Nieuw onderzoek van UC Berkeley toont aan dat het fine-tunen van een AI-model op kleine, ogenschijnlijk onschuldige datasets een "privacy collapse" kan veroorzaken, waarbij het model geleidelijk stopt met het naleven van gevestigde privacy­normen — een achteruitgang die standaard veiligheidsevaluaties en menselijke beoordelaars stelselmatig ontgaat.

Het klinkt onschuldig: een algemeen model leren functioneren als een betere klantenservice-agent. Volgens het Berkeley-team kan hetzelfde proces dat een model scherpt voor een specifieke taak ook zijn vermogen slopen om te beoordelen wanneer het delen van informatie gepast is. Erger nog: de modellen lijken nog steeds volkomen veilig op precies de tests die zijn ontworpen om dergelijke problemen op te sporen.

Een mislukking die de inspectie doorstaat

De onderzoekers noemen het fenomeen "privacy collapse". Een fijn-afgesteld model houdt geleidelijk op met het naleven van gevestigde privacy­normen, zelfs wanneer de trainingsdata niets evident gevaarlijks bevat.

Fine-tuning is het proces waarbij bedrijven een algemeen model verder trainen op een smallere dataset — bijvoorbeeld klantenservice-transcripten, ondersteunende gesprekken of voorbeelden van een agent die softwaretools gebruikt. Het Berkeley-team ontdekte dat deze extra training het begrip van het model voor contextuele privacy kan beschadigen: het principe dat het ongepast zijn van het delen van informatie afhangt van wie vraagt en waarom.

De cijfers zijn genadeloos. In modellen zoals GPT-4o-mini daalde de nauwkeurigheid op benchmarks voor contextuele privacy — gestandaardiseerde tests van modelgedrag — na fine-tuning met tot wel 98-99%. Ondertussen bleven dezelfde modellen goed scoren op conventionele veiligheidsevaluaties. De onderzoekers noemen het resultaat een "stille mislukking".

De divergentie wijst ook op een gat in de testinstrumenten zelf: conventionele veiligheidsevaluaties zijn niet ontworpen om het oordeel over contextuele privacy te meten — het besef van wie informatie vraagt en waarom. Een model kan dus elke controle doorstaan die een team uitvoert en toch de soorten uitwisselingen verkeerd behandelen die die controles nooit simuleren.

Onschuldige data, schadelijke resultaten

Een deel van wat de bevinding ongemakkelijk maakt, is de trainingsdata die erbij betrokken is. De ineenstorting deed zich voor bij datasets die de meeste teams als ongevaarlijk zouden beschouwen, waaronder empathische dialogen en klantenservice-interacties.

De studie testte zes modellen, zowel gesloten als open-weight-systemen — open-weight betekent dat de getrainde parameters publiek beschikbaar zijn zodat iedereen ze kan downloaden en fine-tunen. De kwetsbaarheid kwam naar voren in meerdere modelfamilies, wat aangeeft dat het geen eigenaardigheid van één enkele leverancier is, en hield stand bij datasets over agentisch toolgebruik en geheugentaken.

Het team onderzocht ook de interne werking van de modellen om te bepalen waar de schade ontstaat. Privacygerelateerde representaties in de latere lagen van de modellen bleken bijzonder kwetsbaar, en die kenmerken bleken vatbaarder voor fine-tuning dan de kenmerken die gekoppeld zijn aan de specifieke getrainde taak.

Niet de eerste waarschuwing

De bevindingen van Berkeley passen in een patroon dat al enige tijd groeit. Een studie uit 2024 van Stanford meldde dat zelfs kleine fine-tuning de veiligheid van modellen zoals GPT-3.5 en Llama-2-Chat kon ondermijnen. Dat eerdere werk richtte zich breed op veiligheidsbeveiligingen. Het Berkeley-onderzoek versmallend de blik tot privacy en voegt een Kanttekening toe: de achteruitgang verschijnt niet waar iemand kijkt.

Wat het betekent voor bedrijven die op AI voortbouwen

De meest direct betrokken belanghebbenden zijn bedrijven die foundation-modellen aanpassen voor hun eigen producten. Fine-tuning is een van de meest gebruikelijke manieren om een algemeen model bruikbaar te maken voor een specifieke workflow. Als training op gewone support-transcripten het privacyoordeel van een model kan aantasten, kunnen die implementaties risico's met zich meebrengen die hun bouwers niet kennen — en het behalen van een standaard veiligheidsevaluatie zou vals comfort bieden.

De onderzoekers pleiten voor betere evaluatiemethoden die specifiek zijn ontworpen om het privacyredeneren van AI-agenten te testen tijdens interacties in de echte wereld. Voor organisaties die fijn-afgestelde modellen draaien, wijst die oproep op de ontwikkeling om in de gaten te houden: privacy­specifieke evaluaties die het oordeel testen tijdens live agentinteracties. Omdat de kwetsbaarheid zowel gesloten als open-weight-modellen omvat, kan geen enkele partij het probleem als iemand anders' probleem beschouwen. En als privacykenmerken in de latere lagen uniek kwetsbaar zijn, is de volgende stap vaststellen hoe ze tijdens training beschermd kunnen worden zonder de taakprestaties op te offeren waar bedrijven voor betalen.

De bevindingen werden op vrijdag 6 november 2026 gemeld door CryptoBriefing.