Een medewerker van een adviesbureau verwijdert na afloop van een opdracht al zijn AI-gesprekken over die klant. Netjes, en het voelt als opruimen. De vraag die zijn privacyfunctionaris een week later stelt, is lastiger: wat is er precies weggegaan, en waarheen?
Om die vraag te beantwoorden moet je weten waar een chatgeschiedenis eigenlijk uit bestaat. Het is namelijk geen bestand.
Het staat niet bij jou
Eerste misverstand: je gespreksgeschiedenis staat niet op je computer. Hij staat in een database bij de aanbieder, gekoppeld aan je accountnummer.
Dat merk je aan twee dingen. Log je in op een andere computer, dan is je geschiedenis er gewoon. Wis je je browsergegevens, dan verandert er niets aan je geschiedenis. Wat er lokaal staat is hoogstens een cache voor snelheid.
Praktisch gevolg: het verwijderen van gegevens is altijd een verzoek aan de aanbieder, geen handeling van jou. Wat er daarna gebeurt, hangt af van vier lagen.
Laag 1: wat je ziet
De lijst met gesprekken in de zijbalk. Dit is een weergave, geen opslag. Verwijder je hier iets, dan is het uit beeld. Dat is het enige wat je met zekerheid weet.
Laag 2: de database
Onder die weergave staat de eigenlijke opslag: per gesprek een reeks berichten met tijdstempels, gekoppeld aan een gebruikers-id, vaak samen met bijlagen die je hebt geüpload.
Verwijderen werkt in vrijwel elk systeem in twee stappen. Eerst een markering ("deze rij is verwijderd"), waarna hij nergens meer wordt getoond. Daarna komt een opruimproces langs dat de gegevens echt weghaalt. Bij de meeste AI-diensten zit daar ongeveer dertig dagen tussen.
Dat is geen slordigheid. Zo'n vertraging bestaat om herstel mogelijk te maken en om misbruik te kunnen onderzoeken dat pas later wordt gemeld. Het betekent wel dat "verwijderd" en "weg" op verschillende momenten waar worden.
Laag 3: de technische logs
Naast het gesprek loggen diensten het gebruik ervan. Welk account, welk tijdstip, welk model, hoeveel tekst, welke foutmeldingen. Bij gebruik via een API zit daar vaak ook de inhoud van het verzoek bij.
Deze logs staan los van je gespreksgeschiedenis. Ze hebben hun eigen bewaartermijn, ze zijn niet zichtbaar in de interface, en ze verdwijnen niet mee wanneer jij een gesprek verwijdert. Voor een verwerkingsregister is dit een aparte verwerking met een eigen grondslag en termijn.
Laag 4: de back-ups
Elke serieuze dienst maakt back-ups. Een back-up van gisteren bevat de rij die jij vandaag hebt verwijderd, en die back-up wordt niet doorzocht om jouw verwijdering na te lopen. Hij verloopt vanzelf volgens zijn eigen schema.
Dit is standaardpraktijk in de hele software-industrie en toezichthouders accepteren het, mits de termijnen redelijk zijn en de gegevens bij een herstel opnieuw worden opgeruimd. Maar het is een reden waarom een aanbieder zelden "onmiddellijk en overal" kan beloven.
Wanneer alle termijnen stilstaan
Er is één situatie waarin de vier lagen hierboven niet meer gelden, en die is niet theoretisch.
In de rechtszaak van The New York Times tegen OpenAI kreeg het bedrijf het bevel om uitvoerlogs te bewaren die gebruikers hadden gewist, inclusief tijdelijke chats en verzoeken via de API. De bewaarde gegevens gingen naar een apart, afgeschermd systeem voor juridisch onderzoek. Klanten met een Enterprise-abonnement en API-klanten met een aparte afspraak over minimale opslag vielen buiten het bevel.
Wat dat laat zien: een bewaartermijn is beleid van een leverancier binnen een rechtssysteem. Zolang niemand iets anders eist, wordt hij gevolgd. Zodra een rechter iets anders eist, is hij niet meer van toepassing. Dat is geen kritiek op deze aanbieder, het geldt voor elke dienst die onder een rechtsmacht valt.
Wat je hiermee doet
Voor een DPIA of een verwerkersovereenkomst zijn dit de vragen die volgen uit de vier lagen:
- Hoe lang zit er tussen markeren en definitief opruimen?
- Welke technische logs zijn er, wat staat erin, en hoe lang blijven ze?
- Kan ik de bewaartermijn zelf instellen, en geldt die ook voor de logs?
- Wat is het beleid bij een vordering of een bewaarplicht, en word ik daarover geïnformeerd?
Voor de dagelijkse praktijk is de conclusie eenvoudiger. Verwijderen achteraf is een net gebaar met een vertraging, vier lagen en een uitzondering. Wat er niet in stond, hoeft nooit opgeruimd te worden, en dat is de enige stap die volledig bij jou ligt.
