Voogdij — wanneer moet je overstappen naar AI die je zelf bestuurt

Working with Claude — CC BY 4.0

Het grootste deel van deze cursus gaat over het optimaal benutten van Claude: ervoor zorgen dat het je laat zien hoe solide elke bewering is, waarbij je zelf het oordeel behoudt. Deze les gaat over de andere kant van dezelfde medaille — waar dat werk naartoe gaat zodra je het hebt ingevoerd, en wie er toegang toe heeft nadat je het tabblad hebt gesloten.

Beheer is de eenvoudige term hiervoor. Wanneer je een document in een online AI-tool plakt, geef je een kopie uit handen aan de computers van iemand anders. Dat is zelden een simpele kwestie van goed of slecht. Waar het om gaat, is of je de drie voorafgaande vragen hebt gesteld voordat je dit doet — en of, voor een bepaald stuk werk, de antwoorden luiden: „een openbare tool is prima“ of „hiervoor heb ik AI nodig waar ik zelf de controle over heb.“

De drie vragen die je je vooraf moet stellen

Stel deze vragen voordat je het werk invoert, niet erna.

1. Waar gaan je gegevens naartoe? Met de standaard Claude- apps en -website worden je gesprekken, op het moment van schrijven, standaard verwerkt op servers in de Verenigde Staten. Met de commerciële en enterprise-routes kun je de verwerking en opslag aan andere regio’s koppelen — de directe API biedt geografische instellingen, en Claude via AWS Bedrock of Google Vertex kan worden geconfigureerd om gegevens in de EU, Azië-Pacific of andere regio’s te bewaren — maar dat is een bewuste configuratie, niet het standaardgedrag, en de details kunnen veranderen, dus controleer de huidige instellingen voor je account. Het doel van de vraag: zorg dat je het antwoord weet voordat het ertoe doet, niet tijdens een incident.

2. Welke wetgeving is van toepassing? Waar de gegevens zich ook fysiek bevinden, en welk bedrijf ze ook in bezit heeft, de wetgeving van dat rechtsgebied kan erop van toepassing zijn — gerechtelijke bevelen, verzoeken om rechtmatige toegang, de eigen voorwaarden van de provider. Gegevens die in het buitenland zijn opgeslagen, vallen nog steeds onder de wet — alleen onder een andere reeks wetten dan je in eigen land zou verwachten. Voor alles wat te maken heeft met de vertrouwelijkheid van klanten, gezondheidsinformatie of verplichtingen volgens de Nieuw-Zeelandse wetgeving, is dat een vraag die je met je eigen adviseur moet bespreken, en niet iets om over te gissen. (Deze les is bedoeld als algemene voorlichting, niet als juridisch advies — raadpleeg een deskundige voor je specifieke verplichtingen.)

3. Wat mag er nooit in worden opgeslagen — in welke openbare tool dan ook? Een korte, saaie lijst is meer waard dan een lang beleid. Voor de meeste mensen is dat: persoonlijke of gezondheidsinformatie van anderen die je is toevertrouwd ; wachtwoorden, sleutels en financiële inloggegevens; alles wat onder een geheimhoudings- of non-disclosure-overeenkomst valt; niet-gepubliceerd commercieel gevoelig materiaal; en — een actueel punt hier — informatie waaraan verplichtingen zijn verbonden op grond van de gegevenssoevereiniteitsbepalingen te Tiriti en Māori, die speciale aandacht verdient in plaats van een standaard-upload. Schrijf je lijst op. „Dat onthoud ik wel“ is hoe het verkeerde document uiteindelijk op vrijdag om 17.00 uur wordt geplakt.

Wat de huidige voorwaarden eigenlijk zeggen

Laten we dit onderbouwen in plaats van er vaag over te doen, want het verandert de cijfers:

• Bij de consumentenabonnementen (gratis en Pro) staan de voorwaarden van Anthropic toe dat je gesprekken worden gebruikt om toekomstige modellen te trainen als je dat toestaat — en die toestemming houdt een lange bewaartermijn in voor het gebruikte materiaal. Als je dit weigert, geldt een kortere bewaartermijn en worden je chats niet gebruikt voor training. Gesprekken die zijn gemarkeerd voor een veiligheidsbeoordeling vormen een uitzondering — deze kunnen worden bekeken ongeacht die voorkeur. Instellingen en exacte bewaartermijnen kunnen veranderen, dus controleer je huidige accountinstellingen en de actuele voorwaarden in plaats van af te gaan op de cijfers in deze paragraaf.
• Bij de commerciële en zakelijke varianten (Claude voor Work, de API, Bedrock en dergelijke) is de standaardinstelling anders: invoer en uitvoer worden niet gebruikt om modellen te trainen. In aanmerking komende klanten kunnen ook ‘zero-data-retention’ regelen, waarbij inhoud na het antwoord niet wordt bewaard — onder voorbehoud van goedkeuring, en waarbij sommige veiligheidsgegevens nog steeds worden bewaard.

De les die hieruit kan worden getrokken is niet „consumenten slecht, enterprise goed”. Het is dat het abonnement dat je hebt bepalend is voor de regels, en de meeste mensen hebben nooit gecontroleerd welk abonnement ze hebben.

Wanneer een bedrijf moet overstappen op AI waarover het zelf de controle heeft

Je hoeft niet voor alles openbare tools te verlaten. Je hebt wel een drempel nodig. Stap over op AI waarover jij de controle hebt wanneer:

• je routinematig met vertrouwelijke of persoonlijke informatie van anderenwerkt als een essentieel onderdeel van je werk — een kliniek, een advocatenkantoor, een accountant, een iwi-organisatie die gemeenschapsgegevens beheert;
• een toezichthouder, financier of contract van je eist dat je aangeeft waar gegevens worden verwerkt en onder wiens wetgeving, en „een Amerikaanse server, waarschijnlijk“ niet volstaat;
• het materiaal zo waardevol is dat een kopie die op het systeem van iemand anders staat een reëel commercieel risico vormt, en geen theoretisch risico; of
• je wilt simpelweg dat het antwoord op „wie heeft hier toegang toe?“ jij bent, en niemand anders.

Als geen van deze redenen van toepassing is, is een openbare tool in combinatie met een schriftelijke uitsluitingslijst een redelijke oplossing. Stem de bewaarcapaciteit af op wat er op het spel staat.

De brug – en de kosten daarvan

‘AI die je zelf beheert’ betekent meestal het draaien van een open-weight-model op infrastructuur waarvan jij de locatie en toegang bepaalt — je eigen hardware, of hosting binnen een rechtsgebied en organisatie die je vertrouwt. Er bestaan community- en zelfgehoste opties, en deze cursus sluit aan bij mensen die precies dat doen.

De afweging is reëel. De open modellen die je zelf kunt hosten zijn op dit moment over het algemeen minder krachtig dan het vlaggenschipmodel waarmee je hebt leren werken — ze zijn zwakker in langdurige, subtiele redeneringen en vergen meer werk om te draaien en up-to-date te houden. Je ruilt een deel van de mogelijkheden in en neemt wat onderhoud op je, in ruil voor zeggenschap. Voor veel dagelijkse werkzaamheden is die afweging de moeite waard; voor de moeilijkste redeneertaken kun je nog steeds terugvallen op het vlaggenschip, met een strikte lijst van uitgesloten activiteiten. Weten welk werk waar thuishoort, is de kunst. Er is hier geen sprake van upsell — alleen de aanbeveling om de tool af te stemmen op wat er op het spel staat, en om de keuze bij jou te laten.

Dat is beheer: geen product dat je koopt, maar de gewoonte om te vragen waar het werk naartoe gaat voordat je het verstuurt, en de beslissingsbevoegdheid te behouden bij degene die eigenaar is van het werk. En het gaat dieper dan data. Laat de machine het rekenwerk en de synthese doen; houd voor jezelf de beslissingen over wat de moeite waard is om te doen en waar het allemaal terechtkomt. Die laatste bevoegdheid is degene die het meest de moeite waard is om te bewaken — het is de reden waarom de rest ertoe doet.

Meer lezen

• Te Mana Raraunga — het Māori Data Sovereignty Network.
• Anthropic privacy & juridisch — gegevensverwerking, bewaring en de grens tussen consumenten- en commercieel gebruik.

Afdrukbare kaart: de ‘keep-out’-checklist bevat de bewaarkwestie die je voor elke invoegactie kunt doorlopen.

Opgedragen aan mijn grote zus Judy, die me op het idee bracht om een cursus te schrijven om mensen te helpen AI op een doordachte manier te gebruiken.