Onderzoek toont dat LLM's ook met privacy-instructies persoonsgegevens kunnen lekken

Gevoelige context wordt niet veilig door die in één prompt mee te geven: onderzoek toont dat LLM's ook met privacy-instructies irrelevante persoonsgegevens kunnen lekken. Scheid daarom retrieval, privacy-saneren en generatie als aparte lagen, geef het model alleen een minimale, gesaneerde payload en plaats filtering, toegangscontrole en verificatie buiten het model.

Een peer-reviewed studie in Frontiers in Digital Health over ambient clinical documentation met LLM's, gepubliceerd op 31 maart 2026, stelde vast dat geteste taalmodellen bij het opstellen van klinische notities informatie over derden kunnen opnemen die niet in de notitie thuishoort, zelfs wanneer zij privacyregels correct lijken te herkennen. De onderzoekers lieten ook zien dat het opsplitsen van generatie en privacybewerking de lekkage verder kon verminderen; deterministische nabewerking kon die vermindering aanvullen. Geen van de onderzochte maatregelen bood volledige bescherming.

De studie gebruikte synthetisch verrijkte transcripties en modeltests. De gerapporteerde cijfers zijn daarom geen universele lekpercentages voor productieomgevingen. Maar de richting van het bewijs is voor beslissers relevant: wie gevoelige context aan een model geeft, kan er niet van uitgaan dat een instructie in de prompt de informatie binnen de grenzen houdt.

Wat toonde het onderzoek naar privacylekken in door AI gegenereerde klinische notities aan?

De studie toonde aan dat LLM's irrelevante persoonlijke informatie over derden kunnen opnemen in klinische notities, ook als zij privacy-instructies hebben gekregen. Het opsplitsen van generatie en privacybewerking kon de lekkage verder verminderen; gestructureerde uitvoer en deterministische nabewerking konden die vermindering aanvullen. Geen van de onderzochte maatregelen elimineerde de lekkage volledig. De test gebruikte synthetische data, dus de exacte percentages gelden niet een-op-een voor de praktijk.

Het mechanisme is belangrijker dan de getallen. Een model dat de instructie "vermeld geen informatie over derden" correct parafraseert, handelt er niet betrouwbaar naar. Herkenning van een regel en naleving ervan zijn in een generatief model niet hetzelfde proces. Dat verklaart waarom een afzonderlijke, deterministische stap — een filter dat niet redeneert maar vaste regels toepast — meer verschil maakt dan nog een zin in de prompt.

Waarom biedt een privacy-instructie in de prompt alleen onvoldoende bescherming?

Omdat de prompt het model vraagt zich aan een regel te houden, terwijl de ruwe gevoelige bron al in zijn context zit. Zodra die informatie is ingevoerd, kan het model haar reproduceren. Een instructie verandert de kans, niet de mogelijkheid. De bescherming moet daarom vóór het model liggen (wat gaat erin) en ná het model (wat komt eruit), niet alleen in het model zelf.

Een preprint op arXiv over privacy-preserving RAG via multi-agent semantic rewriting beschrijft die scheiding concreet: privacy-extractie, semantische analyse en reconstructie vinden apart plaats, waarna de generatiecomponent alleen een gesaneerde context ontvangt. De oorspronkelijke tekst wordt uitsluitend voor retrieval-indexering gebruikt. De auteurs rapporteren minder blootstelling onder de onderzochte grey-box-aanvallen, maar erkennen resterende lekkage bij adaptieve en meervoudige query-aanvallen en geven geen absolute garantie.

Onze inschatting: dat laatste voorbehoud is de kern van de open vraag. Hoe deze architecturen presteren onder gerichte, herhaalde aanvallen in een echte productieomgeving is niet aangetoond. Een organisatie die zo'n patroon invoert, koopt risicoreductie binnen een gespecificeerd dreigingsmodel, geen veiligheidsbewijs.

Hoe ziet een gelaagde architectuur voor veilige contextinjectie eruit?

De kern is dat de ruwe gevoelige bron achter een retrieval- en privacylaag blijft, terwijl het generatiemodel alleen een minimale, gestructureerde en gesaneerde payload krijgt. Vier lagen, elk met een eigen taak, maken dat controleerbaar.

• Bronclassificatie en doelbinding. Bepaal eerst welke passages noodzakelijk zijn en onderscheid patiëntgegevens, bedrijfsgeheimen, quasi-identifiers en gewone context. De de-identificatieleidraad van het Office for Civil Rights laat zien waarom dat nodig is: het verwijderen van namen voldoet niet automatisch als quasi-identifiers heridentificatie mogelijk maken.
• Gescheiden retrieval. Gebruik gevoelige bronnen om de relevante records te vinden, maar geef de generator alleen een gesaneerd minimum.
• Privacy-preserving transformatie. Verwijder expliciete identifiers, generaliseer verweven quasi-identifiers en behandel vectorstores, prompt-logs en evaluatiedatasets als gevoelige artefacten. Een architectuurvoorstel op arXiv over HIPAA-compliant deploymentpatronen waarschuwt dat juist die opslagplaatsen nieuwe kopieën van beschermde gegevens vormen.
• Onafhankelijke controle. Laat outputfilters, toegangsbeleid, lekdetectie en menselijke goedkeuring buiten het model werken, zodat een fout in de generatie niet de laatste verdedigingslinie is.

Deze aanpak is rechtstreeks te vertalen naar bedrijfsgeheimen. Behoud alleen de feiten die de taak nodig heeft, houd de koppeling naar echte namen, contractpartijen of interne identifiers in een apart gecontroleerd systeem, en voorkom dat ruwe prompts, retrievalcontext en modeluitvoer standaard worden gelogd. Zie ook onze bredere behandeling van AI-privacy en AVG en van het behandelen van externe inhoud als onvertrouwde data.

Wat betekent dit voor bestuurders, juristen en CISO's die met medische dossiers of bedrijfsgeheimen werken?

Onze analyse: omdat de Frontiers-studie laat zien dat een privacy-instructie in de prompt lekkage vermindert maar niet voorkomt, loopt elke organisatie die een volledig dossier als context aan een extern model geeft een reëel lekrisico; daarom moet de CISO nu vaststellen welke systemen ruwe gevoelige tekst rechtstreeks aan het model voeren en die stroom vóór het volgende kwartaal achter een retrieval- en saneringslaag brengen. Omdat de RAG-preprint resterende lekkage onder adaptieve aanvallen erkent, is "we gebruiken een privacy-preserving architectuur" geen eindpunt; daarom hoort in het contract met een AI-leverancier een clausule over logging-minimalisatie, bewaartermijnen van prompt-logs en het recht op onafhankelijke lektests, niet alleen een verwijzing naar hun privacybeleid. Omdat vectorstores, evaluatiedatasets en modeluitvoer nieuwe kopieën van gevoelige informatie vormen, moet de verwerkingsverantwoordelijke deze artefacten opnemen in het verwerkingsregister en de DPIA; daarom toetst de jurist nu of de huidige privacy-by-design-documentatie onder AVG-artikel 25 deze afgeleide datastromen überhaupt benoemt. Omdat geen enkele onderzochte maatregel volledige bescherming bood, blijft menselijke eindcontrole op de output noodzakelijk; daarom legt de bestuurder vast wie een door AI opgestelde notitie of samenvatting goedkeurt voordat die in een dossier belandt, en zorgt hij dat die beslissing herleidbaar is. Dit zijn aanbevelingen uit onze analyse, niet voorschriften die de aangehaalde studies zelf formuleren; de studies ondersteunen risicoreductie en aandacht voor afgeleide artefacten, maar schrijven geen specifieke deadline, contractclausule, verwerkingsregister- of DPIA-verplichting voor.

Kort samengevat voor wie nu een besluit neemt:

1. Breng in kaart welke systemen ruwe gevoelige tekst direct aan een model geven en herontwerp die stroom met gescheiden retrieval.
2. Behandel embeddings, logs en evaluatiedatasets als gevoelige artefacten in register en DPIA.
3. Leg filtering, toegangscontrole en lekdetectie buiten het model, niet als promptinstructie.
4. Veranker menselijke goedkeuring en herleidbaarheid voordat AI-output in een dossier terechtkomt.

Zie voor de bredere splitsing van taken ook onze analyse over het vaststellen van de dataroute per verwerkingsstap.

Bronnen: Het artikel steunt op een peer-reviewed studie in Frontiers in Digital Health, twee arXiv-preprints over privacy-preserving RAG en HIPAA-deploymentpatronen, en de de-identificatieleidraad van het Office for Civil Rights.