Claude RGPD : quel hébergement en Europe en 2026 ?

TL;DR

Pour utiliser Claude en conformité RGPD avec un traitement des données dans l’UE, choisissez AWS Bedrock (profil EU, ou in-region en Irlande et à Stockholm) ou Google Vertex AI (multirégion eu). Les deux coûtent 10 % de plus. L’API Anthropic et Microsoft Foundry ne proposent aujourd’hui aucune option de traitement européen pour Claude.

Qu’exige réellement le RGPD pour une intégration de Claude ?

Le RGPD n’interdit pas les fournisseurs américains. Il exige un contrat de sous-traitance au sens de l’article 28, une base juridique pour tout transfert hors de l’EEE et une documentation de ce que vous traitez. L’hébergement des données en Europe n’est pas imposé par le texte, mais il supprime la question des transferts et allège fortement l’analyse d’impact.

Concrètement, votre DPO posera quatre questions sur tout projet Claude :

1. Qui est le sous-traitant ? La partie qui signe l’accord de traitement des données (DPA) et manipule les prompts.
2. Où les données sont-elles traitées et stockées ? Le lieu d’inférence et le lieu de stockage peuvent différer.
3. Quelque chose est-il conservé, et combien de temps ? Y compris les journaux anti-abus et vos propres journaux de requêtes.
4. Les données clients servent-elles à l’entraînement ? Pour les quatre options ci-dessous, la réponse documentée est non.

La suite de l’article répond à ces quatre questions pour chaque option, sources à l’appui. Nous ne donnons pas de conseil juridique. Nous comparons ce que les fournisseurs documentent, c’est-à-dire les éléments dont votre DPO a besoin. Pour les applications Claude (Free, Pro, Team, Enterprise), voir notre article sur la confidentialité des données Claude.

Comment se comparent Bedrock, Vertex, Foundry et l’API Anthropic ?

Seuls Bedrock et Vertex permettent aujourd’hui de garder l’inférence de Claude Opus 5 et Sonnet 5 dans l’UE. L’API Anthropic route en mondial ou aux États-Unis, et Foundry propose le Global Standard et une zone de données américaine, sans zone européenne. L’entraînement sur vos données est exclu contractuellement partout. Le choix se joue donc sur la résidence des données.

Critère	AWS Bedrock	Google Vertex AI	Microsoft Foundry	API Anthropic
Traitement UE pour Opus 5 / Sonnet 5	Oui, profil EU (eu.anthropic...)	Oui, multirégion eu	Non (Global ou US Data Zone)	Non (global ou us)
Région européenne unique nommée	Oui, Irlande ou Stockholm via bedrock-mantle	Non pour les modèles Claude 5	Non	Non
Périmètre de l’option UE	Régions UE ; depuis Londres ou Zurich, ajoute ces régions	États membres uniquement, hors Royaume-Uni et Suisse	n/a	n/a
Sous-traitant des prompts	AWS	Google	Anthropic, sous-traitant indépendant pour Microsoft	Anthropic (Anthropic Ireland Limited dans l’UE)
Accès du fournisseur du modèle	Aucun accès d’Anthropic, selon AWS	Pas de partage avec des tiers, selon Google	Hosted on Azure : seules métadonnées et contenus signalés vont chez Anthropic	Anthropic traite directement
Rétention zéro	Mode none par région, en libre-service	Conditions ZDR de Google ; pas de journal anti-abus listé pour Opus 5 / Sonnet 5	Via Anthropic, au niveau de l’abonnement	Sur demande auprès des ventes Anthropic
Prime pour l’UE	+10 %	+10 %	n/a (US Data Zone à 1,1x)	n/a (US uniquement à 1,1x)
Parité avec l’API Anthropic	Partielle (pas de sorties structurées sur Sonnet 5)	Partielle (sorties structurées et recherche web disponibles)	Élevée, selon l’hébergement	Totale

Sources : fiche Bedrock Sonnet 5, résidence des données Google, régions Foundry, résidence des données Anthropic.

Notre position : dès que des données personnelles entrent dans le prompt, commencez par Bedrock ou Vertex dans l’UE. Réservez l’API Anthropic et Foundry aux cas où un mécanisme de transfert est documenté et les données peu sensibles, ou lorsqu’une fonctionnalité n’existe que là. Si ChatGPT reste en lice, voyez notre comparatif Claude vs ChatGPT en entreprise. La formule Claude Entreprise ne propose pas non plus de traitement dans l’UE.

Pourquoi l’API Anthropic ne peut-elle pas garder les données dans l’UE ?

Parce que les seuls réglages géographiques proposés par Anthropic sont « global » et « US ». Le paramètre inference_geo n’accepte que ces deux valeurs, et le stockage des workspaces n’existe qu’aux États-Unis. Il n’y a pas de réglage européen : vous ne pouvez donc pas garantir que des données personnelles envoyées à l’API Anthropic restent dans l’EEE.

La page d’Anthropic sur la résidence des données l’écrit sans détour dans la section « Current limitations ». Voici ce qu’Anthropic propose aux clients européens :

• Entité contractante. Le Data Processing Addendum indique que les services dans l’UE sont fournis par Anthropic Ireland Limited.
• Mécanisme de transfert. Le DPA, en vigueur depuis le 24 février 2025, intègre les clauses contractuelles types (modules deux et trois) sous droit irlandais, ainsi que l’addendum britannique. Il fait partie automatiquement des Commercial Terms.
• Pas d’entraînement. Les Commercial Terms stipulent : « Anthropic may not train models on Customer Content from Services. »
• Rétention. Le contenu des conversations n’est pas conservé par défaut, et la rétention zéro est disponible sur demande, organisation par organisation, comme l’explique la page API et rétention des données.

C’est un ensemble acceptable pour des documents internes sans données personnelles, du code ou des contenus pseudonymisés. C’est faible pour des données RH, de santé ou des transcriptions de support client, car l’évaluation du risque de transfert repose sur vous. L’API Anthropic reçoit en revanche les nouveautés en premier : certaines équipes l’utilisent en développement et un cloud tiers européen en production.

Microsoft Foundry permet-il un hébergement des données en Europe ?

Pas pour Claude, en septembre 2026. Le tableau de régions de Microsoft indique « Not available » pour une Data Zone européenne, et ce pour chaque modèle Claude. En Europe, Claude se déploie uniquement en Global Standard depuis Sweden Central, et Microsoft précise que ce type de déploiement peut traiter les prompts dans n’importe quelle région Azure. C’est un traitement mondial.

Les détails viennent de Microsoft Learn et du guide Foundry d’Anthropic :

• Deux modes d’hébergement. « Hosted on Azure » fait tourner un service opéré par Anthropic sur l’infrastructure Azure ; prompts et réponses restent dans Azure, seules les métadonnées d’usage et les contenus signalés par les systèmes de sécurité partent chez Anthropic. « Hosted on Anthropic » tourne sur l’infrastructure d’Anthropic.
• Chaîne de sous-traitance. Anthropic agit comme sous-traitant indépendant pour Microsoft, et les clients sont soumis aux conditions d’utilisation des données d’Anthropic.
• Conditions produit. Microsoft classe les modèles partenaires non vendus par Azure comme « Non-Microsoft Products » au sens de ses Product Terms. Demandez par écrit à votre interlocuteur Microsoft quel DPA couvre Claude dans votre tenant.
• Zone de données. La seule zone de données disponible pour Claude est la US Data Zone Standard, facturée 1,1x.

Foundry a du sens pour une entreprise dont tous les achats passent par Azure et dont l’usage de Claude ne touche aucune donnée personnelle. Pour des charges européennes réglementées, nous ne le choisirions pas aujourd’hui.

Rétention et rétention zéro : quelles différences ?

Les quatre options peuvent faire tourner Opus 5 et Sonnet 5 sans conserver les prompts, mais le mécanisme diffère : libre-service sur Bedrock, conditions documentées par Google sur Vertex, demande aux ventes pour l’API Anthropic. L’exception commune, ce sont les modèles Fable : Anthropic les classe comme Covered Models soumis partout à 30 jours de conservation.

Option	Comment obtenir la rétention zéro	Fable 5 / 5.1
AWS Bedrock	Mode none par région, imposé par une SCP sur bedrock:DataRetentionMode	Exige aws_review : jusqu’à 30 jours chez AWS, relecture par AWS, rien transmis à Anthropic
Google Vertex AI	Suivre les conditions ZDR de Google ; la journalisation anti-abus de 30 jours y est décrite pour les modèles Google et les modèles d’IA avancés, pas pour Opus 5 ou Sonnet 5	Conservés jusqu’à 30 jours pour la surveillance des abus
Microsoft Foundry	Géré par Anthropic au niveau de l’abonnement	Erreur 400 pour les Covered Models sur un abonnement en ZDR
API Anthropic	ZDR par organisation via les ventes ; l’API Batch n’est pas éligible (29 jours)	30 jours, ZDR seulement sur autorisation expresse d’Anthropic

Sources : rétention Bedrock, API et rétention Anthropic, dépannage Claude sur Microsoft Learn.

Deux remarques pratiques. Vos propres journaux de requêtes, qu’Anthropic recommande de conserver 30 jours sur toutes les plateformes, sont eux aussi des données personnelles si les prompts en contiennent. Et sur Bedrock, avec l’inférence inter-régions, les données conservées sont stockées dans la région qui a traité la requête : le profil EU les garde donc dans l’UE.

Que change l’AI Act pour les entreprises qui utilisent Claude ?

Pour la plupart des entreprises qui appellent Claude par API, l’AI Act fait peser les obligations lourdes sur Anthropic, en tant que fournisseur d’un modèle d’IA à usage général. Ces obligations s’appliquent depuis le 2 août 2025. Vos devoirs de déployeur dépendent du cas d’usage, et l’Omnibus IA a repoussé les échéances haut risque en juillet 2026.

Le calendrier, tiré de la page de la Commission européenne sur l’AI Act :

Date	Ce qui s’applique
2 février 2025	Pratiques interdites et obligations de maîtrise de l’IA
2 août 2025	Obligations des fournisseurs de modèles d’IA à usage général
2 août 2026	Application générale de l’AI Act
2 décembre 2027	Règles haut risque de l’annexe III (RH, scoring de crédit, éducation, etc.), repoussées depuis 2026
2 août 2028	Règles haut risque pour l’IA intégrée à des produits réglementés (annexe I)

L’Omnibus IA qui a déplacé ces dates est entré en vigueur le 27 juillet 2026. Anthropic, Amazon, Google et Microsoft figurent tous sur la liste des signataires du code de bonnes pratiques GPAI publiée par la Commission.

Ce que cela implique pour vous, en tant que déployeur :

• Inventoriez vos cas d’usage dès maintenant. Un chatbot de support n’est pas à haut risque. Claude qui trie des candidatures relève de l’annexe III et déclenche des obligations à partir de décembre 2027.
• Maîtrise de l’IA. Cette obligation s’applique depuis février 2025. Documentez la formation des équipes qui utilisent Claude.
• Transparence. Si des utilisateurs dialoguent directement avec Claude ou si vous publiez du contenu généré, vérifiez les obligations de transparence de l’article 50 pour votre cas.

Le choix entre Bedrock, Vertex, Foundry et l’API Anthropic ne change pas votre rôle au titre de l’AI Act. La résidence relève du RGPD ; l’AI Act porte sur le cas d’usage et le niveau de risque. Le détail des obligations figure dans notre checklist AI Act pour les entreprises.

Comment décider en pratique ?

Partez des données, pas du cloud. Classez ce qui entre dans les prompts, puis retenez l’option de résidence la plus étroite qui supporte vos modèles et vos fonctionnalités. Pour la plupart des entreprises européennes qui traitent des données personnelles, cela signifie Bedrock ou Vertex dans l’UE, sur le cloud où vivent déjà les données. Si AWS est nouveau pour vous, notre guide Amazon Bedrock explique ce que la plateforme couvre au-delà de Claude. Si aucune voie managée ne convient, reste l’auto-hébergement de poids ouverts, comme le montre notre guide DeepSeek V4.1 auto-hébergé.

1. Classer le contenu des prompts. Aucune donnée personnelle : toutes les options conviennent. Données personnelles : privilégiez le traitement dans l’UE. Catégories particulières de l’article 9 : traitement dans l’UE et rétention zéro.
2. Vérifier les besoins en modèles. Opus 5 et Sonnet 5 fonctionnent dans l’UE sur Bedrock comme sur Vertex. Fable 5.1 n’a pas d’option UE sur Bedrock et exige 30 jours de rétention partout.
3. Aligner sur votre cloud. Landing zone AWS existante : suivez notre guide Claude sur AWS Bedrock en Europe. Google Cloud existant : suivez notre guide Claude sur Vertex AI en Europe.
4. Verrouiller. Bloquez les endpoints globaux par politique (SCP sur Bedrock, constraints/gcp.restrictEndpointUsage sur Google Cloud), réglez la rétention et documentez l’ensemble dans votre registre des traitements.
5. Réviser chaque trimestre. Disponibilité des modèles, dates de retrait et zones de données changent plusieurs fois par an.

FAQ

Chaque réponse se lit seule et reflète la documentation des fournisseurs consultée le 18 septembre 2026. Il s’agit d’une comparaison technique de la rédaction, pas d’un avis juridique. Avant de signer, confirmez les conditions en vigueur avec votre fournisseur et votre DPO, car les options européennes pour Claude évoluent souvent.

Claude est-il conforme au RGPD ?

Claude peut être utilisé de façon conforme au RGPD, mais la conformité dépend de votre configuration, pas du modèle. Il vous faut un contrat de sous-traitance, une base juridique et, pour tout transfert hors de l’EEE, un mécanisme de transfert. Le plus simple reste Claude sur Bedrock ou Vertex AI avec traitement dans l’UE.

L’API Anthropic propose-t-elle un hébergement des données en Europe ?

Non. En septembre 2026, le paramètre inference_geo n’accepte que global et us, et le stockage des workspaces n’existe qu’aux États-Unis. Anthropic Ireland Limited est l’entité contractante dans l’UE et le DPA contient les clauses contractuelles types, mais le traitement dans l’UE n’est pas garanti.

Combien coûte la résidence des données dans l’UE pour Claude ?

Sur Bedrock comme sur Vertex AI, le traitement dans l’UE coûte 10 % de plus que l’endpoint global. Sonnet 5 passe de 2 à 2,20 USD par million de tokens en entrée et de 10 à 11 USD en sortie. Pour une charge moyenne, cela représente quelques dollars par mois, pas une décision budgétaire. Les tarifs Claude par siège des applications figurent dans notre page Claude pricing 2026.

Bedrock ou Vertex AI : lequel est le mieux adapté au RGPD ?

L’endpoint eu de Vertex AI a le périmètre géographique le plus strict, puisqu’il ne couvre que les États membres de l’UE, sans le Royaume-Uni ni la Suisse. Bedrock offre plus de contrôle si vous devez nommer une région unique, avec Opus 5 et Sonnet 5 en in-region en Irlande et à Stockholm. Les deux excluent l’entraînement sur vos données.

Mes données servent-elles à entraîner Claude ?

Sur aucune des quatre options. Les Commercial Terms d’Anthropic interdisent l’entraînement sur les contenus clients, la restriction d’entraînement de Google couvre les modèles partenaires, et AWS documente qu’Anthropic n’a aucun accès aux prompts Bedrock. Les applications Claude grand public relèvent d’autres conditions, hors du périmètre de ce comparatif.

Faut-il s’inquiéter de l’AI Act si l’on se contente d’appeler l’API Claude ?

En général moins qu’on ne le pense. Les obligations liées aux modèles d’IA à usage général pèsent sur Anthropic en tant que fournisseur et s’appliquent depuis août 2025. En tant que déployeur, vous devez assurer la maîtrise de l’IA et vérifier les obligations de transparence. Le haut risque ne concerne que certains cas d’usage, avec une échéance annexe III au 2 décembre 2027.

Sources

1. Anthropic docs: Data residency (18 septembre 2026)
2. Anthropic docs: API and data retention (18 septembre 2026)
3. Anthropic Data Processing Addendum (18 septembre 2026)
4. Anthropic Commercial Terms of Service (18 septembre 2026)
5. Anthropic docs: Claude in Microsoft Foundry (18 septembre 2026)
6. Microsoft Learn: Foundry Models from partners and community (18 septembre 2026)
7. Microsoft Learn: Deploy and use Claude models in Microsoft Foundry (18 septembre 2026)
8. AWS Bedrock docs: Claude Sonnet 5 model card (18 septembre 2026)
9. AWS Bedrock docs: Data retention (18 septembre 2026)
10. Google Cloud docs: Data residency (18 septembre 2026)
11. European Commission: AI Act regulatory framework (18 septembre 2026)
12. European Commission: GPAI Code of Practice signatories (18 septembre 2026)