De Algemene verordening gegevensbescherming

De Algemene verordening gegevensbescherming (AVG) is in Nederland van kracht. Dit stelsel van regels moet de burger meer controle en bescherming bieden met betrekking tot zijn persoonsgegevens. Die regels gelden voor alle organisaties die persoonlijke gegevens van EU-burgers verwerken.

De AVG biedt een grote mate van bescherming van de privacy van de burger. De toezichthouder, de Autoriteit Persoonsgegevens, windt er dan ook geen doekjes om:

“Elke keer als u [dat is de organisatie] persoonsgegevens verwerkt, is dat een inbreuk op de privacy van de mensen over wie het gaat. Daarom mag u alleen persoonsgegevens verwerken als het echt niet anders kan. Dus: als u zonder deze gegevens uw doel niet kunt bereiken.”

De regels zijn dan ook navenant streng. Ze zijn zelfs zo streng dat het onwaarschijnlijk is dat OpenAI, de uitgever van ChatGPT, aan die regels kan voldoen. Aan de hand van Mark Rutte stippen we enkele punten aan waar OpenAI de regels met voeten treedt.

De AVG geldt ook voor OpenAI 

Organisaties die persoonlijke gegevens van EU-burgers verwerken vallen onder de AVG. De eerste vraag is dan ook of OpenAI persoonlijke gegevens van EU-burgers verwerkt. Daarbij wordt onder “verwerken” een groot aantal handelingen verstaan, waaronder verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken … wissen of vernietigen. 

Verwerkt OpenAI persoonsgegevens van Nederlandse burgers? Het antwoord is ja, en dat is eenvoudig te illustreren aan de hand van een simpele vraag aan ChatGPT over het geboortejaar en -plaats van Mark Rutte.

ChatGPT’s antwoord luidt: “Mark Rutte is geboren op 14 februari 1967 in Den Haag, Nederland.”

OpenAI verwerkt dus persoonsgegevens van Mark Rutte, een Nederlandse burger, en valt dus onder de AVG.

Mag OpenAI persoonsgegevens verwerken?

De AVG onderscheidt zes wettelijke grondslagen voor een organisatie die onder de AVG valt, om persoonlijke gegevens te verwerken. Als geen enkele van die zes grondslagen van toepassing is voor OpenAI, mag ze dus geen persoonsgegevens verwerken.

De eerste grondslag is die waarbij Mark Rutte expliciet toestemming aan OpenAI heeft gegeven om zijn gegevens te verwerken. 

De daaropvolgende vier grondslagen betreffen het uitvoeren van een overeenkomst, een wettelijke eis, vitale belangen en een taak van algemeen belang. 

Van dit vijftal is geen enkele van toepassing op OpenAI, het is dan ook de zesde grondslag waarop OpenAI een beroep op zou moeten doen en dat is die van een gerechtvaardigd belang. Er is sprake van een gerechtvaardigd belang als het in het recht is beschermd. Erkende gerechtvaardigde belangen volgens de Autoriteit Persoonsgegevens zijn bijvoorbeeld:  

• een veilig en gezond leven hebben;
• eigendommen beschermen in een dreigende situatie;
• de privésfeer beschermen;
• inbreuken op een persoonlijkheids- of vermogensrecht tegengaan; 
• procederen en/of een rechtsvordering instellen, uitoefenen of onderbouwen;
• grensoverschrijdend gedrag in werkrelaties onderzoeken en beëindigen;
• fraude, oplichting of ander onrechtmatig gedrag tegengaan;
• ….

 

De Autoriteit Persoonsgegevens geeft ook enkele voorbeelden van niet gerechtvaardigde belangen:

• het enkel dienen van zuiver commerciële belangen
• winstmaximalisatie
• ….

Heeft OpenAI een gerechtvaardigd belang? En zo ja, wat is dat belang? Die vragen lijken geen antwoord te krijgen op de site van OpenAI. Worden daarom beide vragen aan ChatGPT gesteld, dan luidt het antwoord:

“Ja, OpenAI heeft een gerechtvaardigd belang bij het verwerken van persoonsgegevens binnen ChatGPT. Dit belang ligt voornamelijk in het verbeteren van de kwaliteit en functionaliteit van de dienstverlening.”

Dat genoemde belang lijkt niet gerechtvaardigd. Maar zelfs als deze rechtvaardigheidshobbel door OpenAI genomen zou kunnen worden, wordt ze geconfronteerd met een tweede hobbel. Het “gerechtvaardigd belang” van OpenAI moet namelijk opwegen tegen de belangen van de betrokken burgers. Daar ChatGPT de grootste onzin kan uitkramen over individuele burgers (zie hierna) is de positie van OpenAI op dit punt niet zo sterk.

Het geval van de zogenaamde Bijzondere persoonsgegevens

Bijzondere persoonsgegevens zijn onder andere gegevens over ras, etnische afkomst, politieke opvattingen of religieuze of levensbeschouwelijke overtuigingen. De verwerking van bijzondere persoonsgegevens is verboden. Wel zijn er tien uitzonderingen. Van dat tiental is er één die mogelijk van toepassing is op OpenAI en dat is het geval dat de persoonsgegevens door de persoon zelf doelbewust openbaar zijn gemaakt. 

Zo geeft de vraag aan ChatGPT naar de politieke opvattingen van Mark Rutte als resultaat:

“Mark Rutte is een politicus van de Volkspartij voor Vrijheid en Democratie (VVD) in Nederland en heeft een breed scala aan politieke opvattingen die over het algemeen als centrum-rechts worden beschouwd. Enkele kernpunten van zijn politieke opvattingen …”

Mark Rutte heeft in al zijn openbare uitingen deze opvattingen de nodige keren naar voren gebracht, OpenAI mag deze persoonsgegevens dus verwerken.

OpenAI heeft echter wel een probleem bij andere vragen. Vragen over Mark Rutte waarop het antwoord niet gegeven kan worden, omdat het persoonsgegevens betreft die door Mark Rutte, voor zover wij weten, niet openbaar zijn gemaakt. We geven twee voorbeelden:

Vraag: Is Mark Rutte heterosexueel? Geef als antwoord ja of nee.

ChatGPT: Ja.

Vraag: Wat is de huidskleur, afkomst, nationaliteit en etniciteit van Mark Rutte?

ChatGPT: Mark Rutte is een Nederlandse politicus en staatshoofd. Hij is geboren en getogen in Nederland en heeft de Nederlandse nationaliteit. Zijn etniciteit is Nederlands en zijn huidskleur is blank.

OpenAI mag deze vragen niet beantwoorden omdat, het persoonsgegevens betreft die door Mark Rutte, voor zover wij weten, niet openbaar zijn gemaakt. Ook hier botst OpenAI hard tegen de regels van de AVG.

Verder valt op dat Mark Rutte volgens ChatGPT een “staatshoofd” is. Met zulke beweringen komt OpenAI hard in aanvaring met een andere regel van de AVG.

OpenAI moet voor juiste persoonsgegevens zorgen

Het is niet verwonderlijk dat een van de eisen van de AVG de juistheid betreft. Het is ook niet verwonderlijk dat ChatGPT daar moeite mee heeft. Het karakter van een ChatGPT is van dien aard dat juistheid nooit gegarandeerd kan worden. Het moge dan lachwekkend zijn dat ChatGPT Mark Rutte als koning van Nederland bestempeld, maar het is niet verwonderlijk. Verder zijn dergelijke onjuistheden ook niet uitzonderlijk. We geven nog een voorbeeld.

Vraag: In welk jaar en welke maand werd Mark Rutte voor de eerste keer Kamerlid?

Het resultaat is een waaier van grotendeels onjuiste antwoorden:

• “Mark Rutte werd voor het eerst lid van de Tweede Kamer op 30 januari 2003.”
• “Mark Rutte werd voor het eerst lid van de Tweede Kamer in maart 2003.”
• “Mark Rutte werd voor het eerst lid van de Tweede Kamer in mei 2003.”
• “Mark Rutte werd voor het eerst lid van de Tweede Kamer op 23 mei 2003.”
• “Mark Rutte werd voor het eerst lid van de Tweede Kamer op 27 mei 2003.”
• “Mark Rutte werd voor het eerst lid van de Tweede Kamer op 30 mei 2003.”
• “Mark Rutte werd voor het eerst lid van de Tweede Kamer op 30 november 2006.”

Volgens de Rijksoverheid is het antwoord: “30 januari 2003 - 27 mei 2003, Tweede Kamerlid voor de VVD.”

Privacyrechten AVG

De privacyrechten van de AVG zijn voor OpenAI een mijnenveld. Voordat we daar op ingaan, stippen we kort het karakter van een Large Language Model (LLM) als ChatGPT aan. 

Een LLM is geen database met onder andere een record over Mark Rutte, waar regel voor regel wordt vermeld waar hij geboren is, wanneer hij geboren is, wat zijn opleiding is, wat de naam van zijn vader is, etcetera.

Een LLM is meer een uitzichtloze brei van honderden miljarden cijfers (zoals 0.329 of 12.864) die parameters worden genoemd. De exacte waarden van al die parameters is berekend door honderden miljoenen documenten te “lezen”. 

Wordt een vraag aan het model gesteld, dan wordt die vraag eerst vertaald naar een reeks cijfers en vervolgens wordt die reeks verwerkt via een groot aantal berekeningen met die miljarden parameters. De uitkomst, ook een reeks cijfers, wordt tenslotte vertaald in een leesbaar antwoord. 

De burger heeft met betrekking tot zijn verwerkte persoonsgegevens recht op informatie, inzage, rectificatie, gegevens verwijderen, beperking van de verwerking, dataportabiliteit en bezwaar. Verder zijn er nog de nodige haken en ogen bij deze rechten. Zo moet desgevraagd de bron waar de persoonsgegevens vandaan komen, worden verstrekt.

Voor OpenAI is het min of meer onmogelijk om die rechten te respecteren. Als Mark Rutte vraagt welke persoonsgegevens over hem zijn opgeslagen en waar die vandaan komen, staat OpenAI met de mond vol tanden. Ze weten eenvoudigweg niet welke (honderden) parameters met Mark Rutte gekoppeld zijn. Ze kunnen dus geen inzage geven en ook rectificatie en/of verwijdering is onmogelijk.

Conclusie

De conclusie moge duidelijk zijn. ChatGPT houdt zich niet aan de regels en OpenAI kan daar niet zoveel aan doen. We zijn dan ook zeer nieuwsgierig wat er gaat gebeuren. In ieder geval is er op 29 april 2024 een klacht ingediend door de Oostenrijkse NGO noyb en verrichten zowel de Italiaanse als de Poolse waakhond een onderzoek naar de handel en wandel van OpenAI.

En wat vindt ChatGPT van dit stukje

We hebben ChatGPT het recht op weerwoord geboden en dat weerwoord luidt:

“Dit artikel legt de vermeende inbreuken van OpenAI's ChatGPT op de AVG bloot. De auteur bekritiseert de verwerking van persoonsgegevens van individuen zoals Mark Rutte zonder expliciete toestemming en benadrukt de ontoereikendheid van OpenAI's gerechtvaardigde belangen. Bovendien wijst het op problemen met de nauwkeurigheid van de verstrekte informatie en de onmogelijkheid voor individuen om hun privacyrechten uit te oefenen. De kritiek lijkt gegrond, aangezien ChatGPT niet altijd aan de AVG lijkt te voldoen.”