Sécurité et conformité
Vos données de santé, nos engagements
Ce qu'Anthropic, l'éditeur de Claude, publie sur ses offres professionnelles, et ce que ClaudIn met en place chez vous. Le cadre français est détaillé dans notre guide sur l'IA et les données de santé.
Certifications
Les offres professionnelles de Claude (Claude for Work et l'API) sont couvertes par SOC 2 Type I et Type II, ISO 27001:2022 et ISO/IEC 42001:2023, la norme des systèmes de management de l'IA.
Source : Anthropic, certifications
Pas d'entraînement sur vos données
Par défaut, Anthropic n'utilise pas les échanges de ses offres professionnelles pour entraîner ses modèles, sauf retour volontaire d'un utilisateur (fonction que l'administrateur peut désactiver) ou accord explicite.
Source : Anthropic, Privacy Center
Avenant RGPD et transferts
Les conditions commerciales d'Anthropic intègrent un avenant sur le traitement des données (DPA), avec les clauses contractuelles types de la Commission européenne pour les transferts hors de l'Espace économique européen.
Source : Anthropic, Data Processing Addendum
Durée de conservation
Sur le plan Enterprise, l'administrateur fixe la durée de conservation des conversations, 30 jours au minimum. Sans réglage, elles restent conservées jusqu'à leur suppression.
Source : Anthropic, rétention des données
Configuration HIPAA
Une organisation Enterprise éligible peut activer la configuration prête pour HIPAA et accepter le Business Associate Agreement depuis ses réglages ; ce choix est irréversible. Claude Cowork n'est couvert qu'en mode local, après configuration par le propriétaire principal.
Source : Anthropic, plans Enterprise prêts pour HIPAA
Traçabilité des sessions
Sur le plan Enterprise, les sessions Claude Cowork menées dans Claude, Claude Desktop et Claude Mobile sont versées à la Compliance API. En mode local, l'historique reste sur le poste de l'utilisateur.
Source : Anthropic, Compliance API
HIPAA est une loi américaine : en France, trois cadres s'ajoutent. Les données de santé sont des données sensibles au sens de l'article 9 du RGPD. Leur hébergement pour le compte d'un tiers impose un hébergeur certifié HDS (article L1111-8 du Code de la santé publique). Enfin, le règlement européen sur l'IA classe à haut risque un système d'IA qui est lui-même un dispositif médical soumis à un organisme notifié, ou qui en est un composant de sécurité (article 6 et annexe I).
La page des certifications d'Anthropic ne cite pas de certification HDS. ClaudIn commence donc par les tâches sans donnée patient identifiante (documentation réglementaire, veille bibliographique, procédures qualité) et n'étend l'usage qu'après l'analyse de votre délégué à la protection des données. Pour l'industrie du médicament, l'EMA a publié le 30 septembre 2024 une réflexion sur l'IA dans le cycle de vie du médicament : approche fondée sur le risque, centrée sur l'humain, sous la responsabilité du demandeur ou du titulaire de l'autorisation. Les attestations d'Anthropic sont consultables sur son portail de confiance.