Un contrat, ses annexes, des conditions générales et plusieurs versions échangées par mail. Pour un DPO, vérifier un prestataire commence souvent par remettre ces pièces dans le bon ordre. L’IA peut aider à préparer cette lecture. Encore faut-il savoir ce qu’elle a réellement vérifié.
Le 28 octobre, Anthropic a annoncé de nouveaux « artefacts » pour Claude for Legal : des outils interactifs que les équipes peuvent adapter à leurs documents. Parmi les fonctions présentées figurent la vérification des citations, l’extraction de clauses dans un tableau et la comparaison d’un contrat avec les exigences internes. Anthropic décrit un premier travail réalisé par Claude, suivi du jugement d’un professionnel. Annonce officielle du 28 octobre
L’annonce renvoie vers une galerie et propose un accompagnement au déploiement. Ces outils n’ont pas été testés ici dans un compte utilisateur. L’accès effectif, les conditions de l’offre et les connecteurs disponibles restent à vérifier pour chaque organisation.
Une utilisation concrète pour les DPO
Prenons une revue de sous-traitants. Une équipe pourrait demander à l’IA de retrouver, dans les pièces fournies, les engagements sur la confidentialité, l’assistance en cas de violation, les sous-traitants ultérieurs ou la restitution des données. C’est un usage envisageable à configurer et à tester. Il ne s’agit pas d’un audit RGPD prêt à l’emploi annoncé par l’éditeur.
Pour être utile, le résultat devrait distinguer quatre situations : une clause retrouvée, une clause absente des pièces examinées, une disposition ambiguë et une information impossible à vérifier. « Non trouvé dans ce dossier » ne permet pas de conclure « inexistant dans la relation contractuelle ».
L’article 28 du RGPD prévoit un encadrement contractuel de la sous-traitance et des garanties suffisantes. Une clause repérée doit encore être examinée : couvre-t-elle le service utilisé, le bon cocontractant et les opérations réellement effectuées ? RGPD, article 28
La source doit permettre de refaire le raisonnement
Un lien vers un document facilite le contrôle, mais il faut aussi vérifier la version et le passage pertinent. Une ancienne annexe peut contenir une réponse exacte qui ne correspond plus au service acheté.
Pour chaque point contrôlé, il est utile de conserver la référence de la pièce, sa date, le passage utilisé, l’analyse et le nom de la personne ayant validé. Les pièces manquantes restent signalées comme telles.
Il faut également séparer l’engagement contractuel de son application. Une promesse de suppression n’établit pas que les données ont été effacées. Une clause de sécurité ne démontre pas, à elle seule, la configuration effective du service.
Les documents transmis peuvent eux-mêmes exposer des personnes
Un dossier contractuel contient parfois des noms, des coordonnées, des signatures ou des échanges relatifs à un salarié. Le périmètre transmis à l’IA doit rester proportionné au travail demandé. Pour vérifier une clause de sous-traitance, joindre une liste de patients ou l’ensemble d’un dossier RH serait généralement inutile.
La CNIL recommande de partir d’un besoin précis, de définir les usages autorisés et interdits et d’associer les métiers, les équipes informatiques et le DPO. Elle rappelle aussi que des réponses plausibles peuvent être inexactes. Recommandations du 18 juillet 2024
Vérifier les réglages au-delà de la promesse « pas d’entraînement »
Dans sa documentation commerciale datée du 18 août 2026, Anthropic indique ne pas utiliser par défaut les entrées et sorties pour entraîner ses modèles. Une exception concerne notamment les retours volontairement transmis : la conversation associée peut alors être conservée jusqu’à cinq ans et utilisée pour l’entraînement. Les administrateurs Team et Enterprise disposent d’un réglage permettant de désactiver ces retours. Documentation sur l’utilisation des données
Cette information doit être rapprochée de l’offre réellement souscrite. Elle ne règle pas, à elle seule, les questions de conservation, d’hébergement, de transferts ou d’accès des prestataires.
Partager une analyse demande un contrôle supplémentaire
La documentation actuelle distingue les connexions du lecteur et les informations stockées dans l’artefact. Les premières utilisent ses propres accès ; certaines données enregistrées dans un stockage partagé peuvent toutefois être visibles par tous ceux qui ouvrent l’outil. Règles de partage du 23 septembre 2026
