Je spamfilter leest je e-mail niet. Het telt de signalen.

Google blokkeert bijna 15 miljard ongewenste berichten per dag, en dat doet het zonder iets wat je als lezen zou herkennen. Geen model zit daar de woorden van je tandartsenherinnering voor te zeggen. Dat mentale beeld — een digitale snoper gebogen over je inbox, je geheimen absorberen — dat is de angst die de meeste mensen dragen, en die is gericht op het verkeerde doel.

Dit is wat er werkelijk gebeurt. Als mail een filter bereikt, begint het systeem niet met je proza. Het begint met de envelop. Wie stuurde dit, en heeft de verzendende server werkelijk toestemming om dat domein te gebruiken? Dat zijn SPF, DKIM en DMARC — drie controles die bevestigen of "billing@yourbank.com" van je bank's infrastructuur komt of van een gehuurd servercje in iemands kelder. Een oplichter kan een logo perfect kopiëren en alsnog DKIM mislopen, en die ene cryptografische mismatch vertelt het filter meer dan enige zin in het bericht ooit zou kunnen.

Dan komen de goedkopere signalen. Reputatie van afzender: stuurt dit IP-adres miljarden identieke berichten rond? Linkanalyse: wijst de "klik hier"-knop ergens heen waar de zichtbare tekst dat niet toelaat? URL-leeftijd, omleidingsketens, bestandstypes. Het grootste deel van een spam-verdict is vastgesteld voordat het model überhaupt hard over taal nadenkt.

Wanneer taal wel een rol speelt, gaat het niet om begrip — het gaat om wiskunde. Oude filters gebruikten Bayesiaanse classificeerders, de aanpak die Paul Graham populair maakte in zijn essay uit 2002 "A Plan for Spam", die berichten scorete op de waarschijnlijkheid dat bepaalde woorden in spam versus echte mail voorkwamen. Het woord "Viagra" droeg een getal. Moderne systemen gaan verder met transformer-based modellen die tekst omzetten in embeddings — lange lijsten van getallen die betekenis vastleggen zonder de betekenis als woorden op te slaan. Voor de classificeerder is je e-mail geen verhaal. Het is een punt in een high-dimensionale ruimte, en de vraag is of dat punt dicht bij de cluster gelabeld "phishing" ligt.

Dit onderscheid is belangrijk, omdat "de AI ziet mijn woorden" en "de AI zet mijn woorden om in een vector en vergelijkt het met een fraudepatroon" niet dezelfde privacy-gebeurtenis zijn. De ene klinkt als afluisteren. De ander lijkt meer op een metaaldetector: het reageert op een handtekening, niet op een bekentenis.

Dus de echte vraag is niet of een model je tekst aanraakt. Natuurlijk doet het dat — dat is het werk. De vraag is tweeledig, en dit is waar je je verdenking werkelijk op moet richten. Ten eerste: retentie. Wordt de inhoud opgeslagen, en voor hoe lang? Het API-beleid van OpenAI stelt bijvoorbeeld dat het zakelijke API-gegevens niet gebruikt voor het trainen van zijn modellen en bewaart ze voor een beperkt venster voordat ze worden verwijderd. Anthropic publiceert soortgelijke commerciële voorwaarden. Dit zijn de beleidsregels die het waard zijn om te lezen, niet verzekeringen over hoe "privé" een logo eruitziet.

Ten tweede: waar de inferentie plaatsvindt. Een filter die classificatie binnen de eigen muren van je provider uitvoert, heeft een ander risicoprofiel dan tekst die naar een derdenmodel wordt gestuurd dat je nog nooit hebt gehoord. "On-device of in-tenant" versus "ergens anders verzonden" is de privacy-splitsing die beslist wie in theorie ooit iets zou kunnen zien.

Dit is ook waarom de paniek "het scant alles" contraproductief werkt. De systemen die alles scannen, zijn degene die je beschermen — de classificeerders die de valse factuur en de lookalike-loginpagina blokkeren. Het gevaarlijke scannen is het stille soort: de tracking pixel in een nieuwsbrief die een server pingt op het moment dat je hem opent, en je IP en het moment waarop je hem leest registreert. Dat is een echte snoper, en het is niet de spamfilter.

Maak je zorgen over retentie. Maak je zorgen over bestemming. Het model dat je woorden voor aanwijzingen leest, is het minste ervan.