Je filter mist één naam op de zestig

Het is kwart over vier en er moet nog een bezwaarbrief uit. De klant heet zoals hij heet, zijn adres staat in het dossier, zijn rekeningnummer ook. Je medewerker plakt het hele geval in ChatGPT, want dan is het in twee minuten klaar in plaats van veertig. Hij weet dat het eigenlijk niet mag. Hij doet het toch, want de brief moet vandaag weg.

Precies voor dat moment is er sinds 18 september een gratis browserextensie. AgentCloak heet hij, van het Amerikaanse InCountry, en hij vervangt namen, adressen en rekeningnummers door verzonnen maar realistische waarden voordat je prompt weggaat. Komt het antwoord terug, dan zet hij de echte gegevens er weer in. De lanceerpost van CEO Peter Yared haalde binnen een dag 1,4 miljoen weergaven met één zin die blijft hangen: “The AI gets nothing about you.”

De winkelpagina is eerlijker dan de tweet

Lees de eigen Chrome Web Store-pagina van diezelfde extensie en je vindt een kopje dat de tweet niet heeft: “HARM REDUCTION, NOT A GUARANTEE.” Eronder staat letterlijk dat geen enkel model op je eigen apparaat 100 procent van de gevoelige gegevens vangt, en dat je gevoelige berichten altijd zelf moet nalezen voor je ze verstuurt.

Dat is een keurige disclaimer. Het is ook de hele discussie. Tussen “de AI krijgt niets van jou” en “lees het zelf nog even na” zit het verschil tussen een belofte en een hulpmiddel, en dat verschil bepaalt of je dit ding in je organisatie kunt uitrollen.

98,4 procent klinkt hoog tot je het omrekent

De detectie draait op Rampart, een open model van het Amerikaanse National Design Studio dat in de extensie is meegebakken. De makers publiceerden hun eigen cijfer: een recall van 98,4 procent op 30.000 testregels in zeven talen, gemeten op de OpenPII-dataset. Dat is beter dan het privacyfilter dat OpenAI zelf uitbracht (97,4 procent) en het weegt 14,7 megabyte tegen ongeveer 2,8 gigabyte. Nederlands zit bij de zeven ondersteunde talen, dus dit gaat ook echt over jouw prompts. De makers noemen hun model in diezelfde aankondiging wel een alpha.

Reken het om en het ziet er anders uit. 98,4 procent betekent: ongeveer één op de zestig gevoelige waarden glipt erdoor. Een dossier met een naam, een adres, een telefoonnummer, een IBAN en een geboortedatum heeft vijf kansen. Doe dat honderd keer per week op je afdeling en je zit aan een handvol echte persoonsgegevens per week die gewoon bij het model aankomen.

En dat cijfer is een eigen meting op een nette testset. Een paper van 3 september 2026 laat zien dat PII-detectie die het op benchmarks goed doet, merkbaar slechter presteert op rommelige echte tekst: typefouten, afkortingen, half geplakte tabellen. Dat onderzoek testte andere systemen, niet Rampart, dus het is geen meting aan deze extensie. Rampart zegt van zichzelf juist getraind te zijn op bewust rommelige chat-achtige invoer. Allebei waar, en precies daarom is de stand van zaken: zij claimen het, niemand heeft het nagemeten.

Er komt een tweede geheim bij, en dat staat op een laptop

Onder de lanceerpost staat een reactie die het scherper formuleert dan de meeste berichtgeving, met 172 weergaven tegenover bijna anderhalf miljoen op de post zelf. “so now something in my browser holds the map of which fake name is which real client. that’s not fewer secrets. that’s one more”, schreef @CrackedCocoX. Hij heeft gelijk over het mechanisme. Die koppeltabel tussen echt en verzonnen moet ergens staan, en bij de gratis versie is dat de computer van je medewerker.

Juridisch verandert er daarmee weinig aan jouw kant. Pseudonimiseren is onder de AVG geen anonimiseren. Artikel 4 lid 5 definieert het, artikel 32 lid 1 onder a noemt het een beveiligingsmaatregel, en overweging 26 zegt dat gepseudonimiseerde gegevens gewoon persoonsgegevens blijven. De richtsnoeren die de EDPB op 16 januari 2025 aannam houden daaraan vast. Wie de sleutel heeft, verwerkt persoonsgegevens. Je verwerkersovereenkomst met de AI-leverancier gaat niet weg omdat er een filter voor staat, en je ai-data-anonimiseren-afspraken al helemaal niet.

“Dan verbieden we AI toch gewoon” is net zo lui

Nu de kant waar wij zelf meestal staan, want die doet het hier ook niet goed. In securityland is de reflex bij zo’n tool: niet vertrouwen, blokkeren, klaar. Dat is makkelijk gezegd en het werkt aantoonbaar niet. De medewerker uit de eerste alinea heeft een deadline en een telefoon in zijn zak waar dezelfde chatbot op staat. Een blokkade op de bedrijfslaptop verplaatst het probleem naar een apparaat waar je helemaal niets meer ziet.

Een filter dat 59 van de 60 waarden pakt is in die werkelijkheid beter dan een verbod dat wordt omzeild. Alleen: noem het dan ook zo. Het is een vangnet, geen toestemming. Wie dit uitrolt met de zin uit de tweet erbij (“de AI krijgt niets van jou”) heeft over een half jaar een afdeling die denkt dat alles mag, en dat is een slechter uitgangspunt dan waar je begon. Hetzelfde patroon zie je bij social engineering: gereedschap dat als garantie wordt verkocht, maakt mensen onvoorzichtiger.

Vraag deze week één ding aan je team

Niet “gebruiken jullie AI”, want daar krijg je het antwoord op dat je wilt horen. Vraag of ze de laatste prompt willen terugzoeken die ze deze week naar ChatGPT, Claude of Gemini stuurden, en of daar een klantnaam in stond. Geen sanctie, geen formulier, gewoon de vraag. Het antwoord vertelt je in tien minuten of je aan beleid toe bent of aan gereedschap, en dat is dezelfde soort meting als een firewall test. Zet je een tool als deze neer, doe het dan met die uitkomst in de hand en niet andersom.

Bij 57 gebruikers heeft nog niemand het opengeschroefd

De teller op de Chrome Web Store stond op 19 september op 57 gebruikers en één review, bij 1,4 miljoen weergaven op de aankondiging. Dat is het echte kengetal van dit moment: een dag oud product, geen onafhankelijke audit, geen securityonderzoeker die er publiek doorheen is gegaan. Loopt die teller de komende weken naar duizenden, dan komt die analyse vanzelf, en pas dan weet je of de detectie in het wild net zo goed is als op de benchmark. Tot die tijd hoort er bij elke uitrol de zin die de fabrikant zelf op zijn winkelpagina heeft gezet: lees het zelf na voor je op verzenden drukt. Meer van dit soort keuzes staat in de briefing, en waarom de mens de sluitpost blijft lees je op human firewall.

Zelf een situatie die niet vertrouwd voelt?

Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.

Laat dit veld leeg

Naam E-mailadres Je vraag Stel je vraag