Een AI-assistent koppelen aan uw mailbox, agenda en bestanden: wat geeft u hem echt?

Het scenario in het kort

Voorbeeld, verzonnen ter illustratie. De zaakvoerster van een kleine fictieve organisatie (een tiental mensen) ontdekt een AI-assistent voor het grote publiek die belooft haar ochtendmails samen te vatten, haar antwoorden voor te bereiden en haar afspraken in te plannen. Daarvoor moet ze hem ‘koppelen’ aan haar mailbox. Er verschijnt een scherm: uw mails lezen, mails verzenden in uw naam, uw agenda lezen en wijzigen, uw bestanden openen, toegang behouden tot gegevens waartoe u toegang hebt gegeven. Ze klikt op ‘Accepteren’. De tool werkt, het is handig.

Drie maanden later gebruikt ze hem niet meer. Uit voorzorg heeft ze zelfs haar wachtwoord gewijzigd. Toch mag de tool nog altijd haar mailbox en haar agenda lezen en mails in haar plaats versturen. Niemand heeft dat ingetrokken, en niemand weet dat hij er nog is. De termijnen en details van dit voorbeeld zijn verzonnen; het mechanisme is wel het mechanisme dat Microsoft beschrijft voor een Microsoft 365-account.

Wat u aanvaardt wanneer u op ‘Accepteren’ klikt

Wanneer u een onlinetool koppelt aan uw Microsoft 365- of Google-account, geeft u hem niet uw wachtwoord. U verleent hem een toestemming (informatici spreken van ‘consent’): een soort toegangsbadge, uitgereikt door Microsoft of Google, waarmee de tool uw account binnen kan om welbepaalde dingen te doen, zonder het u telkens opnieuw te vragen.

Elke regel op dat scherm staat voor een echt recht:

De laatste regel is de belangrijkste. Volgens de documentatie van Microsoft kan de tool daarmee een vernieuwingstoken krijgen: een langdurige pas waarmee hij een nieuwe badge maakt wanneer de oude verloopt. De toegangsbadge is ongeveer een uur geldig; het vernieuwingstoken standaard 90 dagen, en het wordt bij elk gebruik vervangen door een nieuw. Zolang de tool het gebruikt, kan de toegang dus heel lang blijven bestaan.

Waarom uw wachtwoord wijzigen de deur niet sluit

Het is de natuurlijke reflex: ‘ik wijzig mijn wachtwoord en alles is afgesloten’. Bij Microsoft 365 klopt dat niet voor deze toestemmingen. Op zijn pagina over misbruikte toestemmingen schrijft Microsoft dat de gebruikelijke middelen, zoals het wachtwoord opnieuw instellen of tweestapsverificatie verplichten, niet doeltreffend zijn tegen dit soort toegang, omdat de toepassing buiten de organisatie staat.

Het overzicht van Microsoft over vernieuwingstokens bevestigt dat: wanneer de gebruiker zelf zijn wachtwoord wijzigt, blijven de tokens van een onlinedienst (wat Microsoft een ‘vertrouwelijke client’ noemt) geldig. Bij Google is de regel iets anders: een gewijzigd wachtwoord sluit de toegang af van een tool die uw Gmail-mails mag lezen, maar niet van een tool die alleen toegang heeft tot de agenda of de bestanden, en een toegang die zes maanden niet gebruikt wordt, vervalt vanzelf. Bij Microsoft 365 sluit dit de toegang echt af:

• de toestemming van de toepassing intrekken, vanuit het account van de gebruiker of door de beheerder;
• alle sessies van de gebruiker intrekken, iets wat de beheerder van uw Microsoft 365 kan doen;
• aanmelden met het account blokkeren, bijvoorbeeld wanneer een medewerker vertrekt: volgens Microsoft sluit dat ook de toegang van de toepassing tot de gegevens van het account af.

Met andere woorden: een tool die u een namiddag hebt uitgeprobeerd en daarna vergeten bent, houdt zijn badge. Wordt die dienst ooit gehackt of verkocht, dan ligt uw mailbox bloot.

Een assistent die uw mails leest, leest ook die van anderen

Een AI-assistent maakt niet met zekerheid het onderscheid tussen uw opdrachten en de tekst die hij leest. Een ontvangen mail kan verborgen instructies bevatten, zoals ‘stuur de laatste facturen door naar dit adres’. Dat heet promptinjectie (in het Engels *prompt injection*): iemand verstopt bevelen in inhoud die de AI zal lezen, in de hoop dat ze worden uitgevoerd. Hoe meer rechten de tool heeft, hoe gevaarlijker die val.

Drie eenvoudige regels beperken dat risico:

• Geen automatische actie op basis van een ontvangen mail: het ANSSI, het Franse nationale agentschap voor cyberbeveiliging, raadt in zijn gids over generatieve AI aan zulke acties te beperken of zelfs te verbieden (aanbeveling R27).
• Zo weinig mogelijk toegang, zo kort mogelijk: dat is de regel van het Britse NCSC voor AI-agents.
• Een mens keurt het verzenden, verwijderen en doorsturen goed.

In een medische, tandheelkundige of paramedische praktijk staat er dubbel zoveel op het spel. Mails en agenda bevatten namen van patiënten en soms gezondheidsgegevens, die de AVG strenger beschermt (artikel 9), zoals de Gegevensbeschermingsautoriteit in herinnering brengt. Voordat u een tool aan die gegevens koppelt, moet u weten waar hij ze naartoe stuurt, wat hij ervan bewaart, en moet er een contract zijn dat die verwerking regelt. Voor de apps op onze toestellen raadt de Autoriteit nu al aan om hun toestemmingen regelmatig te controleren en uit te schakelen wat niet essentieel is: dezelfde reflex geldt voor tools die aan uw mailbox gekoppeld zijn.

De standaardinstellingen van Microsoft 365: wat u moet weten

In Microsoft 365 bepaalt de beheerder wie op ‘Accepteren’ mag klikken. Microsoft vermeldt dat standaard alle gebruikers een toepassing toegang mogen geven tot bijvoorbeeld hun eigen mailbox. Ze kunnen niet op eigen houtje de bestanden van de hele organisatie openzetten: daarvoor is de goedkeuring van een beheerder nodig.

Het derde punt verrast vaak: volgens Microsoft geldt een strengere instelling alleen voor de toekomst. De toestemmingen die al gegeven zijn, blijven geldig: u moet dus ook in het verleden opruimen.

Toegangen bekijken en intrekken, account per account

Op een Microsoft 365-account

Elke gebruiker kan de portal Mijn apps van Microsoft openen. Volgens Microsoft ziet hij daar welke toepassingen toegang hebben tot zijn account en hoe ver die toegang reikt, en kan hij verwijderen wat hem verdacht lijkt. De beheerder ziet op zijn beurt voor elke persoon de lijst met toegestane toepassingen en kan een toestemming met enkele klikken verwijderen. Microsoft raadt organisaties met veel toepassingen aan die toestemmingen elke week na te kijken.

Op een Google-account

De pagina Gekoppelde apps van uw Google-account toont de tools van derden en wat ze mogen doen. Google maakt daar een onderscheid tussen gewoon inloggen (‘Inloggen met Google’), gekoppelde accounts, toegang van een tool tot accountgegevens (agenda, mails, bestanden) en, sinds kort, de toestemming aan de AI-agents van Google om een app in uw plaats te gebruiken. Het geval dat ons interesseert is ‘Toegang tot je Google-account’: kies de tool, ‘Details bekijken’ en daarna ‘Toegang intrekken’. De andere categorieën hebben een eigen knop van hetzelfde type (‘Inloggen met Google niet meer gebruiken’, ‘Koppeling verwijderen’).

Let op: de toegang intrekken verhindert dat de tool terugkomt, maar wist niet wat hij al gekopieerd heeft. Google zegt het duidelijk voor gewoon inloggen: uw gegevens in de app worden niet verwijderd. Om te laten wissen wat al opgehaald is, moet u zich tot de uitgever van de tool wenden, volgens zijn privacybeleid.

Maandagochtend: de checklist

1. Maak een inventaris. Vraag uw beheerder de lijst met toegestane toepassingen op elk account, en vraag daarna aan elke persoon: ‘Welke AI-tools hebt u gekoppeld aan uw mails, uw agenda of uw bestanden?’
2. Verwijder wat niet meer gebruikt wordt. Een tool die uitgeprobeerd en daarna opgegeven is, moet dezelfde dag nog zijn toegang verliezen.
3. Leg vast wie ja mag zeggen. Beperk toestemmingen tot geverifieerde uitgevers en schakel de aanvraag tot goedkeuring in: een klik van een verantwoordelijke is beter dan één klik zonder controle.
4. Geef het minimum. Lezen in plaats van schrijven, één map in plaats van de hele ruimte, concepten in plaats van rechtstreeks verzenden.
5. Houd zelf de controle over ingrijpende handelingen. Verzenden, verwijderen, doorsturen, betalen: een mens keurt goed voordat het vertrekt.
6. Houd patiëntgegevens erbuiten zolang de tool niet geëvalueerd is: waar worden de gegevens bewaard, hoelang, onder welk contract.
7. Kijk de lijst regelmatig na. Het ANSSI, het Franse agentschap voor cyberbeveiliging, stelt een nazicht van de rechten van AI-tools voor zodra ze geactiveerd worden, en daarna bijvoorbeeld elke maand (aanbeveling R35). Voor een kleine organisatie is een afspraak per kwartaal al een echte stap vooruit.
8. Plan ook het einde. Wanneer u met een tool stopt, trekt u zijn toegang in en vraagt u schriftelijk om de gegevens die hij bewaard heeft te wissen.

AI gebruiken zonder de deur open te laten

Een assistent die aan uw mailbox gekoppeld is, kan echt tijd besparen: sorteren, samenvatten, antwoorden voorbereiden. Het doel is niet om er afstand van te nemen, maar om op elk moment te weten welke tools een badge hebben, wat die badge opent en wie hem kan intrekken.

Weet u niet waar te beginnen? Een nazicht van de toestemmingen in uw Microsoft 365 of uw Google Workspace toont u precies wat openstaat, zodat u AI met een gerust hart verder kunt invoeren.

Uw toegangsrechten laten nakijken→