Private Safety Processing: hoe OpenAI AI-misbruik detecteert zonder klantinhoud op te slaan

OpenAI test Private Safety Processing, een veiligheidsarchitectuur voor geselecteerde API-klanten die gebruikmaken van Zero Data Retention (ZDR). De belofte is eenvoudig: het systeem moet misbruikpatronen herkennen die pas zichtbaar worden wanneer meerdere gerelateerde interacties samen worden bekeken, zonder dat OpenAI-medewerkers standaard toegang krijgen tot de onderliggende klantinhoud.

Dat wordt belangrijker nu AI-modellen worden ingezet in langere en meer verspreide workflows. Een schadelijk doel kan bijvoorbeeld worden opgedeeld over verschillende accounts, sessies of verzoeken. Geen enkele afzonderlijke interactie hoeft dan duidelijk genoeg te zijn om het volledige patroon te onthullen. Private Safety Processing moet die bredere context bieden, terwijl de ZDR-bescherming behouden blijft.

Zo werkt Private Safety Processing

Bestaande ZDR-beveiliging beoordeelt verzoeken en antwoorden afzonderlijk. De nieuwe preview breidt dat uit met geautomatiseerde systemen die verbanden tussen meerdere interacties analyseren. Zo wil OpenAI onder meer gecoördineerde pogingen om veiligheidsmaatregelen te omzeilen herkennen, bijvoorbeeld wanneer malware-ontwikkeling over verschillende verzoeken wordt verdeeld.

Het belangrijke onderscheid is dat tussen analyse en bewaring. Private Safety Processing is bedoeld om gerelateerde activiteit voor veiligheidsdoeleinden te analyseren. OpenAI zegt daarbij dat de oorspronkelijke prompts en modelantwoorden niet via het systeem aan zijn medewerkers worden blootgesteld.

OpenAI beschrijft twee mogelijke manieren waarop klantdata binnen een ZDR-implementatie kan worden beheerd:

• De inhoud blijft op infrastructuur die door de klant wordt beheerd.
• Bij opslag op infrastructuur van OpenAI wordt de inhoud versleuteld met sleutels die de klant beheert, niet met sleutels waarover OpenAI-medewerkers beschikken.

In beide gevallen kunnen geautomatiseerde systemen mogelijk misbruik signaleren en een beperkt veiligheidssignaal teruggeven, zonder de onderliggende prompts of antwoorden zichtbaar te maken.

Wat ontvangt OpenAI bij een dreiging?

Volgens de beschrijving van de preview ontvangt OpenAI een nauw afgebakende waarschuwing over het type activiteit dat wordt vermoed. In het systeemdiagram van OpenAI wordt de uitvoer omschreven als een waarschuwingscategorie en een ernstniveau, niet als het gesprek zelf.

Dat signaal kan worden gebruikt voor veiligheids- of handhavingsbeslissingen, maar staat niet gelijk aan het doorsturen van de volledige sessiegeschiedenis. Het proces ziet er in grote lijnen als volgt uit:

1. Geautomatiseerde systemen onderzoeken gerelateerde interacties op een mogelijk schadelijk patroon.
2. Als het patroon een bepaalde risicodrempel overschrijdt, maakt het systeem een beperkte veiligheidsclassificatie.
3. OpenAI ontvangt die classificatie, niet de prompts, antwoorden of het gesprekstranscript.
4. De klant houdt de mogelijkheid om de onderliggende activiteit in zijn eigen omgeving te onderzoeken.

Het gaat nog om een preview. Voor zakelijke klanten zijn de precieze technische uitvoering, risicodrempels en procedures bij foutieve signalen daarom belangrijk. OpenAI zei dat het een bredere introductie en een technisch whitepaper voor september 2026 gepland heeft.

Waarom OpenAI-medewerkers een gemarkeerd gesprek normaal gesproken niet kunnen lezen

Een veiligheidssignaal geeft OpenAI-medewerkers niet automatisch toegang tot het bijbehorende gesprek. Binnen de beschreven ZDR-constructies zegt OpenAI de klantinhoud niet te bewaren. Bij opslag op OpenAI-infrastructuur beschikt het bedrijf bovendien niet over de door de klant beheerde ontsleutelingssleutels.

Klanten kunnen er wel vrijwillig voor kiezen om relevante informatie te delen. Dat kan bijvoorbeeld wanneer zij bezwaar willen maken tegen een handhavingsmaatregel, legitiem gebruik willen toelichten of willen helpen bij een onderzoek naar bevestigd misbruik. Zonder die vrijwillige openbaarmaking blijft het signaal voor OpenAI beperkt tot de automatisch gegenereerde veiligheidsinformatie.

Zo ontstaat een scheiding tussen bewijs dat onder beheer van de klant blijft en risicosignalen die de aanbieder ontvangt. Dat kan de hoeveelheid gevoelige informatie beperken die een AI-aanbieder zelf moet verwerken, terwijl het toch mogelijk blijft om patronen te herkennen die een controle per afzonderlijk verzoek zou missen.

Welke klanten testen de preview?

OpenAI noemt Glean, Databricks, Abridge en Microsoft als klanten die helpen bij de ontwikkeling of het testen van de preview. Andere berichtgeving noemt Microsoft en Databricks eveneens als vroege testklanten.

De functie wordt niet gepresenteerd als een algemene instelling voor consumenten. Ze is gericht op daarvoor in aanmerking komende API-implementaties van organisaties die geavanceerde modellen willen gebruiken en tegelijk strikte controle over prompts en antwoorden willen behouden.

OpenAI tegenover Anthropic: een andere veiligheidsafweging

OpenAI legt met deze aanpak de nadruk op het opsporen van misbruik met zo weinig mogelijk toegang van de aanbieder tot klantinhoud. Anthropic maakt bij zijn covered models een andere keuze: prompts en antwoorden worden 30 dagen bewaard voor veiligheidswerk, waaronder gecontroleerde beoordeling door mensen.

Anthropics documentatie zegt dat deze bewaartermijn geldt voor covered models, waaronder modellen uit de Mythos-klasse. Deze modellen zijn niet beschikbaar onder ZDR. Anthropic zegt ook dat de bewaarde data niet zonder uitdrukkelijke toestemming van de klant voor modeltraining wordt gebruikt.

Het praktische verschil is daardoor groot:

• OpenAI Private Safety Processing: geautomatiseerde analyse over meerdere gerelateerde interacties; volgens de preview ontvangt OpenAI een beperkt veiligheidssignaal in plaats van de onderliggende inhoud.
• Anthropics beleid voor covered models: prompts en antwoorden worden 30 dagen bewaard om veiligheidswerk en gecontroleerde beoordeling mogelijk te maken.

Geen van beide modellen neemt de verantwoordelijkheid voor gegevensbeheer bij de klant weg. Organisaties moeten vóór gebruik van een van deze opties voor gevoelige toepassingen de voorwaarden voor toelating, de implementatiearchitectuur, toegangsrechten, bewaartermijnen, regionale vereisten, beroepsprocedure en contractuele toezeggingen controleren.

Waarom dit relevant is voor gereguleerde bedrijven

Organisaties in de financiële sector, gezondheidszorg en advocatuur verwerken vaak informatie die valt onder vertrouwelijkheidsafspraken, privacyregels, beroepsgeheim of sectorspecifieke voorschriften. De vraag of een aanbieder prompts mag bewaren en mogelijk laten beoordelen, kan daarom gevolgen hebben voor gegevensminimalisatie, interne goedkeuringen, auditontwerp en leveranciersbeoordelingen.

Dat betekent niet automatisch dat een bewaartermijn van 30 dagen verboden is. Evenmin maakt ZDR op zichzelf een implementatie compliant. De twee ontwerpen leiden wel tot andere vragen voor beveiligings- en juridische teams. De covered-modelvoorwaarden van Anthropic vereisen dat organisaties rekening houden met bewaring en beoordeling door de aanbieder. OpenAI positioneert ZDR en Private Safety Processing juist rond het beperken van toegang van de aanbieder tot de inhoud zelf.

Voor zakelijke afnemers zijn vooral deze vragen van belang:

• Komt het model en de gekozen implementatie in aanmerking voor ZDR?
• Waar wordt de inhoud verwerkt en wie beheert de encryptiesleutels als er opslag plaatsvindt?
• Welke exacte gegevensvelden staan in een veiligheidssignaal?
• Kan een klant een waarschuwing controleren of aanvechten zonder het volledige gesprek te delen?
• Wat gebeurt er wanneer een aanbieder ernstig misbruik vermoedt?
• Sluiten de bewaartermijnen en beoordelingsvoorwaarden van de aanbieder aan bij de contractuele en wettelijke verplichtingen van de organisatie?

Privacy als onderdeel van AI-veiligheid

Private Safety Processing maakt privacy tot een onderdeel van het veiligheidsproduct zelf. De vraag is niet langer alleen of een model een onveilig verzoek kan blokkeren. Het gaat er ook om of een aanbieder gecoördineerd misbruik over langere workflows kan herkennen zonder toegang te verlangen tot elk klantgesprek.

De preview van OpenAI biedt daarvoor één mogelijke aanpak: houd de onderliggende inhoud onder controle van de klant of bescherm haar met door de klant beheerde sleutels, laat geautomatiseerde systemen patronen over meerdere interacties herkennen en stuur de aanbieder alleen een beperkte risicoclassificatie.

Anthropics beleid voor covered models kiest voor een andere route: bewaar relevante prompts en antwoorden gedurende een beperkte periode zodat veiligheidsteams ze kunnen onderzoeken, met gecontroleerde beoordeling en een expliciete beperking op gebruik voor modeltraining.

Welke aanpak het beste past, hangt af van de risicotolerantie van de klant, de gevoeligheid van de workloads en de mate van onderzoeksinzage die een organisatie nodig vindt van een aanbieder van geavanceerde modellen. Het aangekondigde technische whitepaper en de bredere uitrol van OpenAI moeten meer duidelijkheid geven over de vraag of de privacybeloften ook in de praktijk standhouden.