Als ChatGPT je wetenschappelijke primeur voor je neus wegkaapt dankzij je chatlog

Photo by geralt on Pixabay

OpenAI claimt een van de zeven Millenniumprijsproblemen te hebben opgelost met een intern AI-model, meldde Tweakers gisteren. Twee menselijke onderzoekers stonden op het punt die oplossing te vinden. Kan gebeuren, maar ze gebruikten ChatGPT bij hun onderzoek. Is er meegelezen door OpenAI?

De Navier-Stokes-vergelijkingen geven snelheid, druk en richting van stromende vloeistoffen en gassen. Een volledige oplossing houdt in dat je die op op elk punt en op elk moment exact kunt voorspellen. Tot nu toe is dat niemand gelukt, maar onderzoekers Tristan Buckmaster en Levent Alpöge hadden gemeld er bijna te zijn.

Bij hun onderzoek gebruikten ze zowel Claude als OpenAI Codex, waaronder GPT-5.6 Sol en later Astra. Nadat geruchten rondgingen dat een oplossing in zicht zou zijn, liet OpenAI een bak rekenkracht los om deze met haar meest geavanceerde model te vinden. Men vond geen volledige oplossing, maar wel een forse stap: “finite-time blow-up voor geforceerde Navier–Stokes [], met gladde forcing volgens opties C en D uit Feffermans officiële probleemstelling.”

Nee, ik weet werkelijk niet wat dat betekent maar wiskundigen zijn er enthousiast over. Mij gaat het om de constatering dat  niemand nog die route had bewandeld behalve Buckmaster en Alpöge, en dat zij hierbij dus gebruik maakten van een (openbaar) AI-model van datzelfde OpenAI.

In haar verklaring geeft OpenAI dat

We (the researchers and the agents) did not see any of their work through any means until they released it publicly — in particular, no specific user data was accessed in order to solve this problem. While unlikely, we cannot rule out that de-identified data derived from their usage of our products helped improve our models?. However, our proofs differ significantly and even the precise results proved are different in the Euler case (forced vs unforced).
Als jurist haal ik hier uit: we hebben géén chatlogs of bijlagen gelezen, maar het is mogelijk dat delen van chats als “verbetering aan het model” zijn gevoerd en daarmee deel van het nieuwste model zijn geworden. Voor een taalmodel kan dat genoeg zijn om vervolgens op die input bij te sturen naar de goede richting.

Mag dat? Goede vraag. Als het goed is, weten de meesten dat je het vinkje “Improve the model for everyone” uit kunt zetten (Settings > Data Controls). Maar je moet óók naar je privacy controls om daar “Do not train on my content” uit te vinken. En als je daarna een keer feedback op een chat geeft (duimpje omhoog/omlaag) dan passeert dat die instelling, zeg ik er gelijk bij.

Een lastige vraag: hoe bewijs je ontlening als die via modeltraining verloopt? Er is geen log te vinden waarin iemand van OpenAI zich toegang gaf tot die chats. Als er wat is gebeurd, is die chat geautomatiseerd vermalen tot een serie tokens en is een trainingsproces daar lekker op gaan knabbelen. Waar specifieke teksten dan zijn gebleven, is niet te zeggen – sterker nog, ze zijn nergens meer.

In auteursrechtland speelt het issue van memorization, het reconstrueren van een specifiek stuk trainingsdata. Zeer theoretisch zou het dan mogelijk moeten zijn om te kijken of het paper (of grote prompts) te reconstrueren is. Dat geeft ze dan een morele overwinning, want het werk is er met toestemming in gezet dus de memorization er van is geen auteursrechtinbreuk.

Een bedrijf kan dus (mogelijk) profiteren van een nog niet publiek intellectueel inzicht zonder dat één medewerker dat inzicht ooit heeft gezien, zonder dat het oorspronkelijke werk wordt gereproduceerd en mogelijk zelfs zonder dat achteraf nog kan worden vastgesteld of dat inzicht causaal aan het resultaat heeft bijgedragen.

Of en welke vinkjes jij wanneer hebt aangevinkt, zijn dan je enige tegenargumenten, waarbij “we cannot rule out that de-identified data derived from their usage of our products helped” dan kennelijk daar overheen gaat. Ik weet even niet wat daarvan te vinden.

Arnoud

Verkoper zegt dat geweigerd pakket kan worden vernietigd en raadt aan het aan te nemen

Photo by RDNE Stock project on Pexels

Via Reddit:

Voor de vakantie heb ik [een pakket besteld, maar dat zou uiteindelijk pas tijdens mijn vakantie worden geleverd]. Het pakket was nog niet in handen van de vervoerder zag ik, dus ik mailde met de vraag of ik de bestelling kon annuleren. Het antwoord was nee, dat kan niet en: “We raden je aan het pakket niet te weigeren: een geweigerd pakket kan verloren gaan of worden vernietigd, waardoor je mogelijk je recht op terugbetaling verliest.”
De achterliggende juridische redenering lijkt te zijn dat omdat de consument het risico van terugzending draagt, een verloren gegaan geweigerd pakket óók voor zijn risico komt.

Dat klopt niet. Tot het moment dat het pakket in handen is van de consument (of een door hem aangewezen derde), blijft het pakket voor rekening en risico van de verkoper. Dit staat zo in artikel 7:11 BW:

Bij een consumentenkoop waarbij de zaak bij de koper wordt bezorgd, is de zaak voor het risico van de koper vanaf het moment dat de koper of een door hem aangewezen derde, die niet de vervoerder is, de zaak heeft ontvangen.
Let op dat “niet de vervoerder”: dat pareert ook het argument “u heeft gekozen voor bezorging met PostNL dus de vervoerder is uw probleem”.

Er is dus een wezenlijk verschil tussen het niet aannemen (of op het pakketpunt laten liggen) van een pakket, en het aannemen en retourneren. Door het aannemen word je eigenaar van het pakket.

Als je het daarna terugstuurt, dan doe je dat door de overeenkomst ongedaan te maken (juridisch: ontbinden) waardoor de winkel er weer eigenaar van wordt. Maar dán is het jouw probleem om te zorgen dat het pakket weer veilig bij de winkel komt.

De reden waarom deze winkel het zo meldt, wordt in de comments al duidelijk: dit is een dropshipper die niet zit te wachten op retouren, en de consument dus probeert af te schrikken met dit soort gebazel. Velen suggereren een klacht bij de ACM.

Arnoud

Is een bestelling via Click en Collect een online bestelling?

Via Reddit:

Ik heb in de winkel betaald, wel een online mail met Click & Collect nummer. Winkel blijkt de voorwaarde te hebben dat ze in de winkel alleen een tegoedbon geven ipv geld terug. Sowieso een vrij klantonvriendelijk beleid maar goed, heb ik recht op alsnog geld terug bij retour?
Bij een online bestelling heb je inderdaad recht op retourneren met geld terug, bij een aankoop in de winkel bestaat dat recht niet.

Met “Click & Collect” wordt meestal bedoeld een proces waarbij je je een product online bestelt en het daarna zelf ophaalt in een fysieke winkel. Scheelt verzendkosten en vaak is het ook (vrijwel) direct af te halen, zodat je niet voor niets naar de winkel gaat.

Bij een variant op Click & Collect bestel je in de winkel. Ik citeer leverancier Prestop:

Omnichannel shop-in-shop bestelzuilen zijn geïntegreerde systemen die retailers helpen bij het creëren van een naadloze winkelervaring voor klanten, zowel online als offline. Deze zuilen fungeren als verbindingspunt tussen de fysieke en digitale winkelomgeving, waardoor klanten moeiteloos kunnen schakelen tussen verschillende kanalen tijdens hun winkelreis.
In gewone taal: een internetzuil waarmee je op de site bestelt, waarna je het bij de balie afhaalt. (Het ligt dan in het magazijn, maar bezet geen schapruimte in de winkel.)

Zoals ik in 2020 schreef, een dergelijke transactie telt als een koop op afstand. Als vuistregel hanteer ik daarbij dat je ergens die knop “Bestelling met betaalverplichting” bent tegengekomen. Wanneer je betaalt, en hoe je het product krijgt, is niet relevant: het enige is of je vast zit aan de koop.

Het is dus mogelijk dat je bij een zuil in de winkel bestelt en dan toch een online aankoop hebt gesloten waar het retourrecht (met geld terug) op van toepassing is.

Arnoud

 

 

EU plaatst ChatGPT, Reddit en Roblox onder Digital Services Act

Photo by Matheus Bertelli on Pexels

ChatGPT, Reddit en Roblox moeten voldoen aan de Europese Digital Services Act, meldde Tweakers onlangs. Iets preciezer: ChatGPT geldt nu als zeer grote onlinezoekmachine, en Reddit en Roblox zijn aangemerkt als zeer grote onlineplatforms. Vooral voor Ome Sjet zal dat forse impact hebben.

Een zeer groot online platform of VLOP is de term uit de DSA voor een platform dat 45 miljoen actieve gebruikers kent. Voor zoekmachines is de afkorting VLOSE. Het idee achter dat getal is dat het makkelijk meetbaar is, meer niet. Hiermee kun je dan makkelijk vaststellen of er “risico’s voor de samenleving [zijn] die qua reikwijdte en impact verschillen van die van kleinere platforms”:

Zodra het aantal actieve afnemers van een onlineplatform of actieve afnemers van een onlinezoekmachine, berekend als een gemiddelde over een periode van zes maanden, een aanzienlijk deel van de bevolking van de Unie bereikt, kunnen de systeemrisico’s van het onlineplatform of de onlinezoekmachine een onevenredige impact in de Unie hebben.
De kwalificatie van OpenAI’s dienst ChatGPT als zoekmachine verbaast misschien. Het is eerst en vooral een dienst waarmee je teksten en afbeeldingen laat maken. Maar ChatGPT kan daarbij ook het web afstruinen en relevante informatie in die teksten betrekken. En dan kom je bij deze definitie:
een tussenhandeldienst die gebruikers de mogelijkheid biedt zoekopdrachten in te voeren om zoekacties uit te voeren op in beginsel alle websites of alle websites in een bepaalde taal, op basis van een zoekopdracht over eender welk onderwerp in de vorm van een trefwoord, een gesproken verzoek, een frase of andere input, en die resultaten in eender welk formaat oplevert met informatie over de opgevraagde inhoud;
De definitie lijkt geschreven voor klassieke diensten waar je een mooie set termen opgeeft en passende resultaten terugkrijgt. Maar “schrijf een rapport over kwantumcryptografie, betrek bronnen en maak geen fouten” als prompt voldoet aan de definitie van “andere input” en de dienst gaat dan ook werkelijk zoeken.

Een kwalificatie als online platform (VLOP) had voor ChatGPT niet gekund. Daarvoor is namelijk nodig dat de dienst

op verzoek van een afnemer van de dienst, informatie opslaat en verspreidt bij het publiek, tenzij (…)
De dienst ChatGPT is immers besloten, chats worden hooguit in ondergeschikte gevallen gedeeld met derden. Vergelijk dat met Reddit waar alle discussies juist in principe openbaar zijn.

Het voelt gekunsteld: ChatGPT is gepositioneerd als een chatbot, niet als een zoekdienst. Maar volgens OpenAI zelf had de zoekdienst “approximately 159.1 million average monthly active recipients in the European Union”. En “active recipient” is de DSA term voor “mensen die zoekopdracht gaven”. Ter vergelijking: Google komt tot 768,9 miljoen bij datzelfde criterium (uitgesplitst naar ingelogde en losse gebruikers).

ChatGPT is óók een GPAI-systeem onder de AI-verordening. Handhaving van die twee wetten gaat (sinds de AI Omnibus Act) in een hand door de Commissie. De belangrijkste extra eis voor aanbieder OpenAI is nu dat zij een risicobeoordeling moet doen van systeemrisico’s rond haar dienst, waarbij chatverslaving en aanmaken van desinformatie er dan direct uitspringen.

Wat mag van jullie OpenAI als eerste gaan aanpakken?

Arnoud

Mag ik als cybersecurity-specialist een collega monitoren omdat de baas dat zegt?

Photo by Matheus Bertelli on Pexels

Een lezer vroeg me:

Als cybersecurity-specialist monitor ik het netwerk van ons bedrijf (een middelgrote IT-dienstverlener). Hierbij heb ik toegang tot bepaalde gegevens van collega’s, waaronder e-mail onderwerpen, inloggegevens en bijhorende IP-adressen (en dus ook geolocatie van dat IP), gebruik van bepaalde apps op beheerde apparaten etc. Nu heeft een directeur aangegeven dat enkele collega’s zich niet aan afspraken houden rondom omtrent op tijd komen, eerder weg gaan en thuiswerken. Mijn opdracht is nu regelmatig de logs te analyseren voor bewijs hierover, inclusief nagaan of hij een mouse jiggler gebruikt. Mag ik deze opdracht wel uitvoeren? Dit valt buiten mijn takenpakket volgens mij.
Al deze genoemde gegevens zijn persoonsgegevens. Het is logisch (en toegestaan onder de AVG) om die te verwerken met als doel cyberbeveiliging. Maar wat deze directeur nu opdraagt, is in feite een hergebruik voor een ander doel, namelijk persoonsgericht monitoren en beoordelen van gedrag van een werknemer.

Hergebruik van gegevens mag eigenlijk alleen als je binnen hetzelfde doel blijft, of een nieuw doel hebt dat daar direct aan vast hangt. Aangifte doen van een cyberincident bijvoorbeeld. Maar dit andere doel ligt daar zo zwaar buiten dat het bedrijf er een aparte grondslag voor moet hebben.

Monitoren van personeel met it-middelen ligt gevoelig, en dat is maar goed ook. Op zijn minst moet het bedrijf een duidelijk it-reglement hebben dat ingaat op wanneer je persoonsgericht mag monitoren, hoe dat wordt uitgevoerd en hoe zaken als geheimhouding en inspraak worden geregeld. Zonder vooraf opgesteld reglement is dit eigenlijk altijd onrechtmatig.

We weten niet of er een reglement is, maar ik vermoed van niet gezien de wijze van vraagstellen. Als dat inderdaad niet zo is, dan is de opdracht dus onrechtmatig. Lastig is dan: moet je hem uitvoeren? Puur formeel juridisch zeg ik nee, maar ik snap goed dat je als werknemer niet die escalatie aan wilt gaan.

Een eerste stap kan zijn vragen om dat reglement, zodat je op de juridisch juiste manier verzamelt wat je volgens het reglement moet verzamelen en de directeur daarmee het bewijs krijgt dat hij echt kan gebruiken. Malicious compliance, maar met een sterk argument: het bewijs is niet bruikbaar als het verkeerd is verzameld.

Daarnaast is zorgen dat de opdracht in de mail gegeven wordt (en niet alleen mondeling) erg belangrijk, mochten er tegenclaims komen. Want dan is er een kans dat die directeur ineens vergeten is dat hij die opdracht had gegeven.

Een signaal aan de OR geven (als die er is, middelgroot bedrijf) is een mogelijkheid maar kan goed tot een conflict met die directeur leiden wanneer de OR met hem in gesprek gaat over illegaal monitoren van personeel. Want duidelijk is dan wel van wie dat signaal kwam.

Arnoud

Op staande voet ontslagen omdat je al je werkbestanden in Google Gemini wilde schuiven (vanwege een arbeidsconflict)

Photo by Riedelmeier on Pixabay

Oh jee. “Een senior directeur heeft meerdere bestanden uit de bedrijfsomgeving naar zijn privé e-mailadres verzonden en heeft daarnaast het hele bestand van zijn zakelijke computer willen uploaden.” Nee, dat vond de rechter niet leuk en de directeur mocht op staande voet worden ontslagen. Wat was hier aan de hand?

Het vonnis is kort en kernachtig. Zo te lezen waren er beëindigingsonderhandelingen bezig, wat wijst op een al bestaand arbeidsconflict. Het is dan op zijn zachtst niet handig om grootschalig bestanden te gaan downloaden, want dat wordt gelogd en komt op tafel.

Hier ook:

[verzoeker] heeft meerdere bestanden uit de bedrijfsomgeving van [werkgever] naar zijn privé e-mailadres verzonden en daarnaast op 19 november 2025, in de ochtend om 07:00 uur, zo blijkt, het hele bestand van zijn zakelijke computer willen uploaden naar Gemini (Google AI).
De reden dat het aan het licht kwam, was dat er een intern security systeem dit detecteerde en ingreep. Logisch en standaard bij zulk bulkwerk.

Mag dat? Alleen al uit het arbeidsrecht algemeen volgt al dat zoiets niet mag. Maar hier stond het ook “met heldere bewoordingen in de arbeidsovereenkomst van [verzoeker] en in de Code of Business Conduct Policy”. En dan ben je af, zeker als je een hoge functie “met een bijbehorend salaris” bij zo’n bedrijf hebt.

Omdat die tweede stap gebeurde nádat hij was aangesproken op het privémailen, en hij daar niets over zei, is het bedrijf alle vertrouwen in hem verloren. En de rechter wijst het ontslag op staande voet dan ook toe.

Het wrange gevoel dat ik bij zulke zaken vaak wel heb, is dat je als werknemer op een forse achterstand staat. Alle informatie is digitaal, dus als je ineens in een geschil zit met je werkgever dan moet je van alles gaan downloaden. Gericht zoeken kost tijd, en misschien gaat je account zo op nonactief, dus bulkdownloaden is dan logisch. Maar dat kan dus wel leiden tot dit soort situaties.

Zoals ik in 2023 al blogde:

Daarom blijft het advies: kopieer bewijsstukken die jouw positie ten opzichte van de werkgever kunnen beïnvloeden. Een risico daarvan is natuurlijk weer dat je dan beschuldigd kunt worden van stelen van bedrijfsgeheimen. Beperk zoiets dus tot dingen die evident jou aangaan, zoals mails van HR of directie met toezeggingen, niet hele bergen documenten van projecten om aan te kunnen tonen dat je daaraan had gewerkt en niemand ooit had geklaagd.
Arnoud

Eisen dat je aan de sportschoolbalie opzegt, is onredelijk bezwarend

Photo by René Ranisch on Unsplash

“Opzegging kan uitsluitend rechtsgeldig geschieden bij de receptie. Iedere andere wijze van opzegging zal geen gevolg sorteren.” Deze zin met diverse variaties zie ik regelmatig bij sportschoolabonnementen. Nee, dat is een oneerlijk beding aldus de rechtbank Overijssel onlangs.

In deze zaak had de gedaagde een abonnement gesloten in de sportschool. Achter op het inschrijfformulier stonden algemene voorwaarden, met daarin die exacte zin. In 2024 had de man opgezegd per e-mail. Daarop reageerde de sportschool dat dit niet mag, en dat hij naar de balie moest komen.

Dat escaleerde naar de rechter, en daardoor hebben we eindelijk een duidelijke uitspraak: opzeggen per e-mail is rechtsgeldig, want eisen dat je aan de balie komt is “oneerlijk” in de zin van de wet.

In de zogeheten grijze lijst van algemene voorwaarden (artikel 6:237 sub m BW) staat dat je bij opzegging geen zwaardere eisen mag stellen dan een ondertekende brief. Naar de balie komen is zwaarder dan dat, dus dan moet de ondernemer uitleggen waar dat voor nodig is:

[gedaagde] heeft aangevoerd dat hij geen e-mails aanneemt, dat een e-mail niet betrouwbaar kan zijn en dat dit altijd de werkwijze van hem is geweest. De kantonrechter is van oordeel dat dit onvoldoende is voor het weerleggen van het bewijsvermoeden.
Wat ik al vaker zeg: abstracte bezwaren dat dingen algemeen niet veilig of betrouwbaar zijn, halen het niet bij de rechter. En in dit geval: als iemand het klantnummer noemt en mailt vanaf het adres dat in de administratie staat, wat is dan precies het security-probleem?
Wel jammer: de sportschool wordt niet veroordeeld tot veranderen van de voorwaarden. Dat kan deze ene eiser niet afdwingen. Daardoor blijft de regel gewoon staan in de voorwaarden. Ongeldig, maar je moet het maar net weten.

Arnoud

Welke opensourcelicentie mag je plakken op een AI-gegeneerde hertaling van bestaande software?

Photo by Kuan-yu Huang on Pexels

Interessante discussie bij het pgrust project: als je bestaande software met een taalmodel omzet naar een andere programmeertaal, kun je dan je eigen licentie op het resultaat plakken?

Het pakket Postgres is een vrije relationele databaseserver. Vrij als in vrijheid: de software is beschikbaar onder de simpele BSD licentie die alle handelingen toestaat (“use, copy, modify, and distribute this software”) zonder nadere voorwaarden behalve copyright notice en geen claims als er fouten in zitten.

Iemand vond het een goed idee om Postgres te porten van de aloude programmeertaal C naar het modernere Rust. Redenen te over: Rust heeft ingebouwde bescherming tegen geheugenlekken en efficiëntere multithreading. En van de licentie mag het, want “modificeren” omvat auteursrechtelijk ook het ‘vertalen’ van een werk.

Het resultaat is zonder al te veel menselijke nabewerking opgeleverd op Github en onder de AGPLv3 licentie geplaatst. Die is iets strenger dan de BSD licentie: afgeleide werken mogen alleen onder diezelfde AGPLv3 aangeboden, en bij publieke vertoning van het werk (SaaS dus) moet de broncode als hyperlink erbij.

Postgres-ontwikkelaar Greg Burd stelde daarop “ter verduidelijking” de vraag: op welke grond is de licentie op onze software omgezet naar die AGPL?

Bij gewone integratie, herimplementatie of hertaling is dat een rare vraag. Immers, als programmeur moet je behoorlijk wat creativiteit inbrengen om dat te doen, en dan heb je auteursrecht op dat resultaat en dan mag je daar een licentie op zetten. Maar waar is hier de menselijke creativiteit, als een taalmodel 95%+ van de creatieve keuzes heeft gemaakt en de mens hooguit nog correcties en hier en daar wat poetswerk?

Een bestaand werk onder een nieuwe licentie plaatsen (dus niet integreren in of herzien tot een eigen werk) mag alleen als het woord sublicentie voorkomt in de licentietekst (voorbeeld: Apache 2.0). Dat is bij BSD niet het geval.

De reactie van de Rustversie-initiatiefnemer (Michael Malis) leest voor mij als een politiek zorgvuldig statement:

Re human vs ai authorship: we didn’t keep precise records of which code is ai generated and which code is human authored. Many of the high-level design decisions I personally made. For example, how to represent the Postgres error handling and memory management in Rust were decisions I personally made. These decisions for how memory management and error handling are designed are reflected in nearly every function.
Het is inderdaad goed voorstelbaar dat je als developer keuzes op hoog niveau maakt, en dan een taalmodel die uit laat werken naar concrete software. Alleen zijn “keuzes op hoog niveau” niet het soort creatieve inbreng waar je auteursrecht mee krijgt. De keuze “doe maar lila” is te weinig om auteursrecht op Postgres-de-software te krijgen. Daarvoor moet je echt actief in de broncode aan het schilderen zijn geweest.

Een subtiele oplossing kan nog zijn dat je zegt: daar waar sporen van creativiteit uit het origineel te herkennen zijn, geldt gewoon de BSD licentie. Auteursrecht door de taalmodel-wijzigingen is juridisch onmogelijk, dus afgezien van het handwerk achteraf is die gehele codebase gewoon BSD.

Het enige lastige daarmee is dat licenties – ook open source – niet binden tenzij je daarmee akkoord bent gegaan. Licenties zijn contracten. En afgaande op de reactie van Malis weigert hij de BSD licentie te accepteren. Dan blijft als conclusie over dat er auteursrechtinbreuk wordt gepleegd, want er wordt dan software aangeboden zonder rechtsgeldige licentie.

Arnoud

Wat zijn nou de belangrijkste aandachtspunten voordat je AI in je bedrijf gaat inzetten?

Photo by Albert Stoynov on Unsplash

Een lezer vroeg me:

Iedereen gebruikt inmiddels AI op de werkvloer. Wat zijn volgens jou de belangrijkste juridische aandachtspunten waar bedrijven momenteel rekening mee moeten houden voordat ze AI inzetten binnen het bedrijf?
Mijn allerbelangrijkste aandachtspunt is dat je begint met kwalificeren wat je bedoelt met “we gebruiken AI op het werk”. Dit is een wereld van opties, van “werknemers gebruiken op hun telefoon een gratis account bij OpenAI” en “Wim heeft een self-hosted Chinees model op zijn oude laptop” tot “onze workflows zijn geautomatiseerd via OpenClaw agents met een ingeregeld soeverein self-hosted taalmodel”.

In de kern heb je twee smaken AI: self-hosted en SaaS. De meeste mensen gebruiken die laatste, en dat behandel je gewoon als iedere ict-dienst die je inkoopt. Kwaliteit, aansprakelijkheid, data-toegang, veiligheid, exit zijn dan de belangrijkste aandachtspunten. Plus verwerkersovereenkomst als de dienst persoonsgegevens verwerkt.

Specifiek bij AI-diensten is het grootste aanvullend risico hoe vertrouwelijk men omgaat met je data. De klassieke zorg is dat men al je chats gebruikt om het taalmodel mee te verbeteren, dus zorg dat je inkoopt op een niveau waarbij dat contractueel uitgesloten wordt.

Daarnaast is anno 2026 soevereiniteit een aandachtspunt. Blijft de data in Europa? En zo niet, hoe makkelijk kunnen we dan mét data en al weg zodra het Hof van Justitie (of de Commissie) zegt dat de US cloud niet meer adequaat is?

Bij self-hosted AI modellen blijven kwaliteit, veiligheid en data-omgang van belang, maar vanuit een ander perspectief. Heb je je beheer op orde, wat is de uitwijkoptie als de dienst het niet doet, enzovoorts. Wie let op actualiteit en verbetering, gebruikerstraining en zulke zaken. Wederom: hetzelfde als bij andere ict-diensten.

Mocht je te maken hebben met hoogrisico-AI onder de AI-verordening, dan wordt dat vanaf december 2027 een extra aandachtspunt. Kopen wij dit in met een CE keurmerk, en hebben wij toezicht en gebruik goed ingeregeld met training en bevoegdheden voor iedereen die er mee te maken krijgt?

Bij bovenstaande ben ik uitgegaan van zakelijk afgenomen AI-diensten. Populair is de privé afgenomen dienst die dan onzichtbaar voor werk wordt ingezet. Dit is ook niet nieuw, de term “shadow IT” bestaat al 20 jaar. Maar er zijn nu ineens veel meer redenen voor individuele werknemers om zulke tools in te zetten, dus komt het veel vaker voor. Hier beleid, educatie en toezicht op hebben is wat mij betreft dus essentieel.

Arnoud

Mag je een streamingdienst binnen 14 dagen opzeggen?

Photo by Glenn Carstens-Peters on Unsplash

Een abonnement op een streamingdienst is wat anders dan een digitale download, zo bepaalde het Hof van Justitie onlangs. Daarom geldt het 14-dagen opzegrecht wél voor streamingdiensten, zelfs als je een vinkje zet dat je er afstand van doet. Wel moet je voor de gebruiksperiode tot opzegging naar verhouding betalen.

Sky Österreich is een Oostenrijkse aanbieder van videostreamingdiensten. Je kunt live of op aanvraag films en series starten, mits je een abonnement hebt. Bij afsluiten daarvan moet je een vinkje zetten dat je akkoord gaat met afzien van je herroepingsrecht.

Afstand doen van je herroepingsrecht kan normaal niet, maar specifiek bij digitale inhoudsdiensten mag dat bij uitzondering wel. Bij ons is dat art. 6:230p onder g BW: “voor zover de nakoming is begonnen” en nadat je die verklaring hebt gegeven en de handelaar de contractsluiting heeft bevestigd.

De Oostenrijkse consumentenorganisatie VKI had een interessant juridisch argument: dit is geen “levering van digitale inhoud” maar een “digitale dienst”. En bij die laatste vervalt het herroepingsrecht pas na levering. Zoals het bij ons in art. 6:230p onder d BW staat: “na nakoming van de overeenkomst”.

Bij een digitale dienst zoals het omzetten van je Word document naar pdf is dit een logische constructie. Maar bij een voortdurende dienst zoals een on-demand streamingdienst kun je je afvragen wanneer die dan “nagekomen” is. Vandaar dat de rechter de vraag voorlegde aan het Hof van Justitie.

Het Hof leest de definitie van “digitale inhoud” heel scherp: “gegevens die in digitale vorm worden geproduceerd en geleverd”. Een “digitale dienst” is dan weer “een dienst die ofwel een consument in staat stelt gegevens in digitale vorm te creëren, te verwerken of op te slaan, of toegang tot die gegevens te krijgen”. Dus: betaal je voor de gegevens zelf dan is het een inhoudslevering, maar betaal je voor de mogelijkheid gegevens te krijgen, dan is het een digitale dienst.

De Richtlijn (2011/83) waar dit uit komt, bevatte een aantal voorbeelden van wat “digitale inhoud” is, en dat maakt het dan weer verwarrend:

„computerprogramma’s, toepassingen, spellen, muziek, video’s en teksten, ongeacht of de toegang tot deze gegevens wordt verkregen via downloaden of streaming, vanaf een materiële drager of langs een andere weg”.
En “digitale diensten” zijn dan weer
„diensten voor het delen van video en audio en andere hostingdiensten voor bestanden, tekstverwerking of spellen die in de cloud worden aangeboden, opslag in de cloud, webmail, sociale media en cloudtoepassingen”
Hoe definieer je hier het verschil? Het Hof ziet geen technische of andere zinnige kenmerken om de lijn te trekken. Ook “wordt continu langdurig geleverd” is niet relevant, want dat kan bij beiden spelen.

Toen viel ik van mijn stoel, want het hebben van een recommender is ineens het onderscheidend kenmerk:

Anders dan de levering van „digitale inhoud”, wordt een „digitale dienst” noodzakelijkerwijs gekenmerkt door het dynamische karakter van het aanbod van de betrokken handelaar dat verder gaat dan louter het stabiel en, in voorkomend geval, continu ter beschikking stellen van specifieke inhoud. Dit is met name het geval wanneer het aanbod, op basis van een analyse van de inhoud waartoe de consument toegang heeft gehad, of van afspeellijsten of favorieten, is ontworpen om zich aan te passen aan het individuele gedrag of de individuele verwachtingen van de consument, of om invloed uit te oefenen op de wijze waarop deze de betrokken diensten gebruikt, bijvoorbeeld door hem aanbevelingen voor specifieke inhoud te doen.
Iets algemener dus: “digitale inhoud” is één bestand met vaste inhoud. Hier, The.Good.Place.S03E02.720p.BluRay.X264. Maar een online dienst wijzigt wél van tijd tot tijd. Nieuwe functionaliteit, herziene interface, ineens een AI in je dashboard en dus ook een steeds wijzigend aanbod aan content om te lezen.

Het Hof zegt daarbij dat het gaat om consumentenbescherming wanneer “het de consument vóór sluiting van de overeenkomst niet mogelijk is om concreet ten volle kennis te nemen van de kenmerken van de betrokken dienst”. En dat kan inderdaad niet bij streamingdiensten op abonnementsbasis, al is het maar omdat er later content bij kan komen.

De onvermijdelijke conclusie is dus dat een streamingdienst altijd annuleerbaar is na de volle 14 dagen. Als vergoeding moet je dan 14/30e van het maandbedrag betalen, zo blijkt uit eerdere aangehaalde rechtspraak.

Echter, als het aanbod ook dure of bijzonder aantrekkelijke content bevatte en jij vooral daaruit hebt zitten streamen, dan mag ook de marktwaarde van die content worden gerekend. Ik vermoed dat dit over voetbal gaat, zoals “inclusief eerste maand gratis Premier League twv 15 euro”. Dan moet dus ook 14/30e van die 15 euro betaald worden.

Arnoud