ndaact.ai e il GDPR

Il problema che il GDPR pone all’uso dell’IA generativa

Inviare dati personali dei tuoi clienti a ChatGPT o Claude è un trasferimento di dati a un terzo (gli operatori dei modelli). Senza una base giuridica chiara né un registro delle attività di trattamento aggiornato, questo trasferimento espone la tua organizzazione a un rischio reale, non solo teorico.

Cosa fa tecnicamente ndaact.ai

Il rilevamento e la sostituzione dei dati personali con marcatori avvengono sul tuo dispositivo. I tuoi prompt e i tuoi documenti non passano da alcun server di ndaact.ai; il testo va poi al fornitore del LLM, con marcatori al posto delle entità rilevate. Un’entità non rilevata resta in chiaro: ndaact.ai aiuta a proteggere i tuoi dati, senza garantire che ogni entità venga trovata.

Registro delle attività di trattamento (articolo 30)

Ogni rilevazione viene registrata localmente (tipo di dato rilevato, timestamp, senza il valore originale). Questo registro può alimentare il tuo registro delle attività di trattamento ai sensi dell’articolo 30 del GDPR: costituisce una traccia della misura tecnica adottata per limitare l’esposizione dei dati personali prima di qualsiasi uso di IA generativa.

Base giuridica e minimizzazione dei dati

ndaact.ai non sostituisce la tua analisi della base giuridica per i trattamenti esistenti. Ciò che apporta concretamente: una misura di minimizzazione dei dati (principio dell’articolo 5.1.c del GDPR) applicata specificamente al flusso verso LLM di terzi, i dati identificativi rilevati lasciano il tuo dispositivo solo sotto forma di marcatori opachi, riducendo l’esposizione quando si usa l’IA generativa.

Cosa non affermiamo

• ndaact.ai copre un flusso specifico, l’uso di LLM esterni, e nient’altro della tua conformità GDPR.
• Non affermiamo che lo strumento esenti da una valutazione d’impatto (DPIA) se questa è altrimenti richiesta per i tuoi trattamenti.
• La protezione copre i dati effettivamente rilevati dallo strumento, senza garanzia di completezza per ogni tipo di contenuto.

A tua valutazione

L’integrazione di ndaact.ai nel tuo registro delle attività di trattamento e nella tua analisi del rischio resta una decisione del tuo DPO o consulente, in base alla natura esatta dei tuoi trattamenti.