Automatische vertaling met AI en vertrouwelijke contracten

Een online AI-vertaaltool ontvangt de tekst die de gebruiker in het venster plakt. Een taalmodel verwerkt de tekst, en de tekst verlaat de computer van de medewerker zodra hij is verzonden.

Het punt om na te gaan is wat er na de vertaling met de tekst gebeurt. OWASP vraagt aanbieders om duidelijke beleidsregels te hanteren voor bewaring, gebruik en verwijdering van gegevens, en gebruikers de mogelijkheid te geven te weigeren dat hun gegevens voor training worden gebruikt¹. OWASP voegt eraan toe dat beperkingen in de interne instructies van een model niet altijd worden nageleefd en kunnen worden omzeild via promptinjectie of andere methoden¹. Een belofte van de aanbieder vervangt dus geen bedrijfscontract.

CNIL wijst erop dat de rechten op toegang, rectificatie, bezwaar en wissing bestaan, maar dat ze moeilijk uit te oefenen kunnen zijn ten aanzien van een AI-model, of het nu gaat om het identificeren van de personen in het model of om het aanpassen ervan².

Voordat u vertaalt, controleert u of het bedrijf een goedgekeurde tool aanbiedt. Is dat zo, dan gebruikt u die tool, en alleen die, voor elk werkdocument.

Zonder goedgekeurde tool plakt u een vertrouwelijk document niet in een gratis dienst. U vraagt advies aan de beveiligingsverantwoordelijke of de jurist, of u laat het document vertalen door een dienstverlener die via een contract aan het bedrijf is verbonden.

Voor een niet-gevoelige passage beperkt een voorbereiding de blootstelling. OWASP noemt tokenisatie en het afschermen van gegevens (redaction) onder de technieken waarmee gevoelige informatie vóór de verwerking wordt opgeschoond¹. Met de hand komt dat neer op het vervangen van namen, bedragen en verwijzingen door neutrale aanduidingen, bijvoorbeeld "[Bedrijf A]" en "[Bedrag]", en ze daarna weer in de vertaling terug te zetten. Deze methode is niet geschikt voor een tekst waarvan de structuur zelf vertrouwelijk is.

Na de vertaling leest u het resultaat na. NIST beschrijft het risico van foutieve inhoud die met stelligheid wordt gebracht³: bij een contract controleert een jurist of iemand die de brontaal leest de juridische termen, de looptijden en de bedragen.

Als een vertrouwelijke tekst al in een niet-goedgekeurde dienst is geplakt, meldt u dat meteen, zonder te wachten tot duidelijk is of er schade is ontstaan.

• De gratis versies: hun gebruiksvoorwaarden bepalen wat er met de tekst gebeurt. OWASP beveelt aan dat toepassingen een manier bieden om hergebruik van gegevens te weigeren¹, maar niets garandeert dat een gratis dienst dat doet.
• De browserextensies: de hier aangehaalde bronnen beschrijven niet hoe ze werken. De medewerker kan er dus niet van uitgaan dat ze de tekst voorzichtiger behandelen dan een online site, en laat ze goedkeuren zoals elke andere tool.
• De vloeiende maar foute vertaling: een goed geschreven tekst is geen juiste tekst³.
• De onvolledige anonimisering: een naam verwijderen is niet genoeg als de context het mogelijk maakt de partijen te herkennen. CNIL merkt op dat sommige modellen anoniem zijn en andere niet, wat laat zien dat anonimiteit niet standaard vaststaat².
• Het vertrouwen in getoonde mededelingen: een regel als "deze dienst bewaart niets" heeft alleen waarde als hij in een schriftelijke verbintenis van de aanbieder jegens het bedrijf staat.
• Het vergeten van de geheimhoudingsplicht: een contract kan verbieden de inhoud ervan aan een derde mee te delen. De hier aangehaalde bronnen beschrijven deze clausules niet, die u in het contract zelf leest.

OWASP beveelt aan richtlijnen te geven om te vermijden dat gevoelige informatie wordt ingevoerd, en opleiding aan te bieden over goede praktijken voor veilige interactie met LLM's¹. Voor een medewerker vertaalt dit zich in een duidelijke teamregel: welke tool, voor welke documenten, met welke controle achteraf.