Wacht, beginnen cloudproviders nu ook al commercialisatierechten te claimen?

“Warning: Vultr (a major cloud provider) is now claiming full perpetual commercial rights over all hosted content”, zo las ik op Reddit. Als je dan meeneemt dat Vultr recent aankondigde een sprint richting AI-clouddiensten te maken, dan snap ik wel dat mensen zich daar zorgen over maken. Is het terecht?

Vultr was er snel bij om de grote klanten gerust te stellen: de betreffende zin eindigt met “for purposes of providing the Services to you”, de standaardfrase waarmee men alle rechten in clouddienstland beperkt tot hetgeen nodig is om de gevraagde dienst te leveren. De “lawyers were overzealous” en het enige doel was indekken “incase we wanted to use it for marketing purposes”.

Dat laatste is eigenlijk altijd het excuusargument geweest: stel we maken een screenshot van onze dienst in een folder en jouw site staat er toevallig op, dan willen we geen claims. Want dat gebeurt immers dagelijks, dat je folders maakt zonder uit te zoeken welke site er in komt. (En dat clouddiensten folders maken.) Ik heb daar nooit echt in geloofd.

Helemaal moeilijk te geloven is dit verhaal wanneer je beseft dat alle data met enige structuur of labeling enorm waardevol is tegenwoordig – de grote AI taalmodellen kunnen maar op één manier concurreren en dat is nóg meer data erin om nóg breder te kunnen papegaaien. Dus als een clouddienst met enorm veel klantdata zichzelf in 2024 een onbeperkt “commercialisatie” recht geeft, dan riekt dat naar “wij verkopen de gehele dataset naar de grote LLM-providers”.

Kennelijk is het een storm in een glas water. Maar stel dat ze wél bedoelden “wij mogen een AI trainen op jouw website”. Had dat dan gemogen? In principe wel: het is een grootzakelijke dienst, en daar gelden vrij weinig juridische beschermingsmaatregelen.

De DSA dan? Die bevat inderdaad enige bepalingen over dienstvoorwaarden. Artikel 14 zegt bijvoorbeeld dat je voorwaarden duidelijk alle beperkingen moeten aangeven waarop je handhaaft. En onder artikel 17 moet je specifiek motiveren op welk artikel je je beroept (en waarom dat opgaat) als je ingrijpt bij content van je klanten. Maar dat gaat allemaal niet over auteursrechten. Ook de DMA verbiedt niet het opeisen van (licenties onder) auteursrecht op materiaal van je klanten.

Blijft over de AVG, ondertussen een beetje het duizenddingendoekje in het recht. Er zitten vast persoonsgegevens van Europeanen in al die data, de grondslag voor gebruik omvat niet het [fictieve] hergebruik van Vult, dus dat is noncompliant. De privacyverklaring van Vult gaat in op de AVG en benoemt onder meer

the processing is in our legitimate interests, which are not overridden by your interests and fundamental rights. Our legitimate interests are to use subscriber, Site user, supplier and customer data to conduct and develop our business activities with them and with others while limiting the use of their personal data to purposes that support the conduct and development of our business; or

Deze omschrijving is nogal breed, “develop our business” kun je prima lezen als “we verkopen het aan een papegaaienkweker”. Ik denk niet dat dat bedoeld is, maar uitsluiten op basis van de tekst kun je het niet. We komen dan uiteindelijk toch weer bij die vraag of je een AI mag trainen met persoonsgegevens. Die laat ik voor nu even zitten.

Arnoud