ndaact.ai et le RGPD

Le problème que le RGPD pose à l’usage de l’IA générative

Transmettre des données personnelles de vos clients à ChatGPT ou Claude est un transfert de données à un tiers (les opérateurs des modèles). Sans base légale claire ni registre de traitement à jour, ce transfert expose votre structure à un risque qui n’a rien de théorique.

Ce que fait techniquement ndaact.ai

La détection et le remplacement des données personnelles par des marqueurs s’exécutent sur votre machine. Vos prompts et vos documents ne passent par aucun serveur ndaact.ai ; le texte part ensuite vers le fournisseur du LLM, avec des marqueurs à la place des entités détectées. Une entité non détectée reste en clair : ndaact.ai aide à protéger vos données, sans garantir que chaque entité soit trouvée.

Registre de traitement (article 30)

Chaque détection est journalisée localement (type de donnée détectée et horodatage, sans la valeur d’origine). Ce journal peut alimenter votre registre des activités de traitement au titre de l’article 30 du RGPD : il constitue une trace de la mesure technique prise pour limiter l’exposition des données personnelles avant tout usage d’IA générative.

Base légale et minimisation

ndaact.ai ne remplace pas votre analyse de base légale pour vos traitements existants. Ce qu’il apporte concrètement : une mesure de minimisation des données (principe de l’article 5.1.c du RGPD) appliquée spécifiquement au flux vers les LLM tiers : les données identifiantes détectées ne quittent votre poste que sous forme de marqueurs opaques, réduisant l’exposition en cas d’usage de l’IA générative.

Ce que nous ne prétendons pas

• ndaact.ai couvre un flux précis, l’usage de LLM externes, et rien d’autre de votre conformité RGPD.
• Nous ne prétendons pas que l’outil dispense d’une analyse d’impact (AIPD) si celle-ci est par ailleurs requise pour vos traitements.
• La protection porte sur les données que l’outil détecte effectivement, sans garantie d’exhaustivité sur tout type de contenu.

À votre appréciation

L’intégration de ndaact.ai dans votre registre de traitement et votre analyse de risque reste une décision qui relève de votre DPO ou de votre conseil, en fonction de la nature exacte de vos traitements.