ndaact.ai e il Regolamento europeo sull'IA (AI Act)

Cosa non è ndaact.ai

ndaact.ai non è un sistema di IA ad alto rischio ai sensi dell’AI Act europeo (Regolamento (UE) 2024/1689). Lo strumento rileva dati personali per sostituirli con marcatori prima dell’invio a un LLM di terzi, non prende alcuna decisione automatizzata che produca un effetto giuridico o significativo su una persona (nessun punteggio, nessuna decisione di credito, assunzione o giustizia). Dal punto di vista funzionale è più vicino a uno strumento di prevenzione della perdita di dati (DLP) che a un sistema di IA regolamentato ai sensi dell’Allegato III del Regolamento.

Non affermiamo quindi che ndaact.ai ti renda conforme all’AI Act, né globalmente né per un sistema ad alto rischio: non è né il suo ruolo né il suo ambito.

Dove l’AI Act tocca realmente gli utenti di ndaact.ai

Se sei avvocato, notaio, medico o DPO e usi LLM generici nella tua pratica, tu stesso, come professionista od organizzazione, sei un “deployer di IA” ai sensi del Regolamento. Si applicano due obblighi generali, indipendentemente dal livello di rischio dell’uso:

• Articolo 4 — alfabetizzazione in materia di IA (applicabile dal 2 febbraio 2025): obbligo di garantire che le persone che usano l’IA all’interno della tua organizzazione abbiano un livello sufficiente di competenza e comprensione dello strumento.
• Dimostrare una governance documentata dei tuoi usi dell’IA (misure di controllo, registrazione) è una buona pratica riconosciuta, indipendentemente dal fatto che la tua organizzazione abbia formalizzato o meno un sistema di gestione dell’IA (AIMS, norma ISO/IEC 42001).

Cosa apporta concretamente ndaact.ai a questo percorso

• Una misura di controllo documentata su un rischio specifico: la fuga di dati personali verso IA generative di terzi non controllate.
• Un registro d’uso (timestamp, tipo di dato rilevato) che può servire come traccia utilizzabile all’interno del tuo registro di governance dell’IA, insieme ad altre misure che adotti.

Cosa non affermiamo

• ndaact.ai non è un sistema di gestione dell’IA (AIMS) e non lo sostituisce.
• L’uso di ndaact.ai non esenta la tua organizzazione dai propri obblighi di alfabetizzazione in materia di IA (articolo 4) o di governance, lo strumento è un controllo tra gli altri, non un programma di conformità da solo.
• Non presentiamo mai ndaact.ai come uno strumento di conformità per un sistema di IA ad alto rischio.

A tua valutazione

Collegare ndaact.ai al tuo percorso di governance dell’IA (AIMS volontario, registro dei rischi, politica interna) è una decisione della tua organizzazione, idealmente insieme al tuo DPO, CISO o a un consulente qualificato: il quadro normativo dell’AI Act continua peraltro a evolversi (le norme armonizzate sono ancora in fase di elaborazione).