AI-agents, CV-databases en privacy boundaries

Een AI-agent krijgt steeds vaker toegang tot interne kennisbronnen: documentmanagementsystemen, SharePoint-omgevingen, CRM-systemen en databases met medewerkersinformatie. Dit experiment behandelt een vraag die vaak pas zichtbaar wordt wanneer een agent daadwerkelijk toegang krijgt: wat gebeurt er wanneer een gebruiker een legitiem toegankelijk systeem combineert met een onwenselijke vraag?

Wat doet dit experiment?

Binnen onze organisatie beschikken we over een database met cv’s van consultants. Deze cv’s worden gebruikt om geschikte medewerkers te vinden voor projecten en aanbestedingen. De gegevens bevatten informatie over vaardigheden, certificeringen, werkervaring en beschikbaarheid, maar kunnen daarnaast ook persoonsgegevens bevatten die vanuit privacy- of complianceperspectief gevoelig zijn.

Traditionele applicaties lossen dit op door vooraf gedefinieerde schermen, filters en toegangsrechten. Een AI-agent werkt anders. De gebruiker stelt een vraag in natuurlijke taal en de agent bepaalt zelf welke informatie nodig is om die vraag te beantwoorden. Daardoor ontstaat een nieuwe categorie risico’s: niet zozeer onbevoegde toegang tot data, maar onbeheerst hergebruik van gegevens die technisch gezien wel toegankelijk zijn.

Een vraag als:

“Geef mij alle cv’s van vrouwen onder de 25 jaar inclusief hun adresgegevens.”

is vanuit technisch perspectief mogelijk slechts een zoekopdracht. Vanuit privacy-oogpunt kan dezelfde vraag echter leiden tot een antwoord dat gevoelige persoonsgegevens bevat, persoonsgegevens combineert tot een nieuw inzicht, of informatie presenteert op een manier die nooit als expliciete use case was ontworpen.

Dat maakt dit experiment niet primair een onderzoek naar databasebeveiliging, maar naar de vraag waar de privacy-boundary zich bevindt wanneer een handelende AI-agent toegang krijgt tot persoonsgegevens.

De centrale vraag luidt:

Hoe voorkom je dat een AI-agent privacygevoelige informatie opvraagt, combineert of teruggeeft, terwijl dezelfde agent wel nuttig moet kunnen zoeken naar relevante consultants en vaardigheden?

We werken toe naar een verkennend raamwerk voor wat we voorlopig Privacy-Aware Agent Boundaries (PAB) noemen: een samenhangend geheel van databescherming, beleidsregels, input-validatie, output-controles, classificatie en menselijke verantwoordelijkheid.

Aanpak

We ontleden het probleem langs vier vragen die stapsgewijs steeds verder inzoomen op de privacy-boundary rondom de agent.

1. Input governance — welke vragen mag een gebruiker stellen?

De eerste vraag is niet welke data de agent kan bereiken, maar welke opdrachten de agent überhaupt mag uitvoeren.

We onderzoeken wat er gebeurt wanneer gebruikers expliciet zoeken op kenmerken die privacygevoelig kunnen zijn, zoals leeftijd, geslacht, woonplaats, afkomst of andere persoonsgegevens. Kan de agent dergelijke verzoeken herkennen? Moet een agent sommige vragen weigeren, herschrijven of laten escaleren? En op welk punt wordt een legitieme zoekopdracht naar expertise een ongewenste zoekopdracht naar personen?

Hier verkennen we mechanismen zoals prompt filtering, policy engines en classificatie van gebruikersintenties voordat een query wordt uitgevoerd.

2. Retrieval governance — welke gegevens mag de agent ophalen?

Zelfs wanneer een vraag wordt geaccepteerd, betekent dat nog niet dat alle onderliggende data beschikbaar zou moeten zijn.

De cv-database bevat informatie met verschillende gevoeligheidsniveaus. Sommige gegevens zijn direct relevant voor matching, zoals vaardigheden, certificeringen en ervaring. Andere gegevens kunnen persoonsgegevens bevatten die voor de opdracht geen toegevoegde waarde hebben.

We onderzoeken hoe een agent onderscheid kan maken tussen gegevens die noodzakelijk zijn voor het doel van de vraag en gegevens die wel toegankelijk zijn, maar niet opgehaald zouden moeten worden. Daarbij kijken we naar dataclassificatie, attributen-gebaseerde autorisatie en purpose-based access control.

3. Output governance — welke informatie mag teruggegeven worden?

Een cruciale observatie is dat een veilige query nog steeds kan leiden tot een onveilige uitkomst.

Een agent kan bijvoorbeeld meerdere gegevensbronnen combineren en daardoor informatie blootleggen die nergens expliciet aanwezig was. Ook kan de agent persoonsgegevens teruggeven die voor het beantwoorden van de vraag niet nodig zijn.

We onderzoeken daarom of er een aanvullende controlelaag nodig is tussen de gegenereerde output en de gebruiker. Denk aan mechanismen die antwoorden inspecteren op persoonsgegevens, gevoelige attributen of ongewenste combinaties van data voordat de informatie wordt getoond.

De focus verschuift hier van toegangscontrole naar informatiesturing: niet “mag de agent de data zien?”, maar “mag de gebruiker deze uitkomst ontvangen?”.

4. Accountability — wie is verantwoordelijk voor het antwoord?

Wanneer een AI-agent persoonsgegevens verwerkt, ontstaat de vraag wie verantwoordelijk is voor de uiteindelijke beslissing.

Is dat de gebruiker die de vraag stelde, de eigenaar van de databron, de beheerder van de agent, of de organisatie die het beleid heeft ingericht? En hoe maak je achteraf inzichtelijk welke gegevens zijn geraadpleegd, welke redenering heeft geleid tot het antwoord en welke controles zijn toegepast?

We onderzoeken welke audit-, logging- en reviewmechanismen nodig zijn om agentgedrag controleerbaar en uitlegbaar te maken, zodat privacybescherming niet afhankelijk wordt van vertrouwen in het model alleen.

Richting

Vanuit deze vier vragen schetsen we de bouwstenen van een privacybewuste architectuur voor AI-agents. Daarbij kijken we niet alleen naar klassieke toegangscontrole, maar ook naar nieuwe controlepunten rondom input, retrieval en output.

Het experiment is nadrukkelijk praktisch van aard. Het doel is niet om te bepalen wat theoretisch mogelijk is, maar om inzichtelijk te maken welke maatregelen een organisatie zou moeten treffen voordat een AI-agent toegang krijgt tot systemen die persoonsgegevens bevatten.

De vraag die centraal staat is uiteindelijk eenvoudig:

Als een gebruiker een privacygevoelige vraag stelt aan een agent met toegang tot personeelsgegevens, waar moet de grens liggen en wie bewaakt die grens?

Die grens noemen wij voorlopig de privacy boundary van de agent. Dit experiment onderzoekt hoe die boundary zichtbaar, controleerbaar en afdwingbaar gemaakt kan worden.