Italiaanse privacywaakhond: ChatGPT overtreedt Europese privacywetgeving

De Italiaanse privacywaakhond heeft OpenAI ervan op de hoogte gesteld dat het bedrijf wordt verdacht van privacyschending. Er zou bijvoorbeeld geen juridische basis zijn voor het verzamelen van persoonsgegevens voor het trainen van de chatbotalgoritmes.

De toezichthouder, Garante per la protezione dei dati personali, heeft voorlopige conclusies naar buiten gebracht in een onderzoek naar de naleving van de Europese privacywetgeving door OpenAI. De conceptbevindingen van het onderzoek zijn niet publiekelijk bekendgemaakt. OpenAI krijgt 30 dagen de tijd om zich te verdedigen tegen de beschuldigingen. Als uiteindelijk blijkt dat OpenAI zich niet aan de privacywetgeving heeft gehouden, kan het bedrijf boetes krijgen tot 4 procent van de jaaromzet. Volgens eerdere berichtgeving van The Information genereert OpenAI jaarlijks ongeveer 1,6 miljard dollar aan omzet.

Eerder verbood Italië het gebruik van ChatGPT in het land voor korte tijd. Ook toen was de toezichthouder niet te spreken over de manier waarop OpenAI persoonsgegevens verwerkt. Daarnaast zou de tool de neiging hebben om onnauwkeurige informatie te produceren over individuen en een gevaar zijn voor kinderen. De chatbot werd na ongeveer een maand weer toegestaan. De Italiaanse privacywaakhond was toen, naar eigen zeggen, tevreden over de door OpenAI doorgevoerde veranderingen.

Reacties (44)

[Ralph84]

Hartstikke leuk allemaal, maar laat de EU-burgers zelf bepalen over hun privacygegevens en met wie ze hun data willen delen in plaats dat de EU dat voor mij bepaald.

[Blokker_1999]

Dat is net heel het doel van de privacy wetgeving, Dat jij dat recht krijgt. Voorheen konden bedrijven met je data doen wat ze wensten, en daar is niet iedereen gelukkig mee. Sommige mensen geven echt nog wel om hun privacy.

[Ralph84]

Ja alleen wordt er bij de EU soms bepaald welke software jij wel en niet mag ontvangen zoals Copilot en andere tools

[DJ Henk]

Ja alleen wordt er bij de EU soms bepaald welke software jij wel en niet mag ontvangen zoals Copilot en andere tools

Dat is een mooie omdraaiiing. Het is niet de EU die bepaalt of jij wel of niet CoPilot mag ontvangen, het is Microsoft die bepaalt of ze CoPilot aan wettelijke eisen laten voldoen of niet. Als ze daar te lamlendig voor zijn mag het inderdaad de markt niet op. Dat lijkt me volstrekt normaal.

[Ralph84]

Prima maar laat mij zelf dat bepalen welke privacy wetten ik wil toepassen op mijn data. Ik wil juist bijvoorbeeld Copilot gebruiken om makkelijker bij miijn document te komen. Liever zou ik een AI software op mijn pc hebben zonder dat er een extrerne server voor nodig is maar dat gaat nog wel even duren voordaat we dat gaan krijgen.

[do_sch]

dat zou een goed punt zijn als privacy een privé aangelegenheid was. Maar privacy is een groepsding. Het gaat niet alleen om jou. Het gaat om wat voor samenleving we met z'n allen in leven en jouw keuzes hebben gevolgen voor anderen. Daarom zijn er wetten die voor ons allen gelden en rechten die ons allen gelijk beschermen.

En deze mensen kunnen dat 1000x beter uitleggen dan ik:
https://link.springer.com/book/10.1007/978-3-319-46608-8

[Reactie gewijzigd door do_sch op 23 juli 2024 22:12]

[Mickelimic]

Precies. Ik vind het ook heel vervelend dat door alle Europese privacywetgeving wij nu minder snel toegang krijgen tot de laatste AI snufjes als Bard en Copilot, terwijl ik geen enkel probleem heb met gepersonaliseerde advertenties. Laat de mensen vrij om afstand te doen van hun recht op privacy en laat bedrijven het recht om te zeggen: dit product is niet compliant met GDPR, te nemen of te laten.

[Aldy]

Waar heb jij problemen mee? Copilot is vanaf dag één gewoon in Nederland te installeren. Dus als jij je privacy niet belangrijk vindt kun je dit gewoon gebruiken.

[PaulHelper]

Volgens mij gaat dit over het geïntegreerde copiloot stuk in Windows. Ik heb dat zelf namelijk ook willen proberen. Dat ging exact niet, vanwege regio waar ik in zit. Via VPN kan je dit volgens mij omzeilen. (Dat is alleen niet handig het want voor alles een VPN via VS te laten lopen zorgt niet voor een snelle roundtrip en daarnaast krijg je mogelijk verkeerde content van sites of kun je bijv niet op Nederlandse streamingsdiensten. Nou gebruik ik wel altijd al een VPN maar dan in Nederland, wel anoniem maar niet foute regio maar dat allemaal terzijde.)

[Aldy]

Misschien helpt dit:
"Gelukkig is er een workaround om deze app alsnog te openen! Dit gaat als
volgt: open het uitvoervenster (met de toetscombinatie Win-R) en geef het
commando microsoft-edge://?ux=copilot&tcp=1&source=taskbar (of
nog makkelijker: maak een snelkoppeling aan door met rechts op het bu-
reaublad te klikken, optie Nieuw, optie Snelkoppeling, vul het commando
in en geef in het volgende scherm de naam Copilot op). Veel plezier met ex-
perimenteren door vragen te stellen (zoals 'Kan je de donkere modus inscha-
kelen?' en 'Kan je instellingen openen?')!"
Bron: SchoonePC

[markwiering]

Er zou bijvoorbeeld geen juridische basis zijn voor het verzamelen van persoonsgegevens voor het trainen van de chatbotalgoritmes.

Ja, die is er wel. Als jij een account aanmaakt bij OpenAI moet jij akkoord gaan met hun privaatheidsbeleid. Daarin staat duidelijk vermeld dat hun dienst persoonsgegevens van jou verzamelt in de vorm van jouw teksten aan ChatGPT, bestanden die jij toezendt en de terugkoppeling die jij geeft op de antwoorden van ChatGPT. Als gebruiker geef jij hier dus expliciet toestemming voor. Dat is een voorwaarde om een account te mogen hebben bij OpenAI.

Als jij hier als gebruiker toestemming voor geeft (en die geef jij ook als jij een account aanmaakt bij OpenAI), dan mag OpenAI alle informatie verzamelen die jij aan hun slimme chatprogramma (ChatGPT) geeft.

[Reactie gewijzigd door markwiering op 23 juli 2024 22:12]

[Paultje3181]

Dat zij het in hun voorwaarden hebben staan, wil niet zeggen dat het rechtsgeldig is. ChatGPT gebruiken zonder te accepteren is niet mogelijk.
Wettelijk zou je die passage eruit kunnen halen en met banners, enquêtes etc mensen kunnen motiveren om hun gegevens te delen middels een setting. Niet iets wat default aan staat en zeker niet iets wat je niet eens uit kunt zetten

[markwiering]

ChatGPT gebruiken zonder te accepteren is niet mogelijk.

Jij bent niet verplicht om ChatGPT te gebruiken. Het gebruik van ChatGPT is geen basisrecht. Als jij jou niet kunt vinden in de voorwaarden van het gebruik van ChatGPT, dan maak jij geen account aan. Dan gebruik jij het niet. Dan komt OpenAI ook niet aan jouw persoonsgegevens. Die keuze is helemaal aan jou, als gebruiker.

Wettelijk zou je die passage eruit kunnen halen en met banners, enquêtes etc mensen kunnen motiveren om hun gegevens te delen middels een setting.

Dat is een mogelijkheid, maar een bedrijf is niet verplicht om het op die manier te organiseren. Een bedrijf kan ook zeggen: "Onze dienst verzamelt jouw persoonsgegevens in de vorm van [...]. Voordat jij gebruik mag maken van onze dienst, moet jij hier expliciet mee akkoord aan. Als jij niet akkoord gaat, mag jij onze dienst niet gebruiken."

Dat doen bijna alle bedrijven ook. Als jij een programma installeert, is er bijna altijd een superlange licentieovereenkomst waar jij mee akkoord moet gaat voordat jij het kunt installeren. Als jij klikt op "Niet akkoord", sluit het installatieprogramma zich af.

Niet iets wat default aan staat en zeker niet iets wat je niet eens uit kunt zetten

Jij kunt het uitzetten door ChatGPT te sluiten en niet meer te gebruiken. Jij weet namelijk dat ChatGPT alle informatie verzamelt die jij aan dit programma geeft. Jij weet dat jij daarmee akkoord gegaan bent toen jij een account aanmaakte. De keuze is dus heel simpel: ChatGPT gebruiken en accepteren dat jouw gegevens verzameld worden, of gewoon niet gebruiken. Als jij ChatGPT niet gebruikt, komt OpenAI ook niet aan jouw gegevens.

[bw_van_manen]

Volgens mij gaat die quote meer over de persoonsgegevens die OpenAI van allerlei andere websites gehaald heeft bij het verzamelen van data om hun model mee te trainen. Ze hebben bijvoorbeeld data van Marktplaats getrokken, maar geen Marktplaats gebruiker heeft akkoord gegeven dat z'n advertenties gebruikt mogen worden voor het trainen van A.I.. Nu zijn er naast toestemming nog andere opties voor een juridische basis, maar kennelijk heeft OpenAI dit niet voldoende uit kunnen leggen naar de gebruikers en de toezichthouder.

[aliberto]

Gaan we dan hetzelfde krijgen als met Google en Consumentenbond? Dat er een No-Cure, No-Pay zaak komt en hopen dat de zaak hopelijk gewonnen zal worden. Iedereen kan hieraan meedoen. Mocht de Consumentenbond de zaak winnen dan kan je kans maken op €750 per individu.

[Reactie gewijzigd door aliberto op 23 juli 2024 22:12]

[Bender]

Ik vind dit soort dingen vaak een slechte zaak.

Mensen doen zelden mee omdat ze oprecht achter iets staan, mensen doen mee alsof het een lotterij is omdat ze misschien kunnen winnen.

Dit soort 'no-cure no-pay' zaken zet alleen maar de deur open naar Amerikaanse praktijken, dat heeft niks met het halen van recht te maken.

Edit:
Ondertussen maakt de Consumentenbond gebruik van Facebook pixel tracking en Google Tag Manager, Youtube wordt ingeladen, Amazon hosting.. hoe hypocriet wil je het hebben...

[Reactie gewijzigd door Bender op 23 juli 2024 22:12]

[m4ikel]

En wat is er 'fout' aan Amerikaanse praktijken? Deze bedrijven zijn super machtig en procederen of lobbyen iedereen die kritiek heeft kapot. Hier sta je als consument helemaal met lege handen, schade is bijna nooit te bewijzen (immaterieel) en de boetes heb je als consument helemaal niks aan. In feiten ben je het handelswaar van de overheid.

Edit: Komt bij: als consument heb je het risico van een rechtszaak (veroordeling van proceskosten), daar draait een Google of Microsoft zijn hand niet voor om. Kortom: het Europees recht, mag wel eens wat soepeler omgaan met schadevergoedingen.

[Reactie gewijzigd door m4ikel op 23 juli 2024 22:12]

[Bender]

No-cure No-pay zorgt er voor dat er massa's rechtzaken opgestart kunnen worden omdat het toch niks kost voor de klagende partij.
Echter voor de aangeklaagde partij (geen idee of dat het de juiste term is) wil zeggen dat er enorme kosten gemaakt moeten worden aan advocaten.

Dit terwijl er mogelijk helemaal geen zaak is, er helemaal geen recht te behalen valt, maar toch kan een bedrijf of persoon in gigantische kosten getrokken worden.
En wie worden er beter van... de advocaten....


(nee, ik heb niks tegen advocaten, ik heb iets tegen deze manier van werken)

[wiezalditzijn]

No-cure No-pay zorgt er voor dat er massa's rechtzaken opgestart kunnen worden omdat het toch niks kost voor de klagende partij.

Het kost zeker wel geld, alleen als consument zie je dat niet. De Consumentenbond, of welke organisatie ook die namens de consument de rechtszaak start, die betalen een voorschot. Die zullen wel degelijk goed advies inwinnen en berekeningen doen wat hun kans van slagen is. Daarom krijgen zij ook een deel van de opbrengst áls er gewonnen worden. Verliezen ze, dan betalen zij alle kosten.

Ik vind deze massa claims juist goed, gezien je nu als consument je kracht kan bundelen. Probeer Google maar eens in je eentje aan te klagen. Dat is niet te doen.

[Blokker_1999]

In Amerika zijn dat ondertussen sleepnetpraktijken geworden. Iets kan daar een class action lawsuit worden? Dan staan advocatenkantoren te springen om die zaak binnen te halen met een no cure, no pay scenario want daar valt voor hen heel veel geld mee te verdienen. 1 zo een zaak winnen kan heel je jaar goedmaken als klein kantoor, zeker in de VS waar de schadevergoeding kan oplopen in de honderden miljoenen en je bij winst al snel 15% of meer opstrijkt van die vergoeding.

Daarnaast zie je in de VS heel veel advocaten die gewoon ambulancejargers zijn. Voor het minste je aansporen om een klacht in te dienen en dat allemaal onder no cure, no pay want hun claims zijn vaak absurd hoog en de marge die zij er van opeisen bij jouw als je wint is al even absurd.

Om nog maar te zwijgen over de reclamecampgnes die je daar overal ziet om toch maar zoveel mogelijk clienten aan te trekken. Neen, dat moet je hier echt niet wensen.

[Bender]

Het kost de consument geen geld, ook hier kost het de consument geen geld.

[The Realone]

Amerikaanse praktijken wil je niet, want ze zijn er daardoor als de dood voor elke vorm van litigation en dat merk je eigenlijk bij alles wel in het dagelijks leven.

[Wouterie]

Tja, het werkt twee kanten op. Mensen delen vaak ook niet bewust de data waar bedrijven vervolgens geld mee verdienen. Als dan die bedrijven zich niet houden aan de wetgeving, dan kunnen mensen ook net zo 'gemotiveerd' mee doen in de hoop wat gratis geld te krijgen.
Het heeft wel degelijk te maken met recht, maar om nou te spreken van echt schade etc, dat gaat wat ver. Het blijft misbruik, of het nou pijn doet of niet.

[Dark Angel 58]

Waarom slechte zaak? OMDAT bijvoorbeeld Google zijn fout niet ervan leert...
Ik vind het wel een goede zaak als we Google kaal kunnen plukken

Als je een iemand privacy van Google plukt, maar het is geen privacy meer... want iemands data is bij Google bekend, dus misschien al openbaar gemaakt... dan is iemands privacy waardeloos geworden.

Dus ik vind heel heel heel erg redelijk dat we Google 1 miljoen euro of dollar boete per gebruiker van totale gebruikersbestand moeten geven
Ja inderdaad Google... dat betekent een killing blow voor je bedrijf.

[Reactie gewijzigd door Dark Angel 58 op 23 juli 2024 22:12]

[Bender]

Waarom?
Zoals ik al uitleg, ook al heb je er geen schade aan geleden dan kun je talloze rechtzaken gaan beginnen tegen bedrijven.
Je gaat een lotterij starten waarbij de ene keer wat wint, de andere keer niet..

En wie harken het meeste geld binnen, de advocaten.

Bedenken dat je "Google kaal kunnen plukken" is kortzichtig en dan zie je het grotere probleem van deze situaties niet.

[dimdek]

Aan de andere kant komen consumenten er altijd erg slecht vanaf als grote ondernemingen de regels aan hun laars lappen. Terwijl de consument zijn persoonsgegevens kwijtraakt of veel meer geld heeft betaald vanwege concurrentievervalsing hoeft de onderneming alleen een boete te betalen aan een controlerende instantie. De consument is dan vrij om zelf een schadevergoeding te gaan eisen. In de regel is dat onbegonnen werk omdat het aantonen van de schade uit op te vragen data onbegonnen werk is. In zo'n geval is het belangrijk dat er consumentenorganisaties zijn waarbij je je kunt aansluiten om een vergoeding te krijgen voor de schade die je hebt geleden. Vakbonden hebben op die manier ook hun nut voor veel mensen die er anders heel bekaaid vanaf zouden komen.
Overigens is dat onrecht er op alle fronten. Ik heb te maken gehad met een pyromaan. Met veel moeite heb ik de politie kunnen bewegen om een onderzoek in te stellen. Dat heeft uiteindelijk geleid tot een strafzaak met veroordeling. Ondanks alle tijd en energie die ik daarin heb moeten steken betekent dat niet dat ik dan een schadevergoeding krijg. Het betekent alleen dat ik dan ook een rechtszaak voor een schadevergoeding zou kunnen starten op eigen kosten.
Kortom ik ben een groot voorstander van consumentenclaims.

[Nimac91]

Ik had ooit zo'n zaak via de consumentenbond gedaan voor Airbnb. Die was blijkbaar gewonnen maar heb het geld nooit gezien...

[Goldwing1973]

Dan zal de opbrengst wel lager (of gelijk) geweest zijn aan de kosten van rechtszaak gemaakt door de consumentenbond.
Ik meen mij te herinneren dat in de kleine lettertjes van de consumentenbond staat dat ze uitkeren na aftrek kosten (wat ook wel logisch is, anders kost het de consumentenbond altijd alleen maar geld).

[Robby517]

Of zoals TestAankoop in Belgie in de Cambridge Analitica zaak tegen Facebook?

Honderden euro's per persoon beloven in de hoop zo veel mogelijk handtekeningen te verzamelen en dan schikken met Facebook, als organisatie een mooi bedrag krijgen voor de schikking en dan aan de mensen die intekenden een trial abonnement op hun magazine geven...

[HansvDr]

VPN naar de Verenigde Staten zodra er teveel beperkingen komen.

[matthew2300]

Zal mij niks verbazen als er ergens een belang van een Italiaans bedrijf knel zit en zij de waakhond zo gek hebben gekregen om er mee aan de slag te gaan. Italianen hebben net als bv fransen soms hele rare redenaties

[Ossebol]

Het gaat om de Italiaanse waakhond. Overigens prijs ik me gelukkig dat er tenminste één instantie is die zich zorgen maakt om het gevaar van datagraaien voor de privacy.

[Nimac91]

Data wat openbaar online staat is geen privacy schending. Ik denk dat veel mensen vergeten dat privacy schending enkel betrekt wanneer er niet goed wordt omgegaan met verborgen data.

ChatGPT is getraind op basis van informatie wat online gewoon te vinden is. Ook prive data van mensen die al openbaar staan. Het is hierom ook op geen enkele wijze privacy schending. Als jij niet wilt dat ik jou adres gegevens heb, dan moet je er ook daadwerkelijk zelf voor zorgen dat op alle 200 websites waar jij een account hebt deze info niet openbaar te zien is. Heb je je ooit in 2007 voor een forum aangemeld waar je nog een account hebt staan wat je bent vergeten is en blijft dat jou eigen verantwoordelijkheid.

Tevens één van de redenen waarom ik de KVK niet zo fijn vindt. Ik mag mijn adres gegevens niet afschermen als ZZP'er omdat ik mijn woonadres als postpunt gebruik. Maargoed, ik moet daardoor accepteren dat ik vindtbaar ben online of ik moet een hoog bedrag betalen om een postpunt te gebruiken en een obstakel voor mezelf maken.

Tevens is het nog maar de vraag of ChatGPT deze persoonlijke data werkelijk "gebruikt" of slechts inleest.

[TrickySjrd]

Data wat openbaar online staat is geen privacy schending.

Het verwerken van openbare informatie kan wel een schending zijn. Zie
https://www.autoriteitper...evens-in-openbare-bronnen

[Blokker_1999]

En daar ben je fout in. Van zodra jij persoonlijke informatie wenst te verwerken moet je daar een goede reden voor hebben en vaak ook gewoon toestemming van de persoon op wie de gegevens slaan. Het is niet omdat ik zelf iets publiceer op een openbare plaats, dat jij die data als bedrijf daarom mag opnemen in jouw databank en mag verwerken.

Jouw voorbeeld van een vergeten forumaccount is trouwens net een heel belangrijk voorbeeld van waarom de wetgever zulke dingen niet toestaat, alsook dat er daarnaast soms gewoon een wettelijke verplichting is om informatie te delen. En ook je voorbeeld van ZZPers is daarom een heel goede reden waarom de wetgeving dus niet toestaat dat andere bedrijven die informatie verwerken zonder dat zij de betreffende persoon om toestemming hebben gevraagd en die ook hebben gekregen.

En men gaat geen data inlezen om ze niet te gebruiken bij het trainen van het model.

[WillySis]

De andere privacy waakhonden kunnen zich eenvoudig bij de Italiaanse waakhond aansluiten. Als er geen specifieke Italiaanse wet aan de AVG is toegevoegd treden ze sowieso namens alle landen op.

[svennd]

Hoe dacht je dat GDPR er kwam ? Er zijn wel meerdere instanties die zich zorgen maken over privacy. Of OpenAI nu het grootste gevaar is dat is een andere zaak...

[watercoolertje]

Ah ja innovatie en gemak

Ja maar ten kosten van privacy, die context laat je natuurlijk weg want dan lijkt het slechter...

[kodak]

Privacy is een grondrecht. Het schenden is dat niet. Er is ook al in de vorige eeuw wetgeving bijgekomen die het verwerken van persoonlijke gegevens van anderen extra bescherming geeft, omdat ondernemers toen al veel te vaak maling aan privacyrecht van anderen hadden uit naam van mogelijke financiële winst en opportunistisch 'innovatie' boven de wet stellen. Waarbij grondrecht en wetgeving negeren ver van innovatief is. Eerder toont het zelfs een gebrek aan vernieuwing en het onacceptabel in stand houden van onrechtmatige laksheid aan.

[SunnieNL]

Niet echt een clickbait omdat dat letterlijk is wat ze publiceren.
Ik ben vooral benieuwd naar de onderbouwing. De enige onderbouwing die ik kan vinden komt vanuit de ban op chatgpt vorig jaar. Voor de rest is er geen enkele onderbouwing te vinden.

Artificial intelligence: stop to ChatGPT by the Italian SA
Personal data is collected unlawfully, no age verification system is in place for children

No way for ChatGPT to continue processing data in breach of privacy laws. The Italian SA imposed an immediate temporary limitation on the processing of Italian users’ data by OpenAI, the US-based company developing and managing the platform. An inquiry into the facts of the case was initiated as well.

A data breach affecting ChatGPT users’ conversations and information on payments by subscribers to the service had been reported on 20 March. ChatGPT is the best known among relational AI platforms that are capable to emulate and elaborate human conversations.

In its order, the Italian SA highlights that no information is provided to users and data subjects whose data are collected by Open AI; more importantly, there appears to be no legal basis underpinning the massive collection and processing of personal data in order to ‘train’ the algorithms on which the platform relies.

As confirmed by the tests carried out so far, the information made available by ChatGPT does not always match factual circumstances, so that inaccurate personal data are processed.

Finally, the Italian SA emphasizes in its order that the lack of whatever age verification mechanism exposes children to receiving responses that are absolutely inappropriate to their age and awareness, even though the service is allegedly addressed to users aged above 13 according to OpenAI’s terms of service.

OpenAI is not established in the EU, however it has designated a representative in the European Economic Area. It will have to notify the Italian SA within 20 days of the measures implemented to comply with the order, otherwise a fine of up to EUR 20 million or 4% of the total worldwide annual turnover may be imposed.

Roma, 31 March 2023

https://garanteprivacy.it...eb-display/docweb/9870847

Maar ook die vind ik eigenlijk te vaag. Welke persoonlijke gegevens neemt chatgpt dan tot zich om de bot te trainen anders dan de persoonlijke gegevens die al openbaar staan?
En als de bot verkeerde persoonlijke gegevens als antwoord terug stuurt, hoe is hij dan in overtreding tot de gdpr? Want op zich zou de bot alle persoonlijke gegevens bij elkaar mogen liegen en is daarmee juist niet in overtreding omdat hij niets openbaar maakt.

[Reactie gewijzigd door SunnieNL op 23 juli 2024 22:12]

[SelmarSmit]

Ook voor het verwerken van al gepubliceerde gegevens heb je een verwerkingsgrond nodig. Anders had je (bijvoorbeeld) X, Facebook etc. allemaal kunnen scrapen (staat online), nog wat andere info scrapen (bijvoorbeeld van zzp’ers met een website) en daar mooie profielen van mensen van maken.