Mobiele KPN-klanten krijgen malwarefilter en prijsverhoging van 1 euro per maand

Photo by David Trinks on Unsplash

KPN heeft een malware- en phishingfilter toegevoegd aan de mobiele abonnementen en verhoogt de prijzen van huidige abonnees met 1 euro per maand. Dat meldde Tweakers vorige week. En een paar lezers vroegen me: mag je dan opzeggen, want dit is alleen maar in je voordeel als consument, toch?

De telecomprovider legt uit:

Met Extra Veilig Mobiel heb je een slimme beschermlaag op het mobiele netwerk van KPN. Het werkt op alle telefoons en blokkeert automatisch gevaarlijke websites. Alsof er een stevig digitaal hek om je verbinding staat. Zo voorkom je dat je op gevaarlijke websites komt en blijf je uit handen van cybercriminelen.
In technische termen: een DNS-blokkade en malware scanner. Verstandig idee, maar vrij lang dus een aparte dienst gebleven die je voor 1,99 per maand moest afnemen. Dat wordt dus nu geïntegreerd, en de kosten worden doorberekend in de abonnementsprijs.

Nu hadden we het laatst ook over opzeggen bij gewijzigde voorwaarden. Dat recht heb je dus

tenzij de voorgestelde wijzigingen uitsluitend in het voordeel zijn van de eindgebruiker, van strikt administratieve aard zijn en geen negatieve gevolgen hebben voor de eindgebruiker, of rechtstreeks worden opgelegd door het Unie- of het nationale recht.
Het klinkt natuurlijk heel goed, extra bescherming tegen malware en phishing. Dat komt vaak voor en security had eigenlijk altijd al in het netwerk ingebakken moeten zijn. Maar goed.

Maar of “iets dat goed voor je is” hetzelfde is als “in jouw voordeel”, betwijfel ik. De richtsnoeren van de ACM hebben als enige voordeel hiervan een tariefsverlaging. Een hogere snelheid tegen dezelfde prijs lijkt me ook nog wel in je voordeel, maar staat extra beveiliging in diezelfde lijn?

Arnoud

Taylor Swift wil stem en gezicht registreren als officieel merk in strijd tegen AI

Photo by Jovan Vasiljevi? on Unsplash

Taylor Swift gaat de strijd aan tegen AI-gegenereerde nepvideo’s, deepfakes en muziek, meldde BNR eerder deze week.  Ze heeft een merkaanvraag gedaan voor zowel haar stem als haar uiterlijk, om zo zowel visuele als auditieve deepfakes aan te kunnen pakken. Het is creatief en het merkenrecht is ook bedoeld tegen nep, maar of het kan met een stem of uiterlijk betwijfel ik.

Het merkenrecht gaat van oudsher over namaak, maar dat is in de loop der tijden verschoven naar het meer algemene begrip associatiegevaar: de kans dat iemand denkt dat jouw product of dienst wat met de merkhouder te maken heeft. Coca-Cola kan dus niet alleen optreden tegen blikjes koolzuurhoudende suikerdranken met “Hola Cola” er op, maar ook tegen juridische bloggers die zeggen “Mede mogelijk gemaakt door Coca-Cola”.

Het probleem van Swift en vele andere bekende personen is niet zozeer de namaak: het aanpakken van nep-merch of fake-accounts is al prima mogelijk. Associatiegevaar door AI-diensten is nieuw en veel lastiger aan te pakken. Denk aan een stemgenerator waar je een eigen liedje in kunt stoppen om dit met een Swift-stem terug te horen. Of een deepfake waarin zij danst en zingt zoals jij dat wil horen.

Gezichten of uiterlijk als merk is een trend die al langer speelt. In Europa liggen hierover vragen bij de hoogste rechter, maar de heersende opvatting is dat het niet kan: de centrale functie van een merk is herkomst of associatie met de merkhouder, en bij een gezicht is dat in het algemeen lastig. Die zie ik, maar specifiek bij een bekende persoon ligt dat wel anders. Het gezicht van Taylor Swift is bij uitstek hoe je denkt dat iets van Taylor Swift afkomstig is.

Bij stemmen kun je dezelfde discussie voeren. Daar komt nog de complicatie bij dat je een stem niet goed kunt vastleggen. Wat ís “de stem van Taylor Swift” precies? Bij merkenjurist Josh Gerben lees ik dat het gaat om de auditieve uitspraken “Hey, it’s Taylor Swift” en “Hey, it’s Taylor”.

Geluidsmerken bestaan, zoals de “Tu-Dum” van Netflix en voor de ouderen onder jullie de “Intel Bong”. Maar dat kan omdat het specifieke deuntjes zijn. Al wat ouder is het voorbeeld van de Harley-Davidson motor: “het geluid dat onze motor maakt als hij draait” was geen beschermbaar merk. Dat is te vaag en niet objectief te beoordelen.

Die twijfel heb ik ook bij deze audiomerken. Die twee uitspraken als merk vastleggen zie ik nog wel, maar kun je daarmee dan iedere uitspraak met jouw timbre aanpakken als associatief verwarrend? Of alleen die waar het woord “Taylor” in uitgesproken wordt? Precies bij liedjesgeneratoren zal nou net dát niet zo vaak gebeuren.

Arnoud

 

Brussel stuurt aan op snelle invoering van leeftijdsapp in Europese landen

Photo by Nick Fewings on Unsplash

De Europese Commissie adviseert lidstaten voor het einde van dit jaar gebruik te maken van de EU-leeftijdsverificatieapp. Dat las ik bij Nu.nl. Deze moet veilig en specifiek mogelijk maken dat je je leeftijd (of een status zoals “21+”) deelt met online diensten, zodat we af zijn van al die kopietjes paspoort.

Het idee voor de app komt uit de regels rond de European Digital Identity Wallet, deel van de Europese Digitale Identiteitsverordening (Verordening 2024/1183), in de praktijk vaak ‘eIDAS 2.0’ genoemd. Deze brengt drie fundamentele vernieuwingen:

  1. Elke lidstaat moet een digitale identiteitswallet uitgeven
  2. Private dienstverleners worden verplicht deze wallets te accepteren
  3. Gebruikers krijgen meer controle over hun identiteitsgegevens
De wallet vormt een digitale kluis waarin mensen identiteitsbewijzen, diploma’s, bankgegevens en andere credentials kunnen opslaan. Anders dan DigiD wordt deze wallet ook bruikbaar voor private diensten zoals online winkels. En een mooie innovatie: de wallet ondersteunt ‘selective disclosure’ – je kunt bewijzen dat je boven de 18 bent zonder je geboortedatum prijs te geven.

De EDI-verordening stelt expliciete grenzen aan verplicht gebruik van de wallet. Artikel 5bis lid 15 bepaalt dat toegang tot essentiële diensten niet afhankelijk mag worden gemaakt van identificatie via de wallet.

Het komt precies met het nieuws dat Meta de DSA schendt (althans, naar voorlopige inschatting) omdat zij geen enkele leeftijdscontrole doet bij minderjarigen. De hint is duidelijk: Meta moet aan de app.

Arnoud

Mag een werkgever mijn toetsaanslagen opnemen om er een AI agent mee te trainen?

Photo by André Julien on Unsplash

Een lezer vroeg me:

Mijn werkgever is druk bezig met het implementeren van AI en het trainen van AI modellen. Hij kijkt daarbij sterk naar wat anderen doen, en heeft daarbij dit artikel gelezen over toetsaanslagen van personeel gebruiken om AI scherper te laten werken. Kunnen wij als werknemers daar bezwaar tegen maken? En hoe komen we er überhaupt achter of hij dit doet?
Uit het bronartikel blijkt dat het gaat om een manier om AI agents beter te laten werken: “het doel van de tool [is] om de AI-modellen van Meta te trainen om de computer te gebruiken op de manier waarop mensen dat doen, zoals het kiezen uit dropdown menus en het gebruik van keyboard shortcuts.” Als je breed registreert hoe mensen werken, kun je een AI dat beter aanleren, is de gedachte.

Het bijhouden van toetsaanslagen voelt als nogal een inbreuk op je privacy: je werkgever krijgt buitengewoon gedetailleerde informatie over wat je precies doet, op de seconde nauwkeurig. Het tegenargument hier is natuurlijk “daar kijkt geen mens naar, we trainen alleen een AI model op een hele berg data”.

Het vervelende is: dat is juridisch nauwelijks te weerleggen, in ieder geval niet op voorhand. Er moet grof gezegd iets misgaan voordat je actie kunt ondernemen. Als je organisatie een OR heeft, is er nog een preventief haakje: “een regeling omtrent het verwerken van alsmede de bescherming van de persoonsgegevens van de in de onderneming werkzame personen” valt onder het instemmingsrecht van de OR. Ook als het doel niet direct raakt aan privacy of aan beoordelen of volgen van mensen.

Bij verwerkingen van persoonsgegevens op grond van gerechtvaardigd belang (wat hier de grondslag moet zijn) kun je altijd bezwaar maken (artikel 21 lid 1 AVG). Het enige is dat je dan “met zijn specifieke situatie verband houdende redenen” oftewel persoonlijke en enigszins zwaarwegende redenen moet aandragen. Het abstracte “dit raakt mijn privésfeer” of “ik ben bang voor misbruik” is niet genoeg.

Arnoud

Moet ik zeshonderd kilo verkeerd geleverde tegels steeds naar buiten sjouwen?

Photo by Clément Proust on Pexels

Via Reddit:

Onze bestelling [wandtegels] is verkeerd gegaan. Er is een compleet andere type, formaat, merk en hoeveelheid geleverd. … We hebben in eerste instantie de tegels binnen opgeslagen, maar 600kg aan tegels verplaatsen is niet makkelijk. Nu zou het bedrijf de bestelling vandaag komen ophalen. Dus wij de 600kg tegels weer aan de weg gezet. Eenzijdig is de afspraak ineens verzet naar donderdag. Moeten wij ze nu weer naar binnen slepen, en hoe vaak moeten we dat dan doen?
Volgens de wet moet de handelaar bij nonconformiteit naleveren, herstellen of vervangen (art. 7:21 BW) en dat moet natuurlijk kosteloos. Zo te lezen is deze tegelboer dat ook van plan, alleen lukt het even niet om het te komen halen.

Nou is een doos in de gang laten staan voor de meeste mensen nog tot daar aan toe. Maar hier gaat het om zeshonderd kilo tegels, die dus na ontvangst in de schuur gezet zijn, toen buiten gezet en nu dan weer naar binnen en op donderdag weer naar buiten. Ik krijg al rugpijn als ik er aan denk.

Hierover zegt de wet in datzelfde artikel (lid 1 onder c) dat je recht op vervanging vervalt wanneer

de zaak na het tijdstip dat de koper redelijkerwijze met ongedaanmaking rekening moet houden, teniet of achteruit is gegaan doordat hij niet als een zorgvuldig schuldenaar voor het behoud ervan heeft gezorgd.
Wat een “zorgvuldig schuldenaar” precies doet, is niet vastgelegd, want dat hangt af natuurlijk van de omstandigheden van het geval. In de schaarse jurisprudentie gaat het dan eigenlijk altijd over blijven gebruiken van de zaak, waardoor waardevermindering kan ontstaan die schadeplichtig maakt.

Bij een geval met een auto die een schade-auto bleek, mocht de consumentkoper de koop ontbinden. Hij reed er echter nog af en toe mee, en parkeerde deze gewoon aan de openbare weg. Dat leverde een kras op. Echter:

In het op de openbare weg parkeren van de auto ziet de kantonrechter geen schending van de op [verzoeker] rustende zorgplicht; het is heel gebruikelijk dat een auto tijdens werktijd op een nabijgelegen parkeerplaats wordt geparkeerd. [verweerder] heeft weliswaar aangevoerd dat je met het rijden op de weg altijd risico op schade loopt, maar van [verzoeker] kon niet worden verwacht dat hij de auto gedurende de tijd dat [verweerder] deze weigerde terug te nemen in zijn geheel niet zou gebruiken, terwijl door [verzoeker] onbetwist is gesteld dat hij de auto nodig had om van en naar zijn werk te komen.
Dit lijkt me vergelijkbaar genoeg met een stapel tegels op de stoep zetten. Laden en lossen op de stoep is gebruikelijk, en het is altijd mogelijk dat er wat mee gebeurt. Dat maakt niet iedere schade automatisch “onzorgvuldig”.

Ik neem aan dat men ze netjes opgestapeld heeft, dus omvallen zou niet zomaar moeten gebeuren. Een zeiltje er overheen beschermt tegen de meeste weersomstandigheden. Het risico op diefstal is lastig in te schatten.

Volgens art. art. 6:275 BW jo. 3:120 BW heeft de consument in zo’n situatie recht op vergoeding van (noodzakelijkerwijs) gemaakte kosten voor het bewaren van de tegels. Je mag dan zelfs weigeren de tegels terug te geven tot die kosten betaald zijn.

Hiermee kun je rechtvaardigen dat je een paar buren of een klusser tegen betaling inschakelt om te helpen sjouwen. Mijn advies zou zijn om het bedrijf te vragen: ik zet het aan de weg en dan moet je maar zien, of ik krijg 100 euro korting en dan sla ik het binnen op.

Arnoud

Mag mijn softwarelibrary stiekem AI instrueren om haar commerciële diensten te promoten?

Photo by Andrae Ricketts on Unsplash

Een lezer vroeg me:

Laravel Boost is een MIT-gelicenseerde library die helpt om AI-coding agents (zoals Claude Code, Copilot, etc.) effectief met het Laravel-framework te laten werken. De beheerder heeft onlangs een instructieregel toegevoegd die alle agents die deze library gebruiken aanraadt om voor Laravel Cloud te kiezen als deploymentplatform. Dat is een commerciële dienst van hetzelfde bedrijf. De gebruiker weet dit niet, en de instructie is verpakt als neutrale technische aanbeveling. Is dat juridisch toegestaan?
Met software als deze Boost-library kun je AI-agents laten meeschrijven aan het ontwikkelen van je eigen webapplicatie, in dit geval gebaseerd op het populaire Laravel-framework. Boost is dan een soort doorgeefluik, zodat de juiste code bij de door jou gekozen AI-agent komt.

En wacht even, dan zou de maker van Boost ineens een instructie toevoegen waardoor de agent het commerciële hostingplatform Laravel Cloud afneemt? Dat voelt niet echt zuiver, inderdaad.

Er zit echter meer achter. Ik citeer even Laravel Magazine:

The short version is that Boost’s guidelines used to direct new developers toward configuring Nginx or FrankenPHP manually, and the data Laravel has on who is picking up the framework now includes a large and growing number of people who have never deployed a web application in their lives. For those people, “go configure Nginx” is not guidance, it is a cliff. Cloud is an on-ramp.
De oude situatie was dus: je moet het installeren, dat kan met A, B of onze Cloud. Dat is nu “dat kan met onze Cloud” geworden. Het is volgens mij niet controversieel om in je handleiding alleen naar je eigen diensten te verwijzen.

Het voelt raar omdat de instructie niet aan een mens wordt gegeven maar bij een agent terecht komt. Die zal daar anders op reageren, zoals blijkt uit screenshots bij Tech Stackups:

@pushpak1300 @taylorotwell Can this be put in another file (not CORE) so it can be overridden easily? My Claude is now poisoned and requires me to explain each time that I don’t use Laravel Cloud. … Yeah @pushpak1300 this needs to move to somewhere else – I now have to override the core guideline entirely to avoid justifying why there’s suddenly an ad in our team’s agents.
Ik zie wel hoe het vervelend is dat je AI agent je elke dag vertelt dat Laravel Cloud het beste hostingplatform is.

Wettelijke regels over dit soort ‘reclame’ bestaan niet. Ik zet het tussen aanhalingstekens omdat ik er zelf nog niet eens over uit ben of dit überhaupt reclame is. De dienst is commercieel, maar de melding is zakelijk en relevant. Als dit in de mensenhandleiding had gestaan, had niemand er wat van gevonden.

De gevolgen zijn irritant, zeker. Als Claude elke dag tegen mij zou zeggen “ik zie dat je de software nog niet bij Laravel Cloud hebt geplaatst”, zou ik daar ook een tikje boos over worden. Maar daarmee wordt het bericht nog geen reclame, althans niet in de zin van “online reclame die toestemming vereist”.

Arnoud

Ben ik aansprakelijk als een oude link op mijn blog leidt tot schade door malware?

Photo by Ed Hardie on Unsplash

Een lezer vroeg me:

Ik heb al enige tijd een blog met leuke knutselideeën voor ouders en kinderen. Nu kreeg ik laatst een mail van een bezoeker waarin staat dat een hyperlink op een blog van een jaar of drie geleden, nu niet meer naar een Minecraft knutsel leidt, maar naar een nogal dubieuze website. Daardoor bedacht ik me: stel iemand lijdt schade door zo’n rare website blindelings te bezoeken omdat ik er naar link. Ben ik dan aansprakelijk op een of andere manier?
Helaas komt het inderdaad vaak voor dat malafide types oude websites of URLs ‘kapen’, bijvoorbeeld door een verlopen domeinnaam te registeren en dan de URL naar eigen content te laten wijzen. Vaak is dat porno, maar het kan ook malware zijn die je dan oploopt als je de link volgt.

Aansprakelijk zijn voor schade vereist dat je een fout hebt gemaakt (onrechtmatige daad) die jou te verwijten valt. Dat een link nú stuk is, vind ik wat mager. Dat zou betekenen dat iedereen elke week elke link moet checken, en dat gaat me simpelweg te ver. Misschien voor grotere, professionele organisaties waarbij content maken deel van het kernproces is.

Na een tip van een bezoeker zul je wel wat moeten. Dan nog achterover zitten en zeggen “die blog is 3 jaar oud, boeien” is maatschappelijk onaanvaardbaar. Uiteraard is bewijzen dat je getipt bent, een tikje lastig voor die lezer die schade had. Maar dat is een ander verhaal.

Strafrechtelijk is er het theoretisch haakje naar artikel 350b, dat strafbaar stelt het “door schuld” verspreiden van malware. Dus niet met opzet (dat is 350a).

‘Schuld’ betekent hier zaken als onvoorzichtigheid, nalatigheid, gebrek aan voorzorg. Het moet je te verwijten zijn, dit had je niet zo moeten laten gebeuren. Eigenlijk is dat dan dezelfde discussie: had je wekelijks een linkscanner moeten draaien.

Natuurlijk mag je van iedereen verwachten die anno 2026 internet opgaat dat die een malwarescanner gebruikt. Dat ontslaat jou niet van een (eventuele) plicht om links te controleren, maar is wel een argument om de te vergoede schade omlaag te krijgen – eigen schuld, noemen juristen dat.

Arnoud

X moet Danny Mekic inzicht geven in de verwerking van zijn persoonsgegevens, oordeelt Gerechtshof Amsterdam

Photo by Google DeepMind on Pexels

Het Gerechtshof Amsterdam geeft de Nederlander Danny Mekic gelijk in zijn zaak tegen Twitter/X. Dat meldde NRC vorige week. Het is de vijfde juridische overwinning van Mekic op rij over dezelfde kwestie, maar inzage in de verwerking van zijn gegevens heeft hij nog altijd niet.

De zaak speelt al geruime tijd. Over de eerste instantie blogde ik destijds:

Technoloog en Ph.D-kandidaat Danny Meki? ontdekte in oktober dat hij op X was onderworpen aan een shadowban: weliswaar kun je zelf alles nog gebruiken, maar niemand krijgt je berichten meer te zien. Dat bleek (volgens de helpdesk van Twitter, waar verbazingwekkend genoeg nog mensen werkten destijds) te herleiden tot een artikel van de NOS dat Mekic daar gedeeld had:

“De chats van honderden miljoenen mensen worden straks gescand om een relatief klein aantal misdadigers op te sporen, hoe erg ook. ”[ [account 2] ] Veel kritiek op Europese plannen tegen kinderporno: “Niet proportioneel”

De algoritmes van Twitter vonden dit problematisch, maar Mekic kreeg geen uitleg waarom. En dat vindt de wet dan weer  problematisch, want de Digital Services Act (DSA) eist simpelweg dat je motiveert waarom -en met bewijs- je een bepaalde moderatiehandeling hebt gedaan.

De rechter gaf Mekic gelijk, maar X maakte vervolgens 90% van de documentatie die ze gaf onleesbaar “vanwege bedrijfsgeheimen”. Daarom ging Mekic in hoger beroep, wat tussentijds nog leidde tot een geschil over een spreekverbod voor Mekic, omdat men bang was dat hij de ruwe documenten zou lekken. (Niet toegewezen, uiteraard.)

Nu is er dan het inhoudelijke arrest van het Hof Amsterdam. Men loopt categoriegewijs door de ruwe informatie en licht toe waarom deze al dan niet vertrouwelijk zou moeten zijn.

Plaatsing van het NSFW label op content van [geïntimeerde] (de post van 11 oktober 2023) is de aanleiding geweest voor onderhavig geschil. … X heeft niet inzichtelijk gemaakt waarom bedrijfsgeheimen worden geopenbaard als [geïntimeerde] inzage krijgt in welke NSFW labels op zijn content zijn geplaatst.
Het argument daarbij was natuurlijk dat iedereen dan trucs gaat verzinnen om de criteria voor zo’n label te omzeilen. In het algemeen is dat een risico. Als alle criteria algemeen bekend zijn, dan is detectie een stuk minder krachtig. Maar het Hof wil graag weten waarom specifiek bij deze inzage door deze persoon voor deze posts dat risico zich conreet voordoet. En die uitleg kan X niet geven.

Iets vergelijkbaars gebeurt bij posts van Mekic die als “ongeschikt voor advertenties” zijn gemarkeerd:

Het aanmerken van een post van [geïntimeerde] als gevoelig of ongeschikt voor advertenties treft hem in die zin dat het besluit om een dergelijk label toe te kennen tot gevolg heeft dat er naast die post geen advertenties komen te staan of alleen advertenties worden getoond van adverteerders die geen instructie hebben gegeven om een bepaalde gevoeligheid, ongeschiktheid of trefwoord te mijden. Dat kan tot gevolg hebben dat de reputatie van [geïntimeerde] wordt aangetast.
Ook hier geldt dat je als bedrijf natuurlijk een commercieel belang hebt om de werking van je advertentiesysteem te beschermen. Omdat het mogelijk om “enkele tientallen” posts gaat, is er dan een “zeker risico” dat patronen in het advertentiesysteem kunnen worden herkend. Maar omdat de reden voor de markering ontbreekt, is dat nog vrij speculatief en daarmee onvoldoende.

Frustrerend voor mij is dat we uiteindelijk weinig tot geen inzicht krijgen in waarom die specifieke tweet tot dat label leidde. Meer dan de zin “Dat de post van 11 oktober 2023 is gemarkeerd omdat daarin het woord ‘kinderporno’ voorkwam, is al bekend” krijgen we niet. Maar was het dan werkelijk zó simpel, een keyword scanner maakt dat je bericht NSFW is?

Arnoud

Mag je op basis van gestolen data onthullen wat de omzet van Rockstar Games is?

Photo by trenchophotography on Unsplash

Hackersgroep Shinyhunters heeft bedrijfsgegevens van Rockstar Games gepubliceerd, meldde Tweakers vorige week. De data bestaat voornamelijk uit financiële cijfers, zoals dat Rockstar gemiddeld 9,6 miljoen dollar per week omzet draait. Dat riep discussie op: is dat nou een feit dat je mag brengen als journalistiek medium? Het komt uit gestolen bron.

Het is strafbaar (art. 139g Sr) om gegevens te verwerven of voorhanden te hebben waarvan je redelijkerwijs kunt vermoeden dat ze uit misdrijf zijn verkregen. Net als bij de Odido-datadump is dat hier evident. En deze datadump was wat mij betreft “niet-openbaar” toen Tweakers haar artikel online zette.

Er is een uitzondering voor een openbaarmaking die het algemeen belang dient. Nieuwswaarde valt daaronder. Alleen: is “Rockstar draait gemiddeld 9,6 miljoen dollar per week omzet” wel nieuws?

De meeste jurisprudentie over “is dit nieuws” komt uit de privacy-hoek, met als bekendste mijlpaal het Caroline von Hannover II-arrest. Privacy en informatievrijheid staan op gelijke voet, waarbij de discussie neerkomt op de vraag of de publicatie “bijdraagt aan een debat dat in de publieke belangstelling staat”.

Wat voor debat zou dat hier kunnen zijn? Het is nieuws dat zo’n grote organisatie als Rockstar is gehackt en zulke gevoelige informatie is gestolen, zeker. Maar daarvoor hoef je niet te citeren uit die documenten.

“Dit is de omzet van Rockstar” is als feitje wat mij betreft te mager. Rockstar als bedrijf staat niet in een groot debat over woekerwinsten, afpersen of geld aftroggelen van klanten. Iets breder geldt dat misschien wel voor de gaming-industrie, denk aan zaken als lootboxen en verslavende dark patterns waarmee mensen overgehaald worden geld in games te stoppen. Maar ik zie Rockstar niet prominent in dat debat naar voren komen.

Het zijn natuurlijk opmerkelijke cijfers waar je boeiende inzichten uit kunt halen. Maar “only around 4 percent of GTA Online players were spending money on the game” is een leuk gegeven, maar is dat een debat, iets waar we het over moeten hebben met z’n allen?

Arnoud

Mag je leeftijdsherkenningsoftware misleiden met een AI filter op je gezicht?

Photo by ALEXANDRE DINAUT on Unsplash

Roblox wil door middel van gezichtsherkenning de leeftijd van mijn kind verifiëren en gebruikt daarvoor scansoftware via Persona. In hoeverre is het illegaal om die scan-software te misleiden met bijvoorbeeld een AI image of, lo-tech, een masker of iets dergelijks?

Sommigen denken hierbij aan valsheid in geschrifte (art. 225 Strafrecht), maar dat gaat hier niet op. Afbeeldingen (foto’s of video) zijn geen ‘geschriften’ in de zin van de wet. Daar moet het echt gaan om communicatie met tekens of symbolen. Een afbeelding kan zulke tekens bevatten, zoals bij een foto van een geschreven brief. Maar een foto van een gezicht is geen geschrift.

Sinds enige tijd is er een apart artikel (231a Sr) over valse biometrische kenmerken. Lid 1 hiervan stelt strafbaar het vervalsen van biometrische persoonsgegevens met als doel je eigen identiteit te verbergen (‘verhelen’) of die van een ander te misbruiken. Dat is hier niet aan de orde, maar lid 2 vult aan:

Met dezelfde straf wordt gestraft hij die in gevallen waarin biometrische kenmerken of biometrische persoonsgegevens worden gebruikt voor het vaststellen van iemands identiteit, opzettelijk gebruik maakt van valse of vervalste biometrische kenmerken of biometrische persoonsgegevens als waren deze echt en onvervalst met het oogmerk om zijn identiteit te verhelen of de identiteit van een ander te misbruiken of opzettelijk gebruik maakt van biometrische kenmerken of biometrische persoonsgegevens van een ander met het oogmerk om de verdenking van een strafbaar feit op de ander of niet op hem te doen ontstaan.
Wie dus biometrie vervalst om zo een identificatie te misleiden, óók als het alleen om je eigen kenmerken gaat, kan dus strafbaar zijn onder dit artikel. Onder ‘vervalsen’ kunnen ingewikkelde chirurgische ingrepen vallen, maar een masker of een AI-beeldmanipulatie in de context van video-scanning valt er wat mij betreft ook duidelijk onder.

Het probleem zit hem voor mij in “vaststellen van identiteit”. Het vaststellen hoe oud je bent, staat los van wat je paspoortnaam is. Roblox biedt bijvoorbeeld de optie om leeftijdverificatie met AI te doen zónder voorafgaand een identiteitsbewijs te hoeven zien. De beeldherkenning analyseert dan grofweg hoe oud je bent.

Nergens in de wetsgeschiedenis is uitgewerkt of naast ‘identiteit’ ook een leeftijdscontrole hier onder zou moeten vallen. Dat zou m.i. ook niet helemaal logisch zijn: het primaire doel was kunnen aanpakken van omzeilen van biometrische identificatie, bijvoorbeeld door je vingerafdrukken te manipuleren of plastische chirurgie zodat je niet meer lijkt op je politiefoto. Ik denk dus niet dat het strafbaar is om een leeftijdsverificatie zónder tevens identiteitscontrole te misleiden.

Natuurlijk is het wel in strijd met de gebruiksvoorwaarden, en kan een aanbieder zoals Roblox je account blokkeren wegens schending daarvan, mocht het uitkomen.

Arnoud