Banken eisen meer actie van sociale media tegen internetcriminelen

GDJ / Pixabay

Nederlandse grootbanken eisen actie van Meta, TikTok en Google tegen de explosieve toename van fraude via sociale media. Dat meldde het FD onlangs (€). Meer dan 70% van alle fraudepogingen kent zijn oorsprong op deze kanalen, zo blijkt uit onderzoek. En ik zie inderdaad vrij weinig gebeuren bij de grote sociale media-diensten.

De aanleiding klinkt nogal dringend:

Banken doen de oproep naar aanleiding van de jaarlijkse publicatie van de fraudecijfers, waaruit blijkt dat de schade als gevolg van bankhelpdeskfraude steeg met ruim 3 miljoen euro en in 2025 uitkwam op 25,8 miljoen euro. Ook de schade als gevolg van phishing steeg met 1,8 miljoen euro, naar bijna 2,6 miljoen euro. Ondanks de stijging van de schade nam het aantal slachtoffers van bankhelpdeskfraude wel af: met 14% naar iets minder dan 5.900 personen.
Het onderzoek waarnaar men verwijst is een rapport uit 2025 van UK Finance, de Britse brancheorganisatie voor de financiële sector. Zij onderzochten data van hun leden over gemelde fraudezaken en hun oorzaken, en concluderen daarbij inderdaad dat in 2024 70% van de fraudezaken ‘online sources’ kennen. Het gaat dan meestal om “lower-value scams” zoals aankoopfraude (ik denk dan aan Marktplaatsoplichting-achtige zaken)

Het rapport spreekt van “online fraud” en denkt daarbij aan zaken als Authorised Push Payment (APP)-fraude, waarbij oplichters via social engineering slachtoffers manipuleren om real-time betalingen te autoriseren. Dit kunnen investeringsscams zijn, malafide advertenties (hoi Jort) of de nog steeds werkende romance scams.

Moeten social media hier wat mee? Zeker. Artikel 34 en 35 Digital Services Act verplichten grote platforms (VLOPs) tot een algemene mitigatie op “systeemrisico’s”, dingen die de maatschappij raken door hun omvang en impact. In september deed de Europese Commissie een informatieverzoek aan platforms zoals Apple, Booking, Bing en Google over hoe zij omgaan met oplichters die hun platform misbruiken. Ik heb nog geen resultaten daarover gelezen.

Vermoedelijk zullen de oplossingen uitkomen bij betere know-your-customer analyse van zakelijke accounts, trusted flaggers uit de financiële sector die direct takedowns kunnen bevelen en het beter publiceren van advertenties in een repository zodat onderzoekers er patronen in kunnen vinden om detectie te automatiseren. Maar ik gok zomaar dat men dit niet vrijwillig gaat doen.

Arnoud

‘Google wil seo-spambeleid aanpassen om DMA-boete te ontlopen’

Photo by Merakist on Unsplash

Google zou de Europese Commissie een aanbod doen voor vanaanpassingen in zijn beleid tegen seo-spam. Dat meldde Tweakers vorige week. Dit om een boete onder de Digital Markets Act te voorkomen. En nee, ze doen niet te weinig tegen zoekmachineresultatenspam maar juist te veel.

Het voorstel komt in een lopend onderzoek van de Europese Commissie naar de zogeheten site reputation abuse policy van Google Zoeken. Ik citeer het artikel van vorig jaar:

Het sitereputatiemisbruikbeleid gaat over websites die hoog eindigen in resultaten van Google Zoeken en tegen betaling content van derden tonen, waarbij die derde partij zelf niet hoog scoort in Google Zoeken. De Europese Commissie zegt signalen te hebben ontvangen dat dit beleid de websites van nieuwsmedia en andere uitgevers straft als zij ‘content van commerciële partners’ tonen. De websites van uitgevers komen daardoor lager te staan in Google Zoeken.
Wat Google met dat beleid wil voorkomen, is dat partijen met een goede reputatie deze misbruiken om lage kwaliteit teksten  (promotionele teksten van anderen) tegen betaling te vertonen. Iedere website-eigenaar kent het fenomeen van de partij die hengelt naar het publiceren van “partner artikelen” die dan ineens over gokken gaan of een wazig bedrijf moeten promoten.

Probleem: grote nieuwsmedia doen dit ook – dit is de partnercontent, branded content, sponsored content of hoe ze het maar noemen (zolang het maar niet “advertentie” heet). Het ziet er vrijwel uit als redactionele eigen inhoud, maar kleine lettertjes melden ergens dat het van een partner komt en buiten de redactionele verantwoordelijkheid valt.

Mijn vermoeden is dat de Commissie de impact van dat beleid op nieuwsmedia disproportioneel vindt, omdat die toch al zo kwakkelt en een maatschappelijk belangrijke positie heeft. Die zouden dan wél partnercontent moeten kunnen draaien, waarbij we er dan op gaan vertrouwen dat die dat netjes doen en alleen van respectabele partijen.

Arnoud

Product ontvangen na annulering, wat nu?

Photo by the blowup on Unsplash

Via Reddit:

Twee maand geleden heb ik een product besteld op een webshop. Dezelfde dag kreeg ik een email dat mijn bestelling helaas is geannuleerd. Binnen 3 dagen heb ik ook mijn geld terug ontvangen. Een dag later ontving ik echter het product alsnog.

Ik heb dit tot op heden aan de kant gezet en heb twee weken geleden een email van het bedrijf ontvangen dat ze per abuis het product hebben geleverd en dat ze binnen een redelijke termijn (14 dagen) de betaling willen ontvangen. Sta ik in mijn recht om te verzoeken dat de website het product bij mij komt afhalen? Het gaat om circa 2000 euro.

Verhalen als deze zie ik vaker, eigenlijk altijd gaat het om foutjes bij de winkel. De annulering ging handmatig en het automatische proces liep gewoon door. Of collega X had de order afgehandeld, niet wetende dat het niet meer mocht. Kan gebeuren.

Als een bestelling wordt geannuleerd door de winkel, is natuurlijk de eerste vraag of dat wel kan. Zomaar is geen reden, ook niet als dat in de voorwaarden staat. Niet meer leverbaar is bespreekbaar, alleen erg raar dat hij dan alsnog opgestuurd wordt. Maar goed, hier zijn beide partijen het er over eens dat sprake is van een annulering.

Ontvang je een product dat niet besteld was (geen geldige overeenkomst), dan moet dat natuurlijk terug. Ik blogde in 2022 over weigeren van een al geannuleerde levering, en daarin gaf ik aan dat je een zekere zorgplicht hebt als het product aanneemt.

In de kern kan echter niet meer verwacht worden dan dat je het product goed bewaart en teruggeeft als de winkel het komt halen. Opsturen kan van je gevraagd worden als de winkel vooraf de kosten betaalt en het voor jou een kleine moeite is. Dat laatste is een tikje subjectief maar volgt uit de redelijkheid. Een schoenendoos naar een PostNL punt brengen is wat mij betreft eigenlijk altijd gewoon wat je hoort te doen.

Hier gaat het om een duur ding, dus je zou verwachten dat de winkel wel iemand langs kan sturen. De soort-van dreigementen over ongerechtvaardigde verrijking vind ik dan ook een tikje misplaatst. Ik zie in ieder geval geen route waarmee de winkel nu betaling kan afdwingen.

Arnoud

Mag de ABN Amro bank klantgegevens analyseren om te kijken hoe vaak mensen over de grens tanken?

Photo by Europeana on Unsplash

Een lezer vroeg me:

In het artikel Tanktoerisme in België neemt toe, maar Nederlanders niet massaal de grens over lees ik dat ABN Amro het transactieverkeer van klanten in de grensstreek (en verder schijnbaar) analyseert om te kijken hoe vaak mensen over de grens tanken en hoe vaak in Nederland. Hoe kan de bank onder de AVG en haar geheimhoudingsplicht rechtvaardigen dat zij deze analyses doet?
Wie in de privacyverklaring van de ABN Amro bank duikt, zal met enig lezen een uitzondering vinden voor macro-economisch onderzoek zoals wat hier speelt:
Het Economisch Bureau van ABN AMRO doet onafhankelijk statistisch onderzoek op basis van geaggregeerde data naar o.a. macro-economische trends zoals groei van de Nederlandse industrie, consumptief gedrag of economische impact op klimaatverandering. Het Economisch Bureau van ABN AMRO werkt soms samen met universiteiten voor het doen van wetenschappelijk onderzoek.
Dit staat onder het kopje “Gerechtvaardigd belang van de bank of van anderen”, wat erop wijst dat de bank dit onder artikel 6 lid 1 sub f AVG rechtvaardigt. Bij inroepen van die grondslag is geen aparte toestemming nodig, dus het is logisch dat die ook niet is gevraagd.

Bij hergebruik voor wetenschappelijke of statistische doeleinden moet je (artikel 89 AVG) wel de nodige waarborgen geven, zoals gegevensminimalisatie. In de praktijk komt dat neer op “maak ze zo snel mogelijk écht anoniem, het liefst door te aggregeren naar groepjes van 10 of meer mensen”. Het onderliggende rapport van dat Economisch Bureau geeft expliciet dat aan: “bekijken wij met behulp van geanonimiseerde en geaggregeerde transactiedata de brandstof-uitgaven van huishoudens in de grensregio.”

Mijn reconstructie is dus: eerst werd een grens getrokken van wat “grensregio” is. Alle transacties van rekeninghouders wonend in die regio worden gefilterd op de categorie ‘brandstof’. Daarbij is gegroepeerd op wegafstand van de grens, zo te lezen per 5 kilometer. Daarbij kun je eigenlijk direct de identificerende gegevens zoals naam of IBAN weggooien, en dan kan daarna van profileren of iets dergelijks geen sprake meer zijn. Die reconstructie lijkt mij volledig in lijn met de AVG.

Arnoud

Heb ik recht op geld terug bij retour sturen van een hoofdtelefoon? Winkel weigert vanwege hygiëne.

Photo by Zoshua Colah on Unsplash

Via Reddit:

Twee weken terug kocht ik online bij een webshop over-ear headphones, deze kwam in verzegelde verpakking. Deze bevielen mij niet, ik heb na 3,5 uur het weer heel netjes ingepakt en een retour aangemeld en de volgende dag verzonden. Onderaan de productspecificaties op de website staat het volgende: ‘Dit is een verzegeld hygiëneproduct en kan alleen worden geretourneerd onder retourrecht indien de verzegeling nog intact is.’ Is dat rechtsgeldig?
Er bestaat inderdaad geen retourrecht wanneer sprake is van “zaken die niet geschikt zijn om te worden teruggezonden om redenen van gezondheidsbescherming of hygiëne en waarvan de verzegeling na de levering is verbroken” (art. 6:230p lid 3 onder f BW). In de praktijk wordt dit vaak de hygiëne-uitzondering genoemd.

Het is echter niet zo dat alles dat vies of onsmakelijk voelt om nogmaals te verkopen, geweigerd kan worden met een beroep op deze uitzondering. Het wetsartikel stelt duidelijk: niet geschikt zijn om te worden teruggezonden. Het Hof van Justitie heeft dat in de Slewo-zaak (over een matras) uitgewerkt tot het criterium dat het product

definitief niet meer kan worden verkocht om redenen van gezondheidsbescherming of hygiëne, omdat de aard zelf van dit goed het voor de handelaar onmogelijk of uiterst moeilijk maakt om maatregelen te treffen waarmee hij het opnieuw kan aanbieden zonder af te doen aan een van beide eisen.
Een matras is eenvoudig genoeg te reinigen en opnieuw in te pakken. Eerder bepaalde een Duitse rechter hetzelfde voor een wc-bril.

In Nederland is er geen jurisprudentie over deze grond, behalve een nog lopende zaak over een bikini. In het tussenvonnis ging het vooral over de vraag of de verzegeling überhaupt was verbroken, niet of zwemkleding onmogelijk te reinigen is.

Bij de geschillencommissie vond ik drie uitspraken:

  1. Een krultang is een hygiëneproduct, omdat “de ondernemer niet staat is om het product door reiniging of ontsmetting geschikt te maken voor een nieuwe verkoop.” De uitleg waarom dan ontbreekt: “evident”.
  2. Een scheerapparaat is een hygiëneproduct, ook dit is “evident” anders dan een matras.
  3. Een haartrimmer is een hygiëneproduct, omdat het gebruik daarvan door derden “gevolgen kan hebben voor hun gezondheid en dat een gebruikt product als onhygiënisch wordt ervaren”. Ook kan van de ondernemer niet worden verwacht dat deze maar liefst twaalf onderdelen reinigt na retour nemen.
Ik wil even kwijt dat ik dit buitengewoon oppervlakkig gemotiveerd vind. Met name het argument dat het “als onhygiënisch wordt ervaren” is juridisch niet relevant, en de winkel moet volgens mij echt uitleggen waarom ze het niet kunnen reinigen of wat er dan mis kan gaan.

Misschien dat het probleem bij zulke apparaten is dat er kleine haartjes achterblijven die je ook met grondig spoelen er niet uit krijgt. (Ik weet niet wat het met je gezondheid doet om andermans scheerhaartjes in je baard te krijgen, en  nogmaals het gevoel van ieuw is juridisch niet relevant.)

Bij een in-ear koptelefoon zou ik nog net analoog kunnen denken: oorwax, misschien wel bloed of huidschilfers. Nou vooruit, dat steriliseren vereist apparatuur die een elektronicawinkel niet zou hoeven hebben. Maar bij een over-ear koptelefoon zoals in de vraag zie ik dat niet. Jullie wel?

Arnoud

Netbeheerder is niet in staat een factuur af te leveren (door DMARC/SPF fouten)

Photo by talhakhalil007 on Pixabay

Via Reddit, samengevat:

Na werkzaamheden aan de meterkast van onze stichting kregen wij een aanmaning, maar nooit een factuur. Die blijkt per post verstuurd, waarop ik vroeg om een kopie per mail om direct te kunnen betalen. Ook die kwam niet aan. Na onderzoek zag ik dat de SPF configuratie en daarmee de DMARC policy van de netbeheerder stelt dat mijn mailserver de berichten (waarschijnlijk van hun kantoorautomatisering) niet mag behandelen. Ik zie waarschijnlijk een auto-responder direct na mijn e-mail, en een poging eerder die ochtend. Dus ik neem nogmaals telefonisch contact op met de netbeheerder. Uiteindelijk bij de debiteuren afdeling uitgekomen met het verzoek: stuur het bericht dan maar naar mijn zakelijke e-mail (gehost op GSuite). Ook daar komt de mail niet aan.
Mijn vermoeden is dat de gemailde kopie van de factuur niet is verstuurd vanaf een in de SPF configuratie vermelde mailserver. Vaak komt dat omdat die systemen clouddiensten zijn, dus de mailserver is feitelijk in beheer bij een derde. Maar dat maakt de mail verdacht.

DMARC (Domain-based Message Authentication, Reporting & Conformance) is het beleidsrecord dat de ontvangende server  (dus onze vereniging) instrueert wat te doen bij zo’n verdacht. Hier zal er dan (conform best practice) in staan dat de mail moet worden verwijderd.

Dit verklaart ook waarom het bij Gmail ook niet aankomt: Google is zeer streng op correcte SPF/DMARC instellingen en gooit de mail dus ook gewoon weg.

De klassieke opvatting over e-mail is dat het jouw risico als ontvanger is. “Spamfilters zijn jouw keuze”, heet dat dan. En dat was in 2004 ook zo. Maar hier ligt het toch even anders: de afzender heeft zélf die SPF/DMARC configuratie zo ingesteld en zélf de facturen laten versturen vanaf een mailsysteem dat niet in hun configuratie staat als authentiek.

Wat mij betreft mag die mail met factuur dus als niet-verstuurd beschouwd worden.

Opmerkelijk is dan natuurlijk dat de factuur kennelijk ook per post verstuurd was (net als de aanmaning) en ook kwijtgeraakt is. Dat kan gebeuren, maar betekent dat de factuur nooit aangekomen is. Een herinnering is dan prima, maar voor incassokosten is dan vooralsnog geen plek.

Gebruikelijk bij mij is dat je een kopie van de factuur bij de aanmaning krijgt, zodat je alsnog direct kunt betalen.

Arnoud

 

Taylor Swift wil stem en gezicht registreren als officieel merk in strijd tegen AI

Photo by Jovan Vasiljevi? on Unsplash

Taylor Swift gaat de strijd aan tegen AI-gegenereerde nepvideo’s, deepfakes en muziek, meldde BNR eerder deze week.  Ze heeft een merkaanvraag gedaan voor zowel haar stem als haar uiterlijk, om zo zowel visuele als auditieve deepfakes aan te kunnen pakken. Het is creatief en het merkenrecht is ook bedoeld tegen nep, maar of het kan met een stem of uiterlijk betwijfel ik.

Het merkenrecht gaat van oudsher over namaak, maar dat is in de loop der tijden verschoven naar het meer algemene begrip associatiegevaar: de kans dat iemand denkt dat jouw product of dienst wat met de merkhouder te maken heeft. Coca-Cola kan dus niet alleen optreden tegen blikjes koolzuurhoudende suikerdranken met “Hola Cola” er op, maar ook tegen juridische bloggers die zeggen “Mede mogelijk gemaakt door Coca-Cola”.

Het probleem van Swift en vele andere bekende personen is niet zozeer de namaak: het aanpakken van nep-merch of fake-accounts is al prima mogelijk. Associatiegevaar door AI-diensten is nieuw en veel lastiger aan te pakken. Denk aan een stemgenerator waar je een eigen liedje in kunt stoppen om dit met een Swift-stem terug te horen. Of een deepfake waarin zij danst en zingt zoals jij dat wil horen.

Gezichten of uiterlijk als merk is een trend die al langer speelt. In Europa liggen hierover vragen bij de hoogste rechter, maar de heersende opvatting is dat het niet kan: de centrale functie van een merk is herkomst of associatie met de merkhouder, en bij een gezicht is dat in het algemeen lastig. Die zie ik, maar specifiek bij een bekende persoon ligt dat wel anders. Het gezicht van Taylor Swift is bij uitstek hoe je denkt dat iets van Taylor Swift afkomstig is.

Bij stemmen kun je dezelfde discussie voeren. Daar komt nog de complicatie bij dat je een stem niet goed kunt vastleggen. Wat ís “de stem van Taylor Swift” precies? Bij merkenjurist Josh Gerben lees ik dat het gaat om de auditieve uitspraken “Hey, it’s Taylor Swift” en “Hey, it’s Taylor”.

Geluidsmerken bestaan, zoals de “Tu-Dum” van Netflix en voor de ouderen onder jullie de “Intel Bong”. Maar dat kan omdat het specifieke deuntjes zijn. Al wat ouder is het voorbeeld van de Harley-Davidson motor: “het geluid dat onze motor maakt als hij draait” was geen beschermbaar merk. Dat is te vaag en niet objectief te beoordelen.

Die twijfel heb ik ook bij deze audiomerken. Die twee uitspraken als merk vastleggen zie ik nog wel, maar kun je daarmee dan iedere uitspraak met jouw timbre aanpakken als associatief verwarrend? Of alleen die waar het woord “Taylor” in uitgesproken wordt? Precies bij liedjesgeneratoren zal nou net dát niet zo vaak gebeuren.

Arnoud

 

Mag een werkgever mijn toetsaanslagen opnemen om er een AI agent mee te trainen?

Photo by André Julien on Unsplash

Een lezer vroeg me:

Mijn werkgever is druk bezig met het implementeren van AI en het trainen van AI modellen. Hij kijkt daarbij sterk naar wat anderen doen, en heeft daarbij dit artikel gelezen over toetsaanslagen van personeel gebruiken om AI scherper te laten werken. Kunnen wij als werknemers daar bezwaar tegen maken? En hoe komen we er überhaupt achter of hij dit doet?
Uit het bronartikel blijkt dat het gaat om een manier om AI agents beter te laten werken: “het doel van de tool [is] om de AI-modellen van Meta te trainen om de computer te gebruiken op de manier waarop mensen dat doen, zoals het kiezen uit dropdown menus en het gebruik van keyboard shortcuts.” Als je breed registreert hoe mensen werken, kun je een AI dat beter aanleren, is de gedachte.

Het bijhouden van toetsaanslagen voelt als nogal een inbreuk op je privacy: je werkgever krijgt buitengewoon gedetailleerde informatie over wat je precies doet, op de seconde nauwkeurig. Het tegenargument hier is natuurlijk “daar kijkt geen mens naar, we trainen alleen een AI model op een hele berg data”.

Het vervelende is: dat is juridisch nauwelijks te weerleggen, in ieder geval niet op voorhand. Er moet grof gezegd iets misgaan voordat je actie kunt ondernemen. Als je organisatie een OR heeft, is er nog een preventief haakje: “een regeling omtrent het verwerken van alsmede de bescherming van de persoonsgegevens van de in de onderneming werkzame personen” valt onder het instemmingsrecht van de OR. Ook als het doel niet direct raakt aan privacy of aan beoordelen of volgen van mensen.

Bij verwerkingen van persoonsgegevens op grond van gerechtvaardigd belang (wat hier de grondslag moet zijn) kun je altijd bezwaar maken (artikel 21 lid 1 AVG). Het enige is dat je dan “met zijn specifieke situatie verband houdende redenen” oftewel persoonlijke en enigszins zwaarwegende redenen moet aandragen. Het abstracte “dit raakt mijn privésfeer” of “ik ben bang voor misbruik” is niet genoeg.

Arnoud

Moet ik zeshonderd kilo verkeerd geleverde tegels steeds naar buiten sjouwen?

Photo by Clément Proust on Pexels

Via Reddit:

Onze bestelling [wandtegels] is verkeerd gegaan. Er is een compleet andere type, formaat, merk en hoeveelheid geleverd. … We hebben in eerste instantie de tegels binnen opgeslagen, maar 600kg aan tegels verplaatsen is niet makkelijk. Nu zou het bedrijf de bestelling vandaag komen ophalen. Dus wij de 600kg tegels weer aan de weg gezet. Eenzijdig is de afspraak ineens verzet naar donderdag. Moeten wij ze nu weer naar binnen slepen, en hoe vaak moeten we dat dan doen?
Volgens de wet moet de handelaar bij nonconformiteit naleveren, herstellen of vervangen (art. 7:21 BW) en dat moet natuurlijk kosteloos. Zo te lezen is deze tegelboer dat ook van plan, alleen lukt het even niet om het te komen halen.

Nou is een doos in de gang laten staan voor de meeste mensen nog tot daar aan toe. Maar hier gaat het om zeshonderd kilo tegels, die dus na ontvangst in de schuur gezet zijn, toen buiten gezet en nu dan weer naar binnen en op donderdag weer naar buiten. Ik krijg al rugpijn als ik er aan denk.

Hierover zegt de wet in datzelfde artikel (lid 1 onder c) dat je recht op vervanging vervalt wanneer

de zaak na het tijdstip dat de koper redelijkerwijze met ongedaanmaking rekening moet houden, teniet of achteruit is gegaan doordat hij niet als een zorgvuldig schuldenaar voor het behoud ervan heeft gezorgd.
Wat een “zorgvuldig schuldenaar” precies doet, is niet vastgelegd, want dat hangt af natuurlijk van de omstandigheden van het geval. In de schaarse jurisprudentie gaat het dan eigenlijk altijd over blijven gebruiken van de zaak, waardoor waardevermindering kan ontstaan die schadeplichtig maakt.

Bij een geval met een auto die een schade-auto bleek, mocht de consumentkoper de koop ontbinden. Hij reed er echter nog af en toe mee, en parkeerde deze gewoon aan de openbare weg. Dat leverde een kras op. Echter:

In het op de openbare weg parkeren van de auto ziet de kantonrechter geen schending van de op [verzoeker] rustende zorgplicht; het is heel gebruikelijk dat een auto tijdens werktijd op een nabijgelegen parkeerplaats wordt geparkeerd. [verweerder] heeft weliswaar aangevoerd dat je met het rijden op de weg altijd risico op schade loopt, maar van [verzoeker] kon niet worden verwacht dat hij de auto gedurende de tijd dat [verweerder] deze weigerde terug te nemen in zijn geheel niet zou gebruiken, terwijl door [verzoeker] onbetwist is gesteld dat hij de auto nodig had om van en naar zijn werk te komen.
Dit lijkt me vergelijkbaar genoeg met een stapel tegels op de stoep zetten. Laden en lossen op de stoep is gebruikelijk, en het is altijd mogelijk dat er wat mee gebeurt. Dat maakt niet iedere schade automatisch “onzorgvuldig”.

Ik neem aan dat men ze netjes opgestapeld heeft, dus omvallen zou niet zomaar moeten gebeuren. Een zeiltje er overheen beschermt tegen de meeste weersomstandigheden. Het risico op diefstal is lastig in te schatten.

Volgens art. art. 6:275 BW jo. 3:120 BW heeft de consument in zo’n situatie recht op vergoeding van (noodzakelijkerwijs) gemaakte kosten voor het bewaren van de tegels. Je mag dan zelfs weigeren de tegels terug te geven tot die kosten betaald zijn.

Hiermee kun je rechtvaardigen dat je een paar buren of een klusser tegen betaling inschakelt om te helpen sjouwen. Mijn advies zou zijn om het bedrijf te vragen: ik zet het aan de weg en dan moet je maar zien, of ik krijg 100 euro korting en dan sla ik het binnen op.

Arnoud

Mag mijn softwarelibrary stiekem AI instrueren om haar commerciële diensten te promoten?

Photo by Andrae Ricketts on Unsplash

Een lezer vroeg me:

Laravel Boost is een MIT-gelicenseerde library die helpt om AI-coding agents (zoals Claude Code, Copilot, etc.) effectief met het Laravel-framework te laten werken. De beheerder heeft onlangs een instructieregel toegevoegd die alle agents die deze library gebruiken aanraadt om voor Laravel Cloud te kiezen als deploymentplatform. Dat is een commerciële dienst van hetzelfde bedrijf. De gebruiker weet dit niet, en de instructie is verpakt als neutrale technische aanbeveling. Is dat juridisch toegestaan?
Met software als deze Boost-library kun je AI-agents laten meeschrijven aan het ontwikkelen van je eigen webapplicatie, in dit geval gebaseerd op het populaire Laravel-framework. Boost is dan een soort doorgeefluik, zodat de juiste code bij de door jou gekozen AI-agent komt.

En wacht even, dan zou de maker van Boost ineens een instructie toevoegen waardoor de agent het commerciële hostingplatform Laravel Cloud afneemt? Dat voelt niet echt zuiver, inderdaad.

Er zit echter meer achter. Ik citeer even Laravel Magazine:

The short version is that Boost’s guidelines used to direct new developers toward configuring Nginx or FrankenPHP manually, and the data Laravel has on who is picking up the framework now includes a large and growing number of people who have never deployed a web application in their lives. For those people, “go configure Nginx” is not guidance, it is a cliff. Cloud is an on-ramp.
De oude situatie was dus: je moet het installeren, dat kan met A, B of onze Cloud. Dat is nu “dat kan met onze Cloud” geworden. Het is volgens mij niet controversieel om in je handleiding alleen naar je eigen diensten te verwijzen.

Het voelt raar omdat de instructie niet aan een mens wordt gegeven maar bij een agent terecht komt. Die zal daar anders op reageren, zoals blijkt uit screenshots bij Tech Stackups:

@pushpak1300 @taylorotwell Can this be put in another file (not CORE) so it can be overridden easily? My Claude is now poisoned and requires me to explain each time that I don’t use Laravel Cloud. … Yeah @pushpak1300 this needs to move to somewhere else – I now have to override the core guideline entirely to avoid justifying why there’s suddenly an ad in our team’s agents.
Ik zie wel hoe het vervelend is dat je AI agent je elke dag vertelt dat Laravel Cloud het beste hostingplatform is.

Wettelijke regels over dit soort ‘reclame’ bestaan niet. Ik zet het tussen aanhalingstekens omdat ik er zelf nog niet eens over uit ben of dit überhaupt reclame is. De dienst is commercieel, maar de melding is zakelijk en relevant. Als dit in de mensenhandleiding had gestaan, had niemand er wat van gevonden.

De gevolgen zijn irritant, zeker. Als Claude elke dag tegen mij zou zeggen “ik zie dat je de software nog niet bij Laravel Cloud hebt geplaatst”, zou ik daar ook een tikje boos over worden. Maar daarmee wordt het bericht nog geen reclame, althans niet in de zin van “online reclame die toestemming vereist”.

Arnoud