Datalek openbare AI in Eindhoven

Uit een analyse van gemeente Eindhoven blijkt dat veel bestanden met persoonlijke gegevens van inwoners en medewerkers naar openbare AI-websites zijn gestuurd. Dit is op 23 oktober gemeld bij de Autoriteit Persoonsgegevens (AP). In een steekproef van 30 dagen (23 september tot 23 oktober 2025) zijn verschillende soorten bestanden met persoonsgegevens aangetroffen. De omvang van de hoeveelheid gegevens die voor die tijd is geüpload, is niet vast te stellen. Daardoor kan de gemeente de mensen die dit betreft, niet persoonlijk informeren.

Uit een analyse van gemeente Eindhoven blijkt dat veel bestanden met persoonlijke gegevens van inwoners en medewerkers naar openbare AI-websites zijn gestuurd. Dit is op 23 oktober gemeld bij de Autoriteit Persoonsgegevens (AP). In een steekproef van 30 dagen (23 september tot 23 oktober 2025) zijn verschillende soorten bestanden met persoonsgegevens aangetroffen. De omvang van de hoeveelheid gegevens die voor die tijd is geüpload, is niet vast te stellen. Daardoor kan de gemeente de mensen die dit betreft, niet persoonlijk informeren.

Dit komt doordat deze gegevens tijdelijk, slechts 30 dagen, bewaard worden. Het is alleen op basis van de persoonsnaam te achterhalen of er bestanden met die naam zijn geüpload in de periode van 23 september tot 23 oktober.

De gemeente Eindhoven heeft juridisch adviesbureau Hooghiemstra & Partners gevraagd om onderzoek te doen naar de aard, omvang en impact hiervan. Hooghiemstra & Partners bevestigen het hierboven geschetste beeld.

Het college van B&W en de directieraad zijn geschrokken dat er veel persoonsgegevens zijn gestuurd naar AI-websites. Dat is heel vervelend voor inwoners en medewerkers en het is betreurenswaardig dat niet precies bekend is om welke gegevens het gaat. De gemeente Eindhoven doet er alles aan om dit in de toekomst te voorkomen.

Maatregelen

Na de constatering van het datalek heeft de gemeente de volgende maatregelen genomen:

  • Openbare AI-websites, zoals ChatGPT, zijn meteen geblokkeerd. Medewerkers kunnen vanaf 23 oktober alleen Copilot chat gebruiken. Hiermee blijven gedeelde gegevens binnen de beveiligde gemeente-omgeving.
  • OpenAI is verzocht om de bestanden die vanuit Eindhoven zijn geüpload te verwijderen.
  • De monitoring van het dataverkeer naar externe websites is aangescherpt.

Daarnaast liepen er al trajecten op het gebied van gegevensbescherming:

  • Een algemene interne bewustwordingscampagne op het gebied van gegevensbescherming en privacy. Deze wordt voortgezet, met de focus op het verbeteren van AI-geletterdheid (hoe kun je veilig en verantwoord omgaan met AI).
  • Op 18 november 2025 is de AI-gedragscode vastgesteld en er is een plan van aanpak voor de verdere verbetering van de privacy opgesteld.

Gegevensbescherming

De bescherming van persoonsgegevens heeft de volle aandacht bij gemeente Eindhoven. In oktober is het geïntensiveerd toezicht door de AP op de gemeente beëindigd. Een nieuw team is voortvarend doorgegaan met de taak om gegevensbescherming te optimaliseren. Signalen over de omvang van extern dataverkeer waren aanleiding voor nader onderzoek.

Beperkt risico

Volgens de opvattingen van de geraadpleegde experts is het risico beperkt dat individuele gegevens uit een AI-website naar boven komen. Toch is het risico niet volledig uit te sluiten, omdat er mogelijkheden bestaan om informatie te reconstrueren via geavanceerde technieken.

Eindhoven zet bewust stappen vooruit om op dit gebied verder te komen en de ervaringen te delen. Het deze week verschenen rekenkamerrapport geeft hier ook handvatten voor.