Een virtualrealitybril gebruikt bewegingssensoren om voortdurend vast te stellen hoe de gebruiker zijn hoofd beweegt. Daardoor past de virtuele omgeving zich direct aan wanneer iemand opzij, omhoog of omlaag kijkt. 

Deze sensoren lijken vooral technische gegevens te verzamelen die weinig over de gebruiker zelf zeggen.

Onderzoekers van de King Abdullah University of Science and Technology ontdekten echter dat de sensoren veel subtielere signalen kunnen opvangen. Zo registreert een VR-bril minuscule trillingen die samenhangen met de reactie van de pupillen op beelden.

Deze lichamelijke reacties zijn weer verbonden met wat iemand ziet en waarneemt.

Kunstmatige intelligentie herkent patronen
De onderzoekers ontwikkelden een systeem met de naam BraVeSpy. Dat gebruikt kunstmatige intelligentie om patronen in de bewegingsgegevens te herkennen.

In experimenten met verschillende commerciële VR-brillen kon het systeem informatie afleiden over beelden die gebruikers waarnamen.

Ook bleek het mogelijk om met hoge nauwkeurigheid te herkennen welke websites, apps en video’s iemand gebruikte.

Daarnaast konden gebruikers aan de hand van hun bewegingspatronen van elkaar worden onderscheiden. Een VR-bril kan zo als het ware een persoonlijke digitale vingerafdruk produceren.

Dat betekent niet dat de bril letterlijk gedachten kan lezen. De onderzoekers reconstrueren geen volledige gedachtegang, maar leiden uit lichamelijke reacties en sensorgegevens af waarop iemand reageert.

Toch gaat het om informatie waarvan gebruikers waarschijnlijk niet verwachten dat hun bewegingssensoren die kunnen prijsgeven.

Apps hebben toegang tot gegevens
Het privacyrisico zit vooral in de toegang tot de sensoren. Apps en websites die binnen een virtuele omgeving worden gebruikt, kunnen bewegingsgegevens doorgaans uitlezen. Een kwaadwillende toepassing zou die gegevens daardoor kunnen verzamelen zonder dat een gebruiker precies weet wat ermee wordt afgeleid.

De onderzoekers adviseren fabrikanten daarom om strengere toestemmingen in te voeren. Ook zouden apps niet automatisch toegang moeten krijgen tot alle ruwe sensorgegevens.

Technische aanpassingen kunnen bovendien voorkomen dat onnodig gedetailleerde informatie wordt doorgegeven.

Nieuwe techniek vraagt om nieuwe bescherming
VR-brillen worden niet alleen gebruikt voor spellen. Ze vinden ook hun weg naar het onderwijs, de gezondheidszorg en het bedrijfsleven. Daardoor kunnen steeds meer mensen met deze vorm van gegevensverzameling te maken krijgen.

Het onderzoek laat zien dat gegevens die op het eerste gezicht onschuldig lijken, met kunstmatige intelligentie een heel andere betekenis kunnen krijgen.

Privacybescherming moet daarom niet alleen kijken naar camera’s en microfoons, maar ook naar de bewegingssensoren die ongemerkt veel over een gebruiker kunnen vertellen.