Depuis l'arrêt Schrems II (CJUE, 2020) et l'AI Act (entré en vigueur août 2024), envoyer des données personnelles vers OpenAI ou Anthropic implique un cadre contractuel lourd : Standard Contractual Clauses, Transfer Impact Assessment, analyse de risque ré-effectuée à chaque changement de sous-traitant.
Pour les données juridiquement non-exportables (secret professionnel des avocats art. 226-13 CP, données de santé HDS, secret médical, données défense), le recours à une API US n'est tout simplement pas conforme, même avec un encadrement contractuel.
L'IA locale règle ce dossier par construction : les données ne quittent pas le LAN, aucun sous-traitant à auditer, aucun transfert hors UE. Pour les organisations RGPD-sensibles, c'est le seul chemin viable à moyen terme.