Meta heeft een controversieel programma voor het volgen van medewerkers opgeschort nadat uit een intern veiligheidsonderzoek was gebleken dat zeer gedetailleerde gegevens over toetsaanslagen en schermafbeeldingen van de laptops van medewerkers binnen het bedrijf op veel grotere schaal toegankelijk waren dan de bedoeling was.
Het programma maakte deel uit van Meta’s Model Capability Initiative (MCI), waarbij muisbewegingen, kliklocaties, toetsaanslagen en scherminhoud van de werklaptops van medewerkers werden verzameld om interne AI-systemen te trainen.
Het programma bracht ook een duidelijk risico met zich mee. Het verzamelen van uiterst gevoelige gegevens over de activiteiten van medewerkers is één ding. Deze gegevens goed beveiligen is iets heel anders.
Volgens berichten op basis van interne documenten en verklaringen van medewerkers werden de gegevens niet alleen verzameld. Ze bleven ook toegankelijk in duizenden interne gegevenstabellen, waaronder AI-prompts, transcripties, privégesprekken en prestatiegerelateerde informatie.
Na de berichtgeving over de onthulling heeft Meta het initiatief teruggeschroefd en vervolgens opgeschort, tegen de achtergrond van aanhoudende interne kritiek en vragen of de privacywaarborgen ooit meer waren dan een geruststellende vermelding in een memo.
Vanuit het perspectief van Meta was het Model Capability Initiative een maatregel om de efficiëntie te verhogen. Het doel was om AI-modellen te voorzien van „echte voorbeelden van hoe mensen computers daadwerkelijk gebruiken” door passief bij te houden hoe medewerkers omgaan met alledaagse tools zoals Gmail, GChat, Metamate en VS Code. De modellen zouden zo kunnen leren van live-workflows in plaats van synthetische benchmarks.
Aan de werknemers was beloofd dat het verzamelen van gegevens beperkt zou blijven tot werkgerelateerde apps en niet zou gelden voor hun privé-telefoons. Maar je kunt je wel voorstellen hoe dit werd opgevat:
- Software voor het registreren van toetsaanslagen en muisbewegingen werd op de laptops van Amerikaanse werknemers geïnstalleerd, zonder dat er op bedrijfsapparaten een mogelijkheid was om zich hiervoor af te melden, zoals intern bevestigd door de CTO van Meta.
- De software registreerde invoergegevens en de bijbehorende scherminhoud, waardoor een dataset over het gebruikersgedrag ontstond: wat je typt, waar je klikt en wat er op je scherm te zien is terwijl je dat doet.
Het programma leidde tot veel interne kritiek. Een interne post van een ingenieur waarin hij protesteerde tegen „laptopbewaking“ en schermmonitoring ging binnen Meta viraal, wat aanleiding gaf tot een petitie om het programma volledig stop te zetten.
Vanuit het oogpunt van naleving kunnen programma’s voor werknemersmonitoring van deze omvang lastige juridische en regelgevingskwesties oproepen, met name in rechtsgebieden waar transparantie wordt vereist met betrekking tot toezicht op de werkplek en gegevensverzameling.
De gevolgen voor de reputatie zijn misschien wel nog ernstiger. Wanneer een bedrijf voortdurend onder de loep wordt genomen vanwege het volgen van gebruikers, geeft het schenden van het vertrouwen van werknemers een duidelijk signaal af over de houding die het bedrijf standaard ten opzichte van gegevens inneemt.
En dat terwijl we weten dat gegevens over toetsaanslagen en schermafbeeldingen per definitie een hoog risico inhouden. Dit soort gegevens is rijk aan inhoud, geeft inzicht in gedrag en bevat vaak vertrouwelijke informatie. Het op grote schaal verzamelen ervan vormt een beveiligingslast. Elk nieuw gegevenspunt brengt verplichtingen met zich mee op het gebied van toegangscontrole, gegevensminimalisatie, bewaartermijnen en audits, die de organisatie actief moet beheren zolang de gegevens bestaan.
- Toegangscontroles moeten nauwkeurig zijn en regelmatig worden gecontroleerd, omdat een simpele configuratiefout grote gevolgen kan hebben.
- Gegevensminimalisatie en bewaartermijnen zijn van essentieel belang, aangezien langdurige opslag de gevolgen van een mogelijk datalek vergroot.
- Elk toekomstig datalek – intern of extern – zou niet alleen e-mails kunnen blootleggen, maar ook de exacte tekenreeksen die medewerkers invoeren, inclusief authenticatieprocessen en conceptteksten. In verkeerde handen zou dit soort informatie het bedrijf kwetsbaar kunnen maken.
Deze aflevering herinnert ons eraan dat elke nieuwe dataset nieuwe verantwoordelijkheden met zich meebrengt. Hoe gedetailleerder en gevoeliger de informatie, hoe groter de gevolgen wanneer de toegangscontroles falen.
Oplichters hoeven je computer niet te hacken. Ze hoeven je maar één keer te laten klikken.
Malwarebytes Identity Theft signaleert verdachte activiteiten voordat ze tot een probleem leiden.
