Whoa, mag antivirussoftware dingen nog wel “kwaadaardig” noemen?

Het Amerikaanse Hof van Beroep (9th Circuit) heeft geoordeeld dat termen als “malicious” of “threat” in de context van virusbestrijding feitelijke uitspraken zijn, las ik bij The Register. Antimalwarebedrijf Malwarebytes had de software van haar concurrent Enigma een “potentially unwanted program” genoemd, inclusief dus die termen. Waarop Enigma naar de rechter stapte wegens smaad.

Malwarebytes heeft dit soort zaken vaker gehad; in 2020 wonnen ze nog een rechtszaak tegen softwarebedrijf Asurvio (PC Driver) met als argument dat het gewoon hun mening is dat bepaalde software kwaadaardig is. Maar in de Enigma-zaak oordeelde de rechter eerder anders: omdat Enigma een concurrent is, is het denkbaar dat de mening van Malwarebytes ingegeven is door commerciële motieven in plaats van gewoon hun mening, en dat is niet eerlijk naar de markt toe.

De zaak is nu door het Hof terugverwezen naar de rechtbank voor een hernieuwde feitelijke beoordeling. Maar let wel: het Hof heeft niet gezegd dat de terminologie smadelijk is of niet meer gebruikt mag worden. Het oordeel is alleen dat het denkbaar is dat deze termen als feitelijk opgevat worden in de context van een mededeling van antimalwaresoftware. En dat is een factor bij het beoordelen van commerciële uitingen als oneerlijke reclame of misleiding van de consument.

In Nederland kennen we niet zo’n hard onderscheid tussen feiten en meningen. In de VS is een mening gewoon te allen tijde beschermd, vandaar de discussie hoe je “kwaadaardig” of “bedreiging” moet opvatten. Bij ons is “ik vind” er voor zeggen niet genoeg. Eventuele feitelijke aspecten van je uiting moeten gewoon kloppen of onderbouwd zijn, bijvoorbeeld met een methodologie waarbij je van “vrijwel onschuldig” naar “het grootste kwaad sinds het Cascade-virus” (plaatje) gaat met criteria.

Dit vereiste wordt sterker naarmate je meer als een autoriteit wordt gezien. Dus een willekeurige securityresearcher die een stuk software “kwaadaardige rotzooi” noemt in een boze tweet, dat zal geen problemen geven, maar wanneer het gaat om een officiële security advisory van een toonaangevend antivirusbedrijf dan moet die term wel ergens op gebaseerd zijn.

Arnoud  

Wat te doen bij boze ouders die e-mails en mogelijk andere gegevens online zetten?

“Wat te doen bij boze ouders die e-mails en mogelijk andere gegevens online zetten?”, vroeg iemand bij Security.nl. Het betrof een ietwat complex verhaal:

Mijn moeder werkt bij een kinderopvang als planner waar ze met veel gefrustreerde ouders te maken krijgt. Er zijn tekorten, ouders horen vaak dat er geen plek is en de gratis kinderopvang plannen zijn ook de ijskast in geschoven. Mijn moeder krijgt een hoop over haar heen, zo ook digitaal. De ouders hebben verschillende facebookgroepen waarin regelmatig alle problemen die ouders ervaren met de kinderopvang worden besproken. De sfeer in die facebookgroepen is nog relatief goed, het is meer het delen van problemen en zoeken naar oplossingen dan dat er grote frustratie of boosheid heerst.
Punt is wel dat de ouders regelmatig printscreens van e-mails in de facebookgroep zetten. Dat geeft wel een signaal dat die groepsdeelnemers niet zo voorzichtig zijn met privacy; een boze ouder zo zomaar de contactgegevens van een leidster (uit de mail) erbij kunnen zetten, of zelf kunnen delen waar iemand woont of wat dan ook waar je niet op zit te wachten. De vraag natuurlijk, is daar wat aan te doen?

Dit is geen onderwerp dat je direct heel juridisch wilt insteken. Het begint bij bewustwording, mensen erop wijzen dat ook de werknemers hun privacy hebben en proberen de ouders mee te krijgen in wat voorzichtiger handelen. Je kunt dit ook in zeg het reglement of het contract voor de opvang terug laten komen, met dan als uiterste consequentie dat het contract opgezegd wordt bij wangedrag, maar dat moet echt een noodmaatregel zijn.

Ook bij het kdv kan men maatregelen nemen. Het blijft een discussie hoe ver je moet gaan, maar bijvoorbeeld alleen voornamen van de medewerkers publiceren en communiceren vanuit de directie of een functioneel mailadres lijkt me wel logisch. Werknemers in deze sector opdragen via hun privételefoon updates te whatsappen naar ouders zou ik omgekeerd echt niet door de beugel vinden kunnen.

Arnoud

Onder ede verklaren of je eerdere uitspraken deepfakes zijn, kan dat?

Tesla-topman Elon Musk moet onder ede komen verklaren over eerdere uitlatingen over Autopilot, berichtte Reuters onlangs. Die eerdere uitlatingen staan op video, maar zoals RTL Nieuws eerder berichtte, het zou een deepfake-video kunnen zijn. “Musks advocaten zeggen dat de topman zich niks herinnert van dat interview.” (Hoi Mark) De rechtbank wil hem nu alsnog langshebben. Het riep wel vele vragen op, hoe dat zit met deepfakes (of de kans daarop) in het bewijsrecht.

De achtergrond van dit verhaal is een dodelijk ongeval met een Tesla (model X), waarbij een Apple-ingenieur om het leven kwam die rekende op de werking van Tesla-stuurhulp Autopilot. De nabestaanden stellen dat dit overlijden te wijten is aan Tesla, dat haar product overhypte. Een van de argumenten daarbij is een uitlating uit 2016 van Musk, te weten

“A Model S and Model X, at this point, can drive autonomously with greater safety than a person. Right now.”
Musk zei dit in 2016 op een podium bij de bekende conferentie Code Conference, in een Q&A met journalisten. De video daar is 6 jaar geleden op Youtube gepubliceerd door Recode, de organisatie achter die conferentie die deel is van het Vox-uitgeefconcern. Van deze video, althans dit stukje, zegt Musk nu dus via zijn advocaat dat hij zich niet kan herinneren wat er is gezegd en dus twijfelt aan de juistheid van die uitspraak. (Ik zou ook willen dat niet gezegd te hebben in de context van zo’n rechtszaak, dit is vrij sterk bewijs dat Tesla als bedrijf Autopilot promootte als iets dat beter is dan menselijke oplettendheid.)

De advocaten gooien er nog een mooie stelling achteraan:

In addition Musk, “like many public figures, is the subject of many ‘deepfake’ videos and audio recordings that purport to show him saying and doing things he never actually said or did,” Tesla said.
Nou zal dat allemaal best, maar de vraag is hoe dat meeweegt in zo’n specifieke rechtszaak. De kern is (in Californië en bij ons) “wie eist, bewijst”, of dus iets formeler “hij die zich op het rechtsgevolg van een stelling beroept, moet deze bewijzen”. De eisers stellen dat de auto was verkocht als superveilig terwijl deze dat niet was, dus die moeten bewijzen dat Tesla dat soort dingen heeft gezegd. Een uitspraak van Tesla-topman Musk is heel mooi bewijs, dus ik snap dat ze die uitspraak meegenomen hebben in hun bewijsvoering.

Natuurlijk mag Tesla tegenbewijs aandragen, bijvoorbeeld dat dat niet zo bedoeld is of uit de context is gehaald, of sloeg op een ander model of weet ik veel. Je kunt ook de authenticiteit van het bewijs aanvechten, en dan is “deepfake” in principe net zo’n argument als “er is geknipt” of “dat zei ik in 2013 over de model S en ik heb het in 2015 teruggenomen”. Alleen: wanneer er zo’n concrete video is uit onverdachte bron, dan moet je meer doen dan alleen maar zéggen dat het bewijs niet klopt. Er moet dus iets op tafel komen waaruit kan worden gehaald dat er is geknipt, of dat het uit een oudere video komt of noem maar op. En dat lijkt er tot nu toe niet te zijn.

De theoretische mogelijkheid dat een video nagemaakt kan worden, is op zichzelf geen argument. Alles kan (koffiekan, theekan) maar als de andere partij een goed verhaal had waarom de video echt is, dan moet je toch zeker inhoudelijk reageren. En het verhaal klinkt goed: video staat al zes jaar op Youtube, is gemaakt door de organisatie, die staat bekend als journalistiek en onafhankelijk, de video heeft geen rare knips of kwaliteitsverlies of andere opmerkelijkheden en Musk wordt al jaren geciteerd op basis van die conferentie-uitspraken. Dan geloof ik het gewoon niet meer, dat de video nep zou zijn.

Arnoud

Familie van F1-coureur Schumacher klaagt tijdschrift aan vanwege AI-interview

De familie van Formule 1-rijder Michael Schumacher klaagt een Duits tijdschrift aan vanwege een vermeend interview met de autocoureur. Dat las ik bij Tweakers. ‘Vermeend’, want ondanks uitspraken als “No meagre, nebulous half-sentences from friends. But answers from him! By Michael Schumacher, 54!” bleek het te gaan om AI-gegenereerde teksten. Iets dat je past wist als je alles had gelezen. Wat zou de familie kunnen doen?

Het blaadje dat het ‘interview’ publiceerde heet Die Aktuelle, waarover ik bij ESPN lees:

In 2014, the magazine posted a picture of Michael and wife Corinna on the front cover, with the headline “Awake”, only for the piece in question to have been about people who have awoken from comas in the past. The magazine also won a legal case against the Schumachers the next year after a front cover saying “a new love” had entered Corinna’s life, only for the article to be about the couple’s daughter, Gina. [etc]
Ik zie wel hoe ChatGPT van alles laten zeggen en dat aan Schumacher toeschrijven in die lijn past. De cover vond ik bij Über Medien, en die wijzen erop dat er “Es klint täuschend echt” (“Het klinkt bedrieglijk echt”) onder de kop staat. Dus ja, bijdehante truc om te kunnen zeggen “het eerste AI interview ja haha goed lezen is een kunst he”. De “ja haha” regel gebruik ik niet zo vaak hier: als je “ja haha” zegt in je juridisch verweer, dan heb je een stuitend zwak verweer.

Vraag is natuurlijk even (naar Nederlands recht) wat je juridisch hier tegen zou kunnen doen. Smaad, zullen velen denken, maar welk concrete aantasting van de goede naam van de coureur vindt hier plaats? Dat hij een interview geeft aan Die Aktuelle, ja haha het kan.

De AVG, zal menig lezer denken. In Italië was dat de reden om ChatGPT per direct te verbieden, toch? Ja klopt, maar ik ga nu iets schokkends zeggen: deze club valt onder de uitzondering voor journalistiek, zodat rechten als correctie of verwijdering er niet in zitten. De grondbeginselen (artikel 5) blijven wel van kracht (art. 43 li1 1 UAVG), maar dat is een veel lastiger discussie door al die flauwe disclaimers en journalistieke trucjes door overal een vraag van te maken.

Nee, ik denk dat je toch ‘gewoon’ bij de onrechtmatige perspublicatie uitkomt. Waarbij je dan hetzelfde probleem hebt als bij smaad: welke reputatieschade lijdt Schumacher of zijn familie door deze publicatie? Quotes zoals “Mijn leven is compleet veranderd. Het was een verschrikkelijke tijd voor mijn vrouw, kinderen en hele familie” zijn nou echt niet heel vervelend, diffamerend of beledigend te noemen. En dat is toch wel de lat voor onrechtmatige publicaties.

Arnoud

Wat is er aan de hand met de nieuwe merkenregels van programmeertaal Rust?

De nieuwe trademark-regels van het open source Rust project doen nogal wat stof opwaaien, las ik bij DevClass. Rust is een relatief populaire programmeertaal, die problemen met andere talen oplost. De taal wordt vanuit de opensourcegedachte aangeboden inclusief alle benodigde tooling, en in 2020 werd een stichting opgericht waarbij de naam als merk werd vastgelegd. De nieuwe voorgestelde regels over merkgebruik maken nogal wat los. Wat is hier aan de hand?

Zoals vrijwel iedere opensourceorganisatie heeft ook Rust een merkbeleid. Daar staat weinig controversieels in. De kern van zulk beleid is altijd een balans tussen enerzijds mensen de naam laten gebruiken (de software is immers open source) en anderzijds grip krijgen op ongewenst gebruik. Dat gaat met name over commercieel misbruik, zoals bij conferenties die zich al te officieel voordoen of herverpakte software die onder de merknaam wordt verkocht waarbij de naleving van de licentie hooguit een vage wens is, zal ik maar zeggen.

Het nieuwe beleid leek vooral bedoeld om wat puntjes op de i te zetten. Maar het gaf enorme heisa, onder meer vanuit de eerste ontwikkelaar Graydon Hoare die erover zegt:

Announcing “common practice in the community is now forbidden” is why everyone’s upset. If that’s not what’s intended, it needs a rewrite, because that’s what it says.
De oude policy was vrij simpel van opzet: je mag de merken en logo’s gebruiken zolang je dat maar niet zo doet dat een vluchtig oplettend iemand zou denken dat jouw ding van de Rust Foundation komt. Ook mag je geen verwarring creëren over het vrije en open karakter van de taal en de tooling, of (buiten kleinschalige events om) geld verdienen met de logo’s an sich, zoals bij merchandise. Dat is natuurlijk volledig standaard, en dat is dan ook wat graydon bedoelt met “common practice”.

De nieuwe policy bevat enkele opmerkelijke zaken, zoals artikel 4.3.1 over zelfgeschreven programma’s in die taal:

Using the Marks in the name of a tool for use in the Rust toolchain, a software program written in the Rust language [AE], or a software program compatible with Rust software, will most likely require a license. The “RS” abbreviation can be used instead.
Het is merkenrechtelijk volstrekt geen inbreuk als je bij een programma geschreven in Rust wil aangeven dat het in Rust geschreven is. Idem voor compatibiliteit, aangeven wat de aard of bestemming van de waar is, is al zo ongeveer sinds de uitvinding van het merkenrecht een toegestane handeling. Ik snap dus werkelijk niet wat hier de bedoeling van moet zijn geweest.

Ook over gebruik van het grafische logo staan er nieuwe regels, die neerkomen op “je mag niets veranderen behalve de grootte of het zwartwit maken”. Het is toch ook vrij gebruikelijk dat logo’s worden bijgekleurd in de huisstijl van een event of website. Dat zou niet automatisch een probleem moeten zijn. En natuurlijk kun je dan zeggen, laat die mensen gewoon even snel toestemming vragen. Maar dat is nogal een hindernis, ik ken geen bedrijf of stichting waar je snel even een merkenrechtelijke toestemming kunt vragen en dan een eenduiding antwoord in de mail zou krijgen. Dus dat zal mensen zeker hinderen.

Het kan wel, want er staat “contact us” bij – ik citeer even het voorbeeld van conferenties:

Events and conferences are a valuable opportunity to grow your network and learning. Please contact us at ‘Where to go for further information’ below if you would like to hold an event using the Marks in the event name. We will consider requests to use the Marks on a case by case basis, but at a minimum, would expect events and conferences using the Marks to be non-profit-making, focused on discussion of, and education on, Rust software, prohibit the carrying of firearms, comply with local health regulations, and have a robust Code of Conduct.
Het is voor mij de eerste keer in m’n leven dat ik merkbeleid lees dat als voorwaarde voor een licentie eist dat de ontvangende organisatie het dragen van vuurwapens verbiedt. Maar ik snap het wel: diverse Amerikaanse staten hebben tegenwoordig regels waarmee je zonder wapenvergunning met een (vaak ook nog verborgen) vuurwapen mag rondlopen. En er zijn ook genoeg mensen die er een punt van willen maken en met een zeer zichtbaar wapen naar zo’n conferentie gaan. Dat verbieden is dan de standaardmanier om een veilige omgeving te creëren. Dit in aansluiting op de Code of Conduct, een verwijzing naar typische regels bij conferenties die lastigvallen, beledigende opmerkingen over bijzondere persoonsgegevens, stiekem fotograferen en dergelijke aan banden leggen. Allebei deze onderwerpen zijn controversieel bij conferenties in de VS, dus een deel van de discussie gaat dan meteen over het al dan niet ‘woke’ karakter van het merkbeleid.

Bij DevClass verzekert het Rust-stichtingsbestuur iedereen dat er echt niets aan de hand is en men teleurgesteld is in sommige reacties:

The goal of the Trademark Policy consultation phase is to involve interested members of the public so we can surface actionable comments, questions, and suggestions and apply them to the next draft. To do this effectively, we needed to set up a system to gather feedback from the Rust Project and community in an organized fashion, hence the form. We were disheartened to see misinterpretations of this intention.
Men kondigt wel aan om direct na sluiting van de consultatieronde al feedback te geven, wat een positief signaal moet zijn. Ik ben benieuwd!

Arnoud

Rechter: xHamster moet porno die zonder toestemming is geüpload verwijderen

Pornosite xHamster moet pornobeelden die zonder toestemming van de herkenbare, gefilmde mensen zijn geüpload, verwijderen. Dat las ik bij Tweakers. De rechtbank Amsterdam beveelt de site op straffe van een dwangsom (30k per film) alle beeldmateriaal met personen die in Nederland woonachtig zijn, offline te halen wanneer er geen aantoonbare toestemming. De zaak is in lijn met een eerdere uitspraak uit 2022, waarbij dezelfde stichting als eiser optrad.

De site xHamster is een user generated content site, waarbij geregistreerde gebruikers (porno)videos mogen uploaden en delen in de advertentie-opbrengsten bij hun materiaal. Uiteraard staat in de voorwaarden dat er toestemming moet zijn van alle acteurs, en men spreekt van “zero tolerance” naar overtreders. Toch bleek de Nederlandse stichting Expertisebureau Online Kindermisbruik (EOKM) diverse voorbeelden te kunnen vinden van beeld dat zonder toestemming is gemaakt, net zoals in die zaak uit 2022.

De voorbeelden werden direct weggehaald, inclusief nog 3 uit 4 nadere voorbeelden – bij dat vierde was wél een toestemmingsformulier aanwezig. Dat wijst niet direct op een adequaat moderatiebeleid, maar hooguit op een efficiënt piepsysteem. En dat is natuurlijk niet hoe het hoort. Ook niet bij xHamster, want die moesten al in 2021 van hun creditcardmaatschappijen nadere regels treffen. (Idem voor collega Pornhub.) Dat was op papier goed geregeld: je moet je met een identiteitsbewijs aanmelden, en van elke performer ook een ID en een toestemmingsformulier inleveren. De dienst “is dan ook verbaasd dat EOKM juist haar dagvaardt”, aldus het vonnis.

Een bijkomend verweer was dat de site op Cyprus gevestigd is, en zich dus niet direct op Nederland richt. Weliswaar is er een Nederlandse subdomeinnaam, een Nederlandstalige interface en zijn er Nederlandse filmpjes, maar die zijn niet perse echt in Nederland gefilmd en alle Nederlandse teksten zijn via machinevertaling gegenereerd. Daar gaat de rechter niet in mee: mede door de (automatische) vertaling zijn de filmpjes duidelijk voor het Nederlandse publiek bedoeld.

XHamster gaat vervolgens keihard onderuit: zij had ook na die beleidswijziging in 2021 en na het vonnis uit 2022 niets gedaan met bestaande content, de nieuwe regels golden alleen voor nieuwe content. De site staat dus nog steeds vol met video’s waarbij de toestemming niet adequaat is geregeld. Het is echt de bedoeling dat je na zo’n vergaande uitspraak teruggaat en je héle site aanpast aan de nieuwe regels.

Ook het verweer dat men slechts een UGC site is die niet aansprakelijk is, is de rechter snel klaar:

Geoordeeld wordt dat [xHamster-eigenaar] Hammy Media niet voldoet aan het vereiste van een neutrale dienstverlener, wiens rol beperkt blijft tot louter technische, automatische en passieve handelingen. Filmpjes worden voorafgaand aan publicatie gecontroleerd (in de eigen woorden van Hammy Media: “strictly moderated”). Hammy Media kijkt daarbij naar de inhoud van de filmpjes. Het is dus niet de uploader die bepaalt welke filmpjes op xhamster.com zijn te zien. Hammy Media is geen neutrale tussenpersoon en zij is zelf verantwoordelijk voor wat er op haar website openbaar wordt gemaakt. Het hebben van een Notice and Takedown procedure is niet voldoende. Dit voorkomt niet dat onrechtmatig materiaal wordt geplaatst, hooguit dat het (snel) wordt verwijderd na een melding.
Als je iedere video inhoudelijk controleert, op het grondige niveau dat hier geschetst is, dan kun je daarna moeilijk zeggen dat je van niets meer weet. Het doet denken aan de al wat oudere 123video-zaak uit 2012, waar de rechter het controleren en in de juiste categorie plaatsen een vorm van inhoudelijke bemoeienis vond. Ik blijf dit een lastig spanningsveld vinden. In de aankomende Digital Services Act is hier iets meer ademruimte voor de hoster trouwens (art. 7):
Aanbieders van tussenhandeldiensten worden niet geacht te zijn uitgesloten van de in de artikelen 4, 5 en 6 bedoelde aansprakelijkheidsvrijstellingen louter omdat zij te goeder trouw en zorgvuldig vrijwillige onderzoeken op eigen initiatief uitvoeren naar of andere maatregelen nemen die zijn gericht op het opsporen, identificeren en verwijderen van, of het uitschakelen van de toegang tot illegale inhoud, of omdat zij de nodige maatregelen nemen voor de naleving van de vereisten van het Unierecht en het met het Unierecht in overeenstemming zijnde nationale recht, waaronder de in deze verordening uiteengezette vereisten.
Voor xHamster zit er nu niets anders op dan alle video’s nogmaals te gaan beoordelen en alsnog toestemmingsformulieren te gaan halen. Ze krijgt daarvoor drie weken. Vanaf daarna mag de stichting individuele video’s aanwijzen die zonder toestemming zouden zijn geplaatst. De site krijgt dan drie werkdagen om hetzij te bewijzen dat er toestemming is, hetzij de video te verwijderen, hetzij aan te tonen dat geen van de performers in Nederland woonachtig is.

Arnoud

 

Wanneer kun je ChatGPT uitvoer als smaad benoemen?

AlexandraKoch / Pixabay

Je zult klokkenluider zijn in  een wereldwijd omkopingschandaal en dan teruglezen dat jij een van de hoofdschuldigen was. Het overkwam de Australische burgemeester Brian Hood dankzij ChatGPT, dat deze “alternatieve feiten” uit haar statistische duim zoog. Of ook heel vervelend: rechtenprofessor Jonanthan Turley die van seksuele intimidatie werd beschuldigd, compleet met nepverwijzing naar de Washington Post. Categorie erger dan samen met Rian van Rijbroek een artikel schrijven, maar de juridische vraag blijft dezelfde: kun je bij ChatGPT uitvoer spreken van smaad, of wat zou er meer nodig zijn voordat we daar zijn?

Op Titter lees ik twijfel: als er duidelijk bij staat dat de uitvoer nep kan zijn en dat je toch vooral de feiten moet controleren, dan kun je toch nog moeilijk stellen dat hier sprake is van smaad? En zelfs als je de huidige disclaimer ietwat klein vind (ik ken zwembaden met grotere disclaimerbordjes inderdaad) dan nog, het is al zo vaak in de pers geweest dat ChatGPT feiten verzint waar je bij staat, dat je toch moeilijk nog onwetendheid kunt claimen.

Mijn juridische hoela voor dat argument, om het even formeel te zeggen. Het is en blijft een krankzinnig idee dat je eender welke dienst kunt opzetten en aankleden zoals je goed uitkomt in de reclame, en dan daaronder in de kleinst drukbare letters “Nee, bovenstaande klopt niet” zou kunnen zeggen. Niet als je een betaalde garderobe aanbiedt. Niet als je onbeperkt internet aanbiedt. En niet als je een chatbot aanbiedt die pretendeert conversaties te voeren en daarbij feitelijke informatie oplepelt. Ik geloof er dus ook niets van dat mensen “wel weten dat het een robot is” of “dat het statistische correlaties betreft”. Sorry, nee, dat zijn allemaal geen argumenten waarom mensen de informatie als, eh, gewoon-voor-de-lol-klopt-niets-van-waarom-vraag-ik-dit-eigenlijk-aan-deze-bot informatie zullen beschouwen.

Natuurlijk, als “iedereen” weet dat het nep is, dan zal er geen sprake zijn van smaad. Maar ik ben er bij lange na niet van overtuigd dat dat het geval is, ChatGPT heeft nog lang niet de mate van bekendheid die zeg Koefnoen of De Speld heeft, en dat is wel een beetje het niveau waarop je kunt zeggen “ja kom nou, dit is satire mensen”. Ja, de 350 mensen die nu deze blog lezen wel maar met excuses voor uw gewaardeerde bijdrage: u bent niet de maatman voor wat men hoort te weten.

Je kunt je dan weer wel afvragen of er sprake is van “ruchtbaarheid geven” in de zin van strafbare smaad (art. 261 Strafrecht) als je iets voorgeschoteld krijgt in de specifieke chatinterface waarmee jij met die bot chat. Dit is met name in de Engelse en Amerikaanse context een belangrijke: er moet daar sprake zijn van een publicatie aan een onbepaalde groep, aan “het publiek”. In Nederland is de lat van ‘ruchtbaarheid’ een stuk sneller gehaald. Zoals de HR het in 2015 formuleerde:

Ruchtbaarheid krijgt een gegeven als het bekend wordt binnen een bredere kring van betrekkelijk willekeurige derden, als het ter kennis van het publiek wordt gebracht. Van het kennelijke doel om ruchtbaarheid te geven kan ook al sprake zijn als de mededeling slechts aan één persoon of aan enkele personen wordt gedaan.
Het achterliggende argument heet wel ‘kruipsmaad’, ook als jij het aan één persoon doorvertelt die het weer aan een ander doorvertelt enzovoorts, kan het bij genoeg personen terechtkomen om jou reputatieschade te berokkenen. En dat kan hier ook spelen: als ChatGPT deze informatie aan één persoon oplepelt, dan zal het dat dus ook doen bij alle andere personen die vergelijkbare vragen stellen. En dát is het probleem.

Arnoud

 

Rechter: burgemeester van Utrecht mocht geen online gebiedsverbod opleggen

De burgemeester van Utrecht mocht een jongen uit Zeist in 2021 niet verbieden om online een oproep te doen om in opstand te komen tegen het coronabeleid en het vuurwerkverbod. Dat las ik bij Security.nl. De rechtbank Midden-Nederland had de primeur om te oordelen over de online gebiedsverboden, en is (terecht) kritisch. Het onderwerp is al ingewikkeld genoeg zonder dat termen als “plaats” worden opgerekt naar wat we ooit cyberspees noemden.

De jongen had in november 2021 opgeroepen: “Utrecht in opstand, nee 2G & nee vuurwerkverbod! 26-11-21, 19.30, Kanaalstraat, Be there!!! Neem je matties & vuurwerk mee.” Dit is typisch een voorbeeld van “aanzetten tot openbare-ordeverstoring” waar APV’s voor gemaakt zijn en burgemeesters bevelen tegen uit kunnen delen. Om nou te zeggen dat dit strafbaar is nee, maar het idee dat een club matties met vuurwerk gaat rondlopen vrijdagavond 19.30 (vlak na een coronapersconferentie, u weet wel toen alles dicht was), ja dat neigt wel naar verstorend.

Ingrijpen dus. Alleen: de jongen stond niet op een bankje in het park te roepen, waar de politie hem zonder twijfel had kunnen oppakken voor zo’n ordeverstoring. Hij zei dit namelijk in een Telegramgroep, terwijl hij fysiek in de naburige gemeente Zeist was op dat moment. Dan komen we dus bij de online ordeverstoring, waar Almelo in december haar APV voor aanpaste. Utrecht dacht dat men het met het ‘gewone’ ordeverstoringsartikel 2:2 APV aankon:

Onverminderd het bepaalde in de artikelen 424, 426 bis en 431 van het Wetboek van Strafrecht is het verboden op of aan een openbare plaats of in een voor publiek toegankelijk gebouw, op enigerlei wijze: … de orde te verstoren; … deel te nemen aan een samenscholing … door uitdagend gedrag aanleiding te geven tot wanordelijkheden.
De Telegram-oproep was dus het “uitdagend gedrag” dat aanleiding zou geven tot wanordelijkheden, voornoemde jeugdige matties die explosief materiaal ongecontroleerd tot ontploffing brengen buiten de daartoe aangewezen tijden. De burgemeester had gesteld dat je dit zo moet lezen dat de wanordelijkheden op die openbare plaats of dat gebouw plaats zouden vinden, maar dat het uitdagend gedrag ook elders mag gebeuren. De rechtbank leest het anders:
De APV-bepaling is duidelijk bedoeld voor de situatie dat er op de openbare plaats uitdagend gedrag wordt vertoond dat aanleiding geeft tot wanordelijkheden. Dit blijkt in de eerste plaats uit de tekst van artikel 2:2, eerste lid, onder g, van de APV zelf. Er staat namelijk dat het verboden is op of aan een openbare plaats op enigerlei wijze door gedrag aanleiding te geven tot wanordelijkheden. In de tweede plaats volgt uit de toelichting op het artikel ook niet dat het gedrag digitaal zou kunnen plaatsvinden. De bewoording ‘op enigerlei wijze’ in het artikel doet daar niet aan af, aangezien het gaat om gedrag op of aan een openbare plaats dat op enigerlei wijze kan worden geuit.
Alleen al daarom is het gedrag van de jongen niet aan te pakken met dit 2:2 APV. Maar de rechtbank gaat verder, stel dat er wél iets van “of via een elektronisch communicatiemiddel” of “op social media” in de APV had gestaan. Had het dan wel gemogen? Nee:
Als de uitleg van de burgemeester van artikel 2:2, eerste lid, onder g, van de APV vervolgens zou worden gevolgd, is er dus sprake van een verbodsbepaling in de APV om op social media uitdagende uitlatingen te doen die aanleiding geven tot wanordelijkheden. Dit is niet toegestaan, want in een gemeentelijke verordening mag de inhoud van uitlatingen niet aan banden worden gelegd. Het is een lokale regelgever (in dit geval de gemeenteraad) namelijk niet toegestaan om grondrechten te beperken wanneer een dergelijke beperking niet kan worden teruggevoerd op een wet in formele zin.
De vrijheid van meningsuiting (oproepen tot wanordelijkheden is óók een mening) staat in de Grondwet, en mag alleen worden beperkt als het parlement daar een wet (“wet in formele zin”) over aanneemt. Denk aan de strafwet over smaad, of de AVG over meningen met andermans persoonsgegevens. De APV is geen wet in formele zin, en mag dus niet over de inhoud gaan. Een APV mag wel “na 22:00 lawaai maken” verbieden, en hard je mening roepen is dan aan te pakken, maar dat is dan vanwege het volume en niet vanwege de inhoud.

Hoe had dit nu uitgepakt onder de Almelose APV? Die verbiedt immers:

Het is verboden om via digitale middelen, onder andere via internet, virtuele ruimtes en sociale media, uitingen te doen, te delen en/of in stand te laten, die kunnen leiden tot een fysieke verstoring van de openbare orde binnen het grondgebied van de gemeente Almelo, dan wel voor het ontstaan van een ernstige vrees daarvoor.
Aan de letter van dit verbod is mutatis mutandis (zoals juristen zeggen, techneuten zeggen s/Almelo/Utrecht/) wel voldaan. Maar je komt meteen bij hetzelfde probleem uit: dit verbod verbiedt het doen van uitingen, oftewel het geven van meningen. Hoewel het iets subtieler is geformuleerd: niet “uitdagende uitingen” (wat iets zegt over hun inhoud/karakter) maar “uitingen die leiden verstoring”, dus het gevolg. Dat mag je in de fysieke wereld ook reguleren, dus waarom niet online?

Eind januari kwamen er antwoord op Kamervragen over het Almelose online verbod, met daarin deze nadere nuancering:

Er is daarmee pas aanleiding om op te treden wanneer er sprake is van een verstoring (of een ernstige vrees daarvoor) van de openbare orde binnen de gemeente Almelo. Overigens is het opleggen van bestuurlijke maatregelen wegens het verstoren van de openbare orde aan personen die niet woonachtig zijn in de betreffende gemeente niet ongebruikelijk.
Dat lijkt er dus op dat de rechter het Almelose verbod wél in stand zou houden bij een vergelijkbare casus.

Arnoud

Mag je gelekte software doorspitten om te zien of deze tegen jou gebruikt is?

Activistische hackers hebben 1,8 terabyte aan software en broncode online gezet van het Israëlische spionagebedrijf Cellebrite. Dat meldde Tweakers vorige week. Onder meer ons NFI gebruikt deze software om mobiele telefoons te kraken, bijvoorbeeld in een strafrechtelijk onderzoek. De discussie in de comments focuste op een interessante vraag: mag je in deze publicatie snuffelen als je vermoedt dat deze software ook tegen jou gebruikt zou (kunnen) zijn?

Hoe ernstig het lek is, is nog wel de vraag. Reageerder Eltweako meldt bijvoorbeeld dat “verreweg de meeste files gewoon te downloaden van de Cellebrite portal als je hun software afneemt.”

Het grootste deel van de 1.7TB zijn de offline map packages. Die zijn bedoeld om in te laden in de Physical Analyzer als je “in het veld” aan het werk bent. Grofweg zijn er 2 tools die je gebruikt en die ook in deze leak zitten: De Physical Analyzer en UFED4PC. UFED4PC is de tool die je gebruikt voor het uitlezen van mobiele apparaten, en is gelijk aan de software die op hun hardware draait.
De software is vrij breed beschikbaar onder vakgenoten, er zitten geen spectaculaire 0day inbraaktools tussen. Dat is relevant, want de zorg over of je erin mag kijken komt vanwege het recente wetsartikel tegen helen van gegevens, artikel 139g Wetboek van Strafrecht, dat het verwerven, hebben of verspreiden van “niet-openbare gegevens” strafbaar stelt. Dus of het nou software is of data, persoonsgegevens of niet, je mag ze niet verspreiden – als je wist of moest weten dat de gegevens door misdrijf zijn verkregen uit de originele bron.

Er is een uitzondering in lid 2:

Niet strafbaar is degene die te goeder trouw heeft kunnen aannemen dat het algemeen belang het verwerven, voorhanden hebben, ter beschikkingstellen, bekendmaken of gebruik van de gegevens, bedoeld in het eerste lid, vereiste.
Deze uitzondering is met name bedoeld voor journalisten, die zouden willen publiceren over misstanden en daarbij deze gegevens als brongegevens nodig hadden. Stel tussen die gelekte gegevens zat ook een klantenlijst en men ziet daarop allerlei onfrisse geheime diensten in schurkenstaten, dan zou dat nieuwswaarde hebben om te publiceren en dan is het ongewenst dat het OM de nieuwsmedia kan vervolgen wegens “heling van informatie”.

De vraag die hier opdook, was echter of je zelf mag kijken of die software iets kan waardoor jou onrecht kan zijn aangedaan. Een soort van terughacken, zeg maar. Want dat is dan in jouw eigen belang, maar is dat hetzelfde als het algemeen belang, zeker als je niet publiceert? Indirect denk ik toch wel, want dat belang dat jij nastreeft is een belang voor het algemeen, het bestrijden van onrecht dat jou is aangedaan zodat je juridische stappen kunt nemen lijkt me daar wel aan te voldoen.

Arnoud

 

Hoe aansprakelijk wordt OpenAI voor de zakelijke versie van ChatGPT?

OpenAI werkt aan een zakelijke, betaalde versie van zijn chatbot ChatGPT. Dat meldde Tweakers onlangs. Momenteel is de chatbot gratis maar niet voor bedrijfsdoeleinden inzetbaar (wat natuurlijk geen hond tegenhoudt om er zakelijk gebruik van te maken). Het onderscheid zal vooral zitten in beschikbaarheid, snelheid en meer berichten per minuut. Het riep wel vele vragen op, die in de comments mooi samengevat werden als “Hoe wordt er in de professionele variant rekening gehouden met data die proprietary is of waar, op zijn minst, een copyright op berust?”

Het GPT-3 taalmodel waar de chatbot mee werkt, is getraind op vele miljarden tekstvoorbeelden. Het doel is leren wat het meest logische volgende woord is – kort gezegd – op basis van een prompt en de reeds gegeven woorden. Dat is met genoeg voorbeelden prima mogelijk, zeker op het niveau van chats waarbij je een vraag moet beantwoorden. ChatGPT produceert dan ook verbluffend goede resultaten, hoewel er ook volkomen waanzinnige reacties tussen zitten die met de grootste overtuiging worden gebracht.

Die tekstvoorbeelden komen natuurlijk van internet, ‘gewoon’ met een crawler die heel internet downloadt en daar machine-leesbare chocola van maakt. De makers leggen uit dat ze meer dan een biljoen (Amerikaans trillion, 1012) woorden hebben verwerkt. Dat kan niet anders dan zonder toestemming, maar iedereen stelt dat dit onder fair use te rechtvaardigen is en weet bovendien dat het ontzettend moeilijk is aan te tonen dat specifiek iemands werk opgenomen is in de dataset, plus dat een rechtszaak om dít punt uit te vechten veel te duur is voor iedere individuele rechthebbende. Uitgesloten is het niet – zie de rechtszaak over CoPilot, waarbij software-eigenaren wel degelijk zagen hoe deze AI-tool herkenbare fragmenten uit hun werk reproduceerde als “AI-generated”.

In de VS zou er misschien nog een lichtpuntje zijn wanneer je aannemelijk kunt maken dat jouw werk is gebruikt, omdat je dan via de zogeheten discovery procedure inzage kunt krijgen in documentatie rondom de bronbestanden. Dan heb je in ieder geval het feitelijke bewijs dat jouw werk is gebruikt. Vervolgens zit je nog met het juridische punt of het inbreuk is om een AI te trainen op jouw data, of dat het pas inbreuk is als de AI jouw werk reproduceert (dat laatste lijkt me evident).

In het auteursrecht geldt nu eenmaal de regel dat het bronwerk herkenbaar terug moet komen in het beweerdelijk inbreukmakende werk. Als ik iemands artikel lees en me laat inspireren tot een hoofdstuk in een boek, dan schend ik geen auteursrechten, hooguit pleeg ik academisch plagiaat. Maar als ik het artikel min of meer naschrijf, dan komt het auteursrecht wel om de hoek kijken. De academische grap is dan ook: één bron gebruiken is plagiaat, honderd bronnen gebruiken is onderzoek. En laat AI nou dus heel duidelijk die laatste kant op gaan: als honderd bronnen gebruiken mag, dan zal varen op honderd miljoen bronnen toch zeker ook wel mogen.

Het nieuwe aan de discussie is vooral dat we nu een betaalde dienst krijgen met een SLA. Afnemers daarvan zullen meer garanties gaan eisen, waaronder dus met name een vrijwaring (indemnification) tegen claims van derden. Want als ik als rechthebbende lees dat er ergens een adviesbureau komt dat een juridische chatbot heeft, dan ga ik die natuurlijk aanklagen en niet OpenAI uit San Francisco. Want ik durf de stelling wel aan dat mijn blog ergens in die dataset zit. Dat bureau heeft dan een probleem, want die is zelfstandig aansprakelijk. Dus dan moeten ze OpenAI zo ver krijgen de verdediging te gaan voeren, en dan wordt het een groot verhaal waar best wat nuttige puntjes uit te slepen zijn.

Arnoud