Claude Compliance API : Anthropic branche Purview, Okta, CrowdStrike

Ce que la Claude Compliance API change vraiment

Le 21 mai 2026, Anthropic publie sur son blog officiel l'ouverture de la Claude Compliance API et l'arrivée de 28 partenaires sécurité.¹ La même semaine, Microsoft confirme l'intégration native dans Purview, Okta dans son Identity Security Posture Management, et Cloudflare dans son CASB.²

Deux flux de données deviennent accessibles via une API REST. D'un côté, les contenus de conversation de Claude Enterprise : chats, fichiers uploadés, projets. De l'autre, les évènements d'activité de Claude Enterprise et Claude Platform : connexions, actions admin, changements de configuration.³

Pour une DSI française, cette nuance compte. Jusqu'au 20 mai, brancher un outil DLP sur Claude pour vérifier qu'un commercial n'y collait pas un fichier client confidentiel demandait un proxy maison. À partir du 21 mai, c'est un connecteur natif chez votre éditeur DLP. Pour un RSSI qui doit défendre Claude devant le comité des risques, l'argument « on ne sait pas tracer ce qui rentre et ce qui sort » vient de tomber.

La conséquence dépasse Claude. Elle rend plus défendable tout programme d'agent IA entreprise : dès qu'un agent lit des données CRM, tickets, contrats ou dossiers sinistres, la gouvernance doit devenir un prérequis d'achat, pas une option de phase 2. C'est aussi ce qui permet de cadrer des agents IA sur des cas d'usage régulés au lieu de rester sur des définitions génériques.

Le reste du dossier reste vrai. Anthropic est américain. Les données transitent par des datacenters US ou par AWS et Google Cloud sous contrat américain. L'EU AI Act et son calendrier figé à décembre 2027 ne disparaissent pas.⁴ Mais le verrou opérationnel qui empêchait les déploiements en banque, assurance et santé vient d'être desserré côté gouvernance technique.

28 intégrations qui parlent la même langue que votre RSSI

La liste des partenaires raconte mieux l'histoire que n'importe quel argument marketing. Anthropic couvre d'un coup les huit catégories d'outils qu'un RSSI d'ETI ou de Grand Compte utilise déjà : DLP et SASE (Forcepoint, Netskope, Palo Alto Networks, Proofpoint, Zscaler), sécurité des données (Cyera, IBM Guardium, Rubrik, Varonis), SIEM et SecOps (CrowdStrike, Datadog, ReliaQuest, Sumo Logic), identité (Okta, SailPoint), eDiscovery régulé (Mimecast, Relativity, Smarsh, Theta Lake), posture IA et cloud (Snyk, Tenable, Wiz, Cloudflare, Cribl), audit applicatif (Microsoft Purview).¹²

Lisez cette liste comme un RSSI d'ETI française la lit. Purview est déployé partout où il y a M365 E5. Okta gouverne les identités dans la moitié des Grands Comptes français. Wiz et CrowdStrike sont les standards pour la posture cloud et l'EDR. Datadog observe les workloads Kubernetes. Cloudflare protège le périmètre web. Si Claude Enterprise s'intègre à cette pile, il devient gérable avec les outils que la DSI a payés, les processus que la sécurité opère et les tableaux de bord que le RSSI présente au COMEX.

Cette logique d'intégration native avait manqué à OpenAI ChatGPT Enterprise pendant plus d'un an. Anthropic comble l'écart. Pour un directeur des achats qui compare trois LLM, l'argument bouge la grille.

Trois conditions à vérifier avant de lever le veto gouvernance

L'annonce ne suffit pas. Voici les trois conditions que nous posons systématiquement avant de bénir un déploiement Claude en production.

1. Vérifiez le tier exigé. La Compliance API n'est disponible que sur Claude Enterprise. Le tarif annoncé est de 20 dollars par siège et par mois, plus la consommation API.⁵ Pour 500 collaborateurs équipés et un usage modéré, le ticket d'entrée passe de 30 000 dollars annuels (Claude Team) à 120 000 dollars annuels plus la consommation. Si votre POC tourne sur Team ou Pro, vous ne récupérez ni Purview ni Okta. Avant de chiffrer le retour sur investissement, intégrez le palier Enterprise dans votre calcul. Sans ce poste, le ROI n'est pas honnête.

2. Cartographiez ce que vos outils couvrent vraiment. L'intégration Purview ne livre pas tout. La Compliance API expose les contenus de chat et les évènements d'activité de Claude Enterprise, mais les contenus de Claude Platform restent limités aux évènements.⁶ Pour un commercial qui passe par un agent personnalisé construit sur l'API, votre DLP voit qu'il a appelé l'agent et avec quels paramètres. Il ne voit pas le contenu textuel qu'il a tapé dans son IDE. Demandez à votre éditeur DLP la matrice exacte des données remontées avant signature, pas le slide commercial.

3. Définissez qui revoit les alertes en interne. Une intégration Wiz qui détecte une fuite de données dans un projet Claude ne sert à rien si personne ne lit la notification. Pour un RSSI de mutuelle française, cela veut dire un binôme dédié dans le SOC ou chez un MSSP, un SLA de prise en compte sous deux heures pour les alertes critiques, et une procédure de coupure de session qui ne passe pas par un ticket au support Anthropic.

Ces trois conditions sont le prix pour que déployer une équipe d'agents IA gouvernés en banque, assurance ou santé tienne devant un comité de risque.

Ce que ça change pour une entreprise française

Lue secteur par secteur, l'annonce a trois lectures concrètes.

Banque et conformité ACPR. Pour une banque française du top 20 qui pilotait un POC Claude sur la rédaction de comptes-rendus de comités, le verrou n'était pas la performance du modèle. C'était la phrase « impossible de prouver à l'ACPR que rien de confidentiel n'a fuité ». L'intégration Purview change ce point. Le RSSI peut désormais montrer un journal unifié qui couvre M365 et Claude, avec les mêmes règles DSPM, les mêmes alertes et le même responsable. Comptez quinze à vingt jours homme de paramétrage. Pour un agent qui touche au KYC, automatiser la relation client en banque sur Claude reste un arbitrage à valider avec la conformité, pas un projet IT autonome.

Assurance et santé. Pour un grand groupe mutualiste qui veut automatiser le tri d'emails entrants côté gestion sinistres, l'arrivée de Purview et Varonis aligne le contrôle d'accès Claude sur ce qui est déjà en place pour les boîtes Outlook des gestionnaires. Mais Anthropic n'a pas annoncé d'hébergement HDS en France. Un agent Claude qui touche au dossier médical doit donc soit limiter son périmètre aux métadonnées non médicales, soit attendre une certification HDS non datée.

E-commerce et SAV. Pour un pure player français qui traite 12 000 contacts mensuels en SAV, la crainte n'est pas le HDS, c'est la fuite accidentelle entre clients. Avec Compliance API plus Cloudflare CASB, le SOC peut détecter en temps réel un chat où un agent croise par erreur deux commandes de clients différents. Pour un chatbot Claude en production sur 5 000 conversations mensuelles, le coût d'ajout du CASB est marginal et rend l'audit annuel CNIL beaucoup plus simple à passer.

Côté budget, comptez deux à quatre semaines de paramétrage côté SOC pour passer un déploiement Claude de cinquante à cinq cents utilisateurs, contre deux à trois mois de réingénierie maison auparavant. Pour estimer le retour sur investissement réel, c'est ce ratio qu'il faut intégrer.

Notre lecture : Claude rejoint le club M365, mais ne devient pas souverain

Webotit.ai opère des chatbots, callbots, mailbots et équipes d'agents IA pour des ETI et Grands Comptes français depuis 2018. Trois constats guident ce que nous recommandons en CODIR cette semaine.

D'abord, Anthropic vient de gagner deux trimestres sur OpenAI et Mistral sur la conformité enterprise. La pile de gouvernance que la DSI a déjà payée pour M365 sert pour Claude. Pour les ETI qui ont attendu en regardant Microsoft Copilot, cela vaut la peine d'ouvrir un dossier d'évaluation Enterprise dès juin 2026.

Ensuite, cette annonce ne tranche pas la question de la souveraineté. Pour un cas régulé ACPR ou HDS, le choix d'un modèle américain reste un arbitrage politique, pas seulement technique. La Compliance API rend Claude gérable. Elle ne rend pas Anthropic européen. Si la direction veut un récit souverain, Mistral Le Chat Enterprise reste le couloir naturel, avec une gouvernance moins mature mais une localisation maîtrisée.

Enfin, la Compliance API est aussi un piège de verrouillage. Plus votre DSI branche Purview, Okta et Wiz sur Claude, plus le coût de bascule vers un autre LLM augmente. Avant de signer à 500 sièges, demandez le contrat d'export et la portabilité des journaux. Une bonne intégration doit pouvoir se débrancher en six semaines, pas en six mois.

Notre conseil pour les CODIR de juin : ouvrez un POC Claude Enterprise sur un cas non régulé (productivité interne, support de premier niveau), branchez Purview et Okta en parallèle, et mesurez le coût réel de gouvernance pendant 90 jours. Cette donnée dira si vous passez à 500 sièges ou si vous restez sur un Mistral plus simple à défendre devant le COMEX.

Mise à jour du 3 septembre 2026 — Enterprise Frontier Safeguards ramène les journaux Claude dans votre cloud

Le 1er septembre 2026, Anthropic annonce Enterprise Frontier Safeguards, une deuxième couche de gouvernance construite avec plus de 100 clients dont Goldman Sachs, Morgan Stanley, Citi, Bank of America et Wells Fargo au sein de l'Analysis and Resilience Center for Systemic Risk.⁸ Le principe casse le compromis historique entre confidentialité et surveillance, dans une configuration EFS que le client active. Les journaux d'activité utilisés pour détecter les usages abusifs peuvent alors vivre dans un bucket Amazon S3, Azure Blob Storage ou Google Cloud Storage que le client opère, sous ses propres clés de chiffrement, ses politiques d'accès et son journal d'audit — chacun de ces contrôles étant à activer séparément dans la configuration EFS du client.⁹ La détection automatisée continue de tourner ; la revue humaine peut rester chez le client, sans revue par des salariés Anthropic dans cette configuration.⁸

Un point technique compte pour le TCO : Anthropic annonce qu'EFS ne sera pas facturé en supplément.⁸ Le coût que la DSI ajoutera reste celui de son propre stockage cloud et du temps SOC pour instruire les alertes, pas une ligne Anthropic supplémentaire.

Cette bascule règle un angle mort documenté dans les précédentes annonces. Inference Hooks, lancé le 5 août 2026, ne couvrait ni Amazon Bedrock, ni Google Cloud Vertex AI, ni Microsoft Foundry.¹⁰ EFS s'ajoutera au contraire à Claude Code, Claude Enterprise, Claude Platform, Amazon Bedrock, Claude Platform on AWS, Google's Agent Platform et Microsoft Foundry.⁹ Pour une DSI française qui avait déployé Claude via Bedrock en région Paris pour la latence et la localisation, la couche de gouvernance rejoindra enfin le même canal. Le compromis « localisation contre contrôle » qu'un RSSI défendait devant son comité des risques tombe côté Anthropic, à condition de tenir le calendrier.

Trois nuances méritent d'être posées avant un COMEX de novembre. Une : l'accès Zero Data Retention n'est pas automatique, chaque client éligible doit en faire la demande, et Anthropic prévoit un déploiement phasé jusqu'à une disponibilité générale plus tard cet automne.¹¹ Deux : la détection reste conçue et opérée par Anthropic, ce qui bouge est l'endroit où les journaux vivent et qui lit les alertes.¹² Une équipe conformité qui lit trop vite pourrait entendre « les données ne sortent plus » alors que la lecture correcte est « la garde reste, la custody change ». Trois : en attendant EFS, Anthropic propose la Zero Data Retention classique aux clients éligibles sur Claude Fable 5 et Claude Fable 5.1 (l'API claude-fable-5-1 a été livrée le 1er septembre 2026 avec le System Card correspondant), pas sur Claude Mythos 5.1.⁸¹³ Ce pont contractuel permet de préparer un pilote sur Fable sans attendre la disponibilité générale d'EFS.

Trois questions concrètes à ajouter à l'évaluation Claude d'ici fin novembre 2026 pour une banque, une mutuelle ou un industriel français.

Question 1 : quel compte cloud accueillera le bucket EFS. Un compte AWS de production banque n'a pas le même isolement qu'un compte Azure d'assurance ou qu'un compte GCP e-commerce. Le bucket EFS doit vivre dans un compte séparé, avec ses propres rôles IAM, sinon la promesse « nos clés » perd son sens dès qu'un ingénieur cloud d'une autre équipe a un accès admin transverse. Tranchez le compte cible avec la sécurité cloud avant de signer l'avenant.

Question 2 : votre contrat Anthropic actuel prévoit-il l'option EFS. L'accès EFS est request-based avec un déploiement phasé, l'objectif étant une disponibilité plus large plus tard cet automne 2026.⁸ Demandez à votre acheteur IT de soumettre la demande d'éligibilité dès maintenant et de faire cadrer avec la direction juridique les termes contractuels applicables (résidence, DPA, sous-traitants, rôles de contrôleur / sous-traitant) avant signature. Pour une DSI qui espère un pilote au premier trimestre 2027, la conversation doit être ouverte en octobre 2026, pas en janvier.

Question 3 : votre POC Purview et Okta survit-il à EFS. Les journaux qu'expose la Compliance API et ceux qu'EFS pose dans votre bucket ne racontent pas la même histoire. La Compliance API cible l'audit trimestriel via un connecteur natif chez votre éditeur DLP. EFS pose les évènements bruts dans votre stockage pour votre SIEM. Vérifiez que votre paramétrage Purview reste stable si le canal d'ingestion double, et que Wiz ou CrowdStrike n'alertent pas sur un nouveau bucket sensible sans contexte. La bonne architecture branche EFS sur un SIEM déjà en place, pas sur un tableau de bord neuf à construire.

Pour un RSSI de mutuelle qui redoute un contrôle CNIL sur son mailbot Claude, EFS transforme la conversation « on ne sait pas prouver ce qu'Anthropic voit » en « on prouve ce qu'on a vu, chez nous, avec nos outils ». Cette bascule mérite un point d'étape en octobre 2026 pour arbitrer une phase 2 par région. Elle ne remplace pas la gouvernance côté équipes d'agents IA sur des cas régulés — la conformité contractuelle reste distincte de la conformité opérationnelle.

Ce qu'il faut retenir

Conclusion

La Claude Compliance API n'invente rien. Elle aligne Claude sur ce que Microsoft 365 et Salesforce proposent depuis dix ans : une API de gouvernance qui permet à la DSI et au RSSI de regarder ce qui se passe dans l'outil avec les tableaux qu'ils utilisent déjà. C'est ce qui manquait pour faire passer Claude du POC à la production dans une ETI ou un Grand Compte français.

La vraie question n'est plus « peut-on tracer Claude en entreprise ? ». C'est « combien voulez-vous payer pour rendre Claude gérable, et combien gardez-vous pour conserver une option souveraine en cas de rupture tarifaire ou diplomatique ? ». Cet arbitrage se fait en CODIR, pas en DSI.

Vous voulez cadrer un déploiement Claude Enterprise sans perdre la maîtrise de votre stack ? Découvrez notre approche des agents IA pour ETI et Grands Comptes français.

Questions frequentes

Qu'est-ce que la Claude Compliance API d'Anthropic ?+

La Claude Compliance API est une API REST lancée par Anthropic le 21 mai 2026, qui donne aux DSI et RSSI un accès programmatique aux contenus de conversation de Claude Enterprise et aux évènements d'activité de Claude Enterprise et Claude Platform. Elle permet de brancher Claude sur les outils de DLP, SIEM, identité et observabilité déjà déployés en entreprise.

Quels outils sécurité sont compatibles avec Claude depuis mai 2026 ?+

28 partenaires sont intégrés au lancement : Cloudflare, Cribl, CrowdStrike, Cyera, Datadog, Forcepoint, Fortinet, Geordie AI, IBM Guardium, Microsoft Purview, Mimecast, Netskope, Okta, Palo Alto Networks, Proofpoint, Relativity, ReliaQuest, Rubrik, SailPoint, Smarsh, Snyk, Sumo Logic, Tenable, Theta Lake, Trellix, Varonis, Wiz et Zscaler.

La Compliance API est-elle disponible sur Claude Pro ou Team ?+

Non. La Compliance API est exclusivement disponible sur Claude Enterprise, facturé 20 dollars par siège et par mois, plus la consommation API. Les plans Pro et Team n'y donnent pas accès. Pour un POC qui doit passer en production avec gouvernance, le passage à l'Enterprise est obligatoire avant de brancher Purview ou Okta.

L'intégration Purview rend-elle Claude conforme au RGPD pour une banque française ?+

L'intégration Purview rend Claude gérable comme M365 en termes de traçabilité, audit et DSPM. Elle ne change pas la localisation des données, qui restent traitées par Anthropic aux États-Unis ou via AWS et Google Cloud. Pour un cas régulé ACPR ou HDS, l'arbitrage souveraineté reste ouvert et doit passer par la direction juridique avant déploiement.

Quel est le coût réel d'un déploiement Claude Enterprise avec gouvernance ?+

Pour 500 utilisateurs, Claude Enterprise démarre à 120 000 dollars par an plus la consommation API. La couche de gouvernance représente deux à quatre semaines de paramétrage côté SOC pour brancher Purview, Okta et Wiz, soit environ 15 à 30 000 euros de prestation initiale, plus le maintien opérationnel.

Qu'est-ce qu'Enterprise Frontier Safeguards (EFS) et comment cela change la conformité pour une DSI française ?+

EFS est une architecture de gouvernance annoncée par Anthropic le 1er septembre 2026, activée à la demande du client éligible. Dans une configuration EFS activée, les journaux d'activité utilisés pour la détection d'usages abusifs peuvent vivre dans un bucket cloud que le client opère (Amazon S3, Azure Blob Storage ou Google Cloud Storage), sous ses clés de chiffrement, ses politiques d'accès et son journal d'audit. La détection automatisée reste conçue et opérée par Anthropic ; la revue humaine peut rester chez le client, sans revue par des salariés Anthropic dans cette configuration. EFS sera supporté sur Claude Code, Claude Enterprise, Claude Platform, Amazon Bedrock, Claude Platform on AWS, Google's Agent Platform et Microsoft Foundry. Pour une DSI française qui déploie Claude via AWS Bedrock, la résidence des journaux dépend de la région du bucket configuré (Paris pour rester en France) et des termes contractuels applicables — c'est à cette condition qu'un audit ACPR ou CNIL peut s'appuyer sur des journaux hébergés en France, chez le client. Le service est phasé sur l'automne 2026, l'accès est request-based et Anthropic ne facture pas EFS en supplément.

Sources et references

1. [1]
2. [2]
3. [3]
4. [4]
5. [5]
6. [6]
7. [7]
8. [8]
9. [9]
10. [10]
11. [11]
12. [12]
13. [13]