Patiëntgegevens kunnen uitlekken via AI-chatbots als ChatGPT

Recentelijk heeft de Autoriteit Persoonsgegevens (AP) in Nederland diverse meldingen ontvangen die betrekking hebben op datalekken, voortkomend uit situaties waarin medewerkers van verschillende organisaties persoonlijke data van klanten of patiënten hebben gedeeld met AI-chatbots. Het exacte aantal van deze meldingen is momenteel niet gespecificeerd. Deze incidenten werpen licht op een aanzienlijke zorg; niet alle instellingen en bedrijven zijn zich bewust van het feit dat dergelijke chatbots de ingevoerde informatie kunnen opslaan en potentieel misbruiken.

Een van de gemelde incidenten betreft een medewerker van een huisartsenpraktijk die medische informatie van patiënten invoerde in een AI-chatbot. Gezien de gevoelige aard van dergelijke data is het zonder passende voorzorgsmaatregelen delen hiervan met technologiebedrijven, volgens de AP, een ernstige inbreuk op de privacy van de betrokken patiënten. Een ander gemeld voorval gaat over een medewerker van een telecombedrijf die een klantenbestand, inclusief adressen, eveneens met zo’n chatbot deelde.

AI-chatbots zoals ChatGPT en GitHub Copilot worden op grote schaal gebruikt binnen diverse werkomgevingen om taken zoals het samenvatten van documenten te faciliteren. Echter, waarschuwt de AP, de meeste makers van dergelijke chatbots slaan alle verwerkte gegevens op hun servers op. Dit gebeurt vaak zonder expliciete realisatie van de individuen die de data hebben ingevoerd, wat tot onbedoelde gevolgen kan leiden.

Deze kwestie onderstreept het gebrek aan duidelijkheid over de uiteindelijke bestemming van geïnputteerde gegevens en de onwetendheid van de data-eigenaren over wat er met hun informatie gebeurt. Daardoor krijgen technologiebedrijven toegang tot persoonlijke gegevens zonder expliciete toestemming, wat door de AP als een datalek wordt beschouwd.

Om dergelijke incidenten in de toekomst te voorkomen, adviseert de AP organisaties om duidelijke richtlijnen op te stellen voor het gebruik van AI-chatbots door hun medewerkers. Dit moet helder communiceren welke gegevens wel of niet kunnen worden ingevoerd. Er bestaat tevens de mogelijkheid om met de ontwikkelaars van dergelijke chatbots overeen te komen dat ingevoerde data niet worden opgeslagen. Door deze maatregelen kunnen organisaties bijdragen aan het verhogen van de bescherming van persoonsgegevens en het voorkomen van datalekken, in lijn met de strikte privacywetgeving binnen de Europese Unie.