UWV gebruikt AI-software die mogelijk niet volgens AVG is ontwikkeld
Het UWV maakt gebruik van AI-software die mogelijk niet volgens de regels van de AVG is ontwikkeld. De uitkeringsinstantie is hierover met de leverancier in gesprek. Dat staat in de Stand van uitvoering sociale zekerheid juni 2024 waarin de Tweede Kamer wordt geïnformeerd over ontwikkelingen in de uitvoering van de sociale zekerheid (pdf).
De AI-software wordt door het UWV gebruikt voor het bemiddelen tussen werkzoekenden en werkgevers. Door middel van "AI matching" worden suggesties voor mogelijke matches gedaan. "De Bemiddelingsservice is beoordeeld door de commissie data ethiek en loopt er een Impact Assessment voor Mensenrechten bij de inzet van Algoritmes (IAMA)", zo staat in het rapport vermeld.
Bij het UWV zijn recentelijk vragen opgekomen of de AI-software wel aan de AVG voldoet. Het gaat daarbij niet om de verwerking van cliëntgegevens van het UWV, maar hoe de software is ontwikkeld. Specifiek betreft het gegevens die hiervoor op internet zijn verzameld. "De verantwoordelijkheid hiervoor ligt bij de leverancier van de software. UWV vindt het belangrijk dat de AVG-compliance van de aangeschafte software geborgd is en is hierover met de leverancier in gesprek", aldus de uitkeringsinstantie.
Volgens het UWV biedt AI nieuwe mogelijkheden en kan het een belangrijke impact hebben op de organisatie. Eind vorig jaar is het UWV een proeftuin gestart om met AI te experimenteren. Hierin kunnen organisatieonderdelen aan de slag met AI. Het UWV stelt dat bij de inzet van AI security- en privacy-by-design en responsible-design als uitgangspunten worden toegepast.
Wat die niet allemaal in dat boek heeft staan en wat de AVG daarvan zou denken. Als Aleid het zou weten. Wat die ouwe allemaal bijgehouden heeft.
Maar uiteindelijk krijg je toch je kadootje.Heb je gewoon recht op. Omdat die premie van je loon is gepikt, helemaal.
Wacht maar op MS Recall, dan krijgen we pas ge-o.h. Volgens een aantal bronnen (Youtube weliswaar) wordt er wel degelijk info gestuurd naar MS.
Wat die niet allemaal in dat boek heeft staan en wat de AVG daarvan zou denken. Als Aleid het zou weten. Wat die ouwe allemaal bijgehouden heeft.
Maar uiteindelijk krijg je toch je kadootje.Heb je gewoon recht op. Omdat die premie van je loon is gepikt, helemaal.
En dan de kerstman met zijn naugthy or nice list. Hoe zijn de rechten van betrokkenen daarop gedefinieerd? Bij welke privacy elf moet je je verzoek als betrokkene indienen?
Wat die niet allemaal in dat boek heeft staan en wat de AVG daarvan zou denken. Als Aleid het zou weten. Wat die ouwe allemaal bijgehouden heeft.
Maar uiteindelijk krijg je toch je kadootje.Heb je gewoon recht op. Omdat die premie van je loon is gepikt, helemaal.
En dan de kerstman met zijn naugthy or nice list. Hoe zijn de rechten van betrokkenen daarop gedefinieerd? Bij welke privacy elf moet je je verzoek als betrokkene indienen?
Zowel de elf als sinterklaas zijn fantasie, net als AI security- en privacy-by-design en responsible-design bij het UWV.
Wat dat betreft wel een goede vergelijking
Het is heel goed mogelijk dat ze in de DPIA alleen naar het laatste hebben gekeken. Een DPIA is namelijk geen wondermiddel dat onvermijdelijk alles aan het licht brengt, een DPIA is zo goed als een organisatie hem opzet en uitvoert. Typisch gaat zoiets met vallen en opstaan, worden de lessen die men leert verwerkt in de methode zodat dezelfde fout de volgende keer niet wordt gemaakt. In een AI-systeem zijn die trainingsdata niet zomaar de testdata die de leverancier bij de ontwikkeling heeft gebruikt, zoals bij een traditioneel systeem, het trainingsresultaat is onderdeel van het systeem dat in productie gebruikt wordt. Dat is nieuw.
Het probleem zou wel eens kunnen zijn dat er niet is afgeweken van wat men gewend was te doen, wat jij audits en resultaten noemt, terwijl men deze keer nou juist wel daarvan had moeten afwijken en naar meer had moeten kijken.
Enerzijds zou je dan willen dat de mensen die DPIA's uitvoeren het in huis hebben om daar wel meteen al naar te kijken. Anderzijds is het niet verkeerd dat de fout niet wordt weggemoffeld en stilgehouden maar dat die alsnog een punt wordt nadat het muntje is gevallen. Ik denk dat dat in heel wat organisaties slechter zal gaan.
Als UWV data heeft gedeeld met externe partijen, zonder dat daarvoor een gedegen grondslag voor bestond, is er pas een probleem. Het gebruik van een AI die getraind is met illegaal verkregen data, is hooguit een ethische kwestie. Maar als we op die toer gaan, dan moeten we ook ernstig kritisch gaan kijken naar de Microsoftverslaving van DICTU (ICT-dienst voor de gehele rijksoverheid). Iets wat ik overigens van harte aanbeveel.
Het gebruik van een AI die getraind is met illegaal verkregen data, is hooguit een ethische kwestie.
Op zich werkt een AI-systeem niet met de letterlijke invoer waarmee het getraind is, maar met een afgeleide die verondersteld wordt er een soort statistische weergave van te zijn. Alleen snapt niemand hoe de kennis in het systeem in de bits en bytes is gecodeerd en ook niet wat er nou wel en niet precies in is vastgelegd. Het is meer zo dat men methodes heeft ontwikkeld om tot dat soort data te komen die behoorlijk goed blijken te werken, zonder dat men werkelijk snapt hoe je die data als mens zou kunnen interpreteren of zou kunnen inspecteren wat er nou werkelijk aan herkenbare feiten in is vastgelegd.
Bij de discussies of AI-systemen auteursrechten schenden zie je dat sommige teksten waarmee zo'n systeem getraind is verbluffend nauwkeurig gereproduceerd kunnen worden, wat een sterke aanwijzing is dat ze er toch op de een of andere manier in zitten. Dus waar kom je juridisch terecht als het systeem dat UWV gebruikt dat soort treffers kan ophoesten? En hoe beoordeel je of dat kan als niemand snapt, ook de leverancier niet, wat er precies is vastgelegd en hoe je dat uitputtend kan uitvogelen? Als een specifieke set gegevens uniek genoeg is om er een persoon mee te kunnen identificeren, ook als je voor het vaststellen van de identiteit er gegevens aan moet koppelen die niet in het systeem zelf zitten, dan zijn het in beginsel persoonsgegevens.
Ik stel me zo voor dat bij UWV de vraag speelt of de trainingsdata die de leverancier heeft gebruikt wel voldoende is geanonimiseerd. Niet alleen moeten expliciete persoonsgegevens, NAW en dergelijke, er natuurlijk niet inzitten, maar ook situaties die uniek genoeg zijn om op een specifieke persoon te kunnen duiden, in combinatie met gegevens in andere systemen die in beginsel te koppelen zijn, zijn problematisch.
Daarnaast denk ik dat, ook als dat allemaal wel goed zit, de vraag gesteld moet worden of de gegevens waarmee de AI getraind is wel gebruikt hadden mogen worden daarvoor. Bij een traditioneel systeem kan het zijn dat de leverancier testdata bij nader inzien niet had mogen gebruiken. Dat verandert niets aan het feit dat de software er is en dat die testdata niet bij de klant belanden. Daarom is het een probleem voor de leverancier en niet voor de klant. Maar bij AI komt wat de trainingsdata oplevert wél bij de klant terecht, die gebruikt dat operationeel, en het systeem stopt met werken als dat niet gebruikt blijkt te mogen worden. Dat is niet alleen een risico voor de leverancier maar ook voor de klant.
Wat die niet allemaal in dat boek heeft staan en wat de AVG daarvan zou denken. Als Aleid het zou weten. Wat die ouwe allemaal bijgehouden heeft.
Maar uiteindelijk krijg je toch je kadootje.Heb je gewoon recht op. Omdat die premie van je loon is gepikt, helemaal.
Het AD heeft hier ooit een vermakelijk artikel over geschreven:
https://www.ad.nl/tech/schendt-het-grote-boek-van-sint-en-piet-de-privacywet-niet~ad95f1b2/
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
