Meta heeft het interne trainingsprogramma Model Capability Initiative (MCI) per direct stilgelegd voor medewerkers in de Verenigde Staten. Aanleiding is een intern datalek dat, afgaand op interne communicatie en berichtgeving in de media, binnen het bedrijf aan het licht is gekomen. In die interne berichten kreeg het incident het label SEV 2, de categorie die Meta gebruikt voor serieuze problemen op het gebied van beveiliging en betrouwbaarheid.
Uit mediaberichten blijkt dat het programma sinds april 2026 draaide. Het doel was om software-agents te laten zien hoe mensen alledaagse computertaken uitvoeren. Om dat voor elkaar te krijgen, werden werknemers op een opvallend indringende manier gevolgd.
Volgens die berichtgeving verzamelde MCI:
- toetsaanslagen, muisbewegingen en periodieke screenshots van deelnemende medewerkers
- activiteit in meer dan 200 apps en websites, waardoor een gedetailleerd beeld ontstond van hoe werknemers hun werkdag invullen
- blootgelegde privégesprekken, prestatiegegevens en transcripties
- mogelijk ook belasting- en medische gegevens, iets waar sommige medewerkers volgens mediaberichten nu voor vrezen
- opslag van data in ongeveer 45.000 zogeheten hive-tabellen, wat vragen oproept over wie daar toegang toe had en welke beveiligingslagen in de praktijk echt actief waren
Juist die enorme omvang maakt dit lek zo gevoelig. En de timing helpt ook niet, want uit interne communicatie en mediaberichten blijkt dat het programma intern al flink onder vuur lag.
Voor de meeste Amerikaanse medewerkers was deelname aanvankelijk verplicht, zo komt naar voren uit interne communicatie en mediaberichten. Van een echte opt-out was geen sprake. Pas toen de kritiek opliep, kwam er een beperkte uitweg: werknemers mochten het systeem tijdelijk stilzetten, in blokken van 30 minuten.
Voor veel medewerkers schoot dat bij lange na tekort. Volgens mediaberichten hebben meer dan 1.600 werknemers een petitie ondertekend waarin zorgen werden uitgesproken over privacy, beveiliging en de manier waarop Meta met personeelsgegevens omgaat. In diezelfde berichtgeving kwamen ook klachten naar voren over heel concrete gevolgen, zoals extra batterijverbruik op laptops en een hogere belasting van het thuisinternet door de monitoringsoftware.
Experts noemen de zaak in mediaberichten vooral een schoolvoorbeeld van zwak databeheer. Als je zóveel gevoelige telemetrie binnenhaalt, horen daar uitzonderlijk strenge toegangscontroles bij. Daar lijkt het hier mis te zijn gegaan.
Het lek legt dus niet alleen een technisch probleem bloot, maar ook een keuze van het bestuur: hoeveel risico wil een bedrijf eigenlijk nemen met interne data? Dat komt boven op een werksfeer die toch al fragiel was. Meta kampt volgens mediaberichten al langer met lage moraal na reorganisaties en ontslagen die samenhingen met hoge investeringen in nieuwe technologie. Dat juist een verplicht observatieprogramma nu eindigt in een datalek dat het hele bedrijf raakt, zal het vertrouwen in de leiding vermoedelijk nog verder aantasten.
MCI was dan wel gericht op medewerkers in de VS, de gevolgen kunnen breder uitpakken. Als de monitoring ook communicatie met Europese collega’s heeft vastgelegd, kunnen onder de Algemene verordening gegevensbescherming (AVG) al snel vragen ontstaan, bijvoorbeeld over toestemming en over het hergebruik van werkcommunicatie voor trainingsdoeleinden.
De pauze van MCI valt bovendien in een periode waarin Meta volgens mediaberichten al vaker is genoemd in verband met beveiligingsproblemen rond geautomatiseerde systemen. Eerder dit jaar waren er volgens berichtgeving al meldingen van een SEV 1-incident met een ontspoorde interne agent, plus een aparte chatbotfout waarmee Instagram-accounts konden worden overgenomen. Deze nieuwe zaak zet daarom vooral één vraag nog scherper neer: heeft Meta de controle over zijn eigen experimentele systemen eigenlijk wel echt in handen?
