Risicomatrix voor verantwoorde keuze voor tooling zoals AI

Het Privacy Expertise Centrum van SURF heeft een risicomatrix ontwikkeld die onderwijsinstellingen helpt om verantwoord keuzes te maken bij het gebruik van digitale tools, waaronder AI-toepassingen. Het gebruik van deze matrix leidt ongetwijfeld tot discussie. Dat is ook de bedoeling.

De matrix richt zich op situaties waarin medewerkers tools willen gebruiken die (nog) niet door de onderwijsinstelling zijn goedgekeurd. SURF wil hiermee bewustwording vergroten over risico’s rond veiligheid en privacy, en handvatten bieden voor zorgvuldig gebruik en communicatie.

De matrix is opgebouwd rond zes scenario’s, variërend van wenselijk gebruik tot actief tegengaan. Deze zijn geïnspireerd op het zogenoemde citadelmodel — met de ‘burcht’, de ‘stad’ en het ‘landschap’ als metaforen voor de mate van controle. Dit model wordt al diverse jaren gebruikt bij het denken over de digitale leeromgeving.

In de eerste twee scenario’s, die behoren tot de burcht en de stad, gaat het om tools die binnen de onderwijsinstelling beschikbaar zijn en aansluiten bij de behoeften van medewerkers. Als dat goed geregeld is, hebben medewerkers weinig reden om zelf alternatieven te zoeken. Daarom benadrukt SURF het belang van het kennen van gebruikersbehoeften, het ondersteunen van bedrijfsprocessen en het stimuleren van innovatie binnen veilige kaders.

De scenario’s drie en vier vallen onder het landschap en gaan over gecontroleerd afwijken van de standaardvoorzieningen. Dit kan nodig zijn voor experimenten of onderzoek met nieuwe technologieën, zoals AI-tools. Als je deze matrix volgt, dan ga je in zulke gevallen het gebruik afbakenen: maak afspraken over wie de tool mag gebruiken, voor welke periode en met welk doel. Ook wordt aangeraden een risicoanalyse uit te voeren en het gebruik te evalueren. Zo kan een onderwijsinstelling leren van experimenten zonder de beveiliging of privacy in gevaar te brengen.

De laatste twee scenario’s, vijf en zes, worden aangeduid als het moeras en hebben betrekking op situaties waarin actief ingrijpen nodig is. Denk aan leveranciers die functies toevoegen die niet voldoen aan de interne eisen — zoals automatische dataverzameling of toepassingen die niet AVG-conform zijn. Ook kan het voorkomen dat medewerkers software gebruiken zonder de richtlijnen te kennen of bewust te overtreden. In deze gevallen moeten onderwijsinstellingen optreden: ongewenste functionaliteiten uitschakelen, duidelijke regels communiceren en handhaven waar nodig.

SURF heeft ook een bewerkbaar PowerPoint-bestand -waarom geen open source technologie?- als praktisch hulpmiddel gemaakt. Hierin staat een tabel die onderwijsinstellingen kunnen aanpassen voor hun eigen risicobeoordeling. Zo kunnen zij op intranet of andere interne platforms zichtbaar maken welke tools wel of niet zijn toegestaan, onder welke voorwaarden en waarom. Dat draagt bij aan transparantie en helpt medewerkers te begrijpen wat er van hen verwacht wordt.

De risicomatrix is bedoeld als bewustwordings- en communicatiemiddel, niet als verbodslijst. SURF wil dat onderwijsinstellingen een balans vinden tussen innovatie en verantwoordelijkheid.

Mijn opmerkingen

Deze matrix is inderdaad een nuttig hulpmiddel waarmee je kunt communiceren over risico’s van het gebruik van bepaalde digitale technologieën. De discussie zal vooral gevoerd worden over concrete keuzes. Waarom valt Copilot bijvoorbeeld in scenario 5, en ChatGPT Pro in scenario 3? Dat zou onlogisch zijn, behalve als je als organisatie een overeenkomst hebt afgesloten met OpenAI. Verder beïnvloedt de aard van de toepassing ook het risico. Dit kun je ook opmaken uit de matrix.

Mijn bronnen over (generatieve) artificiële intelligentie

Deze pagina bevat al mijn bijdragen over (generatieve) artificiële intelligentie, zoals ChatGPT.