Construire un workflow n8n + Claude (Anthropic) conforme AI Act 2026.

Le cas d'usage : pré-rédaction de réponses email client.

Vous êtes une PME française qui reçoit 30 à 100 emails clients par jour : demandes d'info, support, devis, réclamations. Votre équipe passe 1 à 2 heures par jour à y répondre. Une partie de ces réponses est répétitive (FAQ implicite), une autre demande du jugement humain.

Le workflow qu'on va construire fait ceci :

1. Récupère les nouveaux emails entrants depuis Gmail/IMAP
2. Les classifie automatiquement (info, support, devis, réclamation, autre)
3. Pour chaque email, fait pré-rédiger une réponse par Claude en utilisant un prompt métier précis et la base FAQ de l'entreprise
4. Crée un brouillon dans la boîte mail (PAS d'envoi automatique)
5. Notifie l'équipe support sur Slack ("3 nouveaux brouillons à valider")
6. L'équipe vérifie, corrige, envoie manuellement (validation humaine)
7. Loggue toutes les interactions IA dans une table Postgres pour audit IA Act

Caractéristiques clés de conformité :

• Validation humaine obligatoire : aucune décision finale n'est prise par l'IA seule (Human-in-the-Loop, HITL)
• Transparence client : la signature email mentionne l'usage d'un assistant IA dans la rédaction
• Logs d'audit complets : qui, quand, quel modèle, quel prompt, quelle réponse
• Données chez Anthropic : pas de stockage chez OpenAI (positionnement éditorial assumé), DPA signé

Avant de construire : le cadrage AI Act.

L'IA Act classe les systèmes d'IA selon leur risque. Notre workflow tombe dans la catégorie "risque limité" (art. 50) car il interagit avec des humains via du contenu généré par IA. Les obligations principales :

• Informer la personne qu'elle interagit avec un système d'IA, "au plus tard à la première interaction"
• Marquer le contenu IA comme tel (transparence sur la nature du contenu)
• Tenir un registre des systèmes d'IA utilisés en production
• Pouvoir prouver le contrôle humain (HITL)

L'application est obligatoire au 2 août 2026. La CNIL est l'autorité française de contrôle (loi DDADUE).

Étape 1 : le registre des systèmes d'IA.

Avant même d'écrire la première ligne de workflow, on documente. C'est l'inverse de l'ordre instinctif (construire puis documenter), mais c'est l'ordre conforme : on sait ce qu'on construit, on engage formellement, puis on construit.

Format minimal du registre (un Notion, un Google Doc partagé, ou un fichier .md dans Git suffit) :

# Registre des systèmes d'IA - votreboite.fr
# Mis à jour : 2026-04-30
# Responsable : matthias@votreboite.fr

## Système 1 : Pré-rédaction réponses emails client

- **Nom interne** : email-prerep-v1
- **Description** : workflow n8n qui utilise Claude pour pré-rédiger
  les réponses aux emails client entrants. La réponse est mise en brouillon,
  jamais envoyée automatiquement.
- **Classe AI Act** : Risque limité (art. 50)
- **Modèle utilisé** : Claude Sonnet 4.6 (claude-sonnet-4-6, à jour mai 2026)
- **Fournisseur** : Anthropic PBC
- **DPA signé** : oui, le 2026-04-15 (référence contrat #AZ-2026-001)
- **Données envoyées** :
  - Contenu de l'email entrant (incluant nom, adresse email, contenu texte)
  - Pas de pièces jointes
  - Pas d'historique de conversation au-delà de l'email courant
- **Données personnelles concernées** : oui (RGPD art. 4)
  - Catégorie : données clients (B2B principalement)
  - Base légale : intérêt légitime (art. 6.1.f) - amélioration du service support
- **Mesures de transparence (art. 50)** :
  - Mention dans la signature email : "Réponse pré-rédigée par un assistant IA,
    revue et corrigée par notre équipe avant envoi"
  - Mention dans la politique de confidentialité du site web
- **Contrôle humain (HITL)** :
  - 100% des réponses sont validées manuellement par un humain
  - Aucun envoi automatique
  - Possibilité de modifier intégralement avant envoi
- **Conservation des logs** : 12 mois (après : suppression automatique)
- **Localisation des données** :
  - Logs et registre : VPS Hostinger France
  - Traitement IA : API Claude (Anthropic) en région UE (Amazon Bedrock eu-west ou Google Vertex AI EU), DPA signé. Ces plateformes ne conservent pas vos prompts ; pas de transfert hors-UE non encadré
- **Date de mise en service** : prévue 2026-05-15
- **Personne responsable** : Matthias Marin (DPO de fait)
- **Revue annuelle** : prochaine revue 2027-04-30

Ce registre est un document évolutif. Vous y ajoutez chaque nouveau système d'IA déployé. Conservez-le 5 ans après la fin du dernier traitement (article 30 RGPD).

Étape 2 : DPA avec Anthropic.

Avant le premier appel API en production, signez un DPA (Data Processing Agreement) avec Anthropic. C'est obligation RGPD (article 28). Anthropic le fournit gratuitement :

1. Allez sur console.anthropic.com → Settings → Legal
2. Téléchargez le DPA standard Anthropic
3. Faites-le contresigner par votre responsable légal (ou vous-même si dirigeant)
4. Conservez l'original signé dans vos archives

Note : pour éviter tout transfert hors-UE non encadré, déployez Claude via une région européenne (Amazon Bedrock eu-west ou Google Vertex AI EU) : ces plateformes ne conservent pas vos prompts. La rétention zéro sur l'API Anthropic directe suppose un accord ZDR ; à défaut, les logs sont supprimés à courte échéance et ne servent jamais à l'entraînement (voir la politique de rétention Anthropic). Si vous appelez l'API depuis une région US, le DPA Anthropic et les clauses contractuelles types (SCCs) de la Commission européenne encadrent le transfert, comme l'exige le RGPD.

Étape 3 : créer le credential Anthropic dans n8n.

Sur votre n8n auto-hébergé, créez un credential Anthropic :

1. Récupérez votre API key Anthropic depuis console.anthropic.com → API Keys
2. Dans n8n : Credentials → New → Anthropic API
3. Nommez-le : "Anthropic - Production"
4. Collez la clé
5. Save

Bonne pratique : utilisez une clé Anthropic dédiée à ce workflow (vous pouvez en créer plusieurs). Ainsi vous pouvez la révoquer indépendamment des autres usages, et tracer la consommation par workflow.

Étape 4 : le credential Gmail (OAuth).

Pour la lecture des emails et la création de brouillons, créez un credential Google Gmail OAuth :

1. Sur Google Cloud Console : créez un projet "n8n-prod"
2. Activez l'API Gmail
3. Créez un OAuth client ID type "Web application"
4. Ajoutez l'URL de callback : https://n8n.votreboite.fr/rest/oauth2-credential/callback
5. Dans n8n : Credentials → New → Gmail OAuth2 API
6. Collez le Client ID et Client Secret
7. Cliquez "Sign in with Google", validez les permissions demandées

Permissions minimales requises : lecture (gmail.readonly), création de brouillons (gmail.compose). N'accordez pas gmail.send : vous n'avez pas besoin que n8n envoie directement, votre équipe le fera après validation.

Étape 5 : structure du workflow n8n.

Création nouveau workflow → "Email Prerep v1". Voici l'enchaînement des nodes :

Étape 6 : le prompt de classification.

Le node Anthropic numéro 4 utilise ce prompt système (à coller dans le champ "System Message") :

Tu es un assistant de tri d'emails pour le service client de votreboite.fr.

Ton rôle : classifier l'email entrant dans UNE seule des 5 catégories suivantes,
en répondant uniquement par le mot-clé (en majuscules) :

- INFO : demande d'information générique sur l'entreprise, les produits, les horaires
- SUPPORT : problème technique, demande d'aide sur un produit ou service déjà acheté
- DEVIS : demande explicite de tarif, de proposition commerciale, ou de RDV
- RECLAMATION : insatisfaction, plainte, demande de remboursement, mécontentement
- AUTRE : tout ce qui ne rentre pas clairement dans les catégories ci-dessus
  (spam, prospection commerciale, hors-sujet, etc.)

Réponds UNIQUEMENT par un seul mot en majuscules. Aucun commentaire, aucune
explication. Si tu hésites entre deux catégories, choisis la plus prudente
(privilégier RECLAMATION sur INFO en cas de doute, par exemple).

Et dans "User Message", on passe l'email :

De : {{ $json.from.value[0].address }}
Sujet : {{ $json.subject }}

Corps :
{{ $json.text }}

Étape 7 : le prompt de génération de réponse.

Le node Anthropic numéro 7 utilise ce prompt système :

Tu es un assistant de rédaction pour le service client de votreboite.fr.

Ton rôle : pré-rédiger une réponse professionnelle et chaleureuse à un email
client. Cette réponse sera revue et corrigée par un humain avant envoi.

Règles strictes :
1. Ton : professionnel mais chaleureux, français correct
2. Longueur : 4 à 8 phrases maximum
3. Vouvoyer toujours, signer "L'équipe votreboite.fr"
4. Si une question précise est posée : utilisé la FAQ ci-dessous pour répondre
5. Si la FAQ ne couvre pas la question : indique qu'un membre de l'équipe va revenir
   vers le client sous 24h ouvrées
6. Ne JAMAIS inventer de chiffres, prix, dates ou faits non présents dans la FAQ
7. Ne JAMAIS faire de promesse commerciale (remise, geste commercial) - ça relève
   de la décision humaine
8. Pour les réclamations : reconnaître le problème, présenter des excuses sincères,
   indiquer qu'un responsable va contacter directement le client

FAQ disponible :
{{ $json.faq_context }}

Et "User Message" :

Email reçu :

De : {{ $('Gmail').item.json.from.value[0].address }}
Sujet : {{ $('Gmail').item.json.subject }}

Corps :
{{ $('Gmail').item.json.text }}

Catégorie attribuée : {{ $('Anthropic - Classify').item.json.message.content[0].text }}

Rédige la réponse :

Étape 8 : la signature avec mention IA.

Le Code node numéro 8 ajoute la signature obligatoire :

// Récupère la réponse générée par Claude
const claudeResponse = $('Anthropic - Generate').item.json.message.content[0].text;

// Signature conforme AI Act art. 50
const signature = `

L'équipe votreboite.fr
contact@votreboite.fr · 01 23 45 67 89

---
Cette réponse a été pré-rédigée par un assistant IA (Claude, Anthropic) puis
revue et corrigée par notre équipe avant envoi. Pour en savoir plus sur notre
usage de l'IA : https://votreboite.fr/transparence-ia`;

return {
  json: {
    finalDraft: claudeResponse + signature,
    originalEmail: $('Gmail').item.json
  }
};

Étape 9 : la table Postgres d'audit.

Créez la table dans votre base PostgreSQL n8n :

docker compose exec postgres psql -U postgres -d n8n

CREATE TABLE IF NOT EXISTS ai_audit_log (
  id SERIAL PRIMARY KEY,
  workflow_name VARCHAR(100) NOT NULL,
  email_id VARCHAR(255) NOT NULL,
  email_from VARCHAR(255) NOT NULL,
  email_subject TEXT,
  classification VARCHAR(50),
  model_used VARCHAR(100) NOT NULL,
  model_version VARCHAR(50),
  prompt_hash VARCHAR(64) NOT NULL,
  response_hash VARCHAR(64) NOT NULL,
  human_validated BOOLEAN DEFAULT FALSE,
  human_validator VARCHAR(255),
  validated_at TIMESTAMP,
  sent_at TIMESTAMP,
  created_at TIMESTAMP DEFAULT NOW()
);

CREATE INDEX idx_audit_workflow ON ai_audit_log(workflow_name);
CREATE INDEX idx_audit_created ON ai_audit_log(created_at);

-- Politique de rétention : 12 mois (à exécuter via cron mensuel)
-- DELETE FROM ai_audit_log WHERE created_at < NOW() - INTERVAL \'12 months\';

Remarques importantes :

• On stocke le hash du prompt et de la réponse, pas le contenu en clair (RGPD : minimisation des données)
• Les hashs permettent quand même de prouver qu'on a bien tracé l'interaction, sans stocker du contenu personnel à long terme
• Si vous devez stocker le contenu intégral pour des raisons d'audit, faites-le dans une table séparée avec une rétention plus courte (3 mois) et chiffrement supplémentaire

Étape 10 : tests et validation.

Avant de mettre le workflow en production :

1. Activez le workflow en mode "Inactive"
2. Lancez "Execute Workflow" manuellement
3. Vérifiez : 5 brouillons créés dans Gmail, 5 lignes dans la table audit_log, notification Slack reçue
4. Lisez chaque brouillon : le ton est-il bon ? La signature présente ? Les hallucinations absentes ?
5. Si OK : passez en "Active"
6. Surveillez les premières 24h, ajustez les prompts si nécessaire

Étape 11 : page de transparence sur le site.

L'IA Act demande que la mention de transparence soit accessible. Créez une page /transparence-ia sur votre site qui détaille :

• La liste des systèmes d'IA utilisés (avec le registre simplifié)
• Les modèles utilisés (Claude, etc.)
• Les usages : pré-rédaction, classification, traduction, etc.
• L'engagement de validation humaine
• Le contact pour toute question (email DPO ou équivalent)

Cette page est consultable depuis la signature de chaque email IA. C'est conforme à l'esprit de l'article 50 : information accessible, claire, et complète.

Estimation de coût mensuel.

Pour donner un cadre :

Pour un gain de temps de 1h par jour ouvré (équipe support qui valide vite vs rédiger from scratch), soit 20h/mois, à 25€/h chargé, ça fait 500 € de productivité mensuelle pour 15 € de coût. Le rapport valeur/coût est très favorable.

Récapitulatif final : le checklist conformité.

• ✅ Registre des systèmes d'IA tenu et à jour
• ✅ cadre contractuel vérifié via les CGU API du fournisseur (clauses contractuelles types incluses)
• ✅ Page /transparence-ia publiée sur le site
• ✅ Mention IA dans chaque email pré-rédigé (signature)
• ✅ Validation humaine systématique (pas d'envoi auto)
• ✅ Logs d'audit conservés 12 mois (table ai_audit_log)
• ✅ Prompts contraignants (anti-hallucinations, anti-promesses commerciales)
• ✅ Traitement Claude en région UE, sans rétention par la plateforme (ou accord ZDR sur l'API directe)
• ✅ Workflow tournant sur infrastructure souveraine France

Et maintenant ?

Vous avez maintenant un système n8n auto-hébergé en production, sécurisé, sauvegardé, monitoré, et un premier workflow IA conforme IA Act 2026. Vous économisez ~500 €/an vs n8n cloud, vous restez souverain, et vous êtes prêt pour les obligations de transparence d'août 2026.

La suite logique :

1. Multipliez les workflows : facturation auto (Pennylane → Notion), reporting hebdo (Google Analytics → Slack), CRM (Salesforce → tableau de bord), gestion docs (Drive → indexation)
2. Construisez votre catalogue de prompts : chaque workflow a son prompt système réutilisable, gardez une bibliothèque versionnée
3. Mettez en place le mode queue quand vous dépasserez 1000 exécutions/jour
4. Étoffez la conformité : pour aller plus loin, parcourez notre cours IA Act 2026 pour PME françaises
5. Combinez avec Claude Code : utilisez Claude Code (notre cours dédié) pour générer rapidement des workflows n8n complexes

Matthias Marin, fondateur AzenFlow. Ces patterns sont ceux qu'on déploie chez mes clients PME : vous avez en main les briques d'une stack pro et conforme.