Chatbots geven vertekend stemadvies, mag dat van de AI Act (en de AVG)?

Geplaatst op in Privacy, Regulering, 8 reacties
Bron: Onderzoek Autoriteit Persoonsgegevens

Een onderzoek van de Autoriteit Persoonsgegevens laat zien dat chatbots niet neutraal functioneren in vergelijking met traditionele stemhulpen, zoals Kieskompas en StemWijzer. Dat meldde de toezichthouder vorige week. Goed om te weten, maar het riep bij velen de vraag op: is daar juridisch wat aan te doen, bijvoorbeeld vanuit de AVG of AI Act?

Uit het persbericht:

De AP vergeleek 4 bekende chatbots met de online stemhulpen Kieskompas en StemWijzer. Uit het onderzoek blijkt dat de chatbots opvallend vaak op dezelfde 2 partijen uitkomen, ongeacht de vraag of opdracht van de gebruiker. In ruim 56% van de gevallen staat de PVV of GroenLinks-PvdA bovenaan. Bij één chatbot is dat zelfs in meer dan 80% van de gevallen zo. Andere partijen, zoals D66, SP, VVD of PvdD, komen veel minder vaak als eerste keuze naar voren. Sommige partijen, zoals BBB, CDA, SGP of DENK, zelfs bijna nooit.
Het plaatje hiernaast (klik voor groot) illustreert het effect scherp. Deze chatbots zijn geen databanken met kennis, of zelfs maar analysemachines die verkiezingsprogramma’s lezen en daar een match mee maken. Cynische ik ziet in deze resultaten een simpele vertaling van de links/rechts dichotomie op basis van gescheld op Reddit en elders.

Bij totstandkoming van de AI Act is gesproken over het risico van verkiezingsbeïnvloeding. Daarom staat als hoogrisico aangemerkt

AI-systemen die bedoeld zijn om te worden gebruikt voor het beïnvloeden van de uitslag van een verkiezing of referendum of van het stemgedrag van natuurlijke personen bij de uitoefening van hun stemrecht bij verkiezingen of referenda.
De discussie bij de grote chatbots is echter altijd of deze wel ‘bedoeld’ zijn voor specifieke dingen. Als je alles er mee kan, zijn ze dan voor alles bedoeld of nergens voor? Bovendien, is hier wel spraken van “beïnvloeden” als je een op basis van een vraag een taalpatroon oplepelt met als strekking dat GroenlinksPVDA goed bij je past?

De AVG dan maar, het duizenddingendoekje van het ict-recht? De AP zelf waagt zich er niet eens aan. Ik denk dat je nog net kunt zeggen dat hier sprake is van profileren: mensen stoppen er informatie over zichzelf in, en de chatbot correleert dat met een politiek standpunt. Maar omdat dat vervolgens niet tot een besluit leidt, is daar AVG-technisch weinig mis mee.

Het theoretisch standpunt (en de reden dat ik de AVG ‘duizenddingendoekje’ noem) is dat verwerking van persoonsgegevens juist moeten zijn (art. 5 lid 1 punt d AVG) en deze conclusie dat vrij zeker niet is, of hooguit dan per ongeluk. Daarmee is de verwerking dan onrechtmatig. Maar zo absoluut wil ik ‘juist’ niet lezen.

Sinds maart vorig jaar is er de Verordening politieke reclame. De definitie van dat begrip is nogal breed:

“politieke reclame”: de productie, plaatsing, promotie, publicatie, aanlevering of verspreiding, op welke wijze dan ook, van een boodschap … die van invloed kan zijn op en bedoeld is om het resultaat van een verkiezing of referendum, stemgedrag of een wetgevings- of regelgevingsproces op Unie-, nationaal, regionaal of lokaal niveau te beïnvloeden.
Ik zie zeker hoe deze vertekende chatbot-uitkomsten de potentie hebben om verkiezingen te beïnvloeden, gezien hoe massaal wij Sjet alles vragen en denken dat het antwoord waar is.

Tegelijk twijfel ik of het ‘reclame’ te noemen is, want hoewel het niet nodig is dat de reclame vanuit een politieke actor komt, is wél vereist dat deze “gewoonlijk tegen vergoeding of via interne activiteiten of in het kader van een politieke reclamecampagne wordt overgebracht”. Stemwijzers en stemadviezen zijn gewoonlijk juist niet als reclame bedoeld. Maar het is natuurlijk te makkelijk om met het label “stemwijzer” aan de reclamewetgeving te ontkomen.

De verordening is van toepassing sinds 10 oktober 2025, zodat als we dit politieke reclame vinden, OpenAI en consorten transparant moeten zijn over het wat en hoe. Maar komen we terug bij de discussie: is het oplepelen van een tekst op verzoek wel te zien als een intentie, een bedoeling?

Arnoud

Consumenten failliete webshop zien duizenden euro’s verdampen, ondanks keurmerk

Geplaatst op in Ondernemingsvrijheid, 5 reacties
Photo by Growtika on Unsplash

Consumenten die denken een veilige aankoop te doen bij webwinkel Uw Game Specialist, blijven met lege handen achter. Dat las ik bij Radar onlangs. De webshop is namelijk failliet verklaard. Men pakt gelijk door: die had toch een keurmerk, hoe kon dit gebeuren, zijn keurmerken nog wel wat waard? Eh, oké.

Het bericht citeert diverse consumenten die producten bestelden en nu achter het net vissen. Want bij een faillissement is vooruit betaald geld van een consumentenkoop eigenlijk altijd verdwenen. Heel soms kun je via je creditcard nog iets ongedaan maken, maar dat is het wel een beetje.

De consumenten gebruikten reputabele diensten zoals Tweakers Pricewatch om de webshop te vinden (“Daar had de aanbieder drie sterren en werd enkel een lange levertijd gemeld”). Ook checkten ze zoals het hoort de keurmerken: “Zijn vertrouwen werd verder versterkt door het aanwezige keurmerk van WebwinkelKeur.”

Dat keurmerk biedt echter – net zo min als de andere – enige garantie dat het de webshop financieel voor de wind gaat. Er wordt periodiek gecheckt dat men de relevante wetgeving implementeert, en mogelijk nog aanvullende eisen. De toezegging dat je bij faillissement je geld terugkrijgt is meer iets voor een garantiefonds. Thuiswinkel Waarborg is daar bijvoorbeeld helder in:

Thuiswinkel Waarborg is geen garantiefonds. Wanneer een bij ons aangesloten webwinkel of verkoper failliet gaat, of in surseance van betaling verkeert, kan Thuiswinkel.org er niet voor zorgen dat je je (aan)betaling terugkrijgt.
Bij Radar vroegen ze na bij Webwinkelkeur waarom deze niets deed met de klachten:
“Normaal gesproken proberen wij bij de eerste klachten te bemiddelen, maar in dit geval konden wij geen contact meer krijgen met de webwinkel. Omdat herstel onmogelijk bleek, hebben wij besloten het keurmerk onmiddellijk in te trekken”, vertelt WebwinkelKeur.
Ook Tweakers reageert uitgebreid en geeft aan dat ze wel degelijk vermeldingen intrekken als er signalen komen dat er iets niet goed gaat.
In de periode kort voorafgaand aan het faillissement zagen wij een toename van negatieve reviews op ons platform. Vanaf 28 augustus 2025 (ruim voor het faillissement) zijn producten van Uw Game Specialis niet meer zichtbaar in de Pricewatch. Wij hebben de shop op deze dag uitgezet.
Probleem is natuurlijk dat een faillissement vrijwel altijd uit de lucht komt vallen voor de kopers. Weinig winkels geven immers vooraf aan dat het financieel slecht met ze gaat en dat ze vrezen binnenkort om te vallen. Een keurmerk of prijsvergelijker is daarmee eigenlijk altijd te laat om in te grijpen.

Arnoud

 

 

 

Veel Belgische supermarkten gaan AI-muziek draaien om kosten te besparen

Geplaatst op in Intellectuele rechten, 44 reacties
Photo by SHOX art on Unsplash

Winkelketens in België, waaronder Carrefour, gaan muziek draaien die door AI is gemaakt, las ik bij Nu.nl. De reden is simpel: AI-muziek zou rechtenvrij zijn, dus dat bespaart de winkels royalties aan SABAM. Ook in Nederland hoor ik geluiden hierover. Zou het werkelijk zo makkelijk zijn?

Muziek in het openbaar spelen bij bedrijven zoals supermarkten is auteursrechtelijk (en nabuurrechtelijk) simpel: dan moet je betalen. In Nederland incasseert SENA de verplichte vergoeding bij dergelijke muziek in het openbaar. Dat dit zo werkt, staat in artikel 7 Wet naburige rechten:

Een voor commerciële doeleinden uitgebracht fonogram of een reproduktie daarvan kan zonder toestemming van de producent van het fonogram en de uitvoerende kunstenaar of hun rechtverkrijgenden worden uitgezonden, openbaar maken door middel van doorgeven via de kabel of langs andere weg, dan wel op een andere wijze openbaar gemaakt, mits daarvoor een billijke vergoeding wordt betaald.
Er valt dus met de uitgevers (platenmaatschappijen, artiesten) niet te onderhandelen; betalen zul je. Wel moet het gaan om een rechthebbende uit een Rome-land (Verdrag van Rome) of een WPPT-land (WIPO Performances and Phonograms Treaty). Dat zijn vrijwel alle landen ter wereld, maar wellicht kun je met goed zoeken een band uit Palau vinden.

Het argument met AI-muziek is grofweg dat hier geen rechthebbende is zodat deze ook niet uit zo’n land kan komen. En dan mist de Wet naburige rechten toepassing.

In februari meldde Sena dat zij dit anders ziet, al zag ik zo snel geen juridische argumentatie afgezien van “het is gewoon een fonogram”. En dat gaat dus niet op als de muziek niet uit een aangesloten land komt.

Mogelijk dat het betoog gaat zijn dat de AI-muziek feitelijk een remix is van bestaand mensenwerk, en daarmee auteursrechtelijk dus te herleiden tot die bronwerken. Vanuit dat perspectief zou nog steeds gewoon betaald moeten worden. Wordt ongetwijfeld vervolgd.

Arnoud

 

Mag ik een softwaredienst reviewen als de voorwaarden dat verbieden?

Geplaatst op in Security, Uitingsvrijheid, 9 reacties
"Warcraft EULA under Ubuntu/WINE" by gruntzooki is licensed under CC BY-SA 2.0

Een lezer vroeg me:

Veel organisaties werken met een van de drie grote aanbieders van vulnerability management platforms: Qualys, Rapid7 en Tenable. Die platforms identificeren van kwetsbaarheden in de infrastructuur van hun afnemers en geven risico-scores voor de ontdekte kwetsbaarheden. Als onafhankelijk onderzoeker wil ik deze tools evalueren en mijn bevindingen publiceren. Maar ik begrijp dat dit niet mag van de voorwaarden van deze tools? Kan dat werkelijk verboden worden, recensies van een product?
Tools zoals de genoemde drie gebruikt om te prioriteren wat de organisatie moet patchen. Dit is belangrijk omdat de platforms bij een grotere organisaties al snel tien- tot honderdduizenden kwetsbaarheden van allerlei pluimage  en impact kan ontdekken.

Een evaluatie van dergelijke tools is nuttig voor potentiële gebruikers, zeker als dat door een onafhankelijke partij gebeurt. Dat hoeft natuurlijk niet een stichting of persmedium te zijn, ook een consultant kan prima reviews of evaluaties maken en met de wereld delen.

Bij sommige van deze tools staat in de gebruiksvoorwaarden dat recensies verboden zijn. Zo staat in de Master Agreement van Tenable Nessus dat ” (vi) use the Products in order to create competitive analysis or a competitive product or service;” verboden is (artikel 4 onder c). Wat deze consultant wil, is een concurrentieanalyse en dat zou dus niet mogen.

Allereerst twijfel ik of dat werkelijk de beoogde lezing is. Gezien de context kan men goed doelen op analyseren voor concurrentiedoeleinden, dus het uit elkaar halen om te zien hoe jouw platform beter zou moeten. Het is voor mij als jurist raar dat je recensies en concurrerende producten in één artikellid verbiedt.

Ten tweede zou zo’n strenge lezing al heel snel afstuiten op de vrijheid van meningsuiting. Er wordt geen reden gegeven voor het verbod, en de software is eenvoudig verkrijgbaar via internet als standaardpakket. Dat er dan zware bedrijfsgeheimen op straat komen of dat criminelen zeer gevoelige inzichten krijgen, lijkt dan zeer onwaarschijnlijk.

Zo’n reden is belangrijk, want het verbod is juridisch gezien een inbreuk op de vrijheid van meningsuiting. En dat vereist een zwaarwegende argumentatie die maakt dat een verbod de enige optie is. Dat zie ik hier werkelijk niet.

Ik zie met een snelle zoektocht meteen al vele reviews van deze tool, inclusief vergelijkingen met de concurrent. Dat doet mij vermoeden dat de soep in ieder geval niet zo heet gegeten wordt.

Arnoud

 

 

Hoe bewijs ik dat een online aankoop retour is gegaan?

Geplaatst op in Ondernemingsvrijheid, 11 reacties
Photo by Ketut Subiyanto on Pexels

Via Reddit:

[Wij hebben als consument een online aankoop] retour gestuurd. Op de site stond als retourproces dat we eerst een mail moesten sturen en het vervolgens retour sturen. Dit hebben wij niet gedaan. We hebben het met PostNL terug gestuurd maar niet op naam en ook niet verzekerd. Wel met track and trace en die geeft aan dat het pakketje is afgeleverd op het juiste adres. De verkoper zegt echter dat ze het niet heeft ontvangen.
Om maar met het eerste te beginnen: nee, het is niet verplicht om het retourproces van de winkelier te volgen. Het is wel handig, al is het maar omdat de afhandeling dan het snelste zal gebeuren. Maar een retour weigeren omdat het proces niet is gevolgd, dat mag niet.

De wet (art. 6:23o0 lid 3 BW) zegt hoe het moet:

De consument oefent het [retourrecht] uit door binnen de [14 dagen] het ingevulde modelformulier voor ontbinding, bedoeld in bijlage I deel B van de richtlijn, te zenden of een andere daartoe strekkende ondubbelzinnige verklaring te doen aan de handelaar.
Zo’n “ondubbelzinnige verklaring” kan dus ook een mail naar de helpdesk zijn, of zelfs een WhatsApp-bericht. Het pakket simpelweg terugsturen met een dergelijke verklaring (of het modelformulier) is dus ook juridisch genoeg.

Alleen: de bewijslast dat die verklaring is aangekomen ligt bij jou. En bij de route van het pakket terugsturen ligt ook de bewijslast van aankomst bij jou.

Deze situatie verschilt dus niet heel veel van die waarin men wél netjes het retourproces was opgestart. Kwijt is kwijt, en als het kwijt is voordat de winkel het heeft, dan krijg je je geld niet terug.

Alleen: is het wel kwijt? Volgens opgaaf van PostNL is het pakket wel degelijk afgegeven op het vestigingsadres van de winkel. In 2024 bepaalde de rechter dat dat genoeg is:

[gedaagde] heeft als bewijs van retourzending een verzendbewijs ingebracht met een track en trace nummer/code en de datum van 4 mei 2021. [gedaagde] heeft hiermee voldaan aan haar verplichting om de bestelling onverwijld terug te sturen. [De webwinkel] heeft niet, althans onvoldoende, betwist dat het bestelde is geretourneerd.
Hier lees ik dat “de verkoper zegt echter dat ze het niet heeft ontvangen”. Dat noemen juristen een blote ontkenning, en dat is niet genoeg om tegen zo’n bewijs als een track&trace in te brengen. (Denk ik wel genoeg zou bv. zijn dat het een zaterdag was en je kantoorpand dan altijd dicht is.)

In de context van verzending naar de consument is wel uitgemaakt (vonnis 1, vonnis 2) dat enkel een track&trace te weinig is. Dat zit hem er in omdat daar artikel 7:11 BW geldt, dat specifiek eist dat de winkel moet bewijzen dat het product in handen van de consument is gekomen. Dat bewijst een track&trace natuurlijk niet. Maar dat artikel geldt niet bij terugzending.

Het kan natuurlijk dat het pakket bij de buren is afgegeven, zoals de vraagsteller suggereert. Dan ligt het iets subtieler. Enerzijds is de verzending voor risico van de vraagsteller, dus zou die de buren moeten vragen het pakket naar nummer 12 te brengen. Anderzijds is bezorgen bij de buren zó ingeburgerd dat het voor mij simpelweg redelijk is (art. 6:248 BW) dat de winkel met dit verhaal even bij de buren langs moet of die het pakket hebben gehad.

Arnoud

Gerechtshof wijst verzoek van X tot spreekverbod voor Nederlander af

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 11 reacties
Photo by Michael Dziedzic on Unsplash

De Nederlandse jurist en techexpert Danny Meki? krijgt van het Amsterdamse gerechtshof geen spreekverbod in een zaak waarin hij X om inzage in zijn persoonsgegevens vraagt. Dat meldde Nu.nl onlangs. Meki? ligt in de clinch met X (née Twitter) over het waarom achter een shadowban. Maar waarom dan een spreekverbod?

In augustus vorig jaar blogde ik over de zaak:

Technoloog en Ph.D-kandidaat Danny Meki? ontdekte in oktober dat hij op X was onderworpen aan een shadowban: weliswaar kun je zelf alles nog gebruiken, maar niemand krijgt je berichten meer te zien. Dat bleek (volgens de helpdesk van Twitter, waar verbazingwekkend genoeg nog mensen werkten destijds) te herleiden tot een artikel van de NOS dat Meki? daar gedeeld had.
Het had er de schijn van dat het algoritme zijn bericht had aangemerkt als iets met kindermisbruikmateriaal te maken hebbend. De enige verwijzing daar naar was echter een woord in de kop van het NOS-artikel dat hij deelde, dus dat doet raar aan.

In techkringen zegt men dan vaak “The Algorithm moves in mysterious ways” maar in Europa heb je recht op uitleg over het wat en hoe (artikel 15 AVG en 17 DSA). En dat spreekverbod kwam aan de orde in de juridische procedure over het verkrijgen van die uitleg. Meki? had namelijk gelijk gekregen en moest inzage krijgen in hoe het moderatiesysteem had gehandeld. X gaf ook inzage, maar maakte 90% van de tekst onleesbaar “vanwege bedrijfsgeheimen”.

Nee, dat schiet niet op, vandaar het hoger beroep. De regel uit de Europese jurisprudentie (Dun & Bradstreet) is dat in zo’n geval de rechter alle informatie krijgt en zelf kiest wat de eiser wel en niet mag zien. Maar X was toch bezorgd dat de volledige stukken in de procedure bij Meki? zouden komen, en dat die ze dan zou publiceren. Vandaar het mededelingenverbod over dat stuk in de zin van artikel 28(1)(b) Rechtsvordering, iets dat de rechter inderdaad kan opleggen.

Het arrest laat zien dat het Hof daar niet veel voor voelt, juist omdat zo’n verbod ver gaat en dus de informatievrijheid raakt in een maatschappelijk relevante zaak. Er is ook een minder ingrijpend alternatief, namelijk de beperkte kennisname van het stuk wegens “gewichtige redenen” van de andere partij (artikel 22(2) Rv). Mede omdat Meki? daar zelf mee had ingestemd, wijst het Hof die beperking toe.

De volgende stap is dat het Hof nu zélf de ongeredigeerde output van het algoritme mag bestuderen, om vervolgens te bepalen wat Meki? hier van te zien mag krijgen en wat bedrijfsgeheim is. Daarna kan de discussie verder gaan over allereerst of die uitleg adequaat is, en ten tweede of de uitleg de moderatiebeslissing kan dragen.

Arnoud

Is de helpdesk eerder te verwijten dat ze in een social engineering truc trappen?

Geplaatst op in Security, 5 reacties
Photo by Mohamed_hassan on Pixabay

Een lezer vroeg me:

Regelmatig komt in het nieuws dat bedrijven slachtoffer zijn geworden van social engineering-aanvallen op helpdeskmedewerkers, bijvoorbeeld door zich voor te doen als collega of directeur en de medewerker zo te bespelen dat hij inloggegevens verstrekt of de aanvaller op een andere manier toegang verleent. Dat raakt aan de kern van je werk als helpdeskmedewerker (mensen willen helpen), dus ik snap dat dat gebeurt. Kan je werkgever je desondanks verantwoordelijk houden voor de gevolgen?
Kern van social engineering is misbruik maken van menselijk gedrag, met name angst en het willen helpen van anderen. In een situatie waarin iemand zich voordoet als de boze baas die nú een nieuw wachtwoord nodig heeft bijvoorbeeld, zie ik wel hoe aan beiden sterk wordt geappelleerd. En juist de afdeling die er is om mensen te helpen, zal dan sneller toeschietelijk zijn om te helpen.

Algemene regel binnen het arbeidsrecht is dat werknemers in ieder geval niet financieel aansprakelijk te stellen zijn voor de gevolgen van een fout zoals in een social engineering aanval trappen. (Ook niet als je tekent dat je dat wel bent, ik zeg het maar even.) Je kunt in het algemeen natuurlijk wél aangesproken worden op slecht functioneren, en dat kan uiteindelijk uitmonden in een ontslagprocedure of geen verlenging krijgen.

Voor zulke stappen is wel nodig dat de werkgever de werknemer adequaat getraind of opgeleid heeft om met zulke aanvallen om te gaan. Als de werkgever daarin tekort schoot, dan kan hij vervolgens niet de werknemer verwijten fout te hebben gehandeld. Een goede cybercrime awareness training is dus ook vanuit dit gezichtspunt een vereiste.

Minstens zo belangrijk is de bedrijfscultuur rondom cybersecurity. Vaak zijn er wel duidelijke procedures en werkafspraken, maar worden die in de praktijk gepasseerd omdat het snel moet of (zeg ik als directeur) omdat de directeur geen zin heeft ze op te volgen. Dat is vanuit arbeidsrechtelijk perspectief dus een probleem voor de organisatie: als het gebruikelijk is dat je op appjes met “ik ben de directeur en sta nu bij een klant, reset mijn password anders gaat de pitch niet door” inderdaad het wachtwoord reset, dan sta je als werkgever met lege handen als een aanvaller ook zo’n appje stuurt.

Arnoud

Werknemer die wegens hacken op staande voet werd ontslagen verliest kort geding

Geplaatst op in Security, 2 reacties
Photo by FOX ^.?.^= ? on Pexels

Een werknemer van een fietswinkelketen die wegens hack-activiteiten op staande voet werd ontslagen heeft zijn kort geding verloren. Dat meldde Security.nl vorige week. En ik leerde uit het vonnis van het “zogenoemde logspitten”, wat geen nieuwe raptechniek is.

Uit het vonnis haal ik dat de winkel monitoring op alle inlogs op bedrijfslaptops had staan. Wat dat precies te maken heeft met het installeren van malware vanaf usb-sticks weet ik niet. Mogelijk logde men ook pogingen tot installeren van nieuwe software, wat geen gek idee zou zijn.

Het zogenoemde logspitten (hier gebruikt als vakjargon, maar ik ken niemand die zo praat) laat zien dat er inderdaad meer werd gelogd:

dat op twee geregistreerde laptops van Fietsvoordeelshop vanuit het IP-adres van de vestiging van Fietsvoordeelshop in [plaats] hack-activiteiten zijn uitgevoerd: er is meerdere keren actief geprobeerd malware te installeren via een externe “d-schijf”. Dat is gebeurd door een USB-stick met (uniek) kenmerk in de laptops te steken.
Dat impliceert loggen van de serienummers of VID/PID van de usb-sticks. Maar wat was er dan gebeurd:
[eiser] heeft verklaard dat hij tot na twaalven heeft zitten werken, tussendoor wat filmpjes heeft zitten kijken en rond 22:00 een paar pizza’s heeft besteld om thuis met zijn vriendin op te eten en dat dus pizzadozen te zien zijn op de camerabeelden van zijn vertrek en niet een laptop. Dit vindt de kantonrechter vooralsnog niet geloofwaardig omdat het gek is dat [eiser] met twee dozen koude pizza’s in de nacht naar huis gaat en daarmee niet is verklaard hoe het kan dat de verdwenen laptop, die eerder in het pand is gebruikt, een half uur nadat [eiser] het kantoor heeft verlaten weer is aangezet en verbonden met een ander netwerk.
De beelden waren dus niet geheel duidelijk, maar het scenario van de werkgever is overtuigender dan dat van de werknemer. Had hij wellicht de bestelbon van twee pizza’s laten zien, dan had dat anders uit kunnen pakken.

Voor nu is dit genoeg. De werknemer moet de bodemprocedure afwachten waarin het ontslag aangevochten wordt, maar hoeft in de tussentijd geen salaris te krijgen omdat de rechter het aannemelijk vindt dat hij zal verliezen.

Arnoud

 

Gegevens van Australische burgers uitgelekt via ChatGPT-gebruik door overheid

Geplaatst op in Privacy, Security, 10 reacties
Photo by stevepb on Pixabay

Persoonlijke informatie van Australische burgers in de staat Nieuw-Zuid-Wales is uitgelekt door ongeautoriseerd gebruik van ChatGPT. Dat meldde Tweakers vorige week. Dat riep vele vragen op: is dat wel een datalek, waar zijn de gegevens dan beland? En waarom is dit anders dan wanneer je iets naar een clouddienst uploadt?

Het persbericht van de betreffende overheidsdienst legt uit:

The breach occurred when a former contractor of the RA uploaded data containing personal information to an unsecured AI tool which was not authorised by the department. There is no evidence that any information has been made public (…).
Oké, dus een externe partij had een Excelbestand met persoonsgegevens geupload naar ChatGPT. Dat is (in ieder geval in Europa) een datalek in de zin van de AVG, omdat de data in strijd met de beveiligingsmaatregelen bij een ongeautoriseerde derde terecht kwam, namelijk OpenAI.

De achterliggende zorg is natuurlijk dat OpenAI haar taalmodel gaat bijtrainen op de geuploade data. Maar dat daardoor gegevens op straat komen te liggen is niet waarschijnlijk. ChatGPT is immers geen zoekmachine die zo’n Excelsheet lekker als bronbestand aanroept. Dat bijtrainen gaat over statistische patronen herkennen, niet over feitendatabanken bijwerken.

Om die reden zou ik wel durven twisten over of het bij zo’n upload “niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen”, oftewel niet meldingsplichtig. Uit niets blijkt dat OpenAI meer doet dan bijtrainen met je data (en de Terms of Use beperken haar rechten ook tot dat).

Hoe zit dat dan bij uploads naar andere clouddiensten? Ook daar begint het bij de vraag of die dienst geautoriseerd is. Zo niet, dan heb je volgens de definitie een datalek. Alleen zie je daar eerder clausules dat men de bestanden zelf mag herpubliceren, hergebruiken en delen met andere partijen. Dan komt de broninformatie dus elders terecht, buiten de macht en het zicht van betrokkenen.

Arnoud

Denemarken wil verbod op sociale media voor kinderen onder vijftien jaar, is dat een goed idee?

Geplaatst op in Ondernemingsvrijheid, Privacy, 35 reacties
GDJ / Pixabay

De Deense overheid is bezig met een verbod op sociale media voor kinderen onder de vijftien jaar, las ik bij Nu.nl. “Telefoons stelen hun kindertijd”: 60 procent van de jongens van elf tot negentien jaar ziet in hun vrije tijd geen enkele vriend. Duidelijk verhaal, maar is een verbod dan de oplossing?

Denemarken is niet het eerste land met dit voornemen. Australië keurde een wetsvoorstel hierover eind vorig jaar goed. Noorwegen heeft al een tijdje het voornemen maar dat is nog niet in een wet verankerd. In Nederland ligt er sinds maart een motie. En de motivatie is altijd hetzelfde: de invloed van social media op adolescenten is enorm negatief.

Het lijkt simpel te regelen. Al deze diensten verwerken persoonsgegevens van deze kinderen, en de AVG eist dat landen daarvoor een minimumleeftijd in hun uitvoeringswetgeving opnemen. In Nederland is dat 16 jaar, dus eigenlijk hebben we al zo’n verbod.

Alleen: die eis geldt alleen wanneer de dienstverleners de grondslag toestemming gebruiken, en dat doen ze lang niet altijd. Facebook beroept zich bijvoorbeeld soms op “uitvoering overeenkomst”, en we hebben ook nog altijd het gerechtvaardigd belang.

Daar komt bij dat “het mag met toestemming van je ouders” bepaald niet hetzelfde is als “het is verboden tot je zestiende”. Van de zomer hadden we het over de Richtlijn voor schermgebruik kinderen van ons kabinet, waarbij ook de discussie over een verbod oplaaide. Commenter Jeroen schreef toen heel terecht:

Kinderen tot 15 jaar integraal verbieden op “social media” en smartphones integraal verbieden tot groep acht (dat is ca 11-13 jaar) is een slecht idee. Ik denk dat dat niet gaat werken, en is bovendien buitenproportioneel, waarbij je ook inbreuk maakt op de rechten van die kinderen zelf om deel te nemen aan de maatschappij, en om te leren verantwoord om te gaan met die middelen. Je krijgt dan vergelijkbare effecten als met het alcoholverbod tot 21 jaar in de VS: jongeren gaan er lekker omheen werken, of leren niet goed hoe ze hier wel mee om moeten gaan.
Dat laatste zit mij ook dwars. Het is sowieso al moeilijk voor mensen zich staande te houden in het manipulatieve geweld van dark patterns, engagement bait en profilering. En dan zou je dat als kind van 16-en-een-dag ineens kunnen zonder voorbereiding?

Jeroen wees op het de Richtlijn gezond schermgebruik van de VU en UU. Deze onderzoekers laten zien dat een leeftijdsgrens van dertien verstandiger is. Die sluit aan bij de bestaande transitie van basisschool naar voortgezet onderwijs, waar de behoefte aan contact met leeftijdsgenoten en de ontwikkeling van de sociale identiteit ineens veel belangrijker wordt.

Tegelijkertijd is men op die leeftijd nog wel “relatief open voor begeleiding en zijn opvoeders vaak nog nauw betrokken bij hun dagelijkse bezigheden.” Begeleiding en educatie hebben hier dan nog goede kans van slagen, al zal er meer nodig zijn dan “praat met je kind over Tiktok”.

Arnoud