ndaact.ai und die DSGVO

Das Problem, das die DSGVO bei der Nutzung generativer KI aufwirft

Personenbezogene Daten Ihrer Mandanten an ChatGPT oder Claude zu senden, ist eine Datenübermittlung an einen Dritten (die Modellbetreiber). Ohne klare Rechtsgrundlage und ohne aktuelles Verzeichnis von Verarbeitungstätigkeiten setzt diese Übermittlung Ihre Organisation einem realen, nicht nur theoretischen, Risiko aus.

Was ndaact.ai technisch tut

Die Erkennung und der Ersatz personenbezogener Daten durch Markierungen erfolgen auf Ihrem Gerät. Ihre Prompts und Dokumente laufen über keinen Server von ndaact.ai; der Text geht danach an den LLM-Anbieter, mit Markierungen anstelle der erkannten Entitäten. Eine nicht erkannte Entität bleibt im Klartext: ndaact.ai hilft, Ihre Daten zu schützen, ohne zu garantieren, dass jede Entität gefunden wird.

Verzeichnis von Verarbeitungstätigkeiten (Art. 30)

Jede Erkennung wird lokal protokolliert (Art des erkannten Datums, Zeitstempel, ohne den Originalwert). Dieses Protokoll kann Ihr Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30 DSGVO speisen: Es dokumentiert die technische Maßnahme, die zur Begrenzung der Exposition personenbezogener Daten vor jeder Nutzung generativer KI ergriffen wurde.

Rechtsgrundlage und Datenminimierung

ndaact.ai ersetzt nicht Ihre Analyse der Rechtsgrundlage für Ihre bestehenden Verarbeitungstätigkeiten. Was das Tool konkret bringt: eine Maßnahme zur Datenminimierung (Grundsatz aus Art. 5 Abs. 1 lit. c DSGVO), speziell angewendet auf den Datenfluss zu Dritt-LLMs, erkannte identifizierende Daten verlassen Ihr Gerät nur in Form undurchsichtiger Markierungen, was die Exposition bei der Nutzung generativer KI verringert.

Was wir nicht behaupten

• ndaact.ai deckt einen bestimmten Datenfluss ab, die Nutzung externer LLMs, und sonst nichts von Ihrer DSGVO-Compliance.
• Wir behaupten nicht, dass das Tool von einer Datenschutz-Folgenabschätzung (DSFA) befreit, sofern diese für Ihre Verarbeitungstätigkeiten anderweitig erforderlich ist.
• Der Schutz gilt für die vom Tool tatsächlich erkannten Daten, ohne Anspruch auf Vollständigkeit bei jeder Art von Inhalt.

Ihre Einschätzung

Die Einbindung von ndaact.ai in Ihr Verzeichnis von Verarbeitungstätigkeiten und Ihre Risikoanalyse bleibt eine Entscheidung Ihres Datenschutzbeauftragten oder Ihrer Beratung, abhängig von der genauen Art Ihrer Verarbeitungstätigkeiten.