Waarschuwing: privacy in gevaar bij AI-software Microsoft 365
Gepubliceerd: 6 January 2025 • Leestijd: 2 minuten en 38 seconden • NieuwsMaak geen gebruik van Copilot, adviseert ict-organisatie SURF. De AI-assistent van Microsoft 365 zou de privacy van studenten, docenten en onderzoekers in gevaar brengen.
In programma’s als Word, Excel en Outlook kun je tegenwoordig gebruikmaken van een AI-programma: Copilot. Het helpt bijvoorbeeld bij analyses en presentaties of bij het formuleren van e-mails.
Tenminste, als onderwijsinstellingen het gebruik van deze AI-functie toestaan. Dat zouden ze niet moeten doen, vindt SURF, de ict-coöperatie van Nederlandse onderwijs- en onderzoeksinstellingen. Afgelopen maand bracht de organisatie hierover een advies uit, na uitgebreid onderzoek en overleg met softwaregigant Microsoft.
Het gaat op twee manieren mis, blijkt uit het omvangrijke advies. De privacy van de gebruiker is wellicht in gevaar, maar daarnaast geeft Copilot ook weleens foutieve of onvolledige informatie over anderen.
Niet duidelijk wat Microsoft verzamelt
Bij die persoonlijke data gaat het niet alleen om pakweg iemands naam en werkgever, maar misschien ook om persoonlijke voorkeuren die Copilot verzamelt, zodat het kan helpen bij het schrijven van e-mails of het maken van een presentatie.
‘Het is niet duidelijk welke persoonsgegevens Microsoft verzamelt en bewaart over het gebruik van Microsoft 365 Copilot’, aldus SURF. Een verzoek om inzage helpt niet of nauwelijks. De gegevens die Microsoft dan verstrekt, zijn ‘onvolledig en onbegrijpelijk’.
Vertrouwen op onjuiste informatie
Maar het gaat ook over de persoonsgegevens die Copilot je voorschotelt als je meer wilt weten van bijvoorbeeld een bepaalde hoogleraar of politicus. De informatie kan zomaar onjuist of onvolledig zijn. Er is een risico dat gebruikers te veel vertrouwen op zulke onjuiste informatie, overweegt SURF.
Microsoft weet dit ook wel. ‘Sometimes Copilot will be right, other times usefully wrong — but it will always put you further ahead’, staat in een introductie. SURF betwijfelt dus of het wel altijd zo usefull is.
Stel dat medewerkers van universiteiten en hogescholen bij de selectie van nieuwe eerstejaars of bij de beoordeling van sollicitanten gebruikmaken van AI, dan kan dit voor problemen zorgen. Zelfs als onderwijsinstellingen Copilot willen toestaan, zouden ze misschien een uitzondering moeten maken voor bepaalde afdelingen.
Grote invloed techbedrijven
Kritiek op de grote techbedrijven en generatieve AI is zeker niet nieuw. De bedrijven zouden zich weinig aantrekken van intellectueel eigendom en privacy, is een van de verwijten. Ook zouden ze geen verantwoordelijkheid nemen voor de problemen die AI veroorzaakt. Het hoger onderwijs kan om dergelijke redenen schadeclaims indienen bij de makers van AI-programma’s, betoogde bijvoorbeeld internetpionier Marleen Stikker.
Maar het probleem van ict en privacy is ouder. Ruim vijf jaar geleden, ver voor de komst van generatieve AI, schreven de rectoren van universiteiten over de invloed van grote Amerikaanse techbedrijven op het onderwijs. ‘De student en de docent worden het product; de gegevens zijn niet langer van hen, van universiteit of van de hogeschool’, stelden ze.
De opslag van gegevens in de ‘cloud’ roept soortgelijke vragen op: wie heeft er toegang als alle gegevens op een Amerikaanse server staan? Onderzoekers van vijf universiteiten gaan samen een ‘cloud’ maken om onafhankelijk te worden van bedrijven als Google en Microsoft. De komende twee jaar kijken ze of het lukt.
HR staat alleen professional-versie Copilot toe
De Hogeschool Rotterdam staat gebruik van Copilot toe, lezen we op intranet Hint. Maar, legt chief information officer Anjo van Kelckhoven uit, het gaat daarbij om een andere variant: ‘Het onderzoek dat door SURF is uitgevoerd heeft betrekking op een specifieke variant van Copilot: Microsoft 365 Copilot. Dit is de versie die volledig geïntegreerd is met de Microsoft Office-producten (zoals Word, Excel, PowerPoint en Outlook). In die specifieke omgeving zijn de waarborgen voor privacy nog onvoldoende aantoonbaar volgens de opgestelde data protection impact assessment (DPIA).’
De Copilot-variant die Hogeschool Rotterdam gecontroleerd toestaat is de professional-versie van Copilot met Enterprise Data Protection, meldt Van Kelckhoven. ‘De risico’s die gelopen worden in Microsoft 365 Copilot zijn in deze variant niet van toepassing omdat de gebruiker zelf bepaalt welke informatie aan Copilot verstrekt wordt.’
Tekst: HOP, Bas Belleman
Beeld: Demian Janssen
In de lectoraten en kenniscentra hebben we – dankzij SURF, onze HR-ICT’ers en onze data steward van de dienst RPS – al een onafhankelijke cloud voor onderzoeksdata: HR/SURF Research Drive (die gebaseerd is op de open source software ownCloud). Dit systeem werkt al jaren heel goed, ook voor studenten die we betrekken bij onderzoeksprojecten. Het is functioneel gelijk aan – en ik zou zelfs zeggen: veel beter dan – Sharepoint/OneDrive en Google Drive.
Misschien moeten we als Hogeschool Rotterdam overwegen om van Research Drive ook een “Education Drive” te maken?
“‘Het is niet duidelijk welke persoonsgegevens Microsoft verzamelt en bewaart over het gebruik van Microsoft 365 Copilot’, aldus SURF. Een verzoek om inzage helpt niet of nauwelijks. De gegevens die Microsoft dan verstrekt, zijn ‘onvolledig en onbegrijpelijk’.”
Ga er dus maar vanuit dat ALLES wordt verzameld, getrianguleerd, geanalyseerd, etc,.; wat overigens al jaren gebeurd met alles wat we online doen, en natuurlijk ook met de toegestane versie (wie houden we in alle serieusheid voor de gek?).
Shoshana Zuboff gaf al een inkijkje in de mentaliteit van deze techgiganten met haar The Age of Surveillance Capitalism (2019); een alles behalve rooskleurig beeld dat ze schetst.