ndaact.ai et le règlement européen sur l'IA (AI Act)

Ce que ndaact.ai n’est pas

ndaact.ai n’est pas un système d’IA à haut risque au sens de l’AI Act (règlement UE 2024/1689). L’outil détecte des données personnelles pour les remplacer par des marqueurs avant l’envoi à un LLM tiers. Il ne prend aucune décision automatisée produisant un effet juridique ou significatif sur une personne (pas de scoring, pas de décision de crédit, de recrutement ou de justice). Il est plus proche, fonctionnellement, d’un outil de prévention de fuite de données (DLP) que d’un système d’IA réglementé au sens de l’Annexe III du règlement.

Nous ne prétendons donc pas que ndaact.ai vous rend conforme à l’AI Act, ni globalement, ni pour un système à haut risque : ce n’est ni son rôle, ni son périmètre.

Où l’AI Act touche réellement les utilisateurs de ndaact.ai

Si vous êtes avocat, notaire, médecin ou DPO et que vous utilisez des LLM généralistes dans votre pratique, vous êtes vous-même, en tant que professionnel ou structure, un « déployeur d’IA » au sens du règlement. Deux obligations générales s’appliquent, indépendamment du niveau de risque de l’usage :

• Article 4 — littératie IA (applicable depuis le 2 février 2025) : obligation de s’assurer que les personnes utilisant de l’IA au sein de votre structure ont un niveau de compétence et de compréhension suffisant de l’outil.
• La démonstration d’une gouvernance documentée de vos usages de l’IA (mesures de contrôle, journalisation) est une bonne pratique reconnue, que votre structure ait ou non formalisé un système de management de l’IA (AIMS, norme ISO/IEC 42001).

Ce que ndaact.ai apporte concrètement à cette démarche

• Une mesure de contrôle documentée sur un risque précis : la fuite de données personnelles vers des IA génératives tierces non maîtrisées.
• Un journal d’usage (horodatage, type de donnée détectée) qui peut servir de trace exploitable dans votre propre registre de gouvernance IA, aux côtés d’autres mesures que vous mettez en place.

Ce que nous ne prétendons pas

• ndaact.ai n’est pas un système de management de l’IA (AIMS) et ne s’y substitue pas.
• L’usage de ndaact.ai ne dispense pas votre structure de ses propres obligations de littératie IA (article 4) ou de gouvernance. Il n’est qu’un contrôle parmi ceux que cette démarche doit prévoir.
• Nous ne présentons jamais ndaact.ai comme un outil de conformité pour un système d’IA à haut risque.

À votre appréciation

Le rattachement de ndaact.ai à votre propre démarche de gouvernance IA (AIMS volontaire, registre de risques, politique interne) relève d’une décision de votre structure, idéalement en lien avec votre DPO, votre RSSI ou un conseil qualifié. Le cadre réglementaire de l’AI Act continue d’évoluer, avec des normes harmonisées en cours d’élaboration.