Overzicht AI-veiligheid en verantwoord gebruik

Overzicht

ISMS Copilot implementeert uitgebreide AI-veiligheidsmaatregelen om betrouwbare, vertrouwde en verantwoorde AI-assistentie te bieden aan complianceprofessionals. Dit artikel legt de veiligheidsmaatregelen, beperkingen en verantwoorde AI-praktijken uit die in het platform zijn ingebouwd.

Voor wie is dit bedoeld

Dit artikel is bedoeld voor:

• Complianceprofessionals die AI-veiligheidsmaatregelen evalueren
• Risicomanagers die AI-beheersingsmaatregelen beoordelen
• Beveiligingsteams die zich zorgen maken over misbruik van AI
• Iedereen die wil begrijpen hoe ISMS Copilot verantwoord AI-gebruik waarborgt

AI-veiligheidsprincipes

Het AI-veiligheidskader van ISMS Copilot is gebaseerd op vier kernprincipes:

1. Doelbeperking

De AI-assistent is uitsluitend ontworpen voor informatiebeveiliging en compliancewerk:

• Gericht op ISMS-frameworks (ISO 27001, SOC 2, GDPR, NIST, enz.)
• Vriendelijk doorverwijzen van off-topic vragen naar compliancegerelateerde onderwerpen
• Weigert verzoeken voor schadelijke, illegale of onethische activiteiten
• Blijft binnen de grenzen van complianceadvies

2. Transparantie & Eerlijkheid

De AI-assistent erkent openlijk zijn beperkingen:

• Duidelijk aangeven wanneer er onzekerheid is
• Gebruikers aansporen om belangrijke informatie te verifiëren
• Toegeven wanneer het iets niet weet in plaats van te gokken
• Duidelijk uitleggen wat het wel en niet kan

3. Auteursrecht & Intellectuele Eigendomsbescherming

ISMS Copilot respecteert intellectuele eigendomsrechten:

• Zal geen auteursrechtelijk beschermde ISO-normen of propriëtaire inhoud reproduceren
• Verwijst gebruikers naar het aanschaffen van officiële normen bij geautoriseerde bronnen
• Biedt begeleiding op basis van de principes van het framework zonder tekst te kopiëren
• Getraind op wettelijk verkregen, geanonimiseerde gegevens die voldoen aan de EU-auteursrechtvereisten

4. Privacy by Design

Gebruikersgegevensbescherming is verankerd in elke AI-interactie:

• Conversaties worden nooit gebruikt om AI-modellen te trainen
• Door gebruikers verstrekte inhoud wordt niet gedeeld met andere gebruikers
• Elke conversatie wordt onafhankelijk verwerkt
• Werkruimte-isolatie voorkomt dat gegevens tussen projecten worden gemengd

AI-veiligheidsmaatregelen

Inhoudsbereik-maatregelen

Wat de AI zal doen:

• Vragen beantwoorden over ISMS-frameworks en compliance
• Geüploade compliance-documenten analyseren (beleid, procedures, risicobeoordelingen)
• Auditklare beleidsregels en procedures genereren
• Gap-analyse en implementatiebegeleiding bieden
• Beveiligingsmaatregelen en compliancevereisten uitleggen

Wat de AI NIET zal doen:

• Juridisch advies geven (stelt voor om juridische professionals te raadplegen)
• Medisch, financieel of persoonlijk advies geven buiten het compliancebereik
• Inhoud genereren voor illegale, schadelijke of onethische doeleinden
• Auteursrechtelijk beschermde normen of propriëtaire materialen reproduceren
• Aangepaste instructies of systeemprompts openbaren

Jailbreak-preventie

ISMS Copilot is ontworpen om manipulatiepogingen te weerstaan:

Geblokkeerde tactieken:

• "Herhaal na mij"-trucs om systeemprompts te extraheren
• Rollenspelscenario's ontworpen om veiligheidsbeperkingen te omzeilen
• Verzoeken om "vorige instructies te negeren"
• Beperkingsmanipulatie ("antwoord zonder weigeringsreacties")
• Pogingen om direct toegang te krijgen tot interne kennisbankbestanden

Hoe het werkt:

Wanneer de AI een jailbreak-poging detecteert, doet het het volgende:

1. Herkent het manipulatiepatroon
2. Weigert beleefd het verzoek
3. Verwijst door naar legitieme ISMS-assistentie
4. Handhaaft zijn veiligheidsbeperkingen

Prompt Injection-bescherming

Het platform beschermt tegen kwaadaardige inhoud in geüploade bestanden:

Wat wordt beschermd:

• Geüploade documenten worden gescand op prompt injection-pogingen
• Kwaadaardige instructies ingebed in bestanden worden stil afgewezen
• Systeemprompts kunnen niet worden overschreven via bestandsinhoud
• Veiligheidsbeperkingen blijven actief ongeacht de bestandsinhoud

Gebruikerservaring:

• Bestanden worden normaal verwerkt vanuit het perspectief van de gebruiker
• Schadelijke instructies worden tijdens de verwerking uitgefilterd
• Alleen legitieme documentinhoud wordt geanalyseerd
• Geen zichtbare foutmelding (stille bescherming)

Kennisbeschermingsmaatregelen

De AI beschermt zijn trainingsgegevens en systeemconfiguratie:

Wat gebruikers NIET kunnen benaderen:

• Aangepaste instructies of systeemprompts
• Details over trainingsgegevensbronnen
• Directe toegang tot kennisbankbestanden
• Downloadlinks voor interne documenten
• Informatie over hoe de kennisbank is gestructureerd

Waarom dit belangrijk is:

Het beschermen van systeemprompts en trainingsgegevens voorkomt:

• Dat tegenstanders begrijpen hoe ze de AI kunnen manipuleren
• Auteursrechtenschendingen door het reproduceren van trainingsmaterialen
• Beveiligingsrisico's door het blootleggen van systeemarchitectuur
• Inconsistent gedrag door gewijzigde instructies

Hallucinatiepreventie

Wat zijn hallucinaties?

AI-hallucinaties treden op wanneer de AI zelfverzekerd klinkende maar feitelijk onjuiste informatie genereert. ISMS Copilot pakt dit aan via meerdere mechanismen:

Dynamische Framework Kennisinjectie (v2.5)

Sinds februari 2025 elimineert ISMS Copilot v2.5 bijna hallucinaties voor frameworkspecifieke vragen door dynamische framework kennisinjectie:

• Detecteert frameworkvermeldingen in uw vragen met behulp van regex-patroonherkenning (ISO 27001, GDPR, SOC 2, HIPAA, CCPA, NIS 2, DORA, ISO 42001, ISO 27701, EU AI Act)
• Injecteert geverifieerde frameworkkennis in de AI-context voordat antwoorden worden gegenereerd
• AI antwoordt op basis van verstrekte frameworkkennis, niet op probabilistisch geheugen
• Niet-AI-gebaseerde detectie zorgt voor 100% betrouwbaarheid wanneer frameworks worden genoemd
• Ondersteunt 10 frameworks met speciale kennisinjectie

Training op praktijkkennis

Naast framework kennisinjectie is ISMS Copilot getraind op gespecialiseerde compliancekennis:

• Eigen bibliotheek van compliancekennis uit honderden echte adviesprojecten
• Gebaseerd op praktische implementatie-ervaring, niet op theoretische informatie
• Gericht op frameworks, normen en bewezen praktijken
• Regelmatig bijgewerkt met actuele compliancevereisten

Erkenning van onzekerheid

De AI is geïnstrueerd om eerlijk te zijn over beperkingen:

• Duidelijk aangeven wanneer het onzeker is over informatie
• Gebruikers aansporen om kritieke informatie te verifiëren
• Vermijden om feiten te verzinnen wanneer kennis onvolledig is
• Voorstellen om officiële normen of juridische professionals te raadplegen indien passend

Voorbeeldreactie:

"Hoewel ik algemene begeleiding kan geven over ISO 27001-controle A.8.1, maak ik nog steeds fouten. Voor auditdoeleinden dient u deze informatie te verifiëren aan de hand van de officiële ISO 27001:2022-norm."

Verantwoordelijkheid voor verificatie door de gebruiker

ISMS Copilot benadrukt dat gebruikers:

• AI-suggesties moeten vergelijken met officiële normen
• Kritieke informatie moeten valideren voordat deze aan auditors wordt voorgelegd
• De AI moeten gebruiken als assistent van een adviseur, niet als vervanging van expertise
• Professioneel oordeel moeten uitoefenen bij het toepassen van AI-aanbevelingen

Snelheidsbeperkingen & Bronbescherming

Berichtsnelheidslimieten

ISMS Copilot implementeert snelheidsbeperkingen om misbruik te voorkomen en eerlijke toegang te garanderen:

Gratis abonnement:

• 10 succesvolle berichten per vast 4-uurs UTC-venster (geen timer die start bij uw eerste bericht)
• 10 sessiekredieten per hetzelfde venster
• Afgedwongen aan zowel frontend als backend

Betaalde abonnementen (Plus, Standard, Pro, Business; Essential grandfathered):

• Sessiekredieten per 4u-venster: Plus 50, Standard 100, Pro 250, Business 500 (Essential 25)
• Geen gratis-stijl 10-berichtenlimiet; kredieten / token capaciteit blijven van toepassing
• Zie Abonnementsplannen en prijzen

Wanneer een limiet is bereikt:

Het product toont een duidelijke limietmelding met upgrade-opties en een aftelling naar het volgende 4-uurs UTC-venster.

Bestandsuploadlimieten

Bestandsuploads hebben veiligheidsbeperkingen om systeembronnen te beschermen:

Bestandsgrootte:

• Maximum: 10MB per bestand
• Foutmelding: "Bestand 'document.pdf' is te groot (15,23MB). Maximale toegestane grootte is 10MB."

Ondersteunde bestandstypen:

• TXT, CSV, JSON (tekstbestanden)
• PDF (documenten)
• DOC, DOCX (Microsoft Word)
• XLS, XLSX (Microsoft Excel)

Uploadbeperkingen:

• Maximaal 10 bestanden per batch (maandelijks voltooide uploads voor eerlijk gebruik blijven van toepassing)
• Dubbele bestanden voor hetzelfde bericht kunnen niet worden geüpload
• Niet-ondersteunde bestandstypen worden afgewezen met een foutmelding

Tijdelijke chatmodus

Wat Is Tijdelijke Chat?

Tijdelijke chatmodus biedt privacybeschermende gesprekken met specifieke gegevensverwerking:

Hoe het werkt:

1. Selecteer "Tijdelijke Chat" vanaf het welkomstscherm
2. U ziet de melding: "Deze chat verschijnt niet in de geschiedenis. Om veiligheidsredenen kunnen we een kopie van deze chat tot 30 dagen bewaren."
3. Stuur berichten en upload bestanden zoals normaal
4. Het gesprek wordt niet toegevoegd aan uw gespreksgeschiedenis
5. Gegevens kunnen tot 30 dagen worden bewaard voor veiligheidscontrole

Wanneer Tijdelijke Chat te gebruiken:

• Snelle eenmalige vragen die niet opgeslagen hoeven te worden
• Gevoelige discussies die u niet in de permanente geschiedenis wilt hebben
• Testvragen voordat u zich committeert aan een werkruimte
• Verkennend onderzoek naar compliance-onderwerpen

Gegevensbewaarcontroles

Door de Gebruiker Gecontroleerde Bewaring

U bepaalt hoe lang uw gespreksgegevens worden opgeslagen:

1. Klik op het gebruikersmenu-icoon (rechtsboven)
2. Selecteer Instellingen
3. Kies in het veld Bewaartermijn gegevens:

• Minimum: 1 dag (hoog beveiligingsniveau, kortetermijnwerk)
• Maximum: 24.955 dagen / 7 jaar (langetermijndocumentatie)
• Of klik op Voor altijd bewaren voor onbeperkte bewaring

4. Klik op Instellingen opslaan

Verwacht resultaat: Het instellingenvenster sluit en de bewaartermijn wordt opgeslagen.

Automatische Gegevensverwijdering

ISMS Copilot verwijdert automatisch oude gegevens:

• Verwijderingsproces wordt dagelijks uitgevoerd
• Verwijdert berichten die ouder zijn dan uw bewaartermijn
• Verwijdert bijbehorende geüploade bestanden
• Verwijdering is permanent en kan niet ongedaan worden gemaakt

Veiligheidsfuncties van Werkruimten

Gegevensisolatie

Werkruimten bieden beveiligingsgrenzen voor verschillende projecten:

Hoe isolatie werkt:

• Elke werkruimte heeft een aparte gespreksgeschiedenis
• Geüploade bestanden zijn gekoppeld aan specifieke werkruimten
• Aangepaste instructies zijn werkruimtespecifiek
• Het verwijderen van een werkruimte verwijdert alle bijbehorende gegevens
• De AI deelt geen informatie tussen werkruimten

Veiligheid van Aangepaste Instructies

Werkruimten staan aangepaste instructies toe met veiligheidsbeperkingen:

Wat Aangepaste Instructies Kunnen Doen:

• Specifiek richten op bepaalde compliance-frameworks
• Toon of detailniveau voor antwoorden instellen
• Projectspecifieke context definiëren (branche, organisatiegrootte)
• AI begeleiden naar specifieke compliance-doelen

Veiligheidsbeperkingen:

• Aangepaste instructies moeten compliance-gerelateerd zijn
• Kunnen kernveiligheidsbeveiligingen niet overschrijven
• Kunnen de AI niet instrueren om auteursrechtbescherming te negeren
• Kunnen inhoudsbeperkingen niet omzeilen

Geen Training op Gebruikersgegevens

Privacygarantie

ISMS Copilot garandeert nooit uw gegevens te gebruiken voor AI-training:

Wat dit betekent:

• Uw gesprekken worden nooit teruggevoerd in het AI-model
• Geüploade documenten blijven vertrouwelijk en privé
• Klantinformatie draagt nooit bij aan modelverbetering
• Elk gesprek wordt onafhankelijk verwerkt zonder leren

Hoe dit u beschermt:

• Klantvertrouwelijkheid wordt gehandhaafd
• Eigen informatie blijft privé
• Gevoelige compliance-gegevens worden niet gedeeld met andere gebruikers
• Geen risico dat de AI per ongeluk uw informatie aan anderen onthult

Transparantie in Gegevensverwerking

ISMS Copilot is transparant over hoe uw gegevens worden gebruikt:

Hoe Uw Gegevens WEL Worden Gebruikt:

• Verwerken van uw vragen om antwoorden te genereren
• Analyseren van geüploade documenten voor gap-analyse
• Onderhouden van gesprekscontext binnen een werkruimte
• Opslaan van gegevens volgens uw bewaarinstellingen
• Veiligheidsmonitoring tot 30 dagen (om misbruik te voorkomen)

Hoe Uw Gegevens NIET Worden Gebruikt:

• Training of finetuning van AI-modellen
• Delen met andere gebruikers of klanten
• Marketing- of advertentiedoeleinden
• Verkopen aan derden
• Openbaarmaking of casestudy's (zonder uitdrukkelijke toestemming)

Authenticatie & Toegangscontrole

Gebruikersauthenticatievereisten

Alle AI-interacties vereisen authenticatie:

• U kunt geen berichten verzenden zonder in te loggen
• JWT-token valideert elk API-verzoek
• Sessies verlopen na een periode van inactiviteit
• Rij-niveau beveiliging zorgt ervoor dat gebruikers alleen hun eigen gegevens zien

Bescherming Tussen Gebruikers

Database-niveau isolatie voorkomt ongeautoriseerde toegang:

• Gebruikers kunnen geen toegang krijgen tot gesprekken van andere gebruikers
• Pogingen om toegang te krijgen tot gegevens van een andere gebruiker retourneren lege resultaten
• Alle query's filteren automatisch op geauthenticeerde gebruikers-ID
• Zelfs beheerders volgen het principe van minimale privileges

Verantwoordelijke AI Best Practices

Voor Gebruikers

De Beste Resultaten Halen:

• Stel specifieke, framework-gerelateerde vragen (bijv. "Hoe implementeer ik ISO 27001-controle A.8.1?")
• Geef context over uw organisatie en compliance-doelen
• Upload relevante documenten voor nauwkeurige gap-analyse
• Controleer en verfijn AI-gegenereerde inhoud voordat u deze gebruikt

Verificatiepraktijken:

• Vergelijk AI-suggesties met officiële standaarden
• Valideer kritieke informatie met compliance-experts
• Test AI-gegenereerde beleidsregels in uw organisatorische context
• Gebruik AI als assistent, niet als vervanging voor expertise

Voor Organisaties

Governancepraktijken:

• Documenteer het gebruik van ISMS Copilot in uw AI-governancebeleid
• Train medewerkers in passend gebruik en beperkingen
• Stel bewaartermijnen in overeenstemming met uw beleid
• Controleer AI-gegenereerde inhoud voordat u deze officieel indient
• Behoud menselijk toezicht voor kritieke compliance-beslissingen

Risicobeheer:

• Neem AI-tools op in Data Protection Impact Assessments (DPIA)
• Documenteer gegevensverwerkingsovereenkomsten met ISMS Copilot
• Stel passende bewaartermijnen in voor gevoelige gegevens
• Gebruik werkruimten om verschillende klant- of projectgegevens te isoleren

AI-Governance in de Praktijk

Naast veiligheidsbeperkingen beheren we onze AI-systemen met volledige levenscyclusgovernance. Hier is hoe ons beleid zich vertaalt in tastbare praktijken:

Ontwikkelingsproces

Vereisten & Testen:

• Elke AI-functie heeft gedocumenteerde vereisten die functionele mogelijkheden, prestatiedrempels, veiligheidsbeperkingen en gegevensverwerkingsnormen omvatten
• Regressietesten worden uitgevoerd bij elke codewijziging om de ophaalnauwkeurigheid, responsgrounding en hallucinatiedetectie te valideren
• Beveiligingstesten omvatten SAST/DAST-scans, jaarlijkse penetratietesten en promptinjectietesten
• Er vindt geen implementatie plaats totdat 100% van de regressietesten zijn geslaagd en alle kritieke kwetsbaarheden zijn opgelost

Architectuurdetails (v2.5, februari 2025):

• Dynamische frameworkkennisinjectie-architectuur (vervangt de vorige RAG-aanpak)
• Regex-gebaseerde frameworkdetectie zorgt voor betrouwbare identificatie van ISO 27001, SOC 2, GDPR, HIPAA, CCPA, NIS 2, DORA, ISO 42001, ISO 27701, EU AI Act
• Tokenefficiënt: Alleen relevante frameworkkennis wordt geladen (vs. het verzenden van alle ~10K tokens bij elk verzoek)
• Geverifieerde frameworkkennis wordt aan de AI verstrekt voordat een antwoord wordt gegenereerd
• Configureerbare AI-aanbieders (Mistral, xAI, OpenAI) met nul gegevensbewaarovereenkomsten

Monitoring & Continue Verbetering

Wat We Monitoren:

• Hallucinatietarieven gevolgd via gebruikersrapporten en geautomatiseerde detectie tegen bekende grondwaarheid
• Responsnauwkeurigheid bemonsterd en gevalideerd tegen officiële compliance-standaarden
• Gebruikspatronen geanalyseerd om misbruik of onbedoelde toepassingen te detecteren
• Prestatie-indicatoren (responstijd, ophaalnauwkeurigheid, foutpercentages) continu gemeten
• Gebruikersfeedback regelmatig beoordeeld om opkomende risico's te identificeren

Hoe Monitoring Verbetering Stimuleert:

• Gebruikersfeedback informeert modelupdates en ophaalafstemming
• Beveiligingstestresultaten stimuleren veiligheidsverbeteringen
• Regelgevingswijzigingen en best practices-updates worden weerspiegeld in documentatie
• Prestatiegegevens leiden tot iteratieve verbeteringen van nauwkeurigheid en snelheid

Incidentrespons

Hoe We Problemen Communiceren:

• E-mailwaarschuwingen voor kritieke incidenten die de AI-functionaliteit beïnvloeden
• Slack-meldingen voor teams met geconfigureerde integraties
• Updates op de statuspagina met incidenttijdlijnen en oplossingen
• NIS2-conforme vroege waarschuwingsmeldingen (24-uursrapportage voor significante cybersecurity-incidenten)

Veiligheidsproblemen Melden

Wanneer Melden

Neem contact op met de ISMS Copilot-ondersteuning als u het volgende tegenkomt:

• AI-antwoorden die veiligheidsbeperkingen schenden
• Mogelijke hallucinaties of feitelijk onjuiste informatie
• Auteursrechtenschendingen in AI-uitvoer
• Ongepast gedrag of inhoud
• Beveiligingskwetsbaarheden in het AI-systeem
• Privacylekken of gegevenslekken

Hoe te Melden

1. Klik op het gebruikersmenu-icoon (rechtsboven)
2. Selecteer Helpcentrum → Ondersteuning Contacteren
3. Beschrijf het veiligheidsprobleem met:

• Exacte vraag of prompt die je hebt gebruikt
• Reactie van de AI (schermopname indien mogelijk)
• Waarom je denkt dat het een veiligheidsrisico is
• Datum en tijd van de interactie

4. Ondersteuning zal het onderzoeken en binnen 48 uur reageren

Wat Gebeurt Nadat Je Hebt Gemeld

Jouw melding activeert ons governanceproces:

1. Directe beoordeling (binnen 48 uur): Ondersteuningsteam beoordeelt ernst en impact
2. Onderzoek: Technisch team analyseert het probleem, reproduceert het en identificeert de oorzaak
3. Reactie: Je ontvangt een update over de bevindingen en geplande acties
4. Herstel: Problemen worden aangepakt via modelupdates, afstemming van retrieval, codefixes of verbeteringen in de documentatie
5. Continue verbetering: Lessons learned worden geïntegreerd in test- en monitoringsprocessen

Beperkingen & Bekende Beperkingen

Huidige AI-beperkingen

• Kan niet op internet surfen voor actuele informatie (gebruikt getrainde kennisbank)
• Kan geen externe databases of API's in realtime benaderen
• Kan geen code uitvoeren of beveiligingstesttools draaien
• Kan geen telefoontjes plegen of e-mails namens jou verzenden
• Kan geen 100% nauwkeurigheid garanderen (controleer altijd kritieke informatie)

Scopegrenzen

• Gericht op ISMS en compliance (geen algemene AI)
• Kan geen juridisch, medisch of financieel advies geven buiten de compliancecontext
• Kan officiële standaarden of oordeel van auditors niet vervangen
• Kan geen succesvolle audit garanderen (implementatiekwaliteit is van belang)

Wat Volgt

• Leer meer over gegevensbeveiliging en encryptiemaatregelen
• Begrijp je privacyrechten onder de AVG
• Stel werkruimten in voor gegevensisolatie
• Bezoek het Trust Center voor gedetailleerde AI-governancedocumentatie

Hulp krijgen

Voor vragen over AI-veiligheid en verantwoord gebruik:

• Raadpleeg het Trust Center voor gedetailleerde informatie over AI-governance
• Neem contact op met de ondersteuning via het Helpcentrummenu
• Meld veiligheidsproblemen direct voor onderzoek
• Bekijk de Statuspagina voor bekende problemen