Claude Skills en entreprise: gouvernance 2026

TL;DR

Claude Skills sont des dossiers réutilisables: SKILL.md, scripts et fichiers de référence. Claude charge d’abord le nom et la description, le reste à la demande. L’API exige l’exécution de code et accepte au plus 20 Skills par requête. Les Agent Skills ne sont pas éligibles au ZDR. Amazon Bedrock et Google Cloud ne les prennent pas en charge.

Que sont les Claude Skills, et comment se chargent-elles?

Claude Skills sont des répertoires avec un SKILL.md obligatoire, plus des scripts et références facultatifs. Au démarrage, Claude charge seulement le nom et la description, environ 100 jetons par Skill. Il lit le corps quand la description correspond à la tâche. Les fichiers bundlés ne coûtent des jetons que lorsque Claude les ouvre. Le nom tient en 64 caractères, la description en 1024.

La vue d’ensemble des Agent Skills du 5 octobre 2026 décrit trois niveaux. Le niveau 1 reste dans le prompt système: les champs YAML name et description. Le niveau 2 est le corps de SKILL.md, lu via bash dès que la description matche. Le niveau 3 regroupe markdown supplémentaire, scripts et modèles. Les scripts tournent dans la VM. Seule leur sortie entre dans le contexte.

Niveau	Quand c’est chargé	Coût en jetons	Contenu
1 Métadonnées	Au démarrage	environ 100 jetons par Skill	name et description
2 Instructions	Sur correspondance	sous 5000 jetons	corps de SKILL.md
3 Ressources	Au besoin	zéro tant que Claude ne lit pas	références, scripts, modèles

Les règles de champs sont sur la même page. name n’accepte que minuscules, chiffres et tirets, sans les mots réservés anthropic ou claude. description ne peut pas être vide ni contenir de balises XML. Elle doit dire ce que le Skill fait et quand Claude doit le choisir. Les bonnes pratiques gardent le corps sous 500 lignes et déplacent le détail dans d’autres fichiers.

Anthropic fournit quatre Skills prêts: pptx, xlsx, docx et pdf. Les Skills maison passent par POST /v1/skills en zip, ou vivent en répertoire dans Claude Code. Un envoi API est visible dans tout le workspace. Un envoi claude.ai reste chez la personne qui l’a déposé. Un admin ne peut pas le piloter.

Traitez un Skill comme un logiciel. La section sécurité est nette: un Skill hostile peut appeler des outils, lire des fichiers et envoyer des données. Utilisez ceux que vous avez écrits ou qu’Anthropic publie. Le reste demande le même examen qu’un paquet interne. La validation des serveurs MCP est dans Claude MCP en entreprise.

Où tournent les Claude Skills: API, Code, clouds?

Claude Skills tournent sur claude.ai, l’API Claude, Claude Platform on AWS et Microsoft Foundry en hébergement chez Anthropic. Claude Code a ses Skills sur le disque, pas les Skills document prêtes. Amazon Bedrock et Google Cloud listent les Agent Skills comme absentes. Les Skills maison ne se synchronisent pas d’une surface à l’autre.

La vue d’ensemble et les pages cloud du 5 octobre 2026 donnent cette matrice:

Surface	Skills document prêtes	Skills maison	Partage	Réseau à l’exécution
API Claude	pptx, xlsx, docx, pdf	API Skills, tout le workspace	tous les membres	pas de réseau, pas d’install de paquets
Claude Platform on AWS	oui	API Skills	tout le workspace	comme l’API Claude
Microsoft Foundry	oui, Hosted on Anthropic seulement	API Skills	tout le workspace	comme l’API Claude
claude.ai	oui, à la création de documents	zip dans Settings, Pro à Enterprise	l’auteur seulement	selon le réglage admin
Claude Code	non	~/.claude/skills/ ou .claude/skills/	perso, projet ou plugin	le réseau de la machine
Amazon Bedrock	non	non	s.o.	s.o.
Google Cloud	non	non	s.o.	s.o.

Claude dans Amazon Bedrock range Agent Skills, exécution de code, Files API et connecteur MCP parmi les fonctions non prises en charge. Claude sur Google Cloud reprend la liste. Qui veut une inférence dans les États membres de l’UE reste sur Bedrock eu. ou la multi-région Europe de Google, et perd l’API Skills. Les voies de résidence sans Skills sont dans le comparatif RGPD.

Foundry est l’exception chez les hyperscalers, et elle est étroite. Le guide Foundry n’active les Agent Skills que sur Hosted on Anthropic. Hosted on Azure ne les a pas. Foundry n’offre pas de zone de données UE pour Claude. La géo de workspace de l’API Claude est us seulement. inference_geo n’accepte que global et us, selon la page de résidence.

Claude Code est le premier contact des équipes d’ingénierie. La page Skills de Claude Code place les Skills personnelles dans ~/.claude/skills/<name>/SKILL.md et celles du projet dans .claude/skills/<name>/SKILL.md. Le nom du dossier devient /name. disable-model-invocation: true empêche le chargement automatique. Cowork et les sessions cloud ne lisent pas le répertoire personnel. Elles prennent les Skills du compte claude.ai ou du dépôt cloné. Droits et bac à sable: sécurité de Claude Code.

Sur l’API, les Skills tiennent au paramètre container et à l’outil d’exécution de code. Sans cet outil, rien ne démarre. Un appel PowerPoint ressemble à ceci:

import anthropic

client = anthropic.Anthropic()
response = client.messages.create(
    model="claude-sonnet-5-5",
    max_tokens=4096,
    container={
        "skills": [{"type": "anthropic", "skill_id": "pptx", "version": "latest"}]
    },
    messages=[{"role": "user", "content": "Crée trois diapositives sur les rôles RGPD."}],
    tools=[{"type": "code_execution_20250825", "name": "code_execution"}],
)
print(response.to_json())

type: "custom" et un identifiant skill_01… servent aux Skills déposées. Sans version, la requête prend latest. Le guide entreprise prévient: tout envoi dans le workspace change alors la production tout de suite.

Combien coûtent Claude Skills et l’exécution de code?

Claude Skills n’ont pas de tarif propre. Vous payez les jetons des métadonnées, des instructions chargées et de la réponse. L’exécution de code sur l’API Claude vaut 0,05 USD par heure et par conteneur après 1550 heures gratuites, avec un plancher de cinq minutes. Sonnet 5.5 est à 2 / 10 USD par million de jetons. Les points de terminaison régionaux et multi-région ajoutent 10 pour cent à partir de Sonnet 4.5.

La page des tarifs du 5 octobre 2026 affiche Sonnet 5.5 à 2 USD en entrée et 10 USD en sortie par million de jetons, lecture de cache 0,20 USD, lot 1 / 5 USD. Opus 5.5 est à 4 / 20 USD. L’usage d’outils ajoute 286 jetons de prompt système sur Sonnet 5.5 si tool_choice vaut auto. L’exécution de code est gratuite quand web_search_20260209 ou web_fetch_20260209 (ou plus récent) est dans la même requête. Sinon le compteur horaire s’applique: 1550 heures gratuites par organisation et par mois, puis 0,05 USD par heure et par conteneur. Si la requête contient des fichiers, l’horloge tourne même sans appel d’outil, car les fichiers sont préchargés.

Poste	Tarif	Source
Sonnet 5.5 entrée / sortie	2 / 10 USD par MTok	Tarifs Anthropic
Opus 5.5 entrée / sortie	4 / 20 USD par MTok	Tarifs Anthropic
Exécution de code après le quota	0,05 USD / h / conteneur, min. 5 min	Tarifs Anthropic
Quota gratuit d’exécution	1550 h / mois / organisation	Tarifs Anthropic
Régional / multi-région dès Sonnet 4.5	+10 % vs global	Tarifs Anthropic
Foundry et Claude Platform on AWS	0,01 USD par CCU, 100 CCU = 1,00 USD	Tarifs Anthropic

Exemple calculé, notre hypothèse, pas une citation: 20 Skills sur une requête coûtent environ 2000 jetons de métadonnées au niveau 1. Sur Sonnet 5.5, c’est 0,004 USD d’entrée avant tout travail. Si Claude charge un corps de 4000 jetons et écrit 800 jetons, ajoutez 0,008 plus 0,008 USD. Une minute d’exécution dans le quota gratuit vaut 0 USD de plus. Au-delà, le plancher de cinq minutes vaut 0,05 USD. Les tarifs en euros et la majoration de 10 pour cent des voies UE sont dans le comparatif des prix API.

Le tableau d’éligibilité exclut les Agent Skills du ZDR et de HIPAA readiness. Définitions et données d’exécution suivent la conservation standard. L’exécution de code peut garder les données de conteneur jusqu’à 30 jours. Un client ZDR qui envoie quand même des Skills sort de l’accord pour ces données. L’API ne bloque pas l’appel sous ZDR. HIPAA readiness renvoie un 400.

Comment gouverner les Claude Skills en entreprise?

Traitez chaque Skill comme un logiciel. Lisez tous les fichiers, lancez les scripts dans un bac à sable, exigez 3 à 5 cas de test, et séparez l’auteur du relecteur. Sur l’API, épinglez la version. Le scan Claude Enterprise ne couvre que les envois claude.ai et Cowork, pas l’API Skills.

Skills pour l’entreprise, lu le 5 octobre 2026, fixe le cycle: planifier, créer et revoir, tester, déployer, surveiller, itérer ou retirer. L’API Skills n’a pas d’analytique d’usage. Vous journalisez quelle skill_id chaque requête portait.

1. Lisez SKILL.md, chaque fichier cité et chaque script.
2. Exécutez les scripts dans un environnement isolé et vérifiez que la sortie correspond à la description.
3. Cherchez les consignes qui lèvent les garde-fous, cachent une action ou encodent des données dans la réponse.
4. Cherchez les motifs réseau: http, curl, fetch, requests, urllib.
5. Interdisez les secrets en dur. Ils vont dans l’environnement ou un coffre.
6. Listez commandes bash, accès fichiers et références MCP. Lire un fichier puis parler au réseau est le couple dangereux.
7. Vérifiez les URL cibles et stockez les sommes de contrôle de la version validée.
8. Rédigez 3 à 5 cas: doit se déclencher, ne doit pas, cas limite. Passez-les sur Haiku, Sonnet et Opus.

Le scan sous claude.ai > Organization settings > Skills bloque les scans en échec ou inachevés. Un avertissement laisse le Skill utilisable. Il ne couvre pas /v1/skills ni la Console, ni les Skills déjà présentes, ni les organisations en CMEK, ZDR ou HIPAA readiness. Pour l’API, la liste de contrôle et une version épinglée restent le levier.

Gardez l’ensemble actif petit. Chaque description se dispute l’attention du prompt système. Le plafond de 20 est une limite dure, pas une cible. Regroupez par rôle: ventes, ingénierie, finance. Git est la source de vérité. La production épingle skver_… ou l’identifiant daté des Skills Anthropic, pas latest.

Claude Skills vs MCP: que choisir?

Claude Skills emballent du savoir et des scripts locaux. MCP relie Claude à des systèmes vivants. Un Skill sans réseau sur l’API ne peut pas écrire un ticket. Un serveur MCP sans liste blanche le peut. Nous recommandons les Skills pour les modes opératoires et les modèles, MCP pour les données en direct. Chaque voie a sa validation.

Sur l’API Claude, un Skill n’a ni réseau ni installation de paquets. Un serveur MCP dans Claude Code partage le réseau de l’utilisateur. Un Skill qui lance curl vers votre ERP n’a pas sa place sur l’API. Le même Skill dans Claude Code devient une voie d’exfiltration si la description ment. La liste entreprise classe scripts, références MCP et réseau comme risque élevé.

Question	Claude Skills	Claude MCP
Nature	Dossier d’instructions et code optionnel	Protocole vers un serveur en marche
Déclenchement	La description matche, ou /name dans Claude Code	Le serveur est configuré et autorisé
Réseau sur l’API	aucun	le serveur joint le réseau cible
Pilotage central claude.ai	non, envoi par personne	validation des connecteurs selon l’offre
Pilotage central API	oui, workspace, version épinglable	votre passerelle ou proxy
Inférence UE sur Bedrock ou Google	indisponible	oui, si vous hébergez le serveur

Notre ligne: modèles, mises en page et règles d’écriture en Skill. CRM, tickets et dossiers en MCP derrière liste blanche et OAuth. Les agents qui veulent les deux et doivent rester dans l’UE se construisent avec le Claude Agent SDK sur Bedrock ou Google Cloud, Skills gravées dans l’image plutôt que chargées par l’API Skills d’Anthropic.

FAQ

Que coûtent vraiment les Claude Skills?

Il n’existe pas de tarif Skill. Vous payez les jetons des métadonnées, des fichiers chargés et de la réponse, plus l’exécution de code après 1550 heures gratuites à 0,05 USD par heure et par conteneur. Une requête avec 20 Skills et un SKILL.md déclenché reste souvent sous un centime de jetons sur Sonnet 5.5. La facture saute avec un grand contexte, Opus 5.5 et beaucoup d’heures de conteneur.

Claude Skills vs MCP: par quoi commencer?

Les Skills d’abord, pour les modes opératoires sans système vivant: diapositives, rapports, listes de revue. MCP ensuite, quand Claude doit écrire dans des tickets, des dépôts ou des dossiers. Un Skill sans réseau est la plus petite surface d’attaque sur l’API. Un MCP sans liste blanche est la plus grande. Cet ordre économise des heures de revue.

Les Claude Skills marchent-elles sur Amazon Bedrock dans l’UE?

Non. La page Bedrock liste Agent Skills et exécution de code comme non prises en charge. Google Cloud fait de même. Inférence UE et API Skills ne se recouvrent pas dans les docs actuelles. Foundry n’offre les Skills qu’en Hosted on Anthropic, sans zone de données UE.

Le ZDR couvre-t-il les Agent Skills?

Non. Le tableau d’éligibilité marque Agent Skills et exécution de code comme hors ZDR. Les données de conteneur peuvent rester jusqu’à 30 jours. HIPAA readiness refuse la combinaison avec un 400. Le ZDR ne bloque pas l’appel. Vous sortez de l’accord pour ces données.

L’IT peut-elle pousser des Skills maison à tout le monde sur claude.ai?

Non. Un envoi claude.ai reste chez l’auteur. Les admins ne peuvent pas les diffuser dans toute l’organisation. La diffusion workspace passe par l’API Skills. Claude Code diffuse via Git, plugins ou réglages gérés. Les trois voies restent séparées.

Le scan Enterprise suffit-il à valider un Skill?

Non. Le scan ne couvre que les nouveaux envois claude.ai et Cowork. L’API Skills, la Console, les anciens envois et les organisations CMEK, ZDR ou HIPAA restent dehors. Anthropic le présente comme un complément à la liste de contrôle, pas un remplacement.

Sources

1. Docs Anthropic: Agent Skills (5 octobre 2026)
2. Docs Anthropic: Skills avec l'API (5 octobre 2026)
3. Docs Anthropic: Skills pour l'entreprise (5 octobre 2026)
4. Docs Anthropic: Tarifs (5 octobre 2026)
5. Docs Anthropic: API et conservation des données (5 octobre 2026)
6. Docs Anthropic: Résidence des données (5 octobre 2026)
7. Docs Claude Code: Skills (5 octobre 2026)
8. Docs Anthropic: Claude sur Google Cloud (5 octobre 2026)
9. Docs Anthropic: Claude dans Amazon Bedrock (5 octobre 2026)
10. Docs Anthropic: Claude dans Microsoft Foundry (5 octobre 2026)