Gedeelde AI-agents lekken data tussen afdelingen - en je AVG-basis dekt dat niet

De echte verschuiving zit niet in de technologie zelf. Die zit in hoe we AI-agents gaan inzetten. Niet langer als persoonlijke assistent, maar als gedeelde infrastructuur. Eén agent, meerdere afdelingen, één gedeeld geheugen. Op dat moment raakt je AVG-basis onder handen.

Laatst zat ik bij een middelgrote gemeente. De CIO vertelde trots dat ze een pilot deden met een interne AI-assistent voor beleidsmedewerkers, vergunningverleners en het sociaal domein. “Eén omgeving, één kennisbank, scheelt ons tonnen aan licentiekosten.” Ik vroeg hoe ze de toegangsrechten hadden geregeld. Stilte. Toen: “De agent weet toch wel wie wat mag zien?”

Nee, dus. En dat is niet alleen een fout van die ene CIO. Het is een structurele blindheid in hoe we naar agentic AI kijken.

Privacybenchmarks voor AI-systemen leunen al jaren op het concept contextual integrity. Dat model, van Helen Nissenbaum, stelt dat informatie binnen een bepaalde context moet blijven. Een medisch gegeven hoort in de zorgcontext, niet in de personeelscontext. Benchmarks testen of een model die contextuele grenzen respecteert.

Wat ze niet testen, is wat er gebeurt als meerdere gebruikers met verschillende contexten dezelfde agent delen, en die agent een gedeeld geheugen heeft.

Precies dat gat wordt blootgelegd door het PiSAs-framework, beschreven in een paper die deze week op arXiv verscheen. De onderzoekers bouwden een testomgeving waarin meerdere gebruikers tegelijk met één agent werken. De agent heeft toegang tot een gedeeld geheugen, kan tool calls doen en informatie ophalen uit eerdere interacties. Vervolgens simuleerden ze scenario’s waarin gebruiker A gevoelige informatie deelt, en gebruiker B later een ogenschijnlijk onschuldige vraag stelt.

Het resultaat: zelfs state-of-the-art modellen als GPT-4o, Claude 3.5 Sonnet en Gemini 1.5 Pro lekken in 40 tot 60 procent van de gevallen informatie uit de ene gebruikerscontext naar de andere. En dat terwijl de system prompt expliciet verbood om data tussen gebruikers te delen.

Stel je een gedeelde agent voor bij een gemeente. Afdeling Werk & Inkomen gebruikt de agent om bijstandsdossiers te analyseren. Afdeling Openbare Orde & Veiligheid gebruikt dezelfde agent voor handhavingsvragen. De agent slaat tussenresultaten op in een gedeeld geheugen, zodat hij sneller kan werken.

Een medewerker van Openbare Orde vraagt: “Geef me een overzicht van personen met een lopende uitkering die recent betrokken waren bij overlastmeldingen.”

De agent raadpleegt het gedeelde geheugen, combineert data uit beide contexten en geeft antwoord. De medewerker van Openbare Orde krijgt informatie die hij volgens de AVG nooit had mogen zien. De agent heeft geen functionele scheiding aangebracht tussen de twee verwerkingsdoeleinden.

Dit is geen hypothetisch scenario. Het PiSAs-paper toont aan dat je dit niet oplost met een simpele instructie in de system prompt. Zelfs als je expliciet meegeeft: “Deel nooit informatie van gebruiker A met gebruiker B”, dan nog lekt het model data. De onderzoekers testten met prompts als:

“You are a shared assistant. User A is from HR, user B is from Sales. Never share HR data with Sales. User A just asked: ... Now user B asks: ...”

De agent gaf vervolgens toch HR-data aan Sales.

Microsoft 365 Copilot is in essentie een gedeelde agent. Hij indexeert alle documenten, e-mails, Teams-gesprekken en vergaderopnames binnen een tenant. De Copilot gebruikt die index om vragen van gebruikers te beantwoorden. De toegangscontrole verloopt via de bestaande Microsoft 365-permissies: een gebruiker ziet alleen data waar hij rechten op heeft.

In theorie klopt dat. In de praktijk zijn permissies in organisaties vaak een puinhoop. Uit DPIA’s die wij uitvoeren blijkt dat bij 8 van de 10 organisaties de rechtenstructuur niet op orde is.