X

Grok-gesprekken zijn niet end-to-end versleuteld en worden bewaard in een vorm die het bedrijf kan lezen.

Volgens de veelgestelde vragen van SpaceXAI kan een beperkt aantal bevoegde medewerkers Grok-gesprekken beoordelen (om modellen te verbeteren, misbruik te onderzoeken en aan wettelijke verplichtingen te voldoen).

De versleutelde chat van X (XChat) bewaart de privésleutels van gebruikers op de servers van X, versleuteld met een pincode van vier cijfers, en beveiligingsonderzoekers en cryptografen raden af erop te vertrouwen tot hij onafhankelijk is geaudit.

X is een sociaal netwerk dat met advertenties wordt gefinancierd, en zijn eigenaar, SpaceXAI, traint en beheert ook de AI Grok met openbare berichten en interactiegegevens van X-gebruikers.

De beeldbewerking van Grok werd op grote schaal gebruikt om van foto's van echte mensen, onder wie vrouwen en in sommige gevallen kinderen, geseksualiseerde beelden te maken, wat leidde tot onderzoeken door de Europese Commissie en de Britse toezichthouder Ofcom.

Medio januari 2026 zei X dat het Grok op X had verhinderd om beelden van echte mensen te bewerken tot beelden in onthullende kleding, en dat het zulke beelden via geoblocking tegenhoudt waar ze illegaal zijn. Volgens berichten vielen de losse Grok-app en -website daar aanvankelijk niet onder. Beide onderzoeken liepen nog bij de laatste controle.

Forbes ontdekte dat meer dan 370.000 Grok-gesprekken die met de knop 'delen' waren gedeeld door Google en andere zoekmachines waren geïndexeerd; gebruikers werden er niet duidelijk voor gewaarschuwd dat ze door te delen openbaar vindbaar werden.

Door een fout in de API van Twitter, verholpen in januari 2022, konden aanvallers e-mailadressen en telefoonnummers aan accounts koppelen; Twitter bevestigde dat op die manier gegevens over 5,4 miljoen accounts waren verzameld. In januari 2023 werd een lijst met e-mailadressen van meer dan 200 miljoen gebruikers online gepubliceerd, die onderzoekers aan hetzelfde lek koppelden, al zei Twitter dat het geen aanwijzingen vond dat de gegevens afkomstig waren van misbruik van zijn systemen.

De Ierse Data Protection Commission opende in december 2022 een onderzoek naar de datasets over 5,4 miljoen gebruikers.

Twitter verhielp de onderliggende API-fout in januari 2022, maar de gescrapete gegevens waren toen al verzameld.

Twitter stemde in met een civiele boete van $ 150 miljoen om aanklachten van de FTC en het ministerie van Justitie te schikken dat het telefoonnummers en e-mailadressen die mensen voor de beveiliging van hun account hadden opgegeven gebruikte om hun gerichte advertenties te tonen.

Volgens de FTC liep de praktijk van 2013 tot 2019 en trof ze meer dan 140 miljoen gebruikers. De schikking was een door de rechter goedgekeurd bevel dat het ministerie van Justitie namens de FTC indiende; Twitter erkende geen schuld.

X verzamelt je berichten, privéberichten (inclusief de inhoud bij onversleutelde privéberichten), interacties en toestelgegevens; SpaceXAI verzamelt je Grok-prompts, uploads en accountinformatie en gebruikt openbare berichten en interactiegegevens van X. De bedrijven kunnen als gelieerde ondernemingen gegevens met elkaar delen.

Grok heeft een privéchatmodus waarvan de gesprekken niet voor training worden gebruikt en binnen 30 dagen worden gewist, en een instelling 'Improve the model' om je voor training af te melden.

In 2024 zette X standaard een instelling aan waardoor het openbare berichten van mensen mocht gebruiken om Grok te trainen. De Ierse Data Protection Commission daagde X voor het High Court, en X stemde ermee in te stoppen met het verwerken van berichten van gebruikers uit de EU/EER die tussen 7 mei en 1 augustus 2024 waren verzameld voor de training van Grok; de toezichthouder opende in april 2025 een formeel AVG-onderzoek naar de praktijk.

Je kunt een archief van je X-gegevens downloaden en je account deactiveren.

X publiceert transparantierapporten, ook over overheidsverzoeken, al zette het die na 2022 stop voordat het in 2024 een wereldwijd rapport uitbracht.

Als Amerikaans bedrijf kan X op grond van Amerikaans recht, waaronder de CLOUD Act, worden gedwongen gegevens af te geven die het bewaart, waar ze ook zijn opgeslagen.