AI-chatbots brengen aanzienlijke privacyrisico’s met zich mee: datalekken
Gebruik van AI-chatbots kan leiden tot datalekken, waarschuwt de Autoriteit Persoonsgegevens
De Autoriteit Persoonsgegevens (AP) heeft onlangs aandacht gevraagd voor een groeiend probleem: datalekken die ontstaan doordat medewerkers persoonsgegevens delen met AI-chatbots, zoals ChatGPT of Copilot. Bij dergelijke incidenten kan gevoelige informatie, zoals patiënt- of klantgegevens, in een AI-chatbot worden ingevoerd. Hierdoor kunnen de aanbieders achter deze AI-tools mogelijk toegang krijgen tot gegevens waarvoor geen passende afspraken of waarborgen zijn getroffen.
Het gebruik van digitale assistenten op de werkvloer wordt steeds gebruikelijker. Medewerkers gebruiken deze tools bijvoorbeeld om klantvragen te beantwoorden of omvangrijke documenten samen te vatten. Hoewel AI-chatbots tijd kunnen besparen en routinematige werkzaamheden kunnen verminderen, brengt het gebruik ervan ook belangrijke privacyrisico’s met zich mee.
AI-chatbots en datalekken
Van een datalek kan sprake zijn wanneer persoonsgegevens zonder de vereiste toestemming of bevoegdheid toegankelijk worden voor een derde. Medewerkers gebruiken AI-chatbots soms op eigen initiatief en zonder toestemming van hun werkgever. Wanneer zij daarbij persoonsgegevens invoeren en deze daardoor ongeoorloofd bij een externe partij terechtkomen, kan sprake zijn van een datalek.
In andere gevallen staat een organisatie het gebruik van AI-chatbots wel toe. Hoewel er dan niet automatisch sprake is van een datalek, kan de verwerking van persoonsgegevens via zo’n chatbot alsnog in strijd zijn met de privacywetgeving wanneer niet aan de toepasselijke AVG-verplichtingen wordt voldaan. Organisaties moeten beide situaties daarom zorgvuldig beheersen.
Veel aanbieders van AI-chatbots kunnen ingevoerde gegevens opslaan of anderszins verwerken. Hierdoor kunnen gegevens terechtkomen op systemen van externe technologiebedrijven. Medewerkers zijn zich mogelijk niet altijd bewust van wat er met de ingevoerde informatie gebeurt of voor welke doeleinden een aanbieder deze gegevens verder kan verwerken. De personen op wie de gedeelde persoonsgegevens betrekking hebben, zijn hier doorgaans evenmin van op de hoogte.
Het standpunt van de Autoriteit Persoonsgegevens
In een bij de AP gemeld incident voerde een medewerker van een huisartsenpraktijk medische gegevens van patiënten in een AI-chatbot in, in strijd met het beleid van de organisatie. Gezondheidsgegevens behoren tot de bijzondere categorieën van persoonsgegevens en genieten daarom extra bescherming onder de AVG. Het ongeoorloofd delen van dergelijke informatie kan dan ook een ernstige inbreuk op de privacy van patiënten vormen.
In een ander geval uploadde een medewerker van een telecombedrijf een bestand met adresgegevens van klanten naar een AI-chatbot.
Organisaties moeten daarom duidelijke richtlijnen opstellen voor het gebruik van AI-chatbots door medewerkers. Daarbij moeten onder meer de volgende vragen worden beantwoord:
- Mogen medewerkers AI-chatbots gebruiken voor hun werkzaamheden?
- Voor welke werkzaamheden mogen deze tools worden ingezet?
- Welke persoonsgegevens en andere vertrouwelijke informatie mogen niet worden ingevoerd?
- Welke AI-tools zijn door de organisatie goedgekeurd?
- Welke afspraken zijn met de aanbieder gemaakt over opslag, beveiliging en verder gebruik van ingevoerde gegevens?
Organisaties kunnen daarnaast afspraken maken met aanbieders van AI-chatbots over de verwerking van ingevoerde gegevens, bijvoorbeeld om te voorkomen dat deze gegevens voor andere doeleinden worden gebruikt of langer dan noodzakelijk worden opgeslagen.
Wanneer door onjuist gebruik van een AI-chatbot daadwerkelijk een datalek ontstaat, moet de organisatie beoordelen of het datalek op grond van de AVG bij de Autoriteit Persoonsgegevens moet worden gemeld. Wanneer het datalek waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen, kan het daarnaast noodzakelijk zijn om de betrokken personen te informeren.
Duidelijke interne afspraken, bewustwording onder medewerkers en passende technische en organisatorische maatregelen zijn daarom essentieel om de privacyrisico’s van AI-chatbots op de werkvloer te beheersen.
