Construire un workflow n8n + Claude conforme AI Act 2026.

Le cas d'usage : pré-rédaction de réponses email client.

Vous êtes une PME française qui reçoit 30 à 100 emails clients par jour : demandes d'info, support, devis, réclamations. Votre équipe passe 1 à 2 heures par jour à y répondre. Une partie de ces réponses est répétitive (FAQ implicite), une autre demande du jugement humain.

Le workflow qu'on va construire fait ceci :

1. Récupère les nouveaux emails entrants depuis Gmail/IMAP
2. Les classifie automatiquement (info, support, devis, réclamation, autre)
3. Pour chaque email, fait pré-rédiger une réponse par Claude Sonnet 4.5 en utilisant un prompt métier précis et la base FAQ de l'entreprise
4. Crée un brouillon dans la boîte mail (PAS d'envoi automatique)
5. Notifie l'équipe support sur Slack ("3 nouveaux brouillons à valider")
6. L'équipe vérifie, corrige, envoie manuellement (validation humaine)
7. Loggue toutes les interactions IA dans une table Postgres pour audit AI Act

Caractéristiques clés de conformité :

• Validation humaine obligatoire : aucune décision finale n'est prise par l'IA seule (Human-in-the-Loop, HITL)
• Transparence client : la signature email mentionne l'usage d'un assistant IA dans la rédaction
• Logs d'audit complets : qui, quand, quel modèle, quel prompt, quelle réponse
• Données chez Anthropic : pas de stockage chez OpenAI (positionnement éditorial assumé), DPA signé

Avant de construire : le cadrage AI Act.

L'AI Act classe les systèmes d'IA selon leur risque. Notre workflow tombe dans la catégorie "risque limité" (art. 50) car il interagit avec des humains via du contenu généré par IA. Les obligations principales :

• Informer la personne qu'elle interagit avec un système d'IA, "au plus tard à la première interaction"
• Marquer le contenu IA comme tel (transparence sur la nature du contenu)
• Tenir un registre des systèmes d'IA utilisés en production
• Pouvoir prouver le contrôle humain (HITL)

L'application est obligatoire au 2 août 2026. La CNIL est l'autorité française de contrôle (loi DDADUE).

Étape 1 : le registre des systèmes d'IA.

Avant même d'écrire la première ligne de workflow, on documente. C'est l'inverse de l'ordre instinctif (construire puis documenter), mais c'est l'ordre conforme : on sait ce qu'on construit, on engage formellement, puis on construit.

Format minimal du registre (un Notion, un Google Doc partagé, ou un fichier .md dans Git suffit) :

# Registre des systemes d'IA - votreboite.fr
# Mis a jour : 2026-04-30
# Responsable : matthias@votreboite.fr

## Systeme 1 : Pre-redaction reponses emails client

- **Nom interne** : email-prerep-v1
- **Description** : workflow n8n qui utilise Claude Sonnet 4.5 pour pre-rediger
  les reponses aux emails client entrants. La reponse est mise en brouillon,
  jamais envoyee automatiquement.
- **Classe AI Act** : Risque limite (art. 50)
- **Modele utilise** : Claude Sonnet 4.5
- **Fournisseur** : Anthropic PBC (US)
- **DPA signe** : oui, le 2026-04-15 (reference contrat #AZ-2026-001)
- **Donnees envoyees** :
  - Contenu de l'email entrant (incluant nom, adresse email, contenu texte)
  - Pas de pieces jointes
  - Pas d'historique de conversation au-dela de l'email courant
- **Donnees personnelles concernees** : oui (RGPD art. 4)
  - Categorie : donnees clients (B2B principalement)
  - Base legale : interet legitime (art. 6.1.f) - amelioration du service support
- **Mesures de transparence (art. 50)** :
  - Mention dans la signature email : "Reponse pre-redigee par un assistant IA,
    revue et corrigee par notre equipe avant envoi"
  - Mention dans la politique de confidentialite du site web
- **Controle humain (HITL)** :
  - 100% des reponses sont validees manuellement par un humain
  - Aucun envoi automatique
  - Possibilite de modifier integralement avant envoi
- **Conservation des logs** : 12 mois (apres : suppression automatique)
- **Localisation des donnees** :
  - Logs et registre : VPS Hostinger France
  - Traitement IA : API Anthropic (US, mais DPA + clauses contractuelles types)
- **Date de mise en service** : prevue 2026-05-15
- **Personne responsable** : Matthias Marin (DPO de fait)
- **Revue annuelle** : prochaine revue 2027-04-30

Ce registre est un document évolutif. Vous y ajoutez chaque nouveau système d'IA déployé. Conservez-le 5 ans après la fin du dernier traitement (article 30 RGPD).

Étape 2 : DPA avec Anthropic.

Avant le premier appel API en production, signez un DPA (Data Processing Agreement) avec Anthropic. C'est obligation RGPD (article 28). Anthropic le fournit gratuitement :

1. Allez sur console.anthropic.com → Settings → Legal
2. Téléchargez le DPA standard Anthropic
3. Faites-le contresigner par votre responsable légal (ou vous-même si dirigeant)
4. Conservez l'original signé dans vos archives

Note : le DPA Anthropic inclut les SCCs (Standard Contractual Clauses) de la Commission européenne pour le transfert hors UE. C'est l'outil juridique standard pour utiliser une API hébergée aux US tout en respectant le RGPD.

Étape 3 : créer le credential Anthropic dans n8n.

Sur votre n8n auto-hébergé, créez un credential Anthropic :

1. Récupérez votre API key Anthropic depuis console.anthropic.com → API Keys
2. Dans n8n : Credentials → New → Anthropic API
3. Nommez-le : "Anthropic - Production"
4. Collez la clé
5. Save

Bonne pratique : utilisez une clé Anthropic dédiée à ce workflow (vous pouvez en créer plusieurs). Ainsi vous pouvez la révoquer indépendamment des autres usages, et tracer la consommation par workflow.

Étape 4 : le credential Gmail (OAuth).

Pour la lecture des emails et la création de brouillons, créez un credential Google Gmail OAuth :

1. Sur Google Cloud Console : créez un projet "n8n-prod"
2. Activez l'API Gmail
3. Créez un OAuth client ID type "Web application"
4. Ajoutez l'URL de callback : https://n8n.votreboite.fr/rest/oauth2-credential/callback
5. Dans n8n : Credentials → New → Gmail OAuth2 API
6. Collez le Client ID et Client Secret
7. Cliquez "Sign in with Google", validez les permissions demandées

Permissions minimales requises : lecture (gmail.readonly), création de brouillons (gmail.compose). N'accordez pas gmail.send : vous n'avez pas besoin que n8n envoie directement, votre équipe le fera après validation.

Étape 5 : structure du workflow n8n.

Création nouveau workflow → "Email Prerep v1". Voici l'enchaînement des nodes :

Étape 6 : le prompt de classification.

Le node Anthropic numéro 4 utilise ce prompt système (à coller dans le champ "System Message") :

Tu es un assistant de tri d'emails pour le service client de votreboite.fr.

Ton role : classifier l'email entrant dans UNE seule des 5 categories suivantes,
en repondant uniquement par le mot-cle (en majuscules) :

- INFO : demande d'information generique sur l'entreprise, les produits, les horaires
- SUPPORT : probleme technique, demande d'aide sur un produit ou service deja achete
- DEVIS : demande explicite de tarif, de proposition commerciale, ou de RDV
- RECLAMATION : insatisfaction, plainte, demande de remboursement, mecontentement
- AUTRE : tout ce qui ne rentre pas clairement dans les categories ci-dessus
  (spam, prospection commerciale, hors-sujet, etc.)

Reponds UNIQUEMENT par un seul mot en majuscules. Aucun commentaire, aucune
explication. Si tu hesites entre deux categories, choisis la plus prudente
(privilegier RECLAMATION sur INFO en cas de doute, par exemple).

Et dans "User Message", on passe l'email :

De : {{ $json.from.value[0].address }}
Sujet : {{ $json.subject }}

Corps :
{{ $json.text }}

Étape 7 : le prompt de génération de réponse.

Le node Anthropic numéro 7 utilise ce prompt système :

Tu es un assistant de redaction pour le service client de votreboite.fr.

Ton role : pre-rediger une reponse professionnelle et chaleureuse a un email
client. Cette reponse sera revue et corrigee par un humain avant envoi.

Regles strictes :
1. Ton : professionnel mais chaleureux, francais correct
2. Longueur : 4 a 8 phrases maximum
3. Vouvoyer toujours, signer "L'equipe votreboite.fr"
4. Si une question precise est posee : utilise la FAQ ci-dessous pour repondre
5. Si la FAQ ne couvre pas la question : indique qu'un membre de l'equipe va revenir
   vers le client sous 24h ouvrees
6. Ne JAMAIS inventer de chiffres, prix, dates ou faits non presents dans la FAQ
7. Ne JAMAIS faire de promesse commerciale (remise, geste commercial) - ca releve
   de la decision humaine
8. Pour les reclamations : reconnaitre le probleme, presenter des excuses sincere,
   indiquer qu'un responsable va contacter directement le client

FAQ disponible :
{{ $json.faq_context }}

Et "User Message" :

Email recu :

De : {{ $('Gmail').item.json.from.value[0].address }}
Sujet : {{ $('Gmail').item.json.subject }}

Corps :
{{ $('Gmail').item.json.text }}

Categorie attribuee : {{ $('Anthropic - Classify').item.json.message.content[0].text }}

Redige la reponse :

Étape 8 : la signature avec mention IA.

Le Code node numéro 8 ajoute la signature obligatoire :

// Recupere la reponse generee par Claude
const claudeResponse = $('Anthropic - Generate').item.json.message.content[0].text;

// Signature conforme AI Act art. 50
const signature = `

L'equipe votreboite.fr
contact@votreboite.fr · 01 23 45 67 89

---
Cette reponse a ete pre-redigee par un assistant IA (Claude, Anthropic) puis
revue et corrigee par notre equipe avant envoi. Pour en savoir plus sur notre
usage de l'IA : https://votreboite.fr/transparence-ia`;

return {
  json: {
    finalDraft: claudeResponse + signature,
    originalEmail: $('Gmail').item.json
  }
};

Étape 9 : la table Postgres d'audit.

Créez la table dans votre base PostgreSQL n8n :

docker compose exec postgres psql -U postgres -d n8n

CREATE TABLE IF NOT EXISTS ai_audit_log (
  id SERIAL PRIMARY KEY,
  workflow_name VARCHAR(100) NOT NULL,
  email_id VARCHAR(255) NOT NULL,
  email_from VARCHAR(255) NOT NULL,
  email_subject TEXT,
  classification VARCHAR(50),
  model_used VARCHAR(100) NOT NULL,
  model_version VARCHAR(50),
  prompt_hash VARCHAR(64) NOT NULL,
  response_hash VARCHAR(64) NOT NULL,
  human_validated BOOLEAN DEFAULT FALSE,
  human_validator VARCHAR(255),
  validated_at TIMESTAMP,
  sent_at TIMESTAMP,
  created_at TIMESTAMP DEFAULT NOW()
);

CREATE INDEX idx_audit_workflow ON ai_audit_log(workflow_name);
CREATE INDEX idx_audit_created ON ai_audit_log(created_at);

-- Politique de retention : 12 mois (a executer via cron mensuel)
-- DELETE FROM ai_audit_log WHERE created_at < NOW() - INTERVAL \'12 months\';

Remarques importantes :

• On stocke le hash du prompt et de la réponse, pas le contenu en clair (RGPD : minimisation des données)
• Les hashs permettent quand même de prouver qu'on a bien tracé l'interaction, sans stocker du contenu personnel à long terme
• Si vous devez stocker le contenu intégral pour des raisons d'audit, faites-le dans une table séparée avec une rétention plus courte (3 mois) et chiffrement supplémentaire

Étape 10 : tests et validation.

Avant de mettre le workflow en production :

1. Activez le workflow en mode "Inactive"
2. Lancez "Execute Workflow" manuellement
3. Vérifiez : 5 brouillons créés dans Gmail, 5 lignes dans la table audit_log, notification Slack reçue
4. Lisez chaque brouillon : le ton est-il bon ? La signature présente ? Les hallucinations absentes ?
5. Si OK : passez en "Active"
6. Surveillez les premières 24h, ajustez les prompts si nécessaire

Étape 11 : page de transparence sur le site.

L'AI Act demande que la mention de transparence soit accessible. Créez une page /transparence-ia sur votre site qui détaille :

• La liste des systèmes d'IA utilisés (avec le registre simplifié)
• Les modèles utilisés (Claude, GPT, etc.)
• Les usages : pré-rédaction, classification, traduction, etc.
• L'engagement de validation humaine
• Le contact pour toute question (email DPO ou équivalent)

Cette page est consultable depuis la signature de chaque email IA. C'est conforme à l'esprit de l'article 50 : information accessible, claire, et complète.

Estimation de coût mensuel.

Pour donner un cadre :

Pour un gain de temps de 1h par jour ouvré (équipe support qui valide vite vs rédiger from scratch), soit 20h/mois, à 25€/h chargé, ça fait 500 € de productivité mensuelle pour 15 € de coût. ROI 33x.

Récapitulatif final : le checklist conformité.

• ✅ Registre des systèmes d'IA tenu et à jour
• ✅ DPA Anthropic signé et archivé
• ✅ Page /transparence-ia publiée sur le site
• ✅ Mention IA dans chaque email pré-rédigé (signature)
• ✅ Validation humaine systématique (pas d'envoi auto)
• ✅ Logs d'audit conservés 12 mois (table ai_audit_log)
• ✅ Prompts contraignants (anti-hallucinations, anti-promesses commerciales)
• ✅ Données chez Anthropic (pas OpenAI - choix éditorial)
• ✅ Workflow tournant sur infrastructure souveraine France

Et maintenant ?

Vous avez maintenant un système n8n auto-hébergé en production, sécurisé, sauvegardé, monitoré, et un premier workflow IA conforme AI Act 2026. Vous économisez ~500 €/an vs n8n cloud, vous restez souverain, et vous êtes prêt pour les obligations de transparence d'août 2026.

La suite logique :

1. Multipliez les workflows : facturation auto (Pennylane → Notion), reporting hebdo (Google Analytics → Slack), CRM (Salesforce → tableau de bord), gestion docs (Drive → indexation)
2. Construisez votre catalogue de prompts : chaque workflow a son prompt système réutilisable, gardez une bibliothèque versionnée
3. Mettez en place le mode queue quand vous dépasserez 1000 exécutions/jour
4. Étoffez la conformité : pour aller plus loin, parcourez notre cours IA Act 2026 pour PME françaises
5. Combinez avec Claude Code : utilisez Claude Code (notre cours dédié) pour générer rapidement des workflows n8n complexes

Matthias Marin, fondateur AzenFlow. Ces patterns sont ceux qu'on déploie chez nos clients PME : vous avez en main les briques d'une stack pro et conforme.