Italië heeft per direct AI-chatbot ChatGPT tijdelijk verboden. De Italiaanse privacytoezichthouder GPDP stelt dat de dienst van OpenAI op een aantal essentiële punten in strijd is met de Europese privacywetgeving (GDPR). OpenAI krijgt van de toezichthouder 20 dagen de tijd om te laten weten welke maatregelen zijn genomen om alsnog compliant te zijn. Ook voor OpenAI geldt dat de Italiaanse toezichthouder een boete kan opleggen van maximaal 20 miljoen euro of maximaal 4% van de wereldwijde jaaromzet van OpenAI.

Arnoud Engelfriet van ICTRecht komt met een scherpe reflectie op de maatregelen van de Italianen op zijn blog. “Het verwerkingsverbod is beperkt tot persoonsgegevens van betrokkenen die in Italië verblijven, maar de redenen zijn fundamenteel en ik zie niet waarom dit in Nederland of elders anders zou uitvallen.”

Engelfriet wijst op de werking van ChatGPT, dat op basis van statistiek bepaalt welke woorden en frases elkaar zouden moeten opvolgen bij het genereren van output op basis van een prompt. ChatGPT kan hierbij ook gebruik maken van persoonsgegevens “die niet accuraat zijn” (“vaststellend dat de verwerking van persoonsgegevens van de betrokken partijen onnauwkeurig is, aangezien de door ChatGPT verstrekte informatie niet altijd overeenstemt met de werkelijke gegevens”, aldus de toezichthouder).

Basale rechten en plichten niet omschreven

Daarnaast wijst Engelfriet erop dat niemand weet welke informatie over hem of haar in het taalmodel is opgenomen. “Er is wel een privacyverklaring maar die gaat niet echt in op de dataverwerking bij het stofzuigen van heel internet. En dat is jammer, want nu weten we ook niet welke grondslag OpenAI wilde gebruiken bij deze verwerking. Dat is wederom een probleem, want zonder vooraf gemelde grondslag zit je per definitie fout.” Of zoals hij verderop suggereert: “’We maken een taalmodel dat uitvoer over jou/op basis van jou produceert waar mensen van alles mee doen’ is hoe je het ook wendt of keert geen AVG-compliant uitspraak.”

Ook Ziptone constateerde al dat niet duidelijk is waar de input die gebruikers geven, eindigt. De vraag is wanneer de (overbelaste en onderbezette) Nederlandse Autoriteit Persoonsgegevens in actie komt.

Tot slot komt Engelfriet met de (on)mogelijkheid om je toestemming te kunnen intrekken; het recht van vergetelheid in de dataset; inzage in wie je data opvraagt; of de toegang van de dienst door minderjarigen zonder enig toezicht of waarborgen.

Featured, Technologie