Toepassingen die generatieve kunstmatige intelligentie toepassen, zijn de laatste tijd explosief gestegen. De Autoriteit Persoonsgegevens ziet de mogelijkheden die deze technologie biedt, maar maakt zich tegelijkertijd zorgen over mogelijke privacyrisico’s. De toezichthouder adviseert bedrijven die gebruikmaken van generatieve AI om zich vooraf goed te verdiepen in deze toepassing.
Deze oproep is afkomstig van Cecile Schut, directeur Systeemtoezicht, Beveiliging en Technologie bij de Autoriteit Persoonsgegevens.
Verzamelen van persoonsgegevens voor training AI-modellen mogelijk onrechtmatig
Generatieve AI of kortweg GenAI zijn applicaties die op basis van opdrachten van gebruikers nieuwe producten genereren. Denk aan teksten, afbeeldingen, geluidsopnamen, video’s, deepfakes en programmeercodes. Dergelijke toepassingen bieden allerlei mogelijkheden, zowel voor de overheid als het bedrijfsleven. Denk aan het opsporen van patronen die mogelijk op fraude duiden, complexe en repetitieve taken uit te voeren, wervende teksten te schrijven of video’s te bewerken.
Tegelijk maakt de Autoriteit Persoonsgegevens zich zorgen om de risico’s die GenAI met zich meebrengt voor de bescherming van persoonlijke gegevens. Deze toepassingen worden getraind aan de hand van grote hoeveelheden data, veelal afkomstig uit openbare bronnen op het internet. Deze bevatten volgens Schut vrijwel zeker persoonsgegevens.
Ze vermoedt dat het verzamelen van die gegevens in strijd is met de Europese privacywetgeving. Ontwikkelaars moeten zich volgens haar goed bewust zijn van de wettelijke vereisten.
Wees kritisch op de uitkomsten van GenAI-tools
Tevens zet Schut vraagtekens bij de output die een generatief model produceert. “Het model kan fouten maken, doordat ongeverifieerde persoonsgegevens zijn gebruikt om het model te trainen. En het model kan ook informatie, inclusief persoonsgegevens, genereren die uit de lucht is gegrepen. En dat is niet toegestaan.” Ze benadrukt dat mensen waarvan de persoonsgegevens zijn verwerkt door een organisatie het recht hebben om deze data in te zien, te rectificeren of te verwijderen. Dat is bij veel AI-modellen momenteel een probleem.
De AP-medewerkster zegt dat veel AI-tools niet transparant zijn. Ze roept bedrijven en organisaties dan ook op om zich van tevoren goed in te lezen in de mogelijke risico’s die ze lopen als ze een specifieke AI-toepassingen willen inzetten.
“Wat is de betrouwbaarheid van de gegenereerde informatie? En is het voor de gebruikers duidelijk wat er met hun gegevens gebeurt wanneer de opdrachten (prompts) die zij de AI-tool geven, worden toegevoegd aan de trainingsdata? De privacywetgeving is duidelijk: transparantie is een recht. Voor betrokkenen moet duidelijk zijn dat je persoonsgegevens worden verwerkt, waarom, hoe en door wie”, zo zegt Schut.
Onvoldoende voorbereiding of serieuze kennis
Een ander gevaar van GenAI-toepassingen is dat mensen op basis van foutieve en niet-verifieerbare informatie worden ingedeeld in categorieën. Als voorbeeld noemt Schut digitale assistenten wiens aanbevelingen klakkeloos worden overgenomen.
“Een HR-medewerker zou bijvoorbeeld met toestemming van sollicitanten een chatbot kunnen vragen om hun cv’s en motivatiebrieven door te nemen en vervolgens samen te vatten wat de voor- en nadelen zijn per kandidaat. Zelfs neutraal ogende antwoorden van de chatbot kunnen daarbij gebaseerd zijn op vooroordelen of onvolkomenheden die in trainingsdata zaten.”
Bedrijven die kunstmatige intelligentie willen inzetten om een bijdrage te leveren bij het maken van belangrijke besluiten, moeten goed weten hoe een chatbot tot een advies komt. “Doordat de tools heel makkelijk te gebruiken zijn, zien we nu vaak dat organisaties AI-toepassingen gaan inzetten zonder voldoende kennis of serieuze voorbereiding. Terwijl het juist belangrijk is om na te denken over risico’s”, vertelt Schut.
AP komt de komende tijd volop in actie
Sinds begin dit jaar fungeert de Autoriteit Persoonsgegevens niet alleen als privacywaakhond, maar treedt ze tevens op als algoritmetoezichthouder. In deze hoedanigheid kijkt de organisatie hoe algoritmes worden getraind, welke vooroordelen daarin zitten verborgen en hoe verantwoordelijkheden zijn vastgelegd. Om deze nieuwe taken te kunnen vervullen, verhoogde het demissionaire kabinet in september de begroting van de toezichthouder met 3,8 miljoen euro.
Schut belooft dat de Autoriteit Persoonsgegevens de komende tijd diverse acties onderneemt om Nederlanders te beschermen tegen potentiële privacyrisico’s van GenAI-toepassingen. Om te beginnen loopt er momenteel een onderzoek naar ChatGPT over mogelijke privacyschendingen. Het is aan ontwikkelaar OpenAI om deze zorgen weg te nemen.
Verder heeft de toezichthouder ‘een techbedrijf’ om opheldering gevraagd over ‘de werking van de chatbot die werd geïntegreerd in hun app die populair is bij kinderen’. Er zijn onder meer vragen gesteld over de transparantie van de app over het gegevensgebruik en de bewaartermijn voor verzamelde gegevens. Afhankelijk van de antwoorden kan de AP besluiten om vervolgstappen te zetten.
“Komende tijd houden we de ontwikkelingen scherp in de gaten”, zo eindigt Schut haar bijdrage.
