Kan ik de leverancier van mijn AI-agent aanpakken wegens door de agent bekend destructief gedrag?

Geplaatst op in Security, 15 reacties
Photo by Jonathan Cooper on Unsplash

Een lezer vroeg me:

Met enige regelmaat lees je over AI agents die destructief handelen, zoals dit verhaal over een AI-agent die op eigen houtje een productiedatabase van een startup verwijdert. Nu vroeg ik me af, kun je die schade verhalen op de leverancier die dat kennelijk zonder kwaliteitscontrole inbouwt? En maakt het daarbij uit dat het AI-model zelf een analyse oplepelt inclusief schuldbekentenis?
Als een menselijke systeembeheerder of programmeur data vernielt, kun je ze als bedrijf op het matje roepen. Maar bij een slecht geprogrammeerd stuk software ligt dat lastiger. Je komt dan al snel uit bij de leverancier, maar die heeft zich in de zakelijke relatie waarschijnlijk ingedekt tegen fouten met een sterke beperking van aansprakelijkheid.

Dat de medewerker schuld bekent, is bij mensen niet heel erg relevant. Fout is fout, en alleen als de bekentenis is “dit deed ik om jullie te beschadigen” dan wordt het juridisch interessant. Want dan spreken we van opzet of bewuste roekeloosheid en dan kun je die beperking van aansprakelijkheid omzeilen.

Alleen: een AI-agent is geen medewerker, en ook daarmee niet te vergelijken. Het is een tool, een stuk software. Weliswaar is de interface “gewoon Nederlands praten” en gebruikt het ding ik en jij in de communicatie, maar juridisch is er geen verschil tussen een shellscript en het meest geavanceerde frontier AI model. Het kan fouten bevatten, en als het de leverancier zijn schuld is dan stuit dat af op de beperking van aansprakelijkheid.

Er is enige discussie of het statistische karakter van deze diensten nog uit moet maken. Een shellscript of ander klassiek stuk software doet wat je zegt, keer op keer. Een AI-agent kan zomaar andere resultaten geven bij dezelfde instructie en dezelfde data. Dat is inherent aan hoe ze zijn gemaakt, en je kunt verdedigen dat dit eerder tot verwijtbaarheid bij de leverancier leidt. Tegelijkertijd: als dit inherent is, is dat ook iets dat jij als koper had moeten weten.

Arnoud

Nederland blokkeert overname DigiD-hoster Solvinity door Amerikaans IT-bedrijf

Geplaatst op in Informatiemaatschappij, 13 reacties

Het Nederlandse ministerie van Economische Zaken verbiedt de overname van DigiD-hoster Solvinity door het Amerikaanse IT-bedrijf Kyndryl. Dat meldde Tweakers gisteren. Het Bureau Toetsing Investeringen concludeerde op grond van de Wet ongewenste zeggenschap telecommunicatie (Wozt) dat de koop mogelijk een risico vormt voor het publieke belang. Dat zou een einde moeten zijn voor de eindeloze soap rond Solvinity.

“DigiD komt in Amerikaanse handen” was afgelopen jaar steeds de kreet. Formeel onjuist: het ging om de overname van infrastructuurdienstverlener Solvinity, waar de applicatie DigiD op gehost werd. Maar praktisch snap ik de zorg wel, want wie bij je infrastructuur kan, kan alles. En als dat dan moet van die snode CLOUD Act, dan zijn we met huid en haar overgeleverd aan de Yanks.

De maatschappelijke ophef snap ik dus helemaal. Er was alleen niet heel veel aan te doen; Kamervragen kan altijd, maar het contract opzeggen of verlengen was écht de keuze van het ministerie. Een kort geding in mei mocht ook niet baten: dat zou een opzegging op korte termijn van de dienstverlening impliceren, en dat zou weer het functioneren van DigiD in gevaar brengen.

De ingreep van het BTI is verrassend, hoewel het juridisch inderdaad gewoon kan. Het punt is vooral dat die wet geschreven is voor overnames door strategisch vijandige partijen, overnames die een “bedreiging van het publiek belang” opleveren. Het is voor het eerst dat wordt erkend dat Amerikaanse partijen zo’n bedreiging kunnen geven.

Hoe nu verder? Op korte termijn zal het vooral shoppen zijn naar een andere overnamepartij, want Solvinity stond niet voor niets in de verkoop. Maar het zou een wake-upcall kunnen zijn voor overheden om hier dieper na over te denken. Het idee van Bert Hubert om een rijkscloud op te zetten, zou ik alleen maar toejuichen.

Arnoud

 

Jury verwerpt zaak die Musk had aangespannen tegen bedrijf achter ChatGPT

Geplaatst op in Ondernemingsvrijheid, nog geen reacties
Photo by Rolf van Root on Unsplash

Een jury heeft [op 4 mei] de rechtszaak die ondernemer Elon Musk had aangespannen tegen OpenAI verworpen. Dat meldde Nu.nl vorige week. De reden is niet inhoudelijk; de zaak is te laat aangespannen volgens de formele regels. Maar wat was er dan aan de hand?

OpenAI, grondleggers van ChatGPT en daarmee de hype van “AI”, is in 2015 begonnen als een stichting. In 2019 veranderde dat naar een hybride vorm, en in 2025 werd alles anders:

In 2019, it created a hybrid structure, part nonprofit, part for-profit, that let investors earn returns while keeping the nonprofit in control. This structure limited how much investors could earn and didn’t allow equity ownership.

In late 2025, OpenAI restructured as a for-profit public benefit corporation with one crucial detail: the nonprofit OpenAI Foundation retained a 26% equity stake. As OpenAI’s value rises, so does the foundation’s endowment.

Elon Musk was al vroeg betrokken bij de stichting, en had nu bezwaar tegen die transformatie: het zou het originele doel van OpenAI fundamenteel ondermijnen. Dat was niet de afspraak, al was er natuurlijk geen hard stuk papier van destijds waarin dit letterlijk stond.

Juridisch heet dat in Californië “breach of charitable trust”, zoiets als “schending zorgplicht”. Dat kan ook zonder formele documenten, zorgplichten zijn bij uitstek dingen die je invult met softe aanwijzingen. Maar in Californië zit er een verjaringstermijn van drie jaar op, vanaf het moment dat je er daadwerkelijk kennis van hebt. De reden: zo’n club moet op een gegeven moment verder, dus als jij blijft zitten op je beweerde schending dan heb jij vanaf dan pech.

OpenAI wist de jury te overtuigen dat Musk al in 2017 kennis had van de plannen om naar een for-profit structuur te gaan. Sterker nog, hij had dat zelf voorgesteld, onder meer in een teleconference in 2017: “coming weeks, top priority. gotta figure out how do we transition from non-profit to something which is essentially philanthropic endeavor and is B-corp or C-corp or something. must tell the story and not lose moral high ground”.

Natuurlijk wist hij pas in 2025 van de herstructurering omdat die toen pas plaatsvond. Maar het bezwaar was niet tegen die specifieke omzetting, maar tegen de gehele transformatie. En dan had je in 2020 uiterlijk in actie moeten komen.

Over de wenselijkheid van het kunnen omzetten van een stichting naar een bedrijf doet de rechter geen uitspraak. Het is in Californië legaal om dat te doen (onder zekere voorwaarden die OpenAI niet geschonden lijkt te hebben).

Arnoud

Kan een product via vaste maatopties juridisch toch maatwerk zijn?

Geplaatst op in Ondernemingsvrijheid, 22 reacties
Photo by Erik Mclean on Pexels

Via Reddit:

Kan een product dat pas na bestelling wordt geproduceerd juridisch maatwerk zijn, ook als de klant kiest via vaste maatopties? Bij op maat gemaakte gordijnen wordt vaak aangegeven dat deze niet geretourneerd kunnen worden. Tegelijk hoor ik soms dat producten die via vaste maatopties (dropdown-menu) besteld worden juridisch geen maatwerk zouden zijn.
Volgens de wet (art. 6:230p punt f onder 1 BW) geldt de ‘maatwerkuitzondering’ voor deze specifieke categorie:
  • de levering van volgens specificaties van de consument vervaardigde zaken, die niet geprefabriceerd zijn en die worden vervaardigd op basis van een individuele keuze of beslissing van de consument, of die duidelijk voor een specifieke persoon bestemd zijn;
Enkel het product maken op bestelling is daarvoor niet genoeg (net als de speciale bestelling bij de fabriek). Over assemblage op specificatie kunnen we discussiëren.

De verwijzing naar opties uit een dropdown doet me denken aan deze blog:

Een keuze uit standaardmaten of -opties [bij een houten deur] is echter nog niet “volgens specificatie vervaardigd” of “op basis van een individuele keuze”, het is immers een standaard keuze op die manier. Daarom kan een winkel zich niet op de uitzondering beroepen wanneer hij enkel standaardopties of -maten aanbiedt. Dit is ooit ook door de Geschillencommissie zo geoordeeld. Had de winkel gezegd “typ lengte en breedte in”, dan was de deur natuurlijk wel maatwerk geweest.
Ook in zaken over een bed met opties en een tweede over een deur werd vergelijkbaar geoordeeld. De specifieke referentie naar keuzemenus komt weer uit een Europees richtsnoer uit 2021, waarin ze het volgende zeggen:

Indien de consument daarentegen de goederen gewoon samenstelt door te kiezen uit door de handelaar aangeboden standaardopties (die vooraf zijn bepaald), zou niet moeten worden gesproken van “specificatie” of “personalisering” in de enge zin van deze bepaling. De uitzondering zou dus niet van toepassing zijn in de volgende voorbeelden: — het kiezen van meubelen met een specifieke kleur of textuur door een keuze te maken uit de catalogus van de fabrikant; — een auto met extra uitrusting, geselecteerd uit de catalogus van de fabrikant; — een aantal bij elkaar horende meubelen op basis van standaardelementen.

Een dropdown-menu is een typische manier waarop je standaardopties aanbiedt: kies een van de zes modellen, welke van deze kleuren wilt u en moet de afwerking glanzend of mat zijn. Daarom komt die term regelmatig terug.

Maar dat betekent natuurlijk niet dat gebruik van een dropdown automatisch impliceert dat sprake is van maatwerk. Een bedrijf kan producten bedrukken met een geboortedatum, en een dropdown aanbieden om die te kiezen. Toch zou ik een tshirt met mijn geboortedatum erop als “volgens specificaties van de consument vervaardigd” zien.

Waar het uiteindelijk op neerkomt, is de vraag of de opties ‘standaard’ zijn. Dat gaat vaak samen met aantal: zestien kleuren, zes modellen, glanzend of mat. Maar het onderliggende criterium is of het product ook bij andere klanten verkoopbaar zou zijn. De richtsnoeren omschrijven dit mooi als “dat de goederen in beginsel uniek zijn en zijn geproduceerd op basis van de individuele wensen en eisen”.

Waar ligt nu de grens? Met geboortedata heb je zo’n 120 x 365 = 43.800 keuzes, en dat voelt als best veel. En ja, natuurlijk is het best denkbaar dat er een week later nóg iemand een shirt met die geboortedatum wil hebben, maar in beginsel is dat shirt uniek want ik wilde míjn geboortedatum er op.

Maar bij die tweede deurenzaak ging het ook om een fors aantal factoren:

  • Type: opdek of stomp en binnen of buiten
  • Deurvariant: enkele of dubbele deur
  • Draairichting: links/rechts en naar binnen/buiten
  • Hoogte: drie keuzes
  • Breedte: vier keuzes
  • Aflakken: niet of één van vijf RAL-kleuren
Dat is (2 x 2) x (2) x (2 x 2) x (3) x (4) x (6) = 2.304 en dat is ook een respectabel aantal. Ik snap zeker dat de deurenwinkel dan zegt “zo’n deur wordt niet in die vorm opnieuw verkocht”.

Bij het uitprobeerrecht wordt als maatstaf wel gehanteerd “uitproberen is wat je in de winkel ook zou mogen doen”. Dus bij een wasmachine wel het deurtje dicht en het knopje draaien, niet een sportwas doen en kijken hoe schoon het wordt. Die maatstaf hier toepassen levert dan iets van “Als een fysieke winkel een dergelijke variatie aan voorraad zou houden, dan is het standaard”. Fair?

Arnoud

Mag ik van de school van mijn kind inzage in het beveiligingsbeleid vorderen? (Nadat mijn zoon de printer gehackt had)

Geplaatst op in Security, 19 reacties
Photo by stevepb on Pixabay

Een lezer vroeg me:

Een leerling op de school van mijn zoon heeft de centrale printer van hun school gehackt. Volgens hen was het nauwelijks hacken omdat de beveiliging minimaal was. Uiteraard vind de school het schandalig, maar voor mij als security auditor en moeder redenen om me af te vragen: is de rest van de school dan ook zo belabberd beveiligd. Kan ik daar inzage in krijgen, mag ik maatregelen eisen?
Het ‘hacken’ van ict-apparatuur op school is voor leerlingen leuk en interessant, maar inderdaad reageren scholen daar scherp op. De tijd dat je dan een stage bij een securitybedrijf kreeg (of de IT-persoon van school mocht worden) is al lang voorbij: ik ken zo tien gevallen van mensen tegen wie aangifte werd gedaan in zo’n situatie.

Uiteraard is dat vrij kansloos als de security minimaal tot afwezig is, en er natuurlijk geen echte schade is aangericht. En ik snap wel dat je bij afwezige schade als ouder denkt: is dit representatief voor hoe de school ict-security implementeert. Dat zou goed kunnen, hoewel net zo goed mogelijk is dat de printers door een andere partij worden beheerd dan het leerlingvolgsysteem of de financiële administratie.

Inzage in het beveiligingsbeleid van een organisatie is algemeen eigenlijk niet mogelijk. Ook bij beveiligingsbeleid rond persoonsgegevens is daarvoor geen bevoegdheid: de informatieplichten (artikel 13 en 14 AVG) verwijzen niet naar het beveiligingsbeleid. En bij het recht van inzage (artikel 15) kan geen inzage in genomen beveiligingsmaatregelen worden geëist.

Wel heeft de AVG het algemene beginsel van transparantie (artikel 5 lid 1 onder a), waaruit je kunt afleiden dat transparant zijn over de beveiliging van gegevensverwerking er desondanks bij hoort. Hierover is geen jurisprudentie, en in de richtsnoeren van de EDPB of Autoriteit Persoonsgegevens zie je hier niets over terug. Wel beschrijven veel partijen in algemene zin hun beveiligingsmaatregelen in de privacyverklaring, maar dat gaat zelden verder dan mooie beloften of opmerkingen dat ergens een ISO 27001 certificering voor afgegeven is.

In maart deed de Autoriteit Persoonsgegevens een oproep aan scholen en leveranciers van digitale leermiddelen op om goede afspraken te maken en open te zijn over het verwerken van persoonsgegevens van leerlingen. Hierbij noemt men expliciet dat duidelijkheid gegeven zou moeten worden over “[h]oe deze gegevens worden beveiligd, hoe lang de gegevens worden bewaard en in welke systemen”. Je zou met een beroep op deze oproep het gesprek aan kunnen gaan.

Arnoud De printer op de foto komt niet voor in het artikel.

Ben ik als CISO persoonlijk aansprakelijk onder NIS2 voor falend securitybeleid?

Geplaatst op in Ondernemingsvrijheid, Security, 6 reacties
Photo by Joseph Corl on Unsplash

Een lezer vroeg me:

Ik ben CISO bij een middelgroot bedrijf waarbij ICT van groot belang is. Overal lees ik dat bestuurders onder de NIS2-richtlijn persoonlijk aansprakelijk worden voor falende cyberbeveiliging. Ik ben degene die het securitybeleid opstelt en uitvoert — als er iets misgaat, ben ik dan in privé aansprakelijk? Kan een klant of een slachtoffer van een datalek mij persoonlijk een claim sturen?
Ik snap de zorg, want het gonst inderdaad van de waarschuwingen over “persoonlijke aansprakelijkheid” onder NIS2. Maar zo snel als dit gaat het zeker niet.

In maart besprak ik de vraag of een slachtoffer van het Odido-datalek de directie persoonlijk kon aanspreken. Sindsdien is  de Cyberbeveiligingswet (Cbw) aangenomen als de Nederlandse implementatie van de NIS2-richtlijn. Het wetsvoorstel ligt nu bij de Eerste Kamer en de regering mikt op inwerkingtreding per 1 juli 2026. We zijn er dus bijna.

Artikel 20 lid 1 van de NIS2-richtlijn bepaalt dat de bestuursorganen van essentiële en belangrijke entiteiten de cyberbeveiligingsmaatregelen moeten goedkeuren, toezien op de uitvoering ervan, en “aansprakelijk kunnen worden gesteld” voor inbreuken. Artikel 32 lid 6 gaat nog een stap verder en spreekt over “elke natuurlijke persoon die verantwoordelijk is voor of optreedt als wettelijke vertegenwoordiger” van een essentiële entiteit.

Een CISO heeft ondanks de C in de titel doorgaans geen bestuursfunctie. Zoals het NCSC het omschrijft: de CISO heeft een adviserende, coördinerende en controlerende rol. Je stelt het beleid op, je adviseert de directie, je stuurt de uitvoering aan — maar je bent niet degene die formeel bestuurt in de zin van artikel 2:9 BW.

Dat is essentieel, want de persoonlijke aansprakelijkheid uit de NIS2 is dus wat we in Nederland bestuurdersaansprakelijkheid noemen. Niet een aparte route waarbij iedere gedupeerde een schadeclaim jou in privé mag leggen.

Natuurlijk kun je door je werkgever wel aangesproken worden op nalatigheid bij je werk. En een datalek na handelen conform jouw advies kan daar aanleiding toe geven. Maar dat gaat om zaken als een berisping, demotie of uiteindelijk ontslag en niet om financiële claims.

Arnoud

Belgisch techbedrijf krijgt boete voor niet tijdig verwijderen mailbox ex-medewerkster

Geplaatst op in Ondernemingsvrijheid, 13 reacties
Photo by Philippe Murray-Pietsch on Unsplash

Een groot Belgisch techbedrijf heeft een boete van in totaal 176.000 euro gekregen omdat het de mailbox van een ex-medewerkster niet tijdig verwijderde. Dat meldde Security.nl onlangs. Het ging om ruim een jaar na ontslag de mailbox nog aanhouden én niet transparant zijn.

In haar beslissing legt de Belgische Gegevensbeschermingsautoriteit (GBA) uit dat de persoonsgebonden mailbox (voornaam.achternaam apestaartje) weliswaar bij ontslag een out-of-office kreeg, maar een jaar later nog steeds bleek te werken. En die OOO bevatte dit:

“[…] Ik ben momenteel offline met zeer beperkte toegang tot internet. Gelieve wat vertraging in mijn antwoord te accepteren. […]
Ik snap hoe je als ex-werknemer dan geërgerd denkt, die mailbox moest maar eens opgeheven zijn. Helaas bleek het bedrijf weinig geneigd om daar aan mee te werken. Vandaar de stap naar de GBA.

De GBA stelt voorop dat je ook na vertrek een mailbox moet kunnen aanhouden vanuit bedrijfsbelangen, maar dat het na een maand echt wel klaar moet zijn. Dat is bij hen een consequente lijn, en hoewel de AVG zelf geen formele termijnen kent (ik wil niets meer horen over het stokoude vrijstellingsbesluit van de AP), mag je als toezichthouder best zo’n termijn als hoofdregel stellen.

Als partij kun je dan met een uitleg komen waarom het bij jou écht langer moet zijn dan die maand, maar die was er in dit geval niet. En de GBA haalt zwaar geschut van stal: het kan dan het misdrijf aftappen van privécommunicatie opleveren (privémails in de zakelijke mailbox) als je dan alsnog die mailbox in gaat.

Anders gezegd: je hebt een “degelijk gegevensbeschermingsbeleid door ontwerp van professionele mailboxen” nodig waarmee je uitwerkt hoe je in persoonsgebonden mailboxen gaat vissen naar zakelijk relevante mails, en hoe je die er binnen een maand uit krijgt om ze in je administratie, zaaksysteem, CRM of whatever te krijgen.

En dat raakt aan een al wat oudere pet peeve van mij: e-mail is een transportmedium, geen administratie of opslag. Eigenlijk zouden mailservers zo ingesteld moeten worden dat alle mails ouder dan 30 dagen vernietigd worden. Wie wil bewaren, moet ze in een administratie of archief opbergen.

Arnoud

Mag ik als werkgever mensen verplichten tot vingerafdrukken in plaats van wachtwoorden?

Geplaatst op in Ondernemingsvrijheid, Privacy, Security, 25 reacties
Photo by Meg Jenson on Unsplash

Een lezer vroeg me:

Vanwege zorgen over wachtwoord-delen heb ik mijn werknemers nieuwe laptops gegeven, waarbij ze met hun vingerafdruk de laptop kunnen unlocken en alleen toegang krijgen tot die delen van ons systeem die voor hen relevant zijn. Ik krijg nu klachten dat ik hiermee de AVG schend omdat ik met deze nieuwe aanpak ongeoorloofd biometrische gegevens van hen op zou slaan. Hebben ze daar een punt?
Een vingerafdruk is een biometrisch persoonsgegeven volgens de definitie uit de AVG. Artikel 4 lid 14 AVG omschrijft het immers als “fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon”. Of je die kenmerken nou opslaat als een plaatje of als een feature vector, dat maakt niet uit. Het blijven kenmerken van (een vinger van) een persoon.

De AVG zegt dat je geen biometrische persoonsgegevens mag gebruiken behalve in uitzonderlijke gevallen. De relevante uitzondering is in Nederland opgenomen in de Uitvoeringswet AVG, artikel 29:

… het verbod om biometrische gegevens met het oog op de unieke identificatie van een persoon te verwerken [is] niet van toepassing, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden.
Hier is precies sprake van dat geval. Met de vingerafdruk wordt de gebruiker geauthenticeerd. De vingerafdruk gaat nergens naar toe, maar blijft in de laptop. Dat is dus een keurige implementatie die aan de beveiligingseisen van de AVG voldoet.

Het probleem is dan of het ‘noodzakelijk’ is in de zin van artikel 29. Hierover staat een passage in de memorie van toelichting bij de invoering van dit wetsartikel, die regelmatig discussie oproept:

Dit zal het geval zijn als de toegang beperkt dient te zijn tot bepaalde personen die daartoe geautoriseerd zijn, zoals bij een kerncentrale. Het verwerken van biometrische gegevens dient ook proportioneel te zijn. Als het om de toegang tot een garage van een reparatiebedrijf gaat, zal de noodzaak van de beveiliging niet zodanig zijn dat werknemers alleen met biometrie toegang kunnen krijgen en daartoe deze gegevens worden vastgelegd om de toegangscontrole uit te oefenen. Aan de andere kant kan biometrie soms juist een belangrijke vorm van beveiliging zijn voor bijvoorbeeld informatiesystemen, die zelf veel persoonsgegevens bevatten, waarbij onrechtmatige toegang, ook van werknemers, moet worden voorkomen.
Uit dat “zoals bij een kerncentrale” wordt vaak afgeleid dat de lat dus heel hoog ligt, want wie is er nou vergelijkbaar met een kerncentrale. De Autoriteit Persoonsgegevens zegt  dat het “moet gaan om een zwaarwegend algemeen belang”, een uitzonderlijke situatie. De gemiddelde mkb-organisatie komt daar niet aan.

In 2019 vond winkelbedrijf Manfield dat vingerafdruksensoren nodig waren voor authenticatie bij de kassasystemen, omdat je daarmee toegang kreeg tot klantgegevens en personeelsgegevens. Dit sluit mooi aan bij die laatste zin: informatiesystemen met veel persoonsgegevens vergen extra beveiliging, ook als het geen kerncentrales zijn.

De rechter oordeelde anders, maar vooral omdat Manfield niet had onderbouwd dat alternatieven zoals pasjes niet goed genoeg zouden zijn. Had men een afweging met voors en tegens van de diverse technologieën overlegd en was daaruit de vingerafdruksensor als meest geëigend gekomen, dan had dit wel eens anders uit kunnen vallen.

Dit probleem zien we vaker bij de AVG: er is weinig jurisprudentie, en de oorspronkelijke kaders (2016-2018) zijn sterk verouderd. De technologie is snel gegroeid maar de “waarom” vraag blijft daar fors bij achter. Dus dan is de vingerafdruksensor nu het meest voor de hand liggend (haha), maar waarom het echt béter is dan de alternatieven, blijft onduidelijk.

Arnoud

Banken eisen meer actie van sociale media tegen internetcriminelen

Geplaatst op in Ondernemingsvrijheid, Regulering, 11 reacties
GDJ / Pixabay

Nederlandse grootbanken eisen actie van Meta, TikTok en Google tegen de explosieve toename van fraude via sociale media. Dat meldde het FD onlangs (€). Meer dan 70% van alle fraudepogingen kent zijn oorsprong op deze kanalen, zo blijkt uit onderzoek. En ik zie inderdaad vrij weinig gebeuren bij de grote sociale media-diensten.

De aanleiding klinkt nogal dringend:

Banken doen de oproep naar aanleiding van de jaarlijkse publicatie van de fraudecijfers, waaruit blijkt dat de schade als gevolg van bankhelpdeskfraude steeg met ruim 3 miljoen euro en in 2025 uitkwam op 25,8 miljoen euro. Ook de schade als gevolg van phishing steeg met 1,8 miljoen euro, naar bijna 2,6 miljoen euro. Ondanks de stijging van de schade nam het aantal slachtoffers van bankhelpdeskfraude wel af: met 14% naar iets minder dan 5.900 personen.
Het onderzoek waarnaar men verwijst is een rapport uit 2025 van UK Finance, de Britse brancheorganisatie voor de financiële sector. Zij onderzochten data van hun leden over gemelde fraudezaken en hun oorzaken, en concluderen daarbij inderdaad dat in 2024 70% van de fraudezaken ‘online sources’ kennen. Het gaat dan meestal om “lower-value scams” zoals aankoopfraude (ik denk dan aan Marktplaatsoplichting-achtige zaken)

Het rapport spreekt van “online fraud” en denkt daarbij aan zaken als Authorised Push Payment (APP)-fraude, waarbij oplichters via social engineering slachtoffers manipuleren om real-time betalingen te autoriseren. Dit kunnen investeringsscams zijn, malafide advertenties (hoi Jort) of de nog steeds werkende romance scams.

Moeten social media hier wat mee? Zeker. Artikel 34 en 35 Digital Services Act verplichten grote platforms (VLOPs) tot een algemene mitigatie op “systeemrisico’s”, dingen die de maatschappij raken door hun omvang en impact. In september deed de Europese Commissie een informatieverzoek aan platforms zoals Apple, Booking, Bing en Google over hoe zij omgaan met oplichters die hun platform misbruiken. Ik heb nog geen resultaten daarover gelezen.

Vermoedelijk zullen de oplossingen uitkomen bij betere know-your-customer analyse van zakelijke accounts, trusted flaggers uit de financiële sector die direct takedowns kunnen bevelen en het beter publiceren van advertenties in een repository zodat onderzoekers er patronen in kunnen vinden om detectie te automatiseren. Maar ik gok zomaar dat men dit niet vrijwillig gaat doen.

Arnoud

‘Google wil seo-spambeleid aanpassen om DMA-boete te ontlopen’

Geplaatst op in Ondernemingsvrijheid, 9 reacties
Photo by Merakist on Unsplash

Google zou de Europese Commissie een aanbod doen voor vanaanpassingen in zijn beleid tegen seo-spam. Dat meldde Tweakers vorige week. Dit om een boete onder de Digital Markets Act te voorkomen. En nee, ze doen niet te weinig tegen zoekmachineresultatenspam maar juist te veel.

Het voorstel komt in een lopend onderzoek van de Europese Commissie naar de zogeheten site reputation abuse policy van Google Zoeken. Ik citeer het artikel van vorig jaar:

Het sitereputatiemisbruikbeleid gaat over websites die hoog eindigen in resultaten van Google Zoeken en tegen betaling content van derden tonen, waarbij die derde partij zelf niet hoog scoort in Google Zoeken. De Europese Commissie zegt signalen te hebben ontvangen dat dit beleid de websites van nieuwsmedia en andere uitgevers straft als zij ‘content van commerciële partners’ tonen. De websites van uitgevers komen daardoor lager te staan in Google Zoeken.
Wat Google met dat beleid wil voorkomen, is dat partijen met een goede reputatie deze misbruiken om lage kwaliteit teksten  (promotionele teksten van anderen) tegen betaling te vertonen. Iedere website-eigenaar kent het fenomeen van de partij die hengelt naar het publiceren van “partner artikelen” die dan ineens over gokken gaan of een wazig bedrijf moeten promoten.

Probleem: grote nieuwsmedia doen dit ook – dit is de partnercontent, branded content, sponsored content of hoe ze het maar noemen (zolang het maar niet “advertentie” heet). Het ziet er vrijwel uit als redactionele eigen inhoud, maar kleine lettertjes melden ergens dat het van een partner komt en buiten de redactionele verantwoordelijkheid valt.

Mijn vermoeden is dat de Commissie de impact van dat beleid op nieuwsmedia disproportioneel vindt, omdat die toch al zo kwakkelt en een maatschappelijk belangrijke positie heeft. Die zouden dan wél partnercontent moeten kunnen draaien, waarbij we er dan op gaan vertrouwen dat die dat netjes doen en alleen van respectabele partijen.

Arnoud