Geïndexeerde Claude-chats bevatten medische dossiers en telefoonnummers van kinderen

Medische dossiers, klinische onderzoeksresultaten met patiëntnamen en documenten met de namen en telefoonnummers van basisschoolkinderen zaten tussen de publiek gedeelde Claude-chats en artifacts die Google indexeerde, meldt Futurism na eigen onderzoek in de zoekmachine.

Dat verandert de aard van het incident. Zolang het bij juridische strategie, code en cv's bleef, was de schade vooral pijnlijk. Een medisch dossier van een herkenbare patiënt is een bijzonder persoonsgegeven, en het verwerken van gezondheidsgegevens is volgens de AVG in beginsel verboden, met een beperkte set wettelijke uitzonderingen. Belandt zo'n dossier via het privé-account van een medewerker in een publieke momentopname, dan ligt het datalek bij de organisatie waar de gegevens vandaan komen, niet bij Anthropic. De vraag is daarmee niet of je beleid hebt, maar of je vandaag nog kunt vaststellen wat je mensen ooit gedeeld hebben.

Wat er in de gedeelde pagina's stond

Futurism opende de pagina's via Google en zag een uitgebreid medisch rapport van een echte patiënt, klinische onderzoeksresultaten met patiëntnamen, als intern gemarkeerde bedrijfsdocumenten en beoordelingen van medewerkers met persoonlijke gegevens erin.

Cybernews deed hetzelfde en vond onder meer een klinisch onderzoeksdocument met de volledige namen, leeftijden, geslachten, etniciteiten, huidtypes en behandeldata van patiënten, plus een database met de titel Location Data Collection waarin locaties en toegangscodes van appartementen stonden.

Dat is een zwaardere categorie dan de sleutels en documenten die eerder opdoken. Die eerste lichting bestond uit API-sleutels, cryptowalletgegevens en cv's, en kwam in het weekend van 25 en 26 juli boven met de zoekopdracht site:claude.ai/share, terwijl publieke deellinks alleen ontstaan op de consumentenabonnementen Free, Pro en Max.

Anthropic legt het bij de gebruiker

Een technische aanpassing kondigde Anthropic niet aan. Woordvoerder Amie Rotherham zei in een verklaring dat het bedrijf mensen controle geeft over het publiek delen van hun Claude-gesprekken en dat het geen chatdirectory's of sitemaps deelt met zoekmachines zoals Google. "These shareable links are not guessable or discoverable unless people choose to share them themselves", aldus Rotherham. "When someone shares a conversation, they are making that content publicly accessible, and like other public web content, it may be archived by third-party services."

Google wees in een reactie aan PCMag dezelfde kant op: noch Google noch een andere zoekmachine bepaalt welke pagina's publiek op het web staan, en deze pagina's zijn door meerdere zoekmachines geïndexeerd. Beide partijen komen zo uit bij de gebruiker die op delen klikte.

De artifacts blijven een open deur

Na de opruimactie blijft één ding staan. De robots.txt van claude.ai zet een Disallow op /share/, /chat/, /settings* en /api/*, maar bevat geen enkele regel voor /public/artifacts. Gepubliceerde artifacts zijn dus met opzet crawlbaar. PCMag zag de gedeelde chats uit de resultaten verdwijnen, maar constateerde dat Google de artifacts op claude.ai/public/artifacts nog gewoon indexeerde. Dezelfde publicatie noemt de schaal van de chatblootstelling beperkt: een gebruiker die de geïndexeerde gesprekken probeerde te archiveren, haalde er 519 op.

Het publiceervenster van Claude laat de bedoeling zien. Bij een gepubliceerd artifact staat er Published (Public), met de regel dat iedereen op het web met de link het artifact kan bekijken terwijl de chat privé blijft en de waarschuwing dat een ingetrokken artifact nooit opnieuw te publiceren is. Over zoekmachines staat er in dat venster niets.

Wat een werkgever nu kan controleren

Wie Claude gebruikt, vindt de eigen gedeelde chats en gepubliceerde artifacts terug onder Instellingen en dan Privacy, met per regel de mogelijkheid om de toegang in te trekken. Voor een organisatie is dat het lastige deel: die lijst staat per account, en juist de risicovolle accounts zijn de privéaccounts die nooit in een beheerpaneel verschijnen. Uitvragen is dan de enige route.

De juridische kant is intussen concreter dan een beleidsdiscussie. Gezondheidsgegevens mogen niet door onbevoegden worden ingezien, en wie beroepsmatig met zulke gegevens werkt heeft een geheimhoudingsplicht. Een klinisch onderzoeksdocument met patiëntnamen op een publieke URL zet die twee regels tegelijk buitenspel.

De deindexering haalde de chats uit Google, niet uit de wereld, en het ontwerp bleef precies zoals het was: één klik maakt een momentopname publiek, en bij artifacts blijft die publieke pagina bewust vindbaar. Nu bekend is welke categorieën er feitelijk in terechtkwamen, verschuift de vraag van techniek naar classificatie. Een AI-toolbeleid dat dataklassen aan drie goedkeuringsniveaus koppelt beantwoordt die vraag vooraf. Zonder zo'n afspraak beslist de medewerker die op delen drukt in zijn eentje of een patiëntnaam publiek mag worden.