Risico's van de bedrijfsimplementatie van ChatGPT: Uitleg over gevallen van lekkage van vertrouwelijke informatie en tegenmaatregelen

De implementatie van ChatGPT binnen bedrijven vordert gestaag. Hoewel de bruikbaarheid ervan veel aandacht krijgt, zijn er enkele punten waarop we moeten letten. Een daarvan is dat je geen vertrouwelijke informatie in ChatGPT mag invoeren. Er zijn daadwerkelijk gevallen in het buitenland waarbij het invoeren van vertrouwelijke informatie heeft geleid tot ernstige lekken van bedrijfsgeheimen.

In dit artikel zal een advocaat uitleggen hoe je met de dagelijks evoluerende ChatGPT in een zakelijke context omgaat, met een focus op het risico van het lekken van vertrouwelijke informatie, inclusief voorbeelden en de te nemen maatregelen.

Waarom u geen vertrouwelijke informatie in ChatGPT moet invoeren

Hoewel ChatGPT handig is, is het een AI-chatbot die gegenereerd wordt door te leren van grote hoeveelheden data op het internet en gebruiksgegevens. Zonder de juiste voorzorgsmaatregelen kan het invoeren van vertrouwelijke informatie leiden tot het risico op datalekken.

Later zullen we dieper ingaan op maatregelen tegen het risico van datalekken van vertrouwelijke informatie, maar eerst zullen we andere risico’s gerelateerd aan ChatGPT en het lekken van vertrouwelijke informatie bespreken.

Risico’s voor bedrijven bij het gebruik van ChatGPT, anders dan het lekken van vertrouwelijke informatie

ChatGPT bevindt zich momenteel in de testfase bij veel bedrijven. Daarom is het noodzakelijk om de risico’s goed te begrijpen alvorens te beslissen of het voor zakelijke doeleinden gebruikt zal worden.

Bij het gebruik van ChatGPT kunnen bedrijven naast het lekken van vertrouwelijke informatie (inclusief persoonsgegevens) de volgende twee beveiligingsrisico’s lopen:

• Risico op onbetrouwbaarheid van de gegenereerde informatie
• Risico op inbreuk op auteursrechten van de in- en uitvoerinformatie

We zullen elk van deze risico’s in detail bespreken.

Gebrek aan betrouwbaarheid van de gegenereerde informatie

De op 14 maart 2023 gepubliceerde GPT-4 heeft een zoekfunctie gekregen, waardoor het nu de meest actuele informatie kan bieden. Echter, ChatGPT presenteert zijn antwoorden alsof ze waar zijn, maar de betrouwbaarheid ervan is niet gegarandeerd. De reacties die ChatGPT genereert, zijn niet noodzakelijkerwijs gebaseerd op de nauwkeurigheid van de informatie uit de leerdata, maar zijn eerder gebaseerd op wat als de meest waarschijnlijke tekst wordt beschouwd. Daarom is het essentieel om een feitencontrole uit te voeren voordat u de output gebruikt. Als een bedrijf per ongeluk valse informatie verspreidt, kan dit de geloofwaardigheid van het bedrijf zelf schaden.

Juridische risico’s zoals inbreuk op auteursrechten

Bij het beoordelen van auteursrechtinbreuk in ChatGPT, wordt er onderscheid gemaakt tussen de ‘AI-ontwikkelings- en leerfase’ en de ‘generatie- en gebruiksfase’. Omdat de handelingen met betrekking tot het gebruik van auteursrechtelijk beschermd materiaal in elk van deze fasen verschillen, verschillen ook de toepasselijke artikelen van de auteursrechtwet. Daarom is het noodzakelijk om deze twee afzonderlijk te beschouwen.

Referentie: Japanse Culturele Zaken Agentschap | Reiwa 5 (2023) Auteursrechtseminar ‘AI en auteursrecht'[ja]

In de herziene auteursrechtwet die in januari 2019 in werking is getreden, is een nieuwe bepaling voor de ‘AI-ontwikkelings- en leerfase’ toegevoegd aan artikel 30, lid 4, over beperkingen van rechten (uitzonderingen waarvoor geen toestemming nodig is). Gebruikshandelingen die niet gericht zijn op het genieten van de in auteursrechtelijk beschermd materiaal uitgedrukte gedachten of gevoelens, zoals informatieanalyse voor AI-ontwikkeling, kunnen in principe zonder toestemming van de auteursrechthebbende worden uitgevoerd.

Aan de andere kant, als het door ChatGPT gegenereerde materiaal gelijkenis of afhankelijkheid (wijziging) vertoont met auteursrechtelijk beschermd werk, kan dit een inbreuk op het auteursrecht vormen. Daarom is het belangrijk om, voordat iets wordt gepubliceerd, te controleren wie de rechthebbenden zijn van de informatie waarnaar ChatGPT heeft verwezen en of er geen inhoud is die lijkt op wat ChatGPT heeft gecreëerd. Bij het citeren van auteursrechtelijk beschermd materiaal moet de bron duidelijk worden vermeld (beperkingen van rechten), en bij het herdrukken moet toestemming van de auteursrechthebbende worden verkregen, of het moet op een passende manier worden afgehandeld.

Als een auteursrechthebbende een inbreuk op het auteursrecht aanwijst, kan dit leiden tot civiele aansprakelijkheid (schadevergoeding, smartengeld, verbod op gebruik, herstel van eer en goede naam, enz.) of strafrechtelijke aansprakelijkheid (klachtdelict).

Incidenten waarbij vertrouwelijke informatie in ChatGPT werd ingevoerd

Op 30 maart 2023 (Reiwa 5) rapporteerde het Zuid-Koreaanse medium ‘EConomist’ dat er drie incidenten hebben plaatsgevonden bij de halfgeleiderdivisie van Samsung Electronics, waarbij vertrouwelijke informatie werd ingevoerd in ChatGPT nadat het gebruik ervan was toegestaan.

Hoewel Samsung Electronics waarschuwingen had gegeven over informatiebeveiliging binnen het bedrijf, waren er medewerkers die broncode verstuurden om om programma-aanpassingen te vragen (twee incidenten), of die inhoud van vergaderingen verstuurden voor het opstellen van notulen.

Na deze incidenten heeft het bedrijf als noodmaatregel de uploadcapaciteit per vraag aan ChatGPT beperkt. Het bedrijf heeft ook aangegeven dat het de verbinding met ChatGPT zou kunnen verbreken als dergelijke incidenten zich opnieuw zouden voordoen.

Daarnaast waarschuwen Walmart en Amazon hun medewerkers om geen vertrouwelijke informatie te delen via chatbots. Een advocaat van Amazon heeft aangegeven dat er al gevallen zijn waarbij de reacties van ChatGPT lijken op interne data van Amazon, wat suggereert dat de data mogelijk gebruikt is voor het trainen van het systeem.

Maatregelen om te voorkomen dat vertrouwelijke informatie lekt bij het gebruik van ChatGPT

OpenAI legt in hun gebruiksvoorwaarden en dergelijke uit dat ingevoerde gegevens gebruikt kunnen worden voor systeemverbeteringen en training, en zij adviseren om geen gevoelige informatie te versturen.

In dit hoofdstuk introduceren we vier maatregelen, zowel op hardware- als softwaregebied, om het lekken van vertrouwelijke informatie te voorkomen bij het gebruik van ChatGPT.

Het opstellen van richtlijnen voor intern gebruik

Bij de implementatie van ChatGPT binnen een bedrijf is het niet alleen essentieel om de informatiebeveiligingskennis van individuele medewerkers te verhogen en interne reskilling te bevorderen, maar het is ook raadzaam om specifieke richtlijnen voor het gebruik van ChatGPT binnen uw eigen organisatie op te stellen.

Op 1 mei 2023 (Reiwa 5) heeft de General Incorporated Association Japan Deep Learning Association (JDLA) de ethische, juridische en sociale vraagstukken (ELSI) rondom ChatGPT samengevat en de ‘Richtlijnen voor het gebruik van generatieve AI’ gepubliceerd. Ook in de academische wereld en overheidssectoren wordt gestart met het overwegen van het opstellen van dergelijke richtlijnen.

Door deze als referentie te gebruiken en de regels voor het gebruik van ChatGPT binnen uw eigen bedrijf in duidelijke richtlijnen vast te leggen, kunt u bepaalde risico’s vermijden.

Referentie: General Incorporated Association Japan Deep Learning Association (JDLA) | Richtlijnen voor het gebruik van generatieve AI[ja]

Het implementeren van technologie om het lekken van vertrouwelijke informatie te voorkomen

Als maatregel om menselijke fouten die leiden tot het lekken van vertrouwelijke informatie te voorkomen, is het mogelijk om een systeem genaamd DLP (Data Loss Prevention) te implementeren. Dit systeem voorkomt het lekken van specifieke data en maakt het mogelijk om de verzending en het kopiëren van vertrouwelijke informatie te blokkeren.

DLP houdt voortdurend toezicht op de ingevoerde data en heeft de functie om automatisch vertrouwelijke en belangrijke informatie te identificeren en te beschermen. Wanneer DLP gevoelige informatie detecteert, kan het systeem waarschuwingen geven of de actie blokkeren. Het maakt het mogelijk om interne informatielekken te voorkomen met beheersbare kosten, maar een geavanceerd begrip van beveiligingssystemen is vereist. Voor bedrijven zonder technische afdeling kan de soepele implementatie ervan een uitdaging zijn.

Overweging van de implementatie van gespecialiseerde tools

Sinds maart 2023 (Reiwa 5) is het mogelijk geworden om met behulp van de API (een afkorting voor ‘Application Programming Interface’, een interface die software, programma’s en webdiensten met elkaar verbindt) het lekken van gegevens die naar ChatGPT zijn verzonden, te voorkomen.

Hoewel gegevens die via de API worden verzonden niet worden gebruikt voor leren of verbetering, worden ze voor ‘monitoring om misbruik of verkeerd gebruik te voorkomen’ 30 dagen bewaard en daarna verwijderd volgens de nieuwe opslagvoorwaarden. Het is echter mogelijk dat de bewaartermijn van de gegevens wordt verlengd in geval van een ‘juridische aanvraag’.

Zelfs als u ChatGPT instelt om het niet voor leren of verbetering te gebruiken, worden de gegevens voor een bepaalde periode op de server opgeslagen, dus in theorie bestaat er een risico op informatielekken. Daarom is het noodzakelijk om voorzichtig te zijn bij het invoeren van vertrouwelijke informatie of persoonsgegevens.

Desalniettemin hecht OpenAI veel waarde aan de privacy van gebruikers en de veiligheid van hun gegevens en heeft strenge beveiligingsmaatregelen getroffen. Als u de dienst veiliger wilt gebruiken, wordt aanbevolen om ‘Azure OpenAI Service’ te implementeren, een tool die geavanceerde beveiligingsmaatregelen mogelijk maakt.

De ‘Azure OpenAI Service’, een tool die speciaal is ontworpen voor bedrijven, verzamelt geen gegevens die via de API naar ChatGPT zijn ingevoerd. Bovendien, als u zich afmeldt en uw aanvraag wordt goedgekeurd, kunt u in principe de 30 dagen bewaring en monitoring van invoergegevens weigeren, waardoor u het risico op informatielekken kunt vermijden.

Hoe u ervoor kunt zorgen dat ChatGPT geen gevoelige informatie leert die u invoert

Zoals eerder vermeld, leert ChatGPT alle content die is ingevoerd via opt-in, maar vanaf 25 april 2023 (2023年4月25日) is er een functie beschikbaar waarmee u vooraf kunt kiezen voor opt-out.

Als directe voorzorgsmaatregel moet u een ‘opt-out’ aanvraag indienen als u niet wilt dat de gegevens die u in ChatGPT invoert worden gebruikt voor leren of verbetering. ChatGPT heeft een Google-formulier voor ‘opt-out’ beschikbaar, dus het is aan te raden om deze procedure zeker te volgen. (Voer uw e-mailadres, organisatie-ID en organisatienaam in en verzend deze)

Echter, zelfs in dit geval, zal OpenAI de ingevoerde gegevens voor een bepaalde periode (in principe 30 dagen) monitoren en worden ze op de server opgeslagen.

Gebruiksvoorwaarden van ChatGPT

3. Inhoud

(c) Gebruik van inhoud om de dienst te verbeteren

Wij gebruiken geen inhoud die u aan onze API levert of van onze API ontvangt (“API-inhoud”) om onze diensten te ontwikkelen of te verbeteren.

Wij kunnen inhoud van diensten die niet onze API zijn (“Niet-API-inhoud”) gebruiken om onze diensten te ontwikkelen en te verbeteren.

Als u niet wilt dat uw Niet-API-inhoud wordt gebruikt om diensten te verbeteren, kunt u zich afmelden door dit formulier in te vullen. Let op dat dit in sommige gevallen de mogelijkheid van onze diensten kan beperken om uw specifieke gebruikssituatie beter aan te pakken.

Referentie: Officiële website van OpenAI | Gebruiksvoorwaarden van ChatGPT https://openai.com/policies/terms-of-use

Samenvatting: Essentiële maatregelen voor het gebruik van ChatGPT in het bedrijfsleven met betrekking tot de behandeling van vertrouwelijke informatie

Hierboven heb ik de risico’s van het lekken van vertrouwelijke informatie en de maatregelen die genomen moeten worden bij het gebruik van ChatGPT in het bedrijfsleven besproken, met voorbeelden ter illustratie.

Bij het gebruik van snel evoluerende AI in het bedrijfsleven, zoals ChatGPT, is het onmisbaar om samen met experts maatregelen te treffen. Dit omvat het opstellen van richtlijnen voor intern gebruik, het beoordelen van de wettigheid van het bedrijfsmodel, het opstellen van contracten en gebruiksvoorwaarden, het beschermen van intellectuele eigendomsrechten en het omgaan met privacykwesties.

Gerelateerd artikel: Wat is de wetgeving rondom Web3? Uitleg over de belangrijkste punten voor bedrijven die de markt betreden[ja]

Maatregelen van ons kantoor

Monolith Advocatenkantoor is een juridische firma met uitgebreide ervaring in IT, en in het bijzonder op het gebied van internet en recht. De AI-business brengt vele juridische risico’s met zich mee, en de ondersteuning van een advocaat die gespecialiseerd is in juridische kwesties rondom AI is onontbeerlijk.

Ons kantoor biedt geavanceerde juridische ondersteuning voor AI-business, inclusief ChatGPT, door een team van AI-geïnformeerde advocaten en ingenieurs. We verzorgen contractopstelling, beoordeling van de wettelijkheid van bedrijfsmodellen, bescherming van intellectuele eigendomsrechten en privacykwesties. Meer details vindt u in het onderstaande artikel.

Expertisegebieden van Monolith Advocatenkantoor: AI (zoals ChatGPT) juridische zaken[ja]