Internetrecht door Arnoud Engelfriet

Een lezer vroeg me:

Ik werk op de HR afdeling van de Nederlandse vestiging van een Amerikaans concern. Vanuit ‘Houston’ is ons nu opgedragen alle sollicitaties eerst door een AI-driven screening te halen. Alleen mensen die door het algoritme worden geselecteerd, mogen op gesprek komen. Mag dat wel van de GDPR?

De inzet van AI, beter gezegd machine learning, is in human resources oftewel personeelsmanagement aan een stevige opmars bezig. Het screenen van kandidaten is namelijk een tijdrovende en lastige klus om consistent en objectief te doen, en laat dat nou precies zijn waar software goed in is. Zoals PW Web het uitlegt:

Handmatig honderden cv’s doornemen kan leiden tot een enorme opeenhoping van werk, waardoor andere taken stil komen te liggen en er veel tijd en geld wordt verspild. Met behulp van AI en ML kan dit proces geautomatiseerd worden door bijvoorbeeld slimme screening software in te zetten die cv’s snel kan scannen op de voorwaarden die in de vacature genoemd worden. Gedurende dit proces leert de software wat er gevraagd wordt van toekomstige kandidaten. Op basis van ervaringen met eerder aangenomen kandidaten kan de software vervolgens bepalen welke eigenschappen een goede kandidaat bezit.

Ook steeds populairder wordt screeningsoftware waarbij je op video vragen van een computerprogramma beantwoordt. Software analyseert dan je ‘microexpressies’ en emoties en concludeert daaruit of jij door mag naar fase 2, waarbij een mens met je in contact treedt.

Dit staat inderdaad enigszins op gespannen voet met de AVG oftewel GDPR, die immers een verbod kent op geautomatiseerde besluitvorming, inclusief profileren. Artikel 22 AVG verbiedt in principe het geautomatiseerd nemen van besluiten, waarmee niet alleen juridisch bindende beslissingen worden bedoeld maar ook andere conclusies en vervolgstappen die de betrokkene in aanzienlijke mate raken. Zoals wanneer je niet door mag naar een volgende sollicitatieronde.

Lid 2 van dit artikel staat profileren en besluitvorming echter weer wel toe wanneer dit noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst, waaronder ook een arbeidscontract kan vallen. Het zou dus mogen, zo’n prescreening, mits de werkgever kan aantonen dat hij echt niet anders kan – de term ‘noodzaak’ is een hoge lat, en je komt er niet door te zeggen dat het beter is dan voorheen of dat dit je werk efficiënter of makkelijker maakt.

Ik vind het moeilijk argumenten te bedenken waarom die noodzaak er zou zijn. Alleen, je komt dan al heel snel uit bij het kulargument “vroegâh kon alles handmatig en persoonlijk dus vernieuwingen zijn nergens voor nodig”. En dat kan ook weer niet de bedoeling zijn van de AVG.

Ik zie daarbij wel iets in het argument dat zo’n screening objectiever is, omdat alle cv’s nu op dezelfde wijze worden bekeken en beoordeeld. Dat voelt eerlijker dan wat je vroeger wel hoorde, dat een cv terzijde werd gelegd omdat het papier te dun was, je de verkeerde school had of omdat je op de foto mooier was dan de HR-dame die je brief openmaakte. Maar algemeen bekend is ook weer dat screeningsoftware bias heeft, en bijvoorbeeld per abuis vrouwen weglaat of alleen mannen die Jared heten en lacrosse spelen doorlaat.

Ik denk dan ook dat dit alleen kan als je hebt uitgewerkt op papier waarom dergelijke bias en selectiefouten bij jullie niet voor gaan komen. En een mooie folder van de leverancier is natuurlijk niet genoeg daarvoor.

Arnoud

Smart contracts zijn net als de blockchain en AI deel van de legal tech hype van de laatste tijd. Zelfdenkende software die buiten de greep van één partij automatisch voorwaarden checkt en afgesproken handelingen uitvoert. Samen gaan ze de advocatuur en het notariaat overbodig maken, alles wordt automatisch en fantastisch, u kent het wel. En alles op de blockchain ook nog, dus super autonoom en fantastisch.

Er zijn vele definities van smart contracts, maar kortweg komen ze erop neer dat je een aantal beslisregels in software giet die vervolgens vanzelf uitgevoerd worden. Als de domeinnaam advocatie.nl op 1 februari 2020 op naam staat van X, stuur dan 1 bitcoin naar wallet Y. Maar het hoeft juridisch gezien geen contract, geen overeenkomst te zijn: je zou ook bewijs kunnen vrijgeven als aan een voorwaarde (overlijden persoon X) is voldaan, of een specifieke voorwaarde van een overeenkomst borgen.

Ik pieker al een tijdje wat nu de echte praktische toepassingen van smart contracts gaan zijn. Dat voorbeeld van de domeinnaam is namelijk een van de weinige die ik in de categorie van het volledige contract zie werken. Dat is volledig automatisch na te gaan en uit te voeren middels gestructureerde registers, en er zit ook weinig controversieels aan zo’n afspraak. Je verkoopt of niet, op een specifieke datum en je mag tussentijds annuleren of niet.

Maar vooral: dat er geleverd is, nagekomen is, dat is eenduidig vast te stellen. Dat register vermeldt dat het ding op naam staat van de koper. Er zijn nog wel een paar voorbeelden in die categorie – onroerend goed, merkenrechten, misschien ondernemers in gereglementeerde beroepen – maar het is marginaal.

Ga je echter verder dan zo’n specifieke constructie, dan wordt het ingewikkeld. Betaald krijgen omdat je iemands algemene voorwaarden hebt gereviewd, of een website hebt gemaakt, voegt een smart contract daar wat toe? Je zit dan met een kwaliteitstoets namelijk (is de klant tevreden) waar een smart contract moeilijk op kan toetsen. Een AI die een website mooi kan vinden, of zelfs maar vaststellen of het ding adequaat is beveiligd en geprogrammeerd, dat zal nog wel even duren.

Het feit dat zo’n voor mij fundamenteel probleem nog niet opgelost is, maakt dat ik de slimme contracten vooral als een hype zie.

Toch geloof ik wel dat het smart contract er gaat komen, maar dan op een andere manier. Vaak gaat het namelijk zo met hypes. Er is een nieuwe innovatie of technologie, die gaat op zoek naar een oplossing. De eerste oplossingen lijken veelbelovend, dat zwelt aan tot een hype, waarna op zeker moment blijkt dat het toch niet werkt. Daarna stort de aandacht in, maar vasthoudende types blijven ermee doorgaan en komen bij iets uit dat wél interessant is. In managementjargon: de Gartner Hype Cycle. Waarschijnlijk wordt dat een combinatie met de blockchain. Ook dit is een oplossing op zoek naar een probleem. De blockchain is een gedistribueerd grootboek, een registratie van transacties, waarbij er niet één authentiek origineel is maar een hoop mensen elk een kopie hebben en middels consensus vaststellen of een nieuwe transactie klopt met de geregistreerde geschiedenis.

Er zit een heleboel technologie achter om dit te laten werken, vervalsingen tegen te houden en mensen te stimuleren hieraan mee te werken (zoals het minen of delven van bitcoins, in dat blockchainsysteem). Maar uiteindelijk gaat het daar niet om. De kern is dat je het idee van een centrale autoriteit of een authentiek origineel loslaat en in plaats daarvan consensus over de administratie haalt bij een grote groep mensen. Gedistribueerde consensus in plaats van autoriteit. Grote voordeel daarvan is dat die grote groep mensen veel lastiger (of eigenlijk onmogelijk) te manipuleren is om informatie aan te passen.

Nu is het natuurlijk een probleem dat registraties van van alles en nog wat aan te passen zijn als je niet uitkijkt. Foutjes worden overal gemaakt, en beheerders kun je omkopen, bedreigen en wat al niet meer. Het blockchainsysteem voorkomt dat inderdaad. Maar dan dringt zich de vraag op, is dat voordeel zo veel groter dat we over moeten stappen?

In de juridische wereld kennen we dat probleem natuurlijk al veel langer. En er zijn dan ook al lang oplossingen voor bedacht, zoals de notaris die als taak heeft als vertrouwde derde te fungeren. Als de notaris het zegt, dan is het waar (art. 156 Rechtsvordering). Idem voor bijvoorbeeld de constatering door een deurwaarder, of de registratie bij het Kadaster van perceelgrenzen. Natuurlijk zitten hier zwakke punten, in theorie is een notaris omkoopbaar of te foppen, maar dit is uiterst zeldzaam en vrijwel altijd te detecteren als het toch speelt. Het voelt dan wat zwaar om dat hele systeem af te schaffen.

De uitdaging voor zowel blockchain als smart contract is dus te zoeken naar een plek waar die centrale registratie er niet is, en waar eigenlijk ook geen behoefte is aan een enkele beheerder daarvan. Welke transacties of activiteiten willen we graag onder controle houden maar zonder controleur?

Arnoud

Facebook moet nepadvertenties verwijderen waarin bekende Nederlanders zogenaamd cryptovaluta aanprijzen. Dat meldde Tweakers onlangs. De advertenties wijzen mensen door naar oplichtingspraktijken, waar mensen als John de Mol en Alexander “Bitcoin ads zijn nep” Klöpping als gezicht bij gebruikt worden. De fraude is enorm; de Fraudehelpdesk heeft van tientallen slachtoffers gehoord die meer dan 1,7 miljoen euro zouden zijn kwijtgeraakt. De rechtbank acht dit onrechtmatig en eist dat Facebook hier adequaat tegen optreedt, op straffe van een dik miljoen aan dwangsommen.

De oplichterij is op zich vrij simpel: er wordt een snelgeldverdienenmodel met Bitcoin aangeprezen, met 250 euro inschrijfgeld. Wie dat betaalt, krijgt een advies om meer te betalen. Doe je dat niet, dan ben je je geld kwijt. Doe je dat wel, dan ben je ook het meer betaalde kwijt. Dat is natuurlijk lastig verkopen, vandaar de inzet van bekende Nederlanders zoals De Mol of Klöpping die zogenaamd met hun echte baan stoppen omdat ze lekker binnenlopen op de bitcoin.

In juni stapte De Mol naar de rechter om Facebook (waar de meeste van die advertenties opduiken) tot stoppen te dwingen. Facebook vond dat ze al genoeg deden, men had een formulier waarmee je advertenties kon melden en die werden dan voor jou verborgen plus op onnavolgbare wijze negatief gemarkeerd. Je zou zeggen dat meer dingen doen niet heel moeilijk moet zijn, maar toch deed Facebook het niet. (Pardon, wél, maar pas toen de rechtszaak eraan kwam.)

Uit het vonnis haal ik dat Facebooks voornaamste argument is dat ze een neutraal doorgeefluik willen zijn. Ook voor advertenties. Anders ben je natuurlijk voor álles aansprakelijk, niet alleen voor evidente nepbitcoinadvertenties maar ook voor andersoortig nepnieuws en andere onrechtmatigheden. Maar daar gaat de rechter niet in mee. Facebook is veel dichter betrokken bij advertenties dan bij updates en dergelijke die mensen posten, en daarom moeten ze gewoon inhoudelijk aan de bak als er iets niet klopt in een advertentie. In ieder geval als dat structureel misgaat in steeds dezelfde situatie.

Maar hoe moet Facebook dat dan precies doen? Gezichtsherkenning op de foto, trefwoorden filteren, iets anders? Daar laat de rechter zich niet over uit. En terecht, dat is het probleem van Facebook. Ook dat dit mankracht en geld kost, is geen reden het niet te doen. Daarvoor is de verantwoordelijkheid van Facebook voor haar eigen advertentieplatform te groot en hebben de valse advertenties te veel impact.

Ik ben benieuwd; Facebook heeft hoger beroep aangetekend.

Arnoud

Vandaag is het zo ver: het jubileumcongres The Future is Legal! Met unieke sprekers en bijzondere onderwerpen kijken we naar de toekomst van het ICT- en internetrecht. Vandaag dan ook een bijzondere blogdag, ik ga met live updates mijn eigen verslag maken van wat er vandaag langskomt, en ook via Twitter kunt u live volgen… Lees verder

Ziggo hoeft gegevens van klanten die illegaal een film via BitTorrent zouden hebben gedownload niet af te staan aan filmdistributeur Dutch Film Works (DFW). Dat meldde Security.nl vorige week. Dit bepaalde het Gerechtshof in hoger beroep van een zaak uit februari waarin de rechtbank hetzelfde bepaalde. In theorie kan DFW nog naar de Hoge Raad,… Lees verder

Edward Snowden denkt dat de AVG tot nu toe nog weinig effect heeft gehad in Europa. Dat las ik bij Tweakers tijdens mijn kraamperiode (dank iedereen voor de felicitaties). De NSA-klokkenluider zei op een conferentie dat de Europese privacyverordening vooral ‘een papieren tijger’ is zolang internetbedrijven geen grote boetes krijgen opgelegd. De kern van het… Lees verder

Om u toch een beetje bezig te houden in mijn kraamperiode leek het me leuk eens iets heel anders te doen: een puzzel! Dit cryptogram bevat technische en juridische vragen, en ik ben zeer benieuwd wie deze op weet te lossen. De eerste volledig correcte inzending (graag via de mail) wint een gratis ticket voor… Lees verder

Vanwege de geboorte van onze zoon Olivier heb ik de komende twee weken een blogpauze. Mocht u een kaartje willen sturen, dan kan dat via mijn bedrijf ICTRecht. Hieronder mag natuurlijk ook! Mijn collega’s van ICTRecht bloggen ook genoeg en u bent natuurlijk welkom op ons congres The Future is Legal. Hoe dan ook: tot… Lees verder

Een lezer vroeg me: Als ICT-dienstverlener krijg ik van al mijn klanten verwerkersovereenkomsten. Dat is tot daar aan toe, ik ben eigenlijk altijd ook wel verwerker. Maar iedereen doet het weer anders – en eist daarbij ook nog eens wat anders dan wat mijn leveranciers mij kunnen bieden. Hoe hou je dat nou op een… Lees verder

Een lezer vroeg me: Gisternacht reed ik om 03:15 (zomertijd) oftewel 02:15 (wintertijd) over de A2 langs een flitspaal. Ik reed keurig 100 maar bedacht me, als ik te hard had gereden dan was ik geflitst en dan had er dus 02:15 op de boete gestaan. Maar om 02:15 (zomertijd) was ik nog op het… Lees verder