Categorie: Ondernemingsvrijheid

About Ondernemingsvrijheid

Subscribe Feeds

Historische Vereniging Oud Leiden is hele digitale archief kwijt door fout Microsoft

Geplaatst op in Informatiemaatschappij, Ondernemingsvrijheid, 5 reacties
Photo by Mick Haupt on Unsplash

De Historische Vereniging Oud Leiden (HVOL) is zijn volledige digitale archief kwijt, dat ze in de Microsoft-dienst Sharepoint had ondergebracht. Dat meldde het Leidsch Dagblad onlangs. Het gaat om notulen, contracten en meer. Onduidelijk is wiens fout het is, maar pijnlijk is het wel.

De HVOL “richt zich op de bevordering van de kennis van de geschiedenis van de Nederlandse stad Leiden en omstreken en op de bescherming van het culturele erfgoed” en organiseert daarvoor diverse activiteiten. Daar hoort ook het nodige materiaal bij, dat de vereniging dus in Sharepoint bewaarde.

Gratis, want tot voor kort was dat mogelijk voor bepaalde vereniging en stichtingen. Iets preciezer: je verlenging van uiterlijk 1 juni 2025 was de laatste. En die overgang was waar het misging:

Gewijzigd beleid bij Microsoft leidt ertoe dat iedereen moet betalen voor de dienst. … Microsoft kondigde via de mail een overgangsperiode aan. Data zouden, als de licentie na de gratis periode niet werd omgezet naar een betaalde, nog drie maanden bewaard worden, zodat gebruikers ze nog veilig konden stellen. In werkelijkheid zijn alle data meteen ver-nietigd, zo merkte [HVOL]. “En we hadden echt een enorm mooie structuur van mappen voor alle commissies, voor het bestuur, voor dit, voor dat, voor het archief. Wij dachten dat dit de mooiste back-up was, die je had.”
Een aantal belangrijke zaken, zoals de Beeldbank en de financiële administratie, stonden buiten Sharepoint maar diverse werkgroepen kunnen geheel opnieuw beginnen.

In 2025 heeft MS hier wel het een en ander over gecommuniceerd, maar je moet er wel naar zoeken:

To avoid service disruption or data loss, we strongly recommend transitioning users to Microsoft 365 Business Basic or another eligible Microsoft 365 offer for nonprofits before the Office 365 E1 subscription is cancelled. License transitions must be completed manually in the Microsoft 365 admin center.
Hieruit haal ik dus inderdaad dat op je einddatum alles weggaat, en dat het jouw taak is om tijdig te verhuizen. Maar in het citaat hierboven lijkt HVOL te zijn gemeld dat ze na einddatum nog drie maanden hadden om een data-export te doen. Dat spreekt elkaar tegen, en dat kan een grondslag zijn voor een aansprakelijkheidsstelling.

Alleen: wie exact heeft dat laatste gezegd? Als het bijvoorbeeld de MS partner was die HVOL ict-diensten leverde, dan is het niet gegeven dat je dit MS tegen kunt wrijven.

Heeft MS inderdaad die driemaandentoezegging gedaan, dan is ze aansprakelijk te houden voor het dataverlies. Het lijkt op die bekende zaak uit 2014 van een therapeut die data kwijt was die in KPN Back-up Online gezet was. De kleine letterjes mochten niet baten, omdat er een menselijke fout was gemaakt bij het terugzetten van de backup. Dat zou hier analoog gelden: je zegt iets niet te doen en doet het dan toch, dat kun je met de algemene voorwaarden niet rechtbreien.

Alleen: wat ís de vergoeding? Bij die therapeut ging het om instructievideos en dergelijke. Dan kun je het uurtarief voor de uren van het opnieuw maken daarvan (en kosten van een videograaf etc) nog in redelijkheid opvoeren als schade. Die videos zijn vervangbaar.

Bij een historisch archief ligt dat heel wat moeilijker. Zijn de bronstukken er nog? Kan de HVOL daar opnieuw bij komen en ze digitaliseren? Wat is vernietigd na de eerdere digitalisering en nu dus reddeloos verloren gegaan?

Arnoud

Kan ik iemand aansprakelijk stellen als vanwege php2shell mijn site offline ging?

Geplaatst op in Ondernemingsvrijheid, Security, 9 reacties
Photo by Blake Wisz on Unsplash

Een lezer vroeg me:

Wie is aansprakelijk voor gederfde inkomsten na het dringende advies om een webshop die PHP gebruikt offline te nemen? Zou een Cyberverzekering hier van toepassing kunnen zijn?
Uit zorgen over de impact van de php2shell kwetsbaarheid hebben vele site-aanbieders of hosters er voor gekozen om preventief de site offline te halen. Daardoor kun je (fors) bezoek of omzet mislopen, dus logisch dat je dan om je heen kijkt of je dat kunt verhalen.

Als je zelf besloot je site offline te halen vanwege zorgen over deze exploit, dan is dat je eigen keuze en moet je

daar zelf het ondernemersrisico van dragen. Het opvolgen van een verstandig beveiligingsadvies (NCSC) schept geen recht op vergoeding.

Soms was het de hoster en niet de klant die besloot de site(s) offline te halen. Opzettelijk een site uitzetten is een tekortkoming in de overeenkomst, want de site wordt dan niet gehost. De vraag is dan of dat verwijtbaar is (dan wordt het wanprestatie, in juridische termen). Dan wordt relevant wat is overeengekomen over beschikbaarheid, noodonderhoud en beveiligingsincidenten.

Is niets overeen gekomen, dan kom je bij de algemene zorgplicht van de hoster. Die moet zorgen dat de dienst goed werkt, maar ingrijpen en offline halen kán daar een gepaste maatregel bij zijn. En dan is zo’n zwaarwegend advies als van het NCSC echt belangrijk: je volgt dan het aanbevolen overheidsadvies, en daaruit wanprestatie concluderen is vrij ingewikkeld. Vereist is wel dat de hoster daarna zo snel als haalbaar gaat patchen en dan de sites weer live zet.

Op 23 oktober meldde het NCSC dat exploitatie ingewikkelder bleek dan aanvankelijk ingeschat en dat de kans op grootschalig misbruik kleiner was. Maar dat is geen argument voor een besluit daarvóór: de beste informatie was toen dat offline halen verstandig was.

Inkomstenderving door een op advies uitgeschakelde webshop of -dienst is dus in principe niet verhaalbaar, afgezien van wanneer het contract daar expliciet geen ruimte voor biedt.

Veel cyberverzekeringen dekken bedrijfsschade door een hack of systeemuitval, maar niet noodzakelijkerwijs door een preventieve sluiting zonder daadwerkelijk incident. Daarvoor moet je in de polisvoorwaarden duiken: valt onder een bedrijfsonderbrekingsincident ook het redelijkerwijs noodzakelijk uitschakelen van systemen om de gevolgen van onder meer een beveiligingsfout of programmeerfout te voorkomen?

De wet noemt “redelijke kosten ter voorkoming of beperking van schade die als gevolg van de gebeurtenis waarop de aansprakelijkheid berust, mocht worden verwacht” als voorbeelden van schade (art. 6:96 lid 2 punt a BW). Maar die term wordt beperkt uitgelegd. In 2023 hield een bedrijf preventief een productiemachine buiten gebruik vanwege eerdere storingen. De rechtbank vond dat bedrijfseconomisch begrijpelijk, maar het daardoor veroorzaakte omzetverlies was niet als bereddingskosten gedekt. De toekomstige schade was daarvoor onvoldoende onmiddellijk dreigend.

Arnoud

Amerikaanse sanctiewetgeving is geen juridisch toverwoord

Geplaatst op in Ondernemingsvrijheid, Regulering, Security, 1 reacties
Photo by Vlad Deep on Unsplash

Volgens de verzekeraar is het vergoeden van het losgeld in dit geval in strijd met Amerikaanse sanctieregelgeving. Intrigerende zin in een recent arrest over losgeld terugkrijgen van de cyberverzekering.

De verzekerde is een logistiek bedrijf, dat een cyberverzekering had genomen voor het geval er incidenten zouden plaatsvinden zoals ransomware. De polis noemt dat “digitale afpersing” en dekte “door u te betalen losgeld inclusief cryptogeld”.

Bij een later optredend dergelijk incident werd cybersecuritybedrijf Northwave er bij gehaald. Die adviseerde betalen van het losgeld, na een uitdrukkelijke check dat de beoogde ontvanger niet op Amerikaanse of Europese sanctielijsten staan.

De verzekeraar weigerde echter dat te vergoeden, omdat zij vermoedde (“kan niet anders”) dat het losgeld uiteindelijk bij de Russische groep Evil Corp terecht zou komen, en die staan op dergelijke lijsten. En dan zou dat tot sancties tegen haar bedrijf leiden.

Alleen: in de voorwaarden staat dat men niet hoeft te betalen ‘indien dit een inbreuk zou vormen’, oftewel ‘indien dit een inbreuk vormt’. Het Hof neemt de kleine lettertjes zeer serieus:

Er staat niet ‘indien dit een inbreuk zou kunnen vormen’, ‘indien dit mogelijk een inbreuk zou vormen’, ‘indien er een reële kans is dat dit een inbreuk vormt’, of iets soortgelijks. Uit de tekst van artikel 4.28 volgt dan ook niet dat met deze bepaling is beoogd om [verzekeraar] (en de betrokken verzekerde zelf) te beschermen tegen de onzekerheid die gemoeid is met de toepasselijkheid van sanctieregelgeving bij gebreke van een beslissing van de toezichthouder.
Dat is het probleem met veel van dit soort wetgeving: veel angstverhalen, zou kunnen, er dreigt van alles, maar concrete voorbeelden en wat er dan precies gebeurd? Ja nee gag orders NDA staatsgeheim.

Het Hof eist duidelijkheid:

In de Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments, een advies van het OFAC (productie 26 bij de conclusie van antwoord), staat het volgende (de onderstrepingen zijn door het hof aangebracht): “Companies that facilitate ransomware payments to cyber actors on behalf of victims, including financial institutions, cyber insurance firms, and companies involved in digital forensics and incident response, not only encourage future ransomware payment demands but also may risk violating OFAC regulations.” In de Updated Advisory (productie 27 bij de conclusive van antwoord) staat het volgende: “This advisory describes the potential sanctions risks associated with making and facilitating ransomware payments (…)”.
Dit is typisch zo’n tekst waarmee bedrijven besluiten een risico niet te willen nemen. Maar hoe hard moet je dit lezen? Potentiële sancties, het zou kunnen dat je regels overtreedt, wie weet staat ergens een artikelnummer.

Maar, zo zegt het Hof, gáát dit wel over deze situatie?

[Verzekeraar] kan er echter niet van beschuldigd worden dat zij namens een slachtoffer van een hack de betaling van losgeld aan Evil Corp heeft gefaciliteerd. [De klant] heeft het losgeld zelf betaald, twee dagen na de hack, omdat een groot deel van haar netwerk versleuteld was geraakt. Er staat bovendien “may risk” en “potential”, wat duidt op regelgeving die niet in steen is gebeiteld en waarbij het kan afhangen van de omstandigheden van het geval of sancties worden opgelegd of niet. Dat, zoals [verzekeraar] gesteld heeft, OFAC verregaande bevoegdheden heeft bij het interpreteren van sanctiewetten (en het vereiste van material support), maakt niet dat OFAC deze bevoegdheden ook in dit geval zal inzetten jegens [appellante] (of haar moeder- of zustervennootschap), ook niet als aangenomen wordt dat de Amerikaanse overheid het bestrijden van Evil Corp hoog op de agenda heeft staan.
Wat dat laatste betreft: de OFAC was gevraagd om toestemming om het losgeld te mogen betalen, maar men leek niet echt interesse in de kwestie te hebben.

Wat mij vooral bevalt aan dit arrest, is dat het Hof niet onder de indruk raakt van de bezweringsformule “Amerikaanse wetgeving”. Ik hoor die vaker: de Patriot Act, de CLOUD Act, Section 702, geheime bevelen aan Amerikaanse medewerkers, gag orders, noem maar op. En dan volgt steevast de conclusie dat de Amerikaanse overheid van alles kan eisen, want <handwuif>.

Het Hof vraagt gewoon door. Welke bevoegdheid precies, tegen wie, voor welke handeling en waarom zou die hier worden ingezet? Natuurlijk heeft de Amerikaanse overheid vergaande bevoegdheden. Maar dat is geen vrijbrief om bij iedere juridische discussie het Amerikaanse sanctie- en veiligheidsapparaat als spookbeeld op te voeren. Wie zich op zulke wetten beroept, moet concreet maken waarom ze in dit geval relevant zijn. Ook Amerikaanse wetgeving is geen juridisch toverwoord.

Arnoud

Pakket per ongeluk naar oud adres gestuurd en daar aangenomen, bewoners weigeren medewerking

Geplaatst op in Ondernemingsvrijheid, 13 reacties
Photo by Christian Stahl on Unsplash

Via Reddit:

Doordat er nog een oud adres bij een online kledingwinkel geregistreerd stond – en ik niet goed oplette bij het bestellen – is een pakketje naar een oud adres gestuurd. Toen ik de melding ‘bezorgd’ in de app zag heb ik dit ontdekt en ben ik meteen naar die woning gereden. Er was overduidelijk iemand thuis, maar er werd niet open gedaan. Het pakket lag niet voor de deur, dus ik neem aan dat deze gewoon is aangenomen. [Wat nu?]
Juridisch is de kwestie vrij duidelijk. Je hebt bij het bestellen een adres opgegeven, daar is het heengegaan en daar is het aangekomen. Het pakket is daarmee in handen gekomen van een door jou aangewezen derde (art. 7:11 BW) en rechtsgeldig afgeleverd. Daarmee is het nu jouw risico hoe je het in handen krijgt.

Natuurlijk, dit was niet je bedoeling. Ik zie hoe het kan gebeuren: veel browsers vullen automatisch je adres in, en het kan vlak na een verhuizing goed dat je oude adres daarbij naar voren komt. (Ik moest ook even zoeken, want bij Chrome zit je huisadres bij je Wachtwoorden-instellingen.) Maar juridisch komt ook dat voor jouw rekening – de wederpartij kan niet zien hoe jij dat adres invulde, en mag dus (art. 3:35 BW) er op vertrouwen dat jij dat adres bedoelde.

Kun je het dan bij de buren opeisen? Vragen kan altijd, maar zo te lezen is daar al flink wat geprobeerd zonder effect:

Er was overduidelijk iemand thuis, maar er werd niet open gedaan. Het pakket lag niet voor de deur, dus ik neem aan dat deze gewoon is aangenomen. Ik heb een briefje met uitleg, contactverzoek en mijn 06 door de bus gedaan maar 48 uur later nog niets gehoord. Zojuist weer 2x aangebeld maar genegeerd. Ze houden mijn pakket dus ‘gegijzeld’.
(Mogelijk zijn deze nieuwe bewoners bang voor de bekende oplichterstruc van verkeerd adres en pakket meenemen, waarna de factuur bij hen op de mat komt. En nee, niet iedereen kent de naam van de vorige bewoner.)

In de comments wijzen velen op de wijkagent, die dan aan moet bellen en iets zeggen over het strafbare feit verduistering (art. 321 WvS), het wederrechtelijk onder je houden van een goed dat niet van jou is. Dat is zeker een optie, hoewel “geen idee, niets gehad, ik wil niet dat u binnenkomt” een prima antwoord is dat de bewoners kunnen geven.

Kan het via een civiele procedure, even los van de tijd en geld? Daarvoor is vereist dat de vraagsteller eigenaar is van het pakket, want alleen die kan zijn eigendom revindiceren bij degene die het heeft.

Wat er juridisch gebeurt, is dat de vraagsteller de nieuwe bewoners aanwijst als ontvangers. Zij nemen dan aan voor jou, en worden daarmee onmiddellijk houder. De vraagsteller is dan middellijk bezitter (art. 3:107 BW). En omdat er ook een geldige koopovereenkomst is, is deze door dat bezit eigenaar geworden (art. 3:90 BW). Daarmee kan deze zijn eigendom revindiceren (art. 5:2 BW).

Maar zoals gezegd, de kosten van zo’n juridische procedure zullen meestal niet opwegen tegen de prijs van het bestelde. Bovendien zit je ook met een bewijsprobleem: als de nieuwe bewoners stellig blijven ontkennen iets gehad te hebben, hoe zwaar weegt dat briefje van PostNL dan nog? Het is immers ook nog mogelijk dat het bij een buur van deze mensen bezorgd is, of uit de tuin gestolen nadat de bezorger het daar achterliet.

Arnoud

AI-check zit er zelden naast bij tekstbeoordeling: ‘Geen bewijs in rechtszaken’

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 12 reacties
Photo by Budgeron Bach on Pexels

AI-detectietools werken “vaak” goed, al adviseren deskundigen om er niet te snel conclusies aan te verbinden. Dat bracht Nu.nl onlangs. Werkt Pangram inmiddels zó goed dat een schrijver moet bewijzen dat hij zijn werk zelf geschreven heeft?

Het artikel is een reflectie op de X-berichten van premier Jetten, die met AI geschreven zouden zijn. Dat zou blijken uit Pangram-analyses.

Maar de tool geeft nooit 100 procent zekerheid, meldt Pangram zelf ook. “Pangram claimt dat 0,0041 procent van de gecheckte teksten niet klopt. Bij miljoenen checks zijn dat nog steeds honderden teksten die ten onrechte worden aangemerkt als AI”, benadrukt [AI-lector Stefan] Leijnen. “Laat ik het zo zeggen: in een rechtszaal zou de uitkomst van alleen Pangram geen stand moeten houden.”
Die 0,0041% is het aantal vals positieven, het percentage menselijke teksten dat ten onrechte als AI werd geclassificeerd. Maar dat is niet hetzelfde als “niet klopt”, want het percentage gemiste AI-teksten is 0,3396%.

Belangrijker: het is niet een continu bijgewerkte kwaliteitsindicator, maar een onderzoek op één miljoen menselijke Engelstalige teksten uit een verzameling van vóór 2022. Daarvan werden er 41 ten onrechte als AI aangemerkt. Ander onderzoek laat dan weer wel zien dat Pangram hier best robuust functioneert (oudere versies, dat wel).

Ik ben erg huiverig over AI-detectoren, omdat hun fouten grote impact hebben. Het systeem zegt “dit is met AI geschreven” en jij moet je concepten, tussenversies en schetsen gaan opduikelen. En dan moet je iemand die al denkt “AI slop prutser” gaan overtuigen dat je het wél zelf gemaakt hebt.

Op zich zijn deze getallen (en de focus op minimale vals positieven) veelbelovend. Je zou kunnen zeggen: we nemen dit als aanwijzing. We gaan dan weerwoord vragen van de auteur; laat maar zien hoe dit werk tot stand komt, onderbouw dat het eigen werk is. Misschien heeft hij zijn manuscript uitgebreid met AI laten redigeren, misschien is er een andere verklaring voor de uitslag. De organisatie hoeft niet blind op zijn ontkenning te vertrouwen, maar moet wel open staan voor de input.

Een reden om hier als jurist desondanks moeite mee te hebben, is dat dit geautomatiseerde besluitvorming is. Pangram zegt “dit is AI tekst” en we vragen de student te bewijzen van niet. Daar moet van de AVG dan betekenisvolle menselijke tussenkomst bij, en dat is meer dan een docent die er ook naar kijkt en zegt “ja, ik heb hier een neus voor, dit is AI”.

Bij zaken als niet-bestaande referenties is dat nog wel mogelijk, maar wat als het puur om stijl en taalgebruik gaat? Wat kun jij dan doen dat Pangram niet al deed, en hoe onderbouw je “volgens mij komt dit inderdaad uit AI” (behoudens de watermerken).

Dat laatste is ook weer van belang: bij geautomatiseerde besluitvorming heeft de student recht op uitleg. Waarom besloot het systeem dat deze tekst 95% AI was? Welke factoren wogen daarin mee? En kun jij dat duiden op een manier dat die uitleg beklijft?

Bovendien, wat moet die student dan laten zien? Ik begeleid regelmatig studenten die gewoon een Word-document openen, beginnen met typen en na een paar dagen hun eindversie inleveren. Ze bewaren geen aparte kladjes of schetsen, want waarom zouden ze? We leren ze ook niet dat ze dat moeten doen. En wat is eigenlijk een kladje bij een tekst? Een eerste alinea die je daarna volledig hebt herschreven? De drie steekwoorden waarmee je begon? Een gedachte die je onder de douche kreeg?

Neem deze blog. Stel dat Pangram concludeert dat deze volledig door AI is geschreven. Wat zou ik dan moeten overleggen om het tegendeel aannemelijk te maken? Ik heb een eerste versie geschreven en daarover met ChatGPT gediscussieerd. Dat leverde nieuwe argumenten en tekstvoorstellen op, waarvan ik sommige wel en andere niet heb gebruikt. Met deze conversatie kan ik een deel van dat proces reconstrueren. Maar die laat niet zien welke gedachten ik al eerder had, en bewijst ook niet wie iedere afzonderlijke formulering bedacht.

Wat mij stoort, is de eenzijdigheid. Zodra we AI-gebruik vermoeden, vallen grote woorden als fraude, gaan we streng voor de student zitten en verlangen we bewijs van eigen werk. Maar ondertussen leren we studenten nauwelijks hoe ze wél verantwoord met AI kunnen werken, waar de grens ligt tussen ondersteuning en uitbesteden, en hoe ze hun eigen bijdrage zichtbaar kunnen maken. We stellen steeds hogere eisen aan het bewijs van eigen werk, zonder het onderwijs daarop in te richten.

Als we mensen willen afrekenen op ongeoorloofd AI-gebruik, moeten we ze ook leren hoe geoorloofd AI-gebruik eruitziet.

Arnoud

Google haalt AI-functies uit betaald abonnement, maar waarom zou je dat moeten accepteren?

Geplaatst op in Ondernemingsvrijheid, 10 reacties
Photo by Gary Chan on Unsplash

Google gaat de toegang tot de geavanceerdere Pro-modellen van Gemini schrappen voor gebruikers van het AI Plus-abonnement, zo meldde Tweakers onlangs. Vanaf 13 november kunnen deze gebruikers alleen nog de eenvoudigere Flash-modellen gebruiken. Wie de Pro-modellen wil blijven gebruiken, moet overstappen van een abonnement van 5 euro naar eentje van 22 euro per maand.

Dat voelt toch merkwaardig. Je sluit een abonnement af voor een dienst met bepaalde functionaliteit, betaalt daarvoor en vervolgens besluit de leverancier die functionaliteit weg te halen. Bij een gekochte auto zou niemand accepteren dat de fabrikant na een paar maanden op afstand de stoelverwarming uitschakelt, met de mededeling dat je voortaan een duurder abonnement nodig hebt.

Toch lijkt dat bij digitale diensten de normale gang van zaken. Er verandert voortdurend van alles en wie daar niet van gediend is, kan opzeggen. Dat staat al sinds jaar en dag in de wet. Maar waarom kun je niet gewoon eisen dat Google levert wat je hebt afgesproken?

Sinds 2022 hebben we daarvoor specifieke wettelijke regels. Artikel 7:50al BW bepaalt dat een leverancier een digitale dienst tijdens de looptijd van een overeenkomst mag wijzigen, maar alleen als de overeenkomst die mogelijkheid biedt én daarvoor een gegronde reden noemt. Bovendien moet de wijziging kosteloos zijn en moet de consument behoorlijk worden geïnformeerd. Bij meer dan geringe negatieve gevolgen mag de consument de overeenkomst ontbinden.

Overweging 75 van Richtlijn 2019/770 geeft drie voorbeelden van geldige redenen:

  1. Aanpassing van de digitale dienst aan een nieuwe technische omgeving.
  2. Aanpassing aan een toegenomen aantal gebruikers.
  3. Andere belangrijke operationele redenen.
De eerste twee zijn specifiek, de derde is een open categorie. Ze worden voorafgegaan door de eis dat de overeenkomst zelf een geldige reden voor de wijziging geeft.

Wat maakt een reden “belangrijk operationeel”? Daarover zwijgt de wet. Gezien de andere twee voorbeelden lijkt het te moeten gaan om iets soort-van vereist, we kunnen niet anders dan dit aanpassen. Sterker nog, overweging 75 verduidelijkt waarom deze bevoegdheid er is:

Zulke veranderingen zijn vaak in het voordeel van de consument, aangezien zij de digitale inhoud of digitale dienst verbeteren.
De bevoegdheid is dus bedoeld voor situaties waarin de oude wijze van leveren niet meer goed werkt of niet meer van deze tijd is. Denk aan een navigatiedienst die overstapt van een website naar een native app, zodat routeaanwijzingen ook bij een vergrendeld scherm blijven werken. Of een klantenserviceportaal dat overstapt naar chat omdat er dan ook een spraakinterface mogelijk wordt.

Ik wil op zich “de dienst is commercieel niet meer haalbaar” nog wel onder dergelijke veranderingen rekenen, want je moet kunnen stoppen met diensten. Google komt daar echter niet, want ze leveren precies die functionaliteit nog wel aan andere klanten. Dus dan wordt het “het kan niet meer uit voor deze prijs”, en dat vind ik een stuk zwakker. Dat is je ondernemersrisico.

In Duitsland is in 2025 gevonnist dat een algemeen wijzigingsbeding bij Twitter ongeldig is, precies vanwege strijd met deze Europese regel. Helemaal geen redenen noemen is dus hoe dan ook problematisch.

Arnoud

Moet je als werknemer 50 miljoen betalen na CEO-fraude?

Geplaatst op in Ondernemingsvrijheid, 8 reacties
Photo by Gustavo Fring on Pexels

Een Duitse financieel manager moet ruim vijftig miljoen euro vergoeden nadat hij slachtoffer werd van CEO-fraude. Dat meldt Security.nl. De man maakte in 59 transacties geld over naar oplichters die zich voordeden als zijn leidinggevende en een advocaat. Volgens het Landesarbeitsgericht Köln was hij zo nalatig dat hij persoonlijk voor de schade moet opdraaien.

De details zijn opmerkelijk. De manager communiceerde via zijn privé-WhatsApp, negeerde interne betalingsprocedures en verifieerde nooit rechtstreeks bij zijn baas of de opdrachten echt waren. Hij had kort daarvoor zelfs meegespeeld in een instructievideo over CEO-fraude. Op enig moment schreef hij dat hij miljoenen overmaakte zonder enig bewijs of behoorlijke toelichting. Toch ging hij door.

Het Duitse hof kwalificeerde dit als grove nalatigheid. Omdat de werkgever een D&O-verzekering voor hem had afgesloten, zag het hof bovendien geen reden zijn aansprakelijkheid te beperken. Of de verzekeraar daadwerkelijk betaalt, staat nog niet vast.

Maar naar Nederlands recht is grove nalatigheid niet genoeg. Een werknemer is financieel naar de werkgever alléén aansprakelijk bij opzet of bewuste roekeloosheid (art. 7:661 BW). Van opzet is hier geen sprake: de manager wilde zijn werkgever niet benadelen.

Bewuste roekeloosheid ligt ingewikkelder. Volgens de Hoge Raad moet de werknemer zich onmiddellijk voorafgaand aan zijn handelen daadwerkelijk bewust zijn geweest van het roekeloze karakter daarvan en dat risico op de koop toe nemen. Dat hij het risico had moeten kennen, is onvoldoende. Dus “het zal me worst wezen als dit fraude is” en niet alleen “hm, zou dit fraude kunnen zijn”.

Dat blijkt mooi uit het City Tax-arrest uit 2005. Een taxichauffeur negeerde bewust een wegafzetting en beschadigde zijn taxi. Toch was daarmee geen bewuste roekeloosheid gegeven. Dat de chauffeur wist dat hij een verbod overtrad, betekende nog niet dat hij zich daadwerkelijk bewust was van het gevaar dat hij daarmee liep. De Hoge Raad liet het oordeel dat hij niet aansprakelijk was in stand.

En dat onderscheid is hier cruciaal. De Duitse manager wist dat hij interne regels overtrad. Hij wist zelfs dat hij onvoldoende documentatie had voor de betalingen. Maar dat bewijst nog niet dat hij zich bewust was van het risico dat hij miljoenen aan oplichters overmaakte. Hij dacht immers dat hij handelde in opdracht van zijn leidinggevende. Dat is nu juist de essentie van CEO-fraude: de oplichter overtuigt je ervan dat je van de normale procedures moet afwijken omdat de baas dat zelf vraagt.

In 2017 schreef ik al dat werknemers bij CEO-fraude in beginsel niet persoonlijk aansprakelijk zijn. Deze Duitse uitspraak verandert daar niets aan. Ook een werknemer die bewust interne controles omzeilt, is daarmee nog niet bewust roekeloos ten aanzien van de schade die daardoor ontstaat. De werkgever zal moeten aantonen dat de werknemer het frauderisico daadwerkelijk onderkende en desondanks doorging.

Arnoud

Huizen op Funda onherkenbaar door AI-foto’s: ‘Had geen zin om te bezichtigen’

Geplaatst op in Innovatie, Ondernemingsvrijheid, 3 reacties
Photo by Valentin Ivantsov on Pexels

Met kunstmatige intelligentie kunnen makelaars huizen op Funda flink oppoetsen. Dat meldde Nu.nl onlangs. Het zou mensen afschrikken, hoewel anderen het dan weer prima vinden om te zien wat je kunt doen met de ruimte. Ik kreeg dan weer de vraag: mag dat eigenlijk van de AI Act, en is dit niet misleidend?

Om met dat laatste te beginnen: het kan inderdaad misleidend zijn als je foto’s laat zien die niet overeenkomen met de werkelijkheid. Maar context doet daarbij veel. Laten zien hoe de kamer eruit ziet met die tussenmuur eruit, is op zich prima – zolang je maar weet dat die muur er nog wel even uit moet. Zeker bij klushuizen (of nieuwbouw) heb ik er weinig moeite mee.

Uiteraard moet de verkoper of diens makelaar hier wel transparant in zijn, en dat sluit ook precies aan bij wat de AI Act eist. Dergelijke foto’s tellen juridisch namelijk als deepfakes, omdat ze pretenderen de werkelijkheid te tonen maar dat niet doen. Deepfakes moeten expliciet worden gemarkeerd.

Dat sluit aan bij wat Funda zelf als huisregel (haha) heeft gesteld:

Funda heeft ook regels opgesteld voor het gebruik van AI-afbeeldingen. De AI-foto’s mogen niet misleidend zijn door het huis anders voor te stellen dan het is of kan worden. Zo mogen makelaars een ruimte niet groter laten lijken en mogen ramen en deuren niet verplaatsen op AI-afbeeldingen als dat bouwkundig niet mogelijk is. Daarnaast mogen makelaars een AI-afbeelding niet als hoofdfoto gebruiken.
Het probleem lijkt vooral te zijn dat er te weinig proactief wordt gehandhaafd. “Als makelaars zich niet aan de regels houden, dan kunnen mensen dit altijd bij ons melden”, zo citeert men een woordvoerder, maar ik lees vooralsnog niets over actieve detectie of filtering.

Dat zou moeten kunnen: onder diezelfde AI Act moeten alle synthetische foto’s van een onzichtbare code voorzien zijn, zodat je die algoritmisch kunt detecteren. De standaard hiervoor (Content Credentials) is openbaar, en zou dus zo kunnen worden doorgevoerd. Afbeeldingen die door de bekende tools (zoals Adobe Photoshop of ChatGPT) worden gemaakt en geupload, komen er dan niet meer doorheen.

Uiteraard zou een malafide makelaar die codes weg kunnen poetsen of met een model werken dat die niet toevoegt. Dan ben je inderdaad afhankelijk van meldingen. Maar ik zou daar wel sterker op gaan zitten: verbied de makelaar om dat te doen, en ontzeg ze de bevoegdheid nieuwe huizen te plaatsen als ze dat toch doen.

Arnoud

Mag de verhuurder ons internet met KPN Veilig Internet opdringen?

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 12 reacties
Photo by Pixabay on Pexels

Via Reddit:

Ik woon in een kleine studio in een groot pand samen met heel wat andere bewoners. Hier hebben wij (verplicht) gedeeld internet van KPN, waar wij allemaal voor betalen. [De verhuurder gebruikt] een zakelijk pakket van KPN die de functionaliteit ‘Veilig Internet’ bevat. Helaas gebeurd het te vaak dat websites onterecht worden geblokkeerd. Echter ben ik het er niet mee eens, hebben wij niet zoiets als ‘netneutraliteit’, wat betekent dat iedereen recht heeft tot het vrije internet?
Netneutraliteit als concept is inderdaad al zo’n vijftien jaar bij wet vastgelegd. Tegenwoordig is dat de Europese Netneutraliteitsverordening. Maar die geldt hier niet: alleen “aanbieders van openbare internettoegang”, oftewel voor het algemene publiek, zijn verplicht dit neutraal en zonder filters te doen.

Een verhuurder levert per definitie niet aan het publiek, maar alleen aan de kleine, afgebakende groep mensen die daar wonen. (Bij een camping vind ik dit een grijzer gebied.) Daarom kun je je tegenover de verhuurder niet op netneutraliteit beroepen.

De constructie hier is dat je voor internettoegang betaalt via de servicekosten, zodat je ook niet via het contract met KPN netneutraliteit tegen die wél openbare aanbieder kunt inroepen. Je bent er geen partij bij.

De enige route is dus de verhuurder aanspreken op niet-nakoming van de huurovereenkomst, met als argument dat het afgesproken “internet” niet netneutraal is terwijl je dat redelijkerwijs wel mag verwachten. Dan helpt die verordening je wel, want die bewijst dat netneutraliteit de norm is.

Waarom staat dat Veilig Internet überhaupt aan? Uit de post haal ik dat de verhuurder in eerste instantie bereid was het uit te zetten, maar

Helaas kreeg ik een week later het bericht dat dit ‘per se’ weer aan moest van KPN zelf, die had blijkbaar mijn huurbaas opgebeld met de melding dat dit toch echt nodig is.
Praktisch is het probleem vermoedelijk dat eigen aansluitingen bij elk appartement niet te realiseren is. Dan ‘moet’ je wel centraal inkopen en doorleveren.

Arnoud

De bank moet phishinggeld eerst terugbetalen, ook als de klant grof nalatig was

Geplaatst op in Ondernemingsvrijheid, Security, 8 reacties
Photo by Markus Winkler on Unsplash

Een bank mag slachtoffers van phishing niet langer met een beroep op grove nalatigheid hun geld terug weigeren. Dat oordeelde het Hof van Justitie onlangs. Blijkt achteraf dat de klant inderdaad grof nalatig was, dan mag de bank het geld terugvorderen. Een opsteker voor de consument: de bank moet de consument aanklagen om zijn geld terug te krijgen, niet andersom.

Wie door phishing geld kwijtraakt, krijgt van de bank nogal eens te horen dat hij zelf te slordig is geweest. Dat heeft een juridische basis: banken moeten ongeautoriseerde transacties terugdraaien, tenzij sprake is van “grove nalatigheid” bij de klant.

Waar ligt de bewijslast, en hoe moet de procedure gaan, als de bank zegt te denken aan die uitzondering? Vaak zie je dat er dan wordt gezegd: wij zien grove nalatigheid, stap maar naar de rechter om te bewijzen dat wij ongelijk hebben. Tot die tijd krijg je je geld niet.

Daar zet het Hof van Justitie nu een streep door. Een bank moet een niet-toegestane betaling onmiddellijk terugbetalen, ook als zij vindt dat de klant door grove nalatigheid de fraude mogelijk heeft gemaakt. Wil de bank de schade vervolgens op de klant verhalen, dan moet zij daar zelf achteraan.

De regels zijn te herleiden tot de Europese PSD2-richtlijn. De basis van die redenering is dat de klant de schade zelf draagt wanneer hij door grove nalatigheid zijn beveiligingsverplichtingen heeft geschonden (artikel 74), zodat de terugbetaalregeling bij ongeautoriseerde betalingen (artikel 73) niet uitgevoerd hoeft te worden.

Nee, zegt het Hof. Die twee artikelen gaan over verschillende momenten. Artikel 73 bepaalt dat de bank “onmiddellijk, en in elk geval uiterlijk aan het einde van de eerstvolgende werkdag” het geld moet terugbetalen zodra vaststaat dat de transactie niet geautoriseerd was. Weliswaar staat in artikel 74 dat

De betaler draagt alle verliezen in verband met niet-toegestane betalingstransacties indien de betaler deze heeft geleden doordat hij frauduleus heeft gehandeld of opzettelijk of door grove nalatigheid een of meer van de [beveiligings]verplichtingen niet is nagekomen.
Maar dat is een aparte regeling over het eindresultaat, die los staat van de terugbetaalregeling uit artikel 73. Het zou de terugbetalingsplicht zinloos maken als een bank die kon omzeilen door simpelweg grove nalatigheid te stellen.

Concreet betekent dit dat een klant na ontdekking van een niet-toegestane betaling zijn bank informeert, waarna die uiterlijk de volgende werkdag het geld moet terugboeken. De bank mag vervolgens onderzoeken wat er is gebeurd. Vindt zij dat de klant grof nalatig was, dan moet zij dat bewijzen en het geld terugvorderen. Wil de klant niet betalen, dan zal de bank zo nodig naar de rechter moeten.

Belangrijke nuance nog wel: het moet wel gaan om niet-geautoriseerde transacties. Wanneer jij wél de transactie zelf goedkeurt, kan het nog steeds phishing zijn (je dacht de bank aan de lijn te hebben en maakte geld over naar een ‘kluisrekening’) maar dan krijg je je geld niet automatisch terug onder dit arrest.

Arnoud