AI-assistenten delen gevoelige gebruikersgegevens

Uit een woensdag gepubliceerd onderzoek blijkt dat assistenten met kunstmatige intelligentie (AI) vertrouwelijke gebruikersgegevens, zoals medische gegevens en bankgegevens, verzamelen en delen zonder dat er goede beveiliging is.

Onderzoekers van het University College London in het Verenigd Koninkrijk en de Universiteit van Reggio Calabria in Italië analyseerden tien AI-assistenten, die gedownload en geïnstalleerd moeten worden op een computer of mobiele telefoon om gebruikt te kunnen worden. Ze ontdekten dat ze veel persoonlijke gegevens verzamelen over de online-activiteiten van gebruikers.

Uit de analyse bleek dat verschillende assistenten de volledige inhoud van webpagina's, inclusief de informatie die op het scherm zichtbaar was, naar hun servers stuurden.

Een van de AI-assistenten, Merlin, legde formulierinvoer vast, zoals bank- of gezondheidsgegevens, terwijl ChatGPT, Copilot, Monica en Sider gebruikerskenmerken zoals leeftijd, geslacht, inkomen en interesses konden afleiden en deze informatie gebruikten om reacties te personaliseren, zelfs bij verschillende browsersessies.

"Het verzamelen en delen van gegevens is niet triviaal. Afgezien van het verkopen of delen van gegevens met derden, in een wereld waar massale cyberaanvallen frequent voorkomen, is er geen manier om te weten wat er met browsegegevens gebeurt nadat deze zijn verzameld ", waarschuwde Anna Maria Mandalari, een van de auteurs van de studie, geciteerd in een verklaring van University College London.

Voor het onderzoek simuleerden onderzoekers realistische surfscenario's door de identiteit van een rijke millennial (digital native) man uit Californië te creëren. Deze identiteit gebruikten ze om te communiceren met de assistenten terwijl ze algemene internettaken uitvoerden, zoals het lezen van het nieuws, winkelen op Amazon en het bekijken van video's op YouTube.

Ook activiteiten in de privéruimte werden meegenomen, zoals het bezoeken van de website van de universiteit, inloggen op een datingsite of het bekijken van pornografie. De onderzoekers gingen ervan uit dat gebruikers niet gevolgd wilden worden, omdat de gegevens persoonlijk en gevoelig zijn.

Uit het onderzoek dat in de Verenigde Staten werd uitgevoerd, blijkt dat sommige AI-assistenten, waaronder Merlin en Sider, niet stopten met het registreren van de activiteit wanneer de gebruiker overschakelde naar de privéruimte, zoals ze zouden moeten . Daarmee overtreden ze de Amerikaanse wetgeving inzake gegevensbescherming door vertrouwelijke gezondheids- en opleidingsinformatie te verzamelen.

De auteurs van het onderzoek pleiten voor de dringende noodzaak van regelgevend toezicht op AI-assistenten om de persoonlijke gegevens van gebruikers te beschermen. Daarnaast raden ze ontwikkelaars aan om principes van 'privacy-by-design' te hanteren, zoals expliciete toestemming van de gebruiker voor het verzamelen van gegevens.