Niet noemen open source licentie is auteursrechtinbreuk

Geplaatst op in Intellectuele rechten, 6 reacties

Apollo Fintech maakte inbreuk op het auteursrecht van Jelurida door een cryptomunt aan te bieden die is gebaseerd op de ‘Nxt software’, zonder daarbij de licentie van Jelurida (de Jelurida Public License of ‘JPL’) te verstrekken, zo meldde Rechtspraak.nl onlangs (via). Leuk dat dan ‘JPL’ tussen aanhalingstekens moet als kennelijk gekke term, terwijl cryptomunt gewoon ingeburgerd is. Maar dat terzijde: vrij uniek dat er rechtszaken komen over de naleving van open source licenties. Het is hier natuurlijk weer een speciaal geval, een ruzie tussen twee groepen die werken aan dezelfde software.

De Nxt software implementeert blockchains, en de organisatie Jelurida is ooit begonnen met de Nxt software te ontwikkelen. Zij gebruikt daarbij de Jelurida Public License, een zo te lezen van de GPL afgeleide eigen licentie met een paar opmerkelijke bepalingen. Of je de JPL écht open source kan noemen is  daarom de vraag: de licentie eist een betaling in jouw eigen cryptomunt als je met die software een alternatieve blockchain maakt die niet compatibel is met de originele. Dat is niet helemaal hoe we open source normaal bedoelen, namelijk dat alles mag en je nooit hoeft te betalen. Maar dat terzijde.

Een paar jaar later kwam er de club Apollo, die haar eigen cryptomunt aanbiedt. Daarbij dreef zij op de Jelurida software, iets dat in eerste instantie ook erkend werd in de Github, maar ergens in 2019 verdween de licentievermelding en de tekst van de JPL. Onduidelijk is waarom, en in augustus 2020 kwam die vermelding ook weer terug, maar (mogelijk vanwege een breder gevoel van onvrede) toch stapte Jelurida naar de Nederlandse rechter (vanwege de forumkeuze uit de JPL).

De uitspraak heeft toch de nodige pareltjes. Zo was er meteen ruzie over of de ontwikkelaars van de Nxt software hun rechten wel aan Jelurida hadden afgestaan. Die hadden dat wel toegezegd, maar in digitaal getekende tokens en niet in officiële aktes. Dat is wel héél hypermodern (ik weet dat digitale aktes ook kunnen, maar is een token op de blockchain een akte):

Of overdracht onder een pseudoniem, in een Nxt Token, voorzien van een GPG public key en een Nxt account nummer, voldoet aan het dan geldende aktevereiste zal in dat geval ook moeten worden beoordeeld naar buitenlands recht.
Gelukkig voor Jelurida bleken er ook ouderwetse ontwikkelaars te zijn, die keurig een overdrachtscontract getekend hadden. Daarmee had men de ruimte om de claim te doen.

De volgende stap was discussie of Jelurida de licentie wel van de GPL (geldend op versie 0) mocht omzetten naar hun eigen JPL, omdat niet alle developers daarmee ingestemd zouden hebben. De kortgedingrechter veegt dat snel van tafel: te weinig bewijs dat daar rechthebbenden op tegen waren.

En dan de hamvraag: was het auteursrecht geschonden. Apollo had de software grondig herzien:

Niet in geschil is dat Apollo de Nxt Software heeft bewerkt en coderegels heeft toegevoegd bij het ontwikkelen van de Apollo Software. Jelurida heeft een rapport van 19 augustus 2020 van dr. A.K. Seewald overgelegd, waarin de code base van de Nxt public blockchain platform en de Apollo Foundation codebase met elkaar worden vergeleken. Seewald concludeert dat de Apollo Software een significant deel van de Nxt Software code bevat op bestand-, functie- en coderegelniveau. Tussen de 60% en 73% van de functies van de Nxt Software komen voor ten minste 50% overeen met functies van de Apollo Software. Driekwart van die overeenkomende functies is identiek. Van die overeenkomende functies kan 93% van de coderegels worden teruggevoerd op de core developers van de Nxt Software. Apollo stelt echter 400.000 regels aan eigen code te hebben toegevoegd en de code te hebben ge-refactored, met als resultaat dat de Apollo Software een wezenlijk ander product is dat voldoende van de Nxt Software verwijderd is om als zelfstandig werk te kunnen worden aangemerkt.
Dat laatste is geen argument: refactoring is juridisch gezien een vertaling of verfilming. Het betekent dat je het oude werk opnieuw weergeeft in een andere vorm, maar niet dat je alle brokjes creativiteit uit het origineel kwijt bent geraakt. En dat laatste is het enige argument dat je op tafel moet leggen. Iets is pas nieuw als al het oude (oké, al het creatieve oude) eruit verdwenen is.

Inbreuk dus. En in dit geval is dat een hele simpele: alleen al dat je de credit notice naar de originele licentie hebt verwijdert, maakt dat je deze schendt. En daarmee is de licentie automatisch vervallen, zij het dat het probleem natuurlijk wel in 2020 weer hersteld was. De rechtbank bepaalt dan ook (met dwangsom) dat Apollo zich netjes aan de licentie moet blijven houden, en al haar zakelijke klanten moet benaderen om ze de inbreukmakende versie te laten vernietigen. Schadevergoeding is niet aan de orde (het is een kort geding) maar wel moeten ze een kleine 40.000 euro proceskosten betalen.

Arnoud

 

Banken en verzekeraars mogen niet zomaar meewerken aan ransomware-betalingen

Geplaatst op in Ondernemingsvrijheid, 26 reacties

De VS waarschuwen banken en verzekeraars dat ze mogelijk de wet overtreden wanneer ze ransomware-losgeld betalen aan criminelen, las ik bij Trouw onlangs. Allereerst omdat je dan met verdachte transacties te maken hebt (je gaat ineens in bitcoin betalen) en ten tweede omdat je nog wel eens aan partijen in sanctielanden (zoals Noord-Korea, Wannacry) blijkt te betalen, en dat is keihard verboden. Ook in Nederland moeten financiële instellingen betalingen melden die met ransomware te maken hebben. Dat kan nog wel eens knap ingewikkeld worden.

Een tijd geleden schreef ik over wat een instantie moet doen die zijn data of systemen gegijzeld ziet. Als betalen werkelijk de beste optie is (er is geen goede backup, er is urgentie, etc) dan zullen mensen daar toch snel toe geneigd zijn. En ik moet zeggen, ik begrijp dat wel als je slachtoffer bent. Ook al is het zakelijk, het doet echt pijn zo’n datagijzeling.

Daar staat natuurlijk tegenover dat je een crimineel businessmodel in stand houdt, wat maatschappelijk niet wenselijk is. Maar er is geen algemene regel dat je geen losgeld mag betalen, of niet het verdienmodel van criminelen in stand mag houden. Ik zie het echt als een stukje nood, als je dat zelf doet. Doe je het als professioneel ingeschakelde hulppersoon, zoals een cybersecuritybedrijf of verzekeraar, dan wordt dat anders. Dan is het echt een zakelijke keuze dat je criminelen wilt belonen in plaats van strafbare feiten op wilt (laten) sporen, en dan wordt het een heel ander verhaal voor mij.

In Trouw lees ik dat verzekeraars niet direct aan gijzelnemers betalen. Hooguit wordt soms een slachtoffer schadeloos gesteld dat zelf koos voor betaling. Ik denk dat dat nog net door de beugel kan, aangenomen dat er natuurlijk niet aangespoord is om “gewoon te betalen en dan krijg je het van ons vergoed”.

Arnoud

Thuiskopieheffing gaat bij aankoop smartphones flink omhoog naar 7,30 euro

Geplaatst op in Intellectuele rechten, 82 reacties

De Stichting Onderhandelingen Thuiskopievergoedingen, ofwel SONT, heeft de hoogte van de thuiskopievergoeding voor smartphones verhoogd naar zeven euro dertig, las ik bij Tweakers. Inderdaad, zeven euro dertig (voor juristen: €7,30), een verhoging met 50% van het oude tarief van €4,70. Als verklaring voor de verhoging voor smartphones wordt genoemd dat het maken van thuiskopieën op de smartphone in de lift zit. Want je kunt in Spotify en Netflix een aflevering of andere content unit offline beschikbaar maken, en dat is hetzelfde als er een cd van branden. Eh ja, precies.

Ik geloof dat er niemand op deze blog is die blij wordt van het onderwerp thuiskopieheffing, in ieder geval niet sinds downloaden uit illegale bron verboden werd verklaard. Het basisidee blijft natuurlijk raar: iedereen moet betalen voor eventuele inbreuken op auteursrechten, ongeacht of zij die maken en ongeacht wat de schade daadwerkelijk zou zijn geweest. De gedachte erachter (uit de jaren zeventig) is dat je anders óf opname-apparatuur moet verbieden óf bij mensen thuis auteursrechten moet gaan handhaven, en beiden werken natuurlijk niet.

Het begint alleen nu alleen anno 2020 wel nogal te wringen met dat idee, dat het gemiddeld toch eerlijk uitkomt als iedereen gewoon zeven euro aan stichting Thuiskopie geeft, die dan met een voor mij onnavolgbare verdeelsleutel zorgt dat dat bij Marco Borsato en John de Mol terecht komt, als ik het goed zeg. Helemaal omdat het al lang niet meer gaat om zelfgebrande dvd’s of usb-harddisks vol met mp3’s, mp4’s en mkz’s (al dan niet van nzb’s, hoi Tim) maar hier dus echt om het gegeven dat een smartphone in het interne geheugen een tijdelijke kopie maakt van als offline gemarkeerde content in streamingdiensten.

Ik zag dat elektronicaproducentenvereniging NLDigital zich ook al boos maakt hierover, met name omdat het proces helemaal is vastgelopen:

We zitten al jaren in een complete patstelling. Meningsverschillen worden zelfs via de rechter uitgevochten. De huidige regeling is gewoon op, de hoogte van de heffing sluit helaas totaal niet meer aan bij het mediagebruik in het huidige streamingtijdperk.
Maar, dat u het weet: u slaat gemiddeld 13 thuiskopieheffingsplichtige werken op uw smartphone op. Het gaat dan eigenlijk altijd om gedownloade werken binnen een streamingabonnement, zo lees ik in dat rapport. Maar dat voelt voor mij wel misleidend: een download is iets waar ik heerschappij over heb. Zo’n kopie in het applicatiegeheugen van Spotify of Netflix daar heb ik niets over te zeggen, die is weg zodra de dienstaanbieder dat wil.

Arnoud

Mag je zelf bepalen wanneer je een datalek meldingswaardig vindt?

Geplaatst op in Privacy, 21 reacties

Tientallen keren per jaar komt privacygevoelige informatie van patiënten door datalekken bij het Noordwest Ziekenhuis in Alkmaar en Den Helder in verkeerde handen terecht. Dat las ik bij Langedijk Centraal, dat het weer van het Noordhollands Dagblad had. Vaak gaat het om verkeerd geadresseerde post, maar ook om rondslingerende usb-sticks of geneus zonder toestemming. En, zo lazen diverse tipgevers,  “Over het algemeen is degene die onbedoeld met informatie over een ander in aanraking komt een betrouwbare partij die het netjes terug bezorgd. Dat hoeft niet te worden gemeld aan de Autoriteit Persoonsgegevens of de betrokkene.” Met dus het welbekende CBR-motto er achteraan.

Volgens de AVG is iedere vorm van inbreuk op de beveiliging van persoonsgegevens een datalek (artikel 4 definitie 12), als die leidt tot al dan niet bedoelde verwerking in strijd met de AVG. Dus inderdaad is het verkeerd versturen van medische informatie een datalek, een usb-stick met onbeveiligde dossiers laten slingeren ook en het zonder bevoegdheid lezen van iemands medische statuschart eveneens.

Ieder datalek moet worden gemeld bij de AP (artikel 35 AVG), en wel zo snel mogelijk. Dus niet “binnen 72 uur”, dat is alleen de bovengrens voor “zo snel mogelijk”. Er geldt alleen een grote uitzondering:

tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen
De richtsnoeren van het Comité noemen als voorbeeld hiervan het feit dat het nieuwsbriefsysteem van een energiebedrijf er door een storing een week uitligt, zodat de klanten geen nieuwsbrief met nuttige weetjes over energiebesparing krijgen. Dat is geen risico voor die klanten, dus dit datalek (onbeschikbaarheid van persoonsgegevens) hoeft niet te worden gemeld.

Bij medische informatie zou je toch snel aannemen dat je wél een risico hebt. Maar de ziekenhuiswoordvoerder lijkt te doelen op de specifieke situatie dat de ontvanger betrouwbaar is en dus geen misbruik van de gegevens maakt. Bijvoorbeeld wanneer iemand bij de rookpaal een usb-stick vindt, die inlevert bij de receptie waar net twee minuten eerder een arts zich meldde met “heeft iemand een usb-stick gevonden”. Dan kun je zeggen, de kans is zeer klein dat er misbruik van de stick is gemaakt (natuurlijk, het kán dat de vinder snel een kopie heeft getrokken maar hoe waarschijnlijk is dat), en dan hoef je dat niet te melden.

Ik heb zelf wel eens een Excelsheet met persoonsgegevens per abuis naar mijn notaris gemaild in plaats van naar de beoogde ontvanger (zelfde voornaam, Outlook, jaja precies). Dat vond ik geen meldingsplichting datalek omdat de notaris geheimhouding heeft, en als die dan zegt het bestand meteen te vernietigen dan is dat genoeg. Maar dat gaat dus goed vanwege de speciale status van die notaris én de werkrelatie die ik met die persoon heb.

Ik ken ook het verhaal van iemand die klant A een lijst persoonsgegevens mailde die voor klant B bedoeld was. Daar hing hij binnen 30 seconden aan de lijn bij A, die vertelde in het gesprek “ik druk nú op delete en nú op prullenbak leeg” en daarna bevestigde hij dat schriftelijk, inclusief de toezegging “ik vertel niets hierover en mochten er backups zijn dan gooi ik het bestand daaruit ook weg; als ik lieg mag je me 100% aansprakelijk stellen”. Dat is denk ik ook wel genoeg, gezien de grote snelheid en de betrouwbaar overkomende reactie.

In het algemeen zeggen “het leek zo’n aardige man/vrouw” zou ik daarentegen wat mager vinden. Je neemt dan een risico, maar ik zie het ergens wel: waarschijnlijk heb je een langdurige patiëntrelatie met mevrouw A, dus als de behandelend arts die belt en zegt “ach wilt u die brief aan B in de kachel stoppen” en mevrouw reageert positief, dan kun je wel aannemen dat A dat ook echt doet. Ik zou die brief dan niet melden – als het om één (of een handvol) brieven gaat. Stuurde je er 500 naar verkeerde personen, dan is dat nabellen nauwelijks te doen én is er vast wel iemand die kwaad wil.

Arnou

Heeft die consent-balk van Teams bij video-opnames ook maar enige betekenis?

Geplaatst op in Ondernemingsvrijheid, Privacy, 29 reacties

Via Twitter:

als tijdens een videooverleg de organisator ‘opnemen’ aanzet dan lijkt dit me geen AVG-conforme manier om toestemming omdat die ‘vrijelijk’ gegeven moet worden.
Ik verbaas me ook regelmatig over dat balkje bovenin de meeting, met de tekst “This meeting is being recorded. By joining you are giving consent for this meeting to be recorded.” Eh nee, zo werkt het niet. Maar dit is dan weer zo’n ding waar het gewoon zo gaat en we dat met een zucht accepteren. Het lijkt wel het digitale equivalent van dat “de directie stelt zich niet aansprakelijk”-bordje (waar ik nog steeds meer voorbeelden van zoek, trouwens) te worden.

Inderdaad valt het opnemen van zakelijke meetings onder de AVG. In theorie zou het kunnen dat iemand dit voor strikt persoonlijk gebruik opneemt, maar laten we even uitgaan van een zakelijke meeting en een organisator die structureel opneemt en dat in bijvoorbeeld het zaakdossier opneemt.

Met toestemming van je deelnemers mag dat natuurlijk. Alleen: die moet vrijelijk worden gegeven, en bovendien met een actieve handeling. “Door daarnet het gesprek binnen te komen, heeft u toestemming gegeven” is daarbij een tikje laat. Die tekst had vóór het binnenkomen getoond moeten worden om überhaupt in aanmerking te komen voor de kwalificatie van toestemmingsvraag. Maar ik heb nog geen enkele meeting gehad waarbij Teams voorafgaand aan het binnenkomen me meldt dat er opgenomen gaat worden. Raar.

Zonder toestemming een meeting opnemen ligt lastig. Het kan wel: als de opname noodzakelijk is voor het werk, bijvoorbeeld voor collega’s die terug moeten kijken, dan zie ik het wel als legaal. Of als een organisatie een groot belang heeft bij de opname, de videoregistratie van een jaarvergadering wellicht als bewijs van wat er afgesproken is. Hoewel je natuurlijk daar meteen tegenover kunt stellen dat er ook notulen zijn, dus waarom moeten mensen de hele vergadering terugkijken?

(Dat laatste is de innovatieparadox uit de AVG: nieuwe dingen mogen eigenlijk nooit, want er is een bestaand oud ding dat eigenlijk net zo goed is. Dus er is geen noodzaak. En als er geen bestaand ding is dat je vervangt met je nieuwe ding, dan is het hoog risico of geen nut, dus ook geen noodzaak.)

Arnoud

 

Facebook mag pagina’s offline halen die in strijd zijn met haar eigen COVID-19 beleid.

Geplaatst op in Uitingsvrijheid, 18 reacties

Facebook mag pagina’s offline halen die in strijd zijn met haar eigen COVID-19 beleid, las ik bij Rechtspraak.nl. Dat is gek, want Youtube mocht laatst juist niet bepaalde video’s offline halen omdat ze in strijd waren met haar eigen regels.

De betreffende Facebook-regels dateren uit januari. Sinds die tijd “werkt Facebook samen met wereldwijde organisaties zoals de Wereldgezondheidsorganisatie (WHO) en UNICEF om hen te helpen bij de bestrijding van verspreiding van informatie over COVID-19 die schadelijk zou kunnen zijn voor de volksgezondheid”, lees ik in het vonnis. Dat komt zo terug in de voorwaarden:

Nu mensen over de hele wereld worden geconfronteerd met deze ongekende noodsituatie voor de volksgezondheid, willen we er zeker van zijn dat onze richtlijnen voor de community mensen beschermt tegen schadelijke inhoud en nieuwe typen misbruik die zijn gerelateerd aan COVID-19. We werken eraan inhoud te verwijderen die mogelijk schade in de echte wereld kan toebrengen, zoals door ons beleid voor het verbod op de coördinatie van schade, verkoop van medische maskers en gerelateerde goederen, haatdragend taalgebruik, pesten en intimidatie en desinformatie die bijdraagt aan het risico op dreigend geweld of fysieke schade.
In juli dit jaar ontdekte horeca-belangenorganisatie Smart Exit dat haar Facebookpagina “Nee tegen 1,5 meter” was verwijderd, en bij navraag werd gemeld dat dat was vanwege overtreding van dit beleid. Ook de organisatie Viruswaanzin overkwam iets dergelijks, al blijkt vervolgens onduidelijk wat er nu precies bij wie verwijderd was. De rechtbank wijst de eis niet af vanwege deze onduidelijkheid, omdat het gaat om een algemene vraag: mag Facebook eigen beleid voeren over wat je wel  en niet mag zeggen over COVID-19?

Die discussie is terug te voeren op wat juristen noemen de horizontale werking van de vrijheid van meningsuiting. Die vrijheid geldt namelijk in principe tegen de overheid (“verticale werking”): die mag jou niet verbieden je mening te uiten, behalve voor zover noodzakelijk én wettelijk geregeld. Andere burgers (of bedrijven) zijn niet zo hard gebonden aan dat verbod. Die hoeven niet mee te werken en mogen je zelfs hinderen.

Pas als de vrijheid van meningsuiting als geheel in gevaar komt, dan kan dat anders komen te liggen. Dat is precies waar het Appleby-arrest over gaat (dat vanwege de AVG kennelijk nu het [partij]/Verenigd Koninkrijk-arrest heet):

Where, however, the bar on access to property has the effect of preventing any effective exercise of freedom of expression or it can be said that the essence of the right has been destroyed, the Court would not exclude that a positive obligation could arise for the State to protect the enjoyment of the Convention rights by regulating property rights.
Facebook heeft weliswaar een enorm bereik met haar platform, maar dat is op zichzelf nog geen argument dat zij dus maar iedere mening toe moet staan. Sterker nog: als je dat citaat hierboven goed leest, dan staat er dat in zo’n situatie de overheid iets moet doen, namelijk een wet maken om Facebook op dit punt te reguleren. Niet dat Facebook dan automatisch alles toe moet laten.

Indirect heeft de vrijheid van meningsuiting wel effect op relaties tussen burgers onderling. In juridische taal, deze werkt door in bijvoorbeeld de redelijkheid en billijkheid of de maatschappelijke betamelijkheid. Ook dan is het geen automatisme dat je dus alles moet mogen zeggen, een toetsing blijft vereist. En in dit geval valt die uit in het voordeel van Facebook:

In het licht hiervan wordt wel het volgende overwogen. Facebook handelt door haar COVID-19 beleid te hanteren voorshands niet in algemene zin in strijd met hetgeen – naar huidige opvattingen – maatschappelijk betamelijk is. Zij heeft een maatschappelijke plicht om zich te houden aan overheidsrichtlijnen, tenzij die evident onjuist zijn. Dat is voorshands niet het geval. Het wetenschappelijk en maatschappelijk debat over COVID-19 en wat passende en doeltreffende maatregelen zijn, is nog gaande.
En dan gaat de rechtbank nog een stapje verder. Want Facebook volgt de Europese aanbevelingen van de overheid, en die aanbevelingen moet je dan juist zien als een (softe) regulering van het spanningsveld tussen de uitingsvrijheid, de volksgezondheid en de belangen van Facebook en haar gebruikers. Daarmee doet Facebook dus eigenlijk al precies

En wat is nu het verschil met Youtube? Daar werd vooral gezegd dat in het algemeen kritische uitingen op overheidsbeleid en wetenschappelijke bevindingen niet zomaar tegengehouden mag worden, maar wel gevaarlijke uitingen afkomstig van een huisarts: die nemen mensen eerder serieus. Dus dat voelt als een specifieker geval dan deze uitspraak.

Arnoud

Compliance en risicomanagement bij Artificiële Intelligentie leren? #legaltechtuesday

Geplaatst op in Iusmentis, 4 reacties

Steeds meer organisaties zetten Artificial Intelligence (AI) in. Dit versnelt beslissingsprocessen en schept nieuwe inzichten omtrent risico’s, klanteigenschappen en commerciële kansen. Deze techniek is zeer nieuw en haar inzet roept dan ook vele vragen op over de juridische en ethische randvoorwaarden. Mag dat wel, een computer laten beslissen? Welke kaders hanteer je om een verantwoorde inzet van AI te realiseren? Wordt het tijd voor een AI Compliance Officer?

De inzet van AI biedt nieuwe mogelijkheden. Bestaande processen kunnen fors worden versneld door menselijke tussenkomst te vervangen door een AI. Zo zou een AI-bewaker bagage van bezoekers kunnen screenen op ongewenste voorwerpen, en deze doet dat dan veel sneller dan een mens (en is bovendien om vijf uur niet moe en afgeleid). Een verzekeraar zou een AI in kunnen zetten om claims te kunnen analyseren.

Dergelijke analyses hebben echter ook diverse risico’s. Zo staan AI’s er om bekend dat zij bestaande vooringenomenheid (bias) uit de onderliggende data sterk uitvergroten, wat kan leiden tot ongewenst gedrag zoals discriminatie. Ook is het vaak lastig duidelijke uitleg te krijgen over hoe een AI tot zijn conclusie komt: dergelijke data-analyse is volkomen onvergelijkbaar met een menselijk gedachteproces.

Deze risico’s maken organisaties nog steeds huiverig over de inzet van AI. Ook de wetgever heeft niet stilgezeten: in de Europese privacywet GDPR is een expliciet verbod opgenomen om mensen aan besluiten te onderwerpen die door een AI zijn genomen. Hoe dan ook grip te krijgen op AI, en te zorgen voor een nette, ethisch verantwoorde inzet, is een lastige vraag voor veel organisaties.

In 2019 publiceerde de Europese Commissie de Ethics Guidelines for trustworthy AI. Onder “ethisch” verstaat men niet alleen het voldoen aan wettelijke regels, maar ook aan meer algemene ethische principes. Ethische AI bestaat uit drie componenten, waaraan gedurende de volledige levenscyclus van het systeem moet worden voldaan: de AI moet

  1. wettig zijn, door te voldoen aan alle toepasselijke wet- en regelgeving,
  2. ethisch zijn, door naleving van ethische beginselen en waarden te waarborgen, en
  3. robuust zijn uit zowel technisch als sociaal oogpunt, aangezien KI-systemen ongewild schade kunnen aanrichten, zelfs al zijn de bedoelingen goed.
Uitgaande van deze drie componenten komen de richtsnoeren tot zeven vereisten voor AI-systemen:
  1. Menselijke controle en toezicht
  2. Diversiteit, non-discriminatie en rechtvaardigheid
  3. Technische robuustheid en veiligheid
  4. Transparantie en verklaarbaarheid
  5. Privacy en datagovernance
  6. Maatschappelijk en milieuwelzijn
  7. Verantwoording en controleerbaarheid
Het toetsen aan deze vereisten komt in de praktijk neer op het welbekende proces van compliance: formuleer criteria waarmee naleving kan worden gemeten, zorg dat mensen doordrongen zijn van het belang van naleving en toets op de criteria. Dat dan ook nog eens op een positieve manier; nee zeggen is altijd makkelijk, maar technologie op een compliant en werkbare manier de markt op krijgen is een stuk lastiger.

Omdat het hier ook nog eens gaat om geavanceerde technologie en vaak vele partijen betrokken zijn, is AI compliance een uitdagende kwestie. Een AI compliance officer moet dan ook behoorlijk thuis zijn in wetgeving, techniek en de toepassingspraktijk.

Ik vond dit zo’n leuke dat ik de afgelopen weken eigenlijk alleen heb gewerkt aan mijn nieuwe leergang AI in de praktijk: compliance & governance. Deze online leergang is speciaal ontwikkeld voor informatieprofessionals, juristen en compliance officers die aan de slag moeten of willen met AI en de toetsing daarvan. Geen blokkades opwerpen, maar zorgen dat bedrijven en instanties aan de slag kunnen. Weten wat er wel kan en hoe dat wordt bereikt.

De stof wordt volledig online aangeboden. Met geavanceerde vormen van elearning kan de cursist eenvoudig werken en effectief de stof tot zich nemen. De docent is online beschikbaar voor 1-op-1 overleg, en via een discussieforum kunnen cursisten met elkaar overleggen en brainstormen.

Met dat forum is trouwens iets bijzonders: het wordt aangeboden door een fictief Nederlands dorp. De leergang kent namelijk een serious game element, waarbij deelnemers optreden voor bedrijfsleven en overheid in dat dorp om te zorgen dat AI-initiatieven volledig compliant én bruikbaar worden. Hoe beter men het spel speelt, hoe hoger het dorp scoort in de wereldwijde competitie van de Most AI-focused city in the world, bijgehouden door het fictieve United Nations Office for Global AI (UNOGAI). Bij pittige onderwerpen als deze is serious gaming een bewezen techniek om leren effectiever te maken.

Durf jij de uitdaging aan? Op 1 februari gaat de eerste ronde van start. Meer informatie en de inschrijfmogelijkheid vindt u bij ICTRecht.

Arnoud

 

 

 

Mag mijn webhoster ons cms schrappen volgend jaar?

Geplaatst op in Ondernemingsvrijheid, 23 reacties

Een lezer vroeg me:

Onze websitebouwer en hosting bedrijf stapt over op een ander (en volgens hun veiliger) cms systeem. Het cms dat we nu gebruiken zal per 1 juli bevroren worden en per 1 januari daarna offline gehaald worden. Kunnen zij dat eenzijdig zeggen? Dit geeft ons enorme kosten, onder meer 5000 euro voor de migratie van alle content en verdubbeling van de maandelijkse kosten.
Het voelt natuurlijk nogal vervelend om over te moeten naar een nieuw systeem terwijl het huidige nog prima lijkt te werken. Maar onderhoud van software is duur, met name als de software steeds ouder wordt. Ik begrijp de stap van de websitebouwer/hoster dus wel.

Ik moet zeggen dat ik in dit geval de gegunde termijnen (een dik half jaar nog alles kunnen doen en daarna nog zes maanden gebruiken zonder aanpassingen in het cms) best schappelijk vind. Ik krijg deze vraag vaker maar dan zijn de termijnen eerder in weken uitgedrukt. Een periode van dik een jaar om te migreren naar een andere leverancier voelt best redelijk, en dat maakt dat ik eigenlijk geen juridisch argument tegen kan bedenken.

Ja, als er in de voorwaarden of SLA zou staan dat de software nog een aantal jaren mee moet kunnen natuurlijk. Maar ik ken geen leverancier die zichzelf zo hard vast gaat pinnen zonder behoorlijke vergoeding. Of als heel recent het contract is vernieuwd voor een paar jaar en het cms een belangrijk deel van de dienst is. Maar dat is vrij uitzonderlijk.

Arnoud

Autoriteit Persoonsgegevens waarschuwt voor inzet van slimme deurbellen

Geplaatst op in Privacy, 23 reacties

Deurbellen met een ingebouwde camera mogen niet zomaar worden opgehangen richting buren of de openbare weg, waarschuwt de Autoriteit Persoonsgegevens tegen de NOS. Volgens marktonderzoeker Multiscope heeft een half miljoen huishoudens inmiddels zo’n slimme deurbel. Wat er slim aan die deurbellen is, vermeldt het onderzoek overigens niet. Maar het probleem is natuurlijk dat dan (vaak) ook de openbare weg wordt gefilmd. En dat mag niet zomaar, en het is altijd een héle discussie wat dan de randvoorwaarden zijn.

Een deurbel die mensen filmt, verwerkt persoonsgegevens. Het doet er dan niet direct toe of je de beelden meteen weggooit of juist maandenlang bewaart. Dit valt dan onder de AVG, tenzij je het filmen zo inricht dat je niet “buiten de privésfeer geraakt van degene die door middel van dit systeem gegevens verwerkt”. Oftewel, zolang je niet  de openbare weg filmt.

In de meeste gevallen hangen dergelijke surveillancecamera’s echter zo dat ze wel de openbare weg filmen. De kern van het probleem is namelijk dat je de aanbeller (of portiekophouders) frontaal wil kunnen zien voor de herkenning, en vrijwel altijd is de openbare weg zichtbaar achter die personen. Huizen met grote voortuin en de bel pas bij de voordeur zijn sterk in de minderheid.

Het is echter niet verboden, omdat je wel degelijk een eigen legitiem belang kunt hebben bij dat filmen. Je wilt namelijk weten wie er aan de deur staat, wie zich ophoudt in je portiek en ga zo maar door. Dat valt onder het kopje beveiliging en is in principe een legitieme reden onder de AVG. Je komt dan ook uit bij de belangenafweging: is die camera van jou nodig en proportioneel voor dat doel? En heb je redelijke maatregelen ter bescherming van passanten en andere betrokkenen genomen?

Als je de AVG zuiver leest, dan ontkom je niet aan een duidelijke waarschuwing en een reglement cameratoezicht. Daarin moet je dan onder meer uitgewerkt hebben wanneer er wordt gefilmd, wat je met de beelden doet en hoe lang je ze bewaart. Dat doet natuurlijk niemand, en daarom waarschuwt de AP nu maar eens via de massamedia.

Weet je wat slim zou zijn van zo’n camera? Een automatische achtergrond-uitknipper net zoals Zoom en Teams hanteren. Dan zie je wel wie er voor de deur staat (dat was zeg maar het punt van een deurbel) maar worden passanten geblurd terwijl ze langslopen.

Arnoud