De Autoriteit Persoonsgegevens, AP, houdt toezicht op alle soorten verwerkingen van persoonsgegevens. Dus ook op algoritmes en AI waarbij persoonsgegevens worden verwerkt. Sinds dit jaar is ons toezicht op algoritmes en AI intensiever. In een aantal blogposts gaan we in op de maatschappelijke, juridische en technologische aspecten van de inzet van algoritmes en AI. We trappen af met Cecile Schut, directeur Systeemtoezicht, Beveiliging en Technologie bij de AP. 

We zien een explosieve stijging van het gebruik van generatieve AI toepassingen. Dagelijks komen er nieuwe apps bij.  AI tools, al dan niet gebaseerd op taalmodellen, lijken als paddenstoelen uit de grond te schieten. Overheden en bedrijven zien voordelen voor hun werknemers, maar ook voor burgers en klanten.

AI toepassingen waarbij op basis van opdrachten, prompts, inhoud wordt gecreeerd, heten generatieve AI. Bijvoorbeeld tekst, computercode, afbeeldingen, geluid of video. Naar verwachting zal generatieve AI de komende periode steeds meer worden toegepast. 

Persoonsgegevens in generatieve AI modellen

De AP ziet de mogelijkheden die deze nieuwe technologie biedt. Cecile Schut: Tegelijkertijd maken we ons zorgen over de risico s voor de bescherming van persoonsgegevens. Generatieve AI modellen worden vaak getraind met grote hoeveelheden data, die meestal geautomatiseerd van het internet verzameld worden. Dat noemen we ook wel scraping.  In de gescrapete data bevinden zich vrijwel zeker persoonsgegevens. 

Het is onwaarschijnlijk dat het verzamelen van die gegevens mag op basis van de privacywetgeving. Ontwikkelaars moeten zich daarom bewust zijn van de wettelijke vereisten. Ook is de vraag of de output die zo n generatief model produceert, zoals tekst, wel klopt. Het model kan fouten maken, doordat ongeverifieerde persoonsgegevens zijn gebruikt om het model te trainen. En het model kan ook informatie, inclusief persoonsgegevens, genereren die uit de lucht is gegrepen. En dat is niet toegestaan. Persoonsgegevens moeten kloppen. Betrokkenen hebben het recht op actualisatie of rectificatie. Onjuiste gegevens moeten kunnen worden aangepast of verwijderd. Dat is bij dit soort modellen een probleem.

Deze versturen we 3-4x per jaar.