter l'amélioration du modèle. La base fait donc défaut pour deux types de données : pour les données à caractère personnel, la base contractuelle exigée par l'art. 28 du RGPD manque. Pour les secrets d'affaires sans données personnelles — calculs, stratégies d'offre, code source — il ne s'agit pas d'un sujet RGPD mais de protection du secret et de vos contrats clients. Les deux mènent au même résultat : inutilisable en entreprise.

La partie désagréable vient avant. Partez du principe que cela se produit déjà chez vous. Non par mauvaise intention, mais parce que quelqu'un au commercial a constaté que les projets d'offre vont plus vite. Cet usage non officiel via des comptes privés — « IA de l'ombre » — est le véritable point de départ, pas une page blanche.

Le premier pas concret n'est donc pas un appel d'offres, mais un inventaire de l'usage réel, assorti d'une note de service interdisant les comptes IA privés pour les données de l'entreprise.

L'ordre compte : une interdiction sans alternative disponible produit davantage d'IA de l'ombre, pas moins. L'interdiction et l'environnement officiel doivent coïncider dans le temps.

2. La voie d'accès détermine les engagements que vous pouvez prendre

Une formule commerciale est obligatoire. Laquelle dépend du besoin de protection.

Zero Data Retention (ZDR) signifie que les entrées et sorties ne sont pas conservées chez le fournisseur — la condition pour pouvoir traiter des contenus sensibles.

Le point qui passe régulièrement à la trappe dans les entretiens commerciaux : Anthropic met en avant une résidence régionale des données pour l'Europe. Mais celle-ci est fournie via les fournisseurs cloud, pas par le contrat direct avec Anthropic. Ni claude.ai ni l'API Anthropic n'offrent de résidence des données dans l'UE ; le traitement y repose sur une infrastructure américaine.

Qui veut donc garantir au comité social et économique, à un client ou à une autorité de contrôle un traitement dans l'UE doit passer par AWS Bedrock (notamment Francfort, Irlande, Paris) ou Google Vertex AI avec des points de terminaison européens. C'est une décision d'architecture, pas une clause contractuelle — et elle a un coût : l'interface claude.ai habituelle n'y est pas disponible, il faut une interface de chat propre.

Pour les maisons déjà sous Microsoft 365, il existe une troisième voie. Les modèles Anthropic sont disponibles comme modèle sélectionnable dans Copilot Chat, l'agent Researcher, Copilot Studio et les agents Office ; dans Microsoft Foundry, ils sont désormais généralement disponibles. Les collaborateurs restent dans Teams, Word et Outlook, l'administration passe par les outils Microsoft habituels — de loin l'obstacle d'adoption le plus faible.

Le hic : pour les modèles Claude, Microsoft ne propose pas encore de zone de données européenne. Le traitement a lieu hors de l'EU Data Boundary et Microsoft a donc désactivé la fonction par défaut pour les tenants de l'UE, de l'AELE et du Royaume-Uni ; un administrateur doit l'activer sciemment. Une option Foundry européenne est annoncée, mais sans date.

Il en résulte un dispositif à deux voies : contenus non critiques et correctement pseudonymisés par la voie confortable de Microsoft, données sensibles par la voie UE. C'est une décision de confort, pas de conformité. Qui veut s'épargner la double architecture fait tout passer par Bedrock.

3. Le comité social et économique intervient en semaine 3, pas en semaine 14

Parmi les projets que nous voyons après coup, c'est la rupture évitable la plus fréquente.

Le § 87 al. 1 n° 6 de la loi allemande sur l'organisation des entreprises confère au comité un droit de codécision opposable pour les dispositifs techniques susceptibles de surveiller le comportement ou la performance. Les journaux d'IA montrent qui a demandé quoi et quand. Cela remplit le critère — indépendamment de votre intention de les exploiter un jour.

Un comité contourné peut faire prononcer l'arrêt en référé. Deux à six semaines de procédure, arrêt du projet inclus. La technique est prête et personne n'a le droit de l'utiliser.

La solution ne coûte presque rien : informer tôt, s'engager sur une évaluation anonymisée, exclure contractuellement tout suivi individuel de l'usage. Dans la plupart des cas, le comité n'est pas un adversaire, mais quelqu'un qui a besoin d'un engagement solide pour pouvoir approuver.

Un accord-cadre d'entreprise « IA » devrait couvrir au moins huit points : champ d'application, liste positive des cas d'usage autorisés par groupe d'utilisateurs, interdiction expresse du contrôle de la performance et des décisions automatisées concernant les salariés, règles relatives aux données, transparence envers le personnel, attestation de formation comme condition d'accès, droits de contrôle de l'instance et clause de modification pour les systèmes futurs.

Un détail issu de la pratique : qui exploite Microsoft Copilot et Claude en parallèle — ce que font de nombreuses ETI — devrait rédiger un seul corpus de règles IA pour les deux outils. Cela évite de mener deux fois la discussion avec le comité et la protection des données et empêche l'apparition de deux îlots aux règles différentes.

4. La formation est une condition d'accès, pas un programme d'accompagnement

L'obligation de maîtrise de l'IA de l'art. 4 du règlement européen s'applique depuis le 2 février 2025. Le Digital Omnibus l'a assouplie à l'été 2026 : l'obligation de garantir un certain niveau de compétence est devenue une obligation de promotion. Elle n'a pas été supprimée — fournisseurs et déployeurs doivent continuer à prendre des mesures pour développer la culture IA de leurs salariés.

En pratique, cela change peu, car la règle dure a de toute façon fait ses preuves pour une autre raison : pas d'attestation de formation, pas de compte. C'est moins un instrument de conformité que le levier le plus efficace dont vous disposez pour l'adoption. Et elle vous fournit au passage exactement la preuve qu'exige l'art. 4.

Une formation unique pour tous ne fonctionne pas. Une développeuse a besoin de sécurité des API, de conscience du prompt injection et de discipline de revue. Un gestionnaire a besoin des bases du prompt et de règles de données claires. Une dirigeante a besoin de gouvernance, de questions de responsabilité et de la conviction qu'elle doit l'utiliser elle-même pour que les autres le fassent. À titre indicatif : deux heures de base pour tous, quatre heures approfondies pour les développeurs, deux heures de gouvernance pour la direction.

5. Bloquez les cas d'usage à risque — et les délais travailleront pour vous

N'ouvrez pour l'instant ni l'évaluation des candidatures, ni l'analytique RH au niveau individuel, ni les décisions automatisées concernant des personnes. Cette seule décision retire de votre projet toute la partie haut risque du règlement sur l'IA : les obligations ne s'appliquent alors tout simplement pas.

C'est si efficace parce que c'est là que les choses ont le plus bougé ces derniers mois et que circulent d'autant plus de demi-vérités. L'état des lieux en trois points :

Reporté, mais adopté. Le Digital Omnibus est entré en vigueur le 27 juillet 2026 en tant que règlement (UE) 2026/1744 — après l'approbation du Parlement européen en juin et du Conseil fin juin 2026. Les obligations à haut risque de l'annexe III, notamment pour l'IA de recrutement, ne s'appliquent donc qu'à partir du 2 décembre 2027 ; l'IA à haut risque intégrée dans des produits suit le 2 août 2028. C'est du droit en vigueur, pas une annonce — vous pouvez planifier là-dessus.

La surveillance est néanmoins en place. En vertu de la loi allemande sur la surveillance du marché de l'IA et la promotion de l'innovation, l'Agence fédérale des réseaux est l'autorité centrale de surveillance du marché et le point de contact national. Elle a expressément désigné l'usage de l'IA, notamment dans les ressources humaines, comme priorité. Un incident dans ce domaine attire donc aujourd'hui plus d'attention qu'il y a un an — et peut discréditer tout un projet de déploiement, même s'il n'était pas formellement illicite. Le report du délai n'y change rien.

L'obligation de marquage vous concerne moins que vous ne le lisez. Depuis le 2 août 2026, les obligations de transparence de l'art. 50 sont applicables. L'essentiel vise les fournisseurs des systèmes, pas leurs utilisateurs professionnels — le montant d'amende souvent cité, jusqu'à 15 millions d'euros ou 3 pour cent du chiffre d'affaires annuel mondial, les vise majoritairement aussi. En tant qu'entreprise déployante, vous êtes surtout concerné dans trois cas : si vous exploitez un chatbot en contact avec la clientèle et devez indiquer que l'échange a lieu avec une IA ; si vous utilisez des deepfakes ; ou si vous publiez des textes générés par IA sur des sujets d'intérêt public. Il n'en découle pas d'obligation générale de marquer chaque courriel d'offre assisté par IA. Pour les fournisseurs de systèmes génératifs déjà sur le marché avant la date butoir, une période transitoire court en outre jusqu'au 2 décembre 2026 pour le marquage lisible par machine des contenus synthétiques.

Une règle de marquage a néanmoins sa place dans la note de service — non pas à cause de l'art. 50, mais parce que les contrats clients et les contrats-cadres contiennent de plus en plus leurs propres clauses de divulgation. Vérifiez-le dans vos contrats, pas dans le texte de loi.

La colonne vertébrale opérationnelle : le feu tricolore des catégories de données

Les cinq décisions concernent la direction. Pour les collaborateurs, il faut une traduction, et il existe exactement un outil qui fonctionne dans la pratique. Une page, compréhensible par tous, sur l'intranet et affichée :

• Vert – public ou interne sans données personnelles : données de marché, informations produit, textes propres, exemples de cas anonymisés. Librement utilisable dans l'environnement autorisé.
• Jaune – confidentiel mais pseudonymisable : dossiers clients, contrats, code interne. Uniquement après pseudonymisation et uniquement dans l'environnement de l'entreprise.
• Rouge – sensible sur le plan personnel ou stratégique : données en clair de clients et de candidats, salaires, données de santé au sens de l'art. 9 du RGPD, dossiers de fusions-acquisitions, extraits de bases de données de production. Uniquement dans un environnement ZDR et par des rôles habilités — ou pas du tout.

Le feu tricolore ne fonctionne que si la règle jaune est facile à suivre au quotidien. Joignez-y un court guide de pseudonymisation avec des exemples (« Müller GmbH → Client A »). Et actez-le : la frontière passe par la pseudonymisation, pas par l'intuition.

Sécuriser n'est pas encore produire de l'effet

Les cinq décisions font que votre projet n'est pas arrêté. Sa rentabilité se décide ensuite — et c'est là que se situe l'erreur de parcours la plus fréquente.

Elle ressemble à ceci : la technique est en place, mais il n'y a ni modèles ni cas d'usage concrets. Les utilisateurs essaient une fois, sont moyennement impressionnés et ne reviennent pas. Trois remèdes ont fait leurs preuves.

Fixez deux quick wins concrets par service au lieu de dire « essayez donc ». Commercial : projets d'offres et de courriels, structuration des comptes rendus d'entretien. Contrôle de gestion : condenser des rapports, faire expliquer des tableaux. Direction de projet : transformer les notes de réunion en listes de tâches.

Nommez des champions — environ un pour 30 à 50 utilisateurs — comme premier point de contact dans le service. Cela soulage la DSI et abaisse le seuil bien plus que n'importe quelle hotline.

Et mesurez l'usage réel plutôt que les licences distribuées. Règle empirique utile : quelqu'un l'a intégré à son quotidien s'il travaille délibérément avec l'outil une trentaine de fois en quatre semaines. En dessous, c'est de la curiosité, pas une habitude.

Le calendrier

Pour une entreprise d'environ 500 salariés, 16 à 20 semaines sont réalistes : état des lieux en semaines 1 à 2, volet juridique et contractuel avec l'entretien du comité en semaines 3 à 6, technique avec SSO, on-boarding et off-boarding automatisés et journalisation d'audit en semaines 7 à 10, pilote en semaines 11 à 14, puis déploiement service par service.

Que la direction ouvre le pilote n'est pas une politesse. Il y a deux raisons prosaïques : les dirigeants qui l'utilisent eux-mêmes stimulent l'adoption de façon mesurable — et leurs risques de données liés à la stratégie, aux fusions-acquisitions et aux sujets RH imposent de toute façon que l'environnement protégé soit prêt avant tous les autres.

Ce qui frappe, c'est le peu de technique là-dedans. Quatre des cinq décisions se prennent dans des contrats, des conversations et des notes de service — bien avant que quiconque configure un système. C'est précisément pour cela qu'elles sont si faciles à négliger et si coûteuses à rattraper.

État du droit : 7 août 2026. Cet article ne remplace pas un conseil juridique ; l'interprétation de l'art. 50 du règlement européen sur l'IA dans un usage professionnel n'est pas encore définitivement tranchée sur certains points. Les détails produit tels que les prix, les conditions ZDR et la disponibilité des régions UE évoluent à court terme — vérifiez la documentation à jour du fournisseur avant toute signature.

ZEMID GmbH accompagne les ETI dans leurs stratégies de transformation IT et d'IA — du choix de la voie d'accès à l'entretien avec le comité social et économique, jusqu'au déploiement. Si vous êtes bloqué sur l'un de ces points, parlez-nous-en. zemid.de/contact