ndaact.ai und die EU-KI-Verordnung (AI Act)

Was ndaact.ai nicht ist

ndaact.ai ist kein KI-System mit hohem Risiko im Sinne des EU AI Act (Verordnung (EU) 2024/1689). Das Tool erkennt personenbezogene Daten, um sie vor dem Versand an ein Dritt-LLM durch Markierungen zu ersetzen, es trifft keine automatisierte Entscheidung mit rechtlicher oder erheblicher Wirkung auf eine Person (kein Scoring, keine Kredit-, Einstellungs- oder Justizentscheidungen). Funktional ist es eher mit einem Data-Loss-Prevention-Tool (DLP) vergleichbar als mit einem nach Anhang III der Verordnung regulierten KI-System.

Wir behaupten daher nicht, dass ndaact.ai Sie konform mit dem AI Act macht, weder insgesamt noch für ein Hochrisikosystem: Das ist weder seine Aufgabe noch sein Geltungsbereich.

Wo der AI Act ndaact.ai-Nutzer tatsächlich betrifft

Wenn Sie als Anwalt, Notar, Arzt oder Datenschutzbeauftragter universelle LLMs in Ihrer Praxis nutzen, sind Sie selbst, als Fachperson oder Organisation, ein „KI-Betreiber” im Sinne der Verordnung. Zwei allgemeine Pflichten gelten unabhängig vom Risikograd der Nutzung:

• Artikel 4 — KI-Kompetenz (anwendbar seit dem 2. Februar 2025): Pflicht, sicherzustellen, dass Personen, die KI innerhalb Ihrer Organisation nutzen, über ein ausreichendes Kompetenz- und Verständnisniveau des Tools verfügen.
• Der Nachweis einer dokumentierten Governance Ihrer KI-Nutzung (Kontrollmaßnahmen, Protokollierung) ist eine anerkannte gute Praxis, unabhängig davon, ob Ihre Organisation ein KI-Managementsystem (AIMS, Norm ISO/IEC 42001) formalisiert hat oder nicht.

Was ndaact.ai konkret zu diesem Vorhaben beiträgt

• Eine dokumentierte Kontrollmaßnahme für ein konkretes Risiko: das Abfließen personenbezogener Daten an unkontrollierte generative KI Dritter.
• Ein Nutzungsprotokoll (Zeitstempel, Art des erkannten Datums), das als verwertbare Spur in Ihrem eigenen KI-Governance-Nachweis neben anderen von Ihnen ergriffenen Maßnahmen dienen kann.

Was wir nicht behaupten

• ndaact.ai ist kein KI-Managementsystem (AIMS) und ersetzt keines.
• Die Nutzung von ndaact.ai befreit Ihre Organisation nicht von ihren eigenen Pflichten zur KI-Kompetenz (Art. 4) oder Governance: das Tool ist eine Kontrolle unter mehreren, kein Compliance-Programm für sich allein.
• Wir stellen ndaact.ai niemals als Compliance-Tool für ein KI-System mit hohem Risiko dar.

Ihre Einschätzung

Die Einbindung von ndaact.ai in Ihr eigenes KI-Governance-Vorhaben (freiwilliges AIMS, Risikoregister, interne Richtlinie) ist eine Entscheidung Ihrer Organisation, idealerweise gemeinsam mit Ihrem Datenschutzbeauftragten, CISO oder einer qualifizierten Beratung, zumal sich der Rechtsrahmen des AI Act weiterentwickelt (harmonisierte Normen befinden sich noch in Erarbeitung).