AI-guardrails

Guardrails zijn de regels en controles die je rond een AI-tool zet, zodat hij binnen de lijntjes blijft. Een webshopchatbot met guardrails beantwoordt alleen vragen over bestellingen en retouren, en geeft een verzoek om terugbetaling door aan een medewerker in plaats van zelf geld toe te zeggen. Zonder guardrails kan een chatbot klanten dingen beloven waar je bedrijf daarna aan vastzit, zoals Air Canada in 2024 merkte.

Waarom zijn ze belangrijk?

In februari 2024 stelde een Canadees tribunaal Air Canada in het ongelijk in Moffatt v. Air Canada. De chatbot op de website van de maatschappij had een klant verteld dat een rouwkorting achteraf kon worden aangevraagd, binnen 90 dagen na aankoop van het ticket. Volgens de eigen beleidspagina van Air Canada kon dat niet meer als de reis al was gemaakt. Air Canada voerde aan dat het niet aansprakelijk was voor wat de chatbot zei. Het tribunaal oordeelde dat de maatschappij verantwoordelijk is voor alle informatie op haar website, of die nu op een gewone pagina staat of uit een chatbot komt, en veroordeelde haar tot betaling van 650,88 Canadese dollar plus rente en kosten.

Hoe werken ze?

Het OpenAI Cookbook (december 2023) en de toolkit NeMo Guardrails plaatsen controles op meerdere punten:

• Vóór het model: vragen buiten het onderwerp weigeren, pogingen tot jailbreaking en prompt injection herkennen, en persoonsgegevens afschermen.
• Na het model: het antwoord toetsen aan betrouwbare bronnen om hallucinaties te vangen, huisstijl- en inhoudsregels toepassen, en het formaat controleren, bijvoorbeeld tegen een JSON-schema.
• Rond acties: als een AI-agent tools kan gebruiken, beperk je zijn rechten en laat je riskante stappen eerst door een mens goedkeuren, zoals OWASP aanraadt tegen prompt injection.

Een controle kan een vaste regel zijn (een woordenlijst, een reguliere expressie, een schema), een classificatiemodel zoals Llama Guard van Meta (december 2023), of een tweede taalmodel dat het antwoord beoordeelt. Deze controles draaien terwijl de applicatie in gebruik is, los van de veiligheidstraining die in het model zelf zit. Kant-en-klare opties zijn de opensourcebibliotheken NeMo Guardrails (NVIDIA) en Guardrails AI, en diensten als Model Armor van Google Cloud, dat zowel prompts als antwoorden screent.

Waar schieten ze tekort?

• Geen enkele guardrail is waterdicht. In zijn lijst van risico's voor LLM-toepassingen uit 2025 schrijft OWASP dat het onduidelijk is of prompt injection volledig te voorkomen is. Een taalmodel dat als guardrail dient, heeft dezelfde zwakke plekken als het model dat het bewaakt, waarschuwt het OpenAI Cookbook, dus één injectie kan langs beide komen.
• Strenge guardrails houden ook onschuldige vragen tegen; het cookbook noemt dat over-refusals. Elke controle kost bovendien tijd en geld. Het cookbook raadt aan elke controle af te stellen op een testset, waarbij je een geïrriteerde klant afweegt tegen een gemiste aanval.

Voorbeeld

Stel: een webshop heeft een supportchatbot. Vóór het model krijgen vragen over iets anders dan bestellingen, levering en retouren een standaardantwoord, en een ordernummer wordt alleen opgezocht voor de klant die is ingelogd. Na het model moet een antwoord over retourvoorwaarden overeenkomen met de retourpagina; zo niet, dan biedt de bot het contactformulier aan. Terugbetalingen boven een vast bedrag gaan ter goedkeuring naar een medewerker.