Beveiligingsbedrijf Kaspersky wil ‘nepexpert’ Nieuwsuur voor de rechter slepen

Geplaatst op in Uitingsvrijheid, 22 reacties

Deze blockchain is smartBeveiligingsbedrijf Kaspersky wil Rian van Rijbroek, co-auteur van het boek ‘De wereld van Cybersecurity en Cybercrime’, voor de rechter slepen. Dat meldde RTL Nieuws onlangs. Het bedrijf is van plan haar aan te klagen wegens laster, omdat Van Rijbroek in de media zegt dat ze het Nederlandse kantoor van Kaspersky heeft gehackt. Men schrok bij Kaspersky zo van deze opmerking dat een intern onderzoek is uitgevoerd, dat liet zien dat het onwaar is: er is geen smart blockchain hack aangetroffen. De voorgenomen rechtszaak voelt een tikje als een overreactie, maar kan het überhaupt, iemand aanklagen voor zo’n opmerking?

Smaad en laster gaan over reputaties, en bedrijven hebben die net zo goed als privépersonen. Dus het is mogelijk een bedrijf te besmaden, hun eer en goede naam aan te tasten door bepaalde beweringen te doen. Het verschil tussen smaad en laster is dat je bij laster wéét dat hte niet waar is, die bewering. Bij smaad is het mogelijk dat je denkt dat het waar is (of zelfs dat het écht waar is). Het gaat er uiteindelijk om dat de uitlating nodeloos grievend is, even plat gezegd zoiets zég je niet, het is bedoeld als afzeiken of voor gek zetten, nergens voor nodig.

Gezien de uitgebreide kritiek op Van Rijbroek en haar boek ligt het voor de hand dat ze niet daadwerkelijk bij Kaspersky heeft ingebroken, nog even los van dat je bij zo’n beveiligingsbedrijf wel zou verwachten dat ze daar iéts van hebben gemerkt. Daarmee is het waarheidsgehalte van de opmerking marginaal, en dan kan het smaad opleveren.

Alleen heb ik dan één vraagteken: de uitlating moet er wel voor zorgen dat andere mensen gaan denken dat Kaspersky een waardeloos bedrijf is, dat dat zomaar gehackt kan worden zonder dat ze het merken. Smaad moet immers iemands reputatie aantasten. Oftewel, de uitlating moet wel enigszins geloofwaardig zijn. En gezien de reputatie van Van Rijnsbroek kun je daar natuurlijk twijfels bij hebben. Wie gelooft dat, als zij zegt Kaspersky te hebben gehackt?

Mogelijk speelt dan mee dat Nieuwsuur gezien wordt als een respectabel en gezaghebbend televisieprogramma, waardoor de mensen inderdaad geneigd zouden zijn haar te geloven. Zo’n redactie checkt dat toch, wat iemand beweert? En als je dat zwaar laat wegen, dan is er dus inderdaad een reële kans op reputatieschade en daarmee zou een smaadclaim mogelijk zijn.

Ben wel benieuwd wat het verweer gaat zijn. Stel het is waar, dan moet je bewijs overleggen dat je Kaspersky hebt gehackt. Daarmee stel je jezelf wel bloot aan een vervolging wegens computervredebreuk, een misdrijf met tot 4 jaar cel. Is het niet waar, dan is je enige verweer nog dat niemand jou zou geloven, dat het geen geloofwaardige opmerking was. Maar je eigen reputatie gaat natuurlijk wel een tikje stuk als je die positie inneemt. Blijft over “het is waar maar ik kan/wil het niet bewijzen, dus ik aanvaard dit vonnis voor het groter geheel”.

En ja, dit gaat over dat boek waarin ook stukken tekst van mij (over computercriminaliteit) zijn overgenomen “zonder bronvermelding”. Ik begrijp dat het boek nu voorzien wordt van een duidelijker bronvermelding, dus ik ben heel benieuwd hoe dat eruit gaat zien. Maar raar blijft het.

Arnoud

Hoe bedreigend is het om als doelwit in een game te fungeren?

Geplaatst op in Regulering, 12 reacties

Stel je hebt ruzie met iemand en die maakt een schietspel waarbij jij het doel bent en er echte kogels in beeld zijn. Zou dat een strafbare bedreiging zijn? In een recente rechtszaak bepaalde de Hoge Raad (dank, 10a) van niet, zij het vooral vanwege de motivatie. Dus dat roept een interessante vraag op: hoe bedreigend is het om als doelwit in een game te fungeren?

De verdachte was een zzp’er die werkte voor het bedrijf van het slachtoffer, en op zeker moment was daar een woordenwisseling over betalingen, waar de verdachte verbaal kennelijk erg agressief bij was. Daarmee eindigde de werkrelatie, maar op zeker moment nadien kreeg het bedrijf een tip van een relatie dat er een “raar spelletje” online stond.

Raar inderdaad: een shooter waarbij je tussen onschuldige konijntjes af en toe een zombie kreeg, en uiteraard moet je die dan doodschieten. Alleen waren over die zombies de gezichten van de slachtoffers geplakt, met als effect dus dat iedereen die twee personen dood leek te schieten. Tel daarbij op een kogel met “Reload and shoot some more!” als reload-knop en ik snap dat er aangifte wegens bedreiging werd gedaan.

In eerste instantie kreeg men gelijk en werd de man veroordeeld tot een werkstraf. In hoger beroep werd discussie gevoerd over hoe openbaar het spel was en of dat de bedoeling van de verdachte zou zijn geweest, waarvan het Hof zei dat dat het geval was. Bedreigend was het ook:

De teksten en afbeeldingen en met name het doel van het spel, zijn van dien aard dat zij een bedreigend karakter hebben. Het voorgaande in samenhang bezien met de omstandigheid dat tussen de verdachte en de aangevers een zakelijk geschil bestond, maakt dat het hof van oordeel is dat bij [slachtoffer 1], [slachtoffer 2] en [slachtoffer 3] de redelijke vrees kon ontstaan dat daadwerkelijk op hen geschoten zou worden. Dat het spel volgens de verdediging een satirisch karakter heeft doet hieraan niet af.

Dit doet als motivatie echter een tikje mager aan, en dat is ook waarom de HR hen op de vingers tikt: uit het feit dat er een geschil is en je kunt schieten, mag je nog niet concluderen dat de maker van het spel aan het dreigen was. Die drempel ligt namelijk hoog:

Voor een veroordeling ter zake van bedreiging met enig misdrijf tegen het leven gericht is, voorzover hier van belang, vereist dat de bedreiging van dien aard is en onder zodanige omstandigheden is geschied dat bij de bedreigde de redelijke vrees kon ontstaan dat zij het leven zou kunnen verliezen.

En nou ja, het klopt natuurlijk dat er niet expliciet wordt gezegd, laten we dit in het echt doen met hem, of iets dergelijks. Tegelijkertijd, ik begrijp het wel: voor veel mensen is het behoorlijk schokkend om in een agressieve situatie te belanden, en daarna te zien dat die ander daarmee doorgaat met zo’n spel. Het komt erg agressief over en ik snap goed dat mensen ervan schrikken hun gezicht als doelwit in een schietspel te zien. Ik heb daarom best moeite met deze lat, want een beetje handige bedreiger kan zo makkelijk dingen verzinnen die de lat niet halen maar het beoogde effect wel sorteren.

Arnoud

Waarom is een IP-adres een persoonsgegeven en een kenteken niet?

Geplaatst op in Privacy, 29 reacties

Een lezer vroeg me:

Regelmatig lees ik dat IP-adressen als persoonsgegevens worden gezien, omdat ze tot een persoon (de gebruiker van de computer waar dat adres aan toegekend is) herleidbaar zijn. Dat klopt in theorie, maar je hebt daar de internetprovider voor nodig en die zal zonder gerechtelijk bevel niet meewerken, toch? Maar bij kentekens is de situatie hetzelfde en daarvan zegt de toezichthouder dat het géén persoonsgegevens zijn voor jou of mij, alleen voor de RDW. Waarom dat onderscheid?
Dit onderscheid is inderdaad lastig uit te leggen, maar gelukkig verdwijnt het met de AVG: beide gegevens zijn vanaf 25 mei gewoon keihard persoonsgegevens voor iedereen, punt.

Ik denk dat het onderscheid vooral om historische redenen zo gegroeid zijn. Bij invoering van de Wbp is gezegd dat kentekens alleen voor de RDW persoonsgegevens zijn. Dit was namelijk de klassieke opvatting: een gegeven is alleen persoonsgegeven voor wie de persoon kan identificeren, en gewone mensen kunnen dat niet. Omdat juristen graag de wet en dit soort parlementaire stukken overschrijven in leerboeken, is de opvatting “kenteken alleen voor RDW persoonsgegeven” gemeengoed geworden. (Zei hij cynisch.)

De discussie over IP-adressen is van recenter datum en veel meer een open vraag gebleven. Onze toezichthouder was er altijd stellig in: ja, in principe wel. Daar was de nodige kritiek op, met terechte vraagtekens overigens. Pas zeer recent (oktober 2016) is er een definitieve uitspraak gekomen: ja, in principe wel. Er is immers een mogelijkheid tot identificatie van de gebruiker, en dat daarvoor een gerechtelijk bevel nodig is, is een praktijkdetail maar theoretisch niet relevant. Voor iedereen die IP-adressen verwerkt, geldt dus dat ze persoonsgegevens zijn. En ook voor kentekens dus.

Maar zoals gezegd, eigenlijk is de discussie achterhaald want de AVG (of GDPR) kent een nieuwe definitie van het begrip ‘identificeerbaar’ bij persoonsgegevens:

als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;
Die ‘online identificator’ kan natuurlijk prima het IP-adres van de persoon zijn. En het nieuwe is dan dat de AVG zegt dat je iemand geïdentificeerd hébt. Dus niet “deze persoon is te herkennen door NAW-gegevens op te vragen voor het IP-adres 192.168.1.1” maar “deze persoon héét 192.168.1.1”. Het doet er dan dus niet meer toe of je ook nog andere identificerende gegevens te pakken kunt krijgen en hoe moeilijk dat is. (Update 2 maart 2023: behalve natuurlijk de datum en tijd waarop het aan jou toegekend is, want morgen kan een IP-adres naar iemand andes wijzen.)

Arnoud

AI net zo goed als willekeurige mensen in het voorspellen van recidive

Geplaatst op in Innovatie, 22 reacties

AI-software blijkt net zo goed als een groep willekeurige mensen in het voorspellen van recidive bij Amerikaanse veroordeelden, las ik bij Ars Technica. Onderzoekers van Dartmouth College vergeleken de uitkomsten van de COMPAS software (die met machine learning technieken recidive probeert te voorspellen) met de inschatting van willekeurige mensen geworven via Amazon’s Mechanical Turk. Beiden bleken ongeveer even accuraat (65 en 62% respectievelijk), opmerkelijk genoeg inclusief de vooringenomenheid die eerder bij de software tot controverse leidde.

De COMPAS software (Correctional Offender Management Profiling for Alternative Sanctions) berekent op basis van een hele berg factoren de kans dat een bepaald persoon in recidive zou vervallen. Deze uitkomst wordt in Californië meegenomen in het besluit welke straf aan een veroordeelde op te leggen. In 2016 bleek uit onderzoek dat de software enige bias oftewel vooringenomenheid vertoonde, namelijk dat gekleurde mensen vaker ten onrechte als recidivist werden gesignaleerd en witte juist vaker ten onrechte als géén recidivist.

Accuratesse in AI en machine learning is een heel lastig onderwerp. Wat betekent het dat je software 94,1% nauwkeurig is (de huidige score van mijn NDA Lynn geheimhoudingscontractenanalyserobot)? Meestal wordt ermee bedoeld dat in 94,1% van de gevallen de uitkomst van de AI gelijk is aan de verwachte of correcte uitkomst. En 5,9% van de gevallen is dus onjuist. Maar dat kan twee kanten op:

  1. Vals positief: een uitkomst wordt als positief (juist) aangemerkt, maar is eigenlijk negatief (onjuist). Bij de COMPAS software dus dat iemand recidivist zou zijn terwijl hij dat niet is.
  2. Vals negatief: een uitkomst wordt als negatief (onjuist) aangemerkt, maar is eigenlijk positief (juist). Bij COMPAS dus dat iemand recidive pleegt terwijl de software voorspelde dat hij dat niet zou doen.

Beide onjuiste uitkomsten zijn onwenselijk, maar om verschillende redenen. Een vals positief zorgt ervoor dat je meer energie in iemand steekt dan nodig is: je gaat iemand langer opsluiten of intensiever begeleiden om recidive te voorkomen terwijl dat helemaal niet speelt. En een vals negatief kost je meer achteraf, je hebt immers een nieuw misdrijf van die recidivist en dat had je nu net willen voorkomen.

Het is niet goed mogelijk beiden tegelijk te minimaliseren. Vaak zie je dat wanneer je de één in aantallen terugdringt, de ander groter wordt. Je kunt bijvoorbeeld eerder concluderen dat mensen recidive zullen plegen, waardoor je de vals negatieven vermindert. Er worden immers minder mensen vrijgelaten die recidivist blijken. Maar je hebt nu wel meer mensen ten onrechte als recidivist aangemerkt. En omgekeerd zou precies hetzelfde gebeuren, als je strenger bent in je beoordeling zul je minder mensen ten onrechte als recidivist aanmerken, maar daardoor ook eerder recidivisten laten gaan.

De kritiek op de COMPAS software richtte zich natuurlijk op de bias die de valse uitkomsten zou baseren op etnische afkomst. De vergelijking met gewone mensen laat nu zien dat dit niet perse de oorzaak is. Deze kregen namelijk de gegevens zónder indicatie van etnische afkomst, en gaven grofweg dezelfde voorspelling over recidive. Inclusief een hogere vals positief bij gekleurde mensen en een hogere vals negatief bij witte mensen. Dat zou dan eerder de conclusie rechtvaardigen dat die software er ook maar een gooi naar doet. Geen bias dus maar ook geen inhoudelijke analyse.

Arnoud

Een jaar retourrecht vanwege een ontbrekende bijsluiter

Geplaatst op in Ondernemingsvrijheid, 5 reacties

Als je op internet iets koopt, mag je dat in principe altijd retourneren binnen 14 dagen. Je moet dan het product terugsturen en je krijgt je geld terug. Daarbuiten ben je afhankelijk van de coulance van de webwinkelier, maar als deze vergeet je de essentiële informatie over een product te geven dan komt dat wettelijk anders te liggen. Een recent vonnis laat zien hoe dat uit kan pakken.

De zaak was relatief simpel. Een consument had een product besteld bij een webwinkel, maar dit pas na de 14-dagentermijn aangemeld voor retour. De winkel weigerde deze dan ook aan te nemen, en eiste alsnog betaling via een incassobureau. Dat kwam bij de rechter, die constateert dat dit op zich te laat was en dat je dat de winkel niet kon verwijten: de retourregels stonden keurig in de voorwaarden en het retouradres was ook duidelijk gemeld.

Wat wel ontbrak, was de bijsluiter en aanvullende productinformatie. En dat is een probleem, want volgens de wet mag je consumenten niets verkopen als je ze niet vooraf de voornaamste essentiële informatie (art. 6:230m BW) verstrekt. En bij het soort product waar het hier om ging (Forskolin Naturals, een voedingssupplement) is zo’n bijsluiter best belangrijk. Belangrijk genoeg voor de rechter in ieder geval om dit als essentiële informatie aan te merken.

De straf voor het niet verschaffen van die informatie is dat de consument in het geheel niet gebonden is aan de koop. Hij hoeft dus niets te betalen, en het product moet door de winkel teruggenomen worden. Voor andere webwinkeliers lijkt het me een goed idee om die lijst uit artikel 230m eens door te lopen, want er staat behoorlijk wat belangrijke informatie op. En omdat het een ict-blog is, licht ik er twee uit:

  1. de functionaliteit van digitale inhoud met inbegrip van toepasselijke technische beveiligingsvoorzieningen;
  2. voor zover van toepassing, de relevante interoperabiliteit van digitale inhoud met hardware en software waarvan de handelaar op de hoogte is of redelijkerwijs kan worden verondersteld op de hoogte te zijn;

Ik kom maar weinig sites tegen waar ik duidelijk kan achterhalen waar ik digitale inhoud wel of niet mee kan lezen en waarmee een en ander interoperabel is. Dus valt dat tegen na aankoop, dan heb je een stevige stok om er vanaf te komen.

Arnoud

Mag een site me tegen betaling zeggen of ik gehackt ben?

Geplaatst op in Security, 31 reacties

Wat is dit nu weer voor een dienst: Is mijn data gelekt.nl. “Ismijndatagelekt.nl biedt internetgebruikers de mogelijkheid om te checken of er inloggegevens van hen op internet te vinden zijn. Deze internetgebruikers kunnen hierop dan actie ondernemen en zichzelf beter beschermen”, zo staat er in de “over ons”. Wil je echter weten om welke gegevens het gaat, dan moet je even € 4,95 afrekenen alvorens je een rapportje ontvangt. Ik heb het geprobeerd maar niets gekregen, dus in de tussentijd maar even een blogje: eh, mag dat?

Zoals ik het begrijp, zoekt men in openbare bronnen naar gelekte bestanden met logingegevens zoals emailadressen en wachtwoorden. Deze combineert men dan om zo gegeven een e-mailadres te kunnen melden welke sites er gehackt zijn, en welke informatie op straat ligt (e-mailadres, wachtwoordhash, wachtwoord, beveiligingsvragen, et cetera). Dat bundelen en ter informatie verstrekken aan de slachtoffers lijkt me een prima idee.

Het doet ahem wat raar aan dat je moet betalen om die informatie te krijgen. Je zou zeggen dat als je weet dat iemand slachtoffer is van een misdrijf, je die persoon gratis helpt. Maar goed, dat is een ethische discussie. Een slotenmaker vraagt ook geld als hij een door inbraak vernield voordeurslot gaat vervangen, en je gestolen fiets wordt ook niet gratis vervangen. Ik kan in ieder geval geen juridische grond bedenken waarom je géén geld mag vragen om die informatie te delen.

Waar het wel mis mee gaat, is dat er nul identiteitsverificatie plaatsvindt. Je moet een vinkje aanvinken met “Ja, ik ben de eigenaar van dit e-mailadres” maar dat doorstaat natuurlijk de giecheltoets niet: geen redelijk mens zal denken dat dát identiteitsfraude tegenhoudt. En vervolgens krijg je dus – althans, dat zegt men – de gegevens toegemaild naar een willekeurige e-mailadres. Dus de bekende gelekte wachtwoorden, beveiligingsvragen et cetera van een willekeurig gekozen e-mailadres.

En ja daar weet ik wel wat juridisch op, dat noemen we volgens mij een datalek. Een inbreuk op de organisatorische beveiliging (namelijk de check, spreken we hier met de eigenaar) die leidt tot een onrechtmatige verstrekking van persoonsgegevens waardoor de betrokkene nadeel kan ondervinden (namelijk het misbruiken van zijn account). Dus nee, dit mag niet.

(Ik weet het, die informatie staat allemaal al in openbare bronnen dus kwaadwillenden kunnen het toch al vinden. Maar dat boeit onder de Wbp of de AVG werkelijk helemaal niets: als jij informatie bijeen brengt en herpubliceert dan ben jij daar verantwoordelijk voor. En nee, niks notice/takedown of beperkte aansprakelijkheid.)

Arnoud

Kun je als volwassen je kinderfoto’s offline halen?

Geplaatst op in Privacy, 10 reacties

Een lezer vroeg me:

Wanneer ouders of andere mensen een foto van jou als kind online hebben gezet, kun je die dan weg laten halen met een beroep op je privacy als je meerderjarig bent?

Dat kan, maar zal er vooral van afhangen of je ouders destijds ingestemd hebben met de publicatie.

Als je ouders toestemming hebben gegeven, dan kun je relatief makkelijk eisen dat de foto wordt verwijderd. Die toestemming is in te trekken, zo staat in de Wet bescherming persoonsgegevens (artikel 5 lid 2). Ook door jou, even los van of je ouders dat willen. Het belang van de wederpartij doet er in principe niet toe. En vanaf zestien jaar kunnen je ouders rechtsgeldig geen toestemming meer geven voor publicatie van je foto’s (artikel 5 lid 1), dat moet je zelf doen. Dus in die situatie kan de wederpartij zich niet beroepen op toestemming gegeven door je wettelijk vertegenwoordigers.

Je zult je overigens nog lange tijd op de Wbp moeten beroepen; de AVG of GDPR die er 25 mei aankomt geldt namelijk niet voor ‘verwerkingen’ oftewel publicaties van voor die datum. Maar voor wie deze blog over een paar jaar leest, dan heb je minder mogelijkheden: eenmaal gegeven toestemming onder de AVG is niet intrekbaar wanneer de verwerking oftewel publicatie plaatsvindt voor journalistieke of literaire doeleinden. En dat geldt ook voor publicatie door bijvoorbeeld een school of je tante op Facebook, de term “journalistiek” is heel breed.

Als er geen toestemming is gegeven, dan is dat moeilijker. Hoofdregel is dat de privacy van een minderjarige hoog wordt aangeslagen, zodat die het dus in principe snel zal winnen van iemands recht om foto’s te publiceren. Natuurlijk zijn er uitzonderingen mogelijk, en dat zit hem dan met name in de nieuwswaarde van de foto. Als er een duidelijk nieuwsbelang is bij de foto, dan kun je er geen bezwaar tegen maken. Denk aan deelname aan een openbaar sportevenement, een bijzondere maatschappelijke prestatie of iets dergelijks. Dit zal natuurlijk vaak tot discussie leiden.

Arnoud

Wat moet ik doen als mijn klant me productiedata geeft om te testen?

Geplaatst op in Intellectuele rechten, Privacy, Security, 19 reacties

Een lezer vroeg me:

Wij ontwikkelen enterprisesoftware voor klanten, en testen deze uiteraard ook. Meestal ontvangen we daarvoor de testdata van de klant en soms zit daar ineens productiedata tussen inclusief persoonsgegevens. Zijn wij daarvoor aansprakelijk onder de GDPR?

Het is uiteraard een goed idee om software te testen alvorens je deze gebruikt, zeker wanneer die software persoonsgegevens gaat verwerken. Dergelijke software moet immers veilig zijn en voldoen aan de beginselen van privacy by design en privacy by default.

Goede testdata is daarbij van belang, maar is vaak moeilijk te krijgen. Daarom zie je regelmatig dat er toch met productiedata wordt getest, dat is dan de enige bron van een grote hoeveelheid uiteenlopende data waarmee genoeg aspecten getest kunnen worden.

Handig, maar erg problematisch: je weet immers per definitie nog niet of de software veilig is en wel privacytechnisch dichtgetimmerd is. Daarmee neem je als bedrijf (de klant dus van de vraagsteller) een serieus risico op datalekken. Bovendien moet je met je wederpartij (zoals de vraagsteller dus) een verwerkersovereenkomst sluiten waarin je de omgang met deze data expliciet reguleert, en dat wordt vaak vergeten want “het is maar om te testen”.

Het ontwikkelbedrijf zou ik adviseren om expliciet in de overeenkomsten op te nemen dat er géén productiedata wordt geleverd en al helemaal niets waar persoonsgegevens in zit. Een anti-verwerkersovereenkomst, zeg maar. Stuurt de klant die dan toch, dan heb je in ieder geval een sterk argument dat dit niet de bedoeling was. Uiteraard moet je dat bij ontdekking wel melden en die data vervolgens meteen wissen.

Arnoud

De eerste robotrechter van Nederland blijkt gewoon al actief

Geplaatst op in Innovatie, 12 reacties

‘Robotrechter e-Court is een groot en niet transparant zwart gat’, kopte Nieuwsuur onlangs tendentieus. Stichting e-Court is al jaren actief als alternatieve geschilbeslechter en heeft verzekeraars gevonden als bereidwillige afnemers voor haar digitale arbitragedienst. Snel en gemakkelijk maar controversieel. Opmerkelijk voor mij daarin: de eerste stap is een artificial intelligence die over je zaak oordeelt. Mag dat zomaar?

Op zich is wat e-Court doet een legitieme constructie. Men biedt arbitrage aan, alternatieve geschilbeslechting buiten de rechter om. Dat mag, en kan voor beide partijen voordelig zijn: sneller en goedkoper, en je kunt de procedures optimaliseren voor jouw soort geschil in plaats zoals bij de traditionele rechtspraak een middelmaat omdat men alles aan moet kunnen. Digitale dossiers en on-line voortgang en uitwisselen van stukken lukt daar iets minder.

De controverse rond e-Court komt voornamelijk vanwege het feit dat mensen zonder het te beseffen akkoord gaan met arbitrage; dat staat namelijk zo in de algemene voorwaarden van met name zorgverzekeraars. Op zich legaal, zij het dat je bij start van een geschil bij de arbiter een maand moet krijgen om daar bezwaar tegen te maken. Daar lijkt het volgens het onderzoek vaak mis te gaan: het wordt bepaald onduidelijk uitgelegd, en ook wie dat bezwaar maakt, kan zomaar alsnog door de molen van e-Court gehaald worden en krijgt toch een arbitraal vonnis tegen zich, dat via de deurwaarder ten uitvoer kan worden gelegd. Dat klopt natuurlijk niet.

Voor mij sprong deze alinea eruit:

[Oprichtster Henriëtte Nakad] nam het heft in eigen hand, zette een bedrijf op en liet een computerprogramma bouwen dat automatisch vonnissen kan produceren. Die ‘robotrechter’ is ‘de meest objectieve rechter van Nederland’, zonder ‘misplaatste empathie’, schreef Nakad in een academisch artikel.

Dat academisch artikel laat zien dat het gaat om een Case-Based-Reasoning (CBR) kunstmatige intelligentie: nieuwe zaken worden op allerlei punten vergeleken met eerder zaken, en de uitspraak wordt bepaald aan de hand van die gelijkenis. Kort gezegd, als een zaak veel lijkt op 100 afgewezen incassozaken, dan wordt deze incassoclaim ook afgewezen. Ook wordt een heel raamwerk opgezet om de formele processtappen consequent uit te voeren.

Helaas kan ik nergens iets vinden over hoe deze AI inhoudelijk werkt. En dat is jammer want bij zo’n grote legal tech innovatie zou je toch graag willen weten hoe het werkt. Zeker omdat het hier gaat over vonnissen die mensen heel diep kunnen raken: de schuldenproblematiek in Nederland is hoog en complex, en black box uitspraken waar mensen zich door overvallen voelen, helpen daar natuurlijk niet bij. De keuze voor een AI snap ik wel, het is een hoog volume aan relatief simpele zaken en daar is met AI goede analyse op te doen.

Formeel is het overigens geen robot die beslist. Het is een voorbeeld van hoe AI een rol kan spelen in juridische besluitvorming. Vang de simpele gevallen af, en laat de rest (inclusief de gevallen waar men piept) door een mens behandelen. Alleen veronderstelt dat wel dat mensen piepen als er iets mis is, en specifiek bij consumentenrecht / schuldenincasso is dat iets dat heel vaak misgaat.

Het bedrijf reageert in een persbericht kort gezegd dat ook schuldenaars beter af zijn, omdat de procedure ook voor hen sneller en goedkoper uitpakt. Ik heb daar wel moeite mee, want juist dit onderwerp voelt voor veel schuldenaars als zeer machteloosmakend en ongrijpbaar. Dus als je dan óók nog eens alles achter een digitale procedure stopt én je hoort dat er een robot de eerste selectie maakt, dan is het argument dat je minder incassokosten krijgt en dat de deurwaarder heus luistert, niet meer relevant. Mensen vertrouwen robots niet in een dienstverlenende rol, laat staan als die over hun geld en goed beslist.

Algemeen heb ik er een dubbel gevoel bij. Het initiatief is nobel, want de rechtspraak ís verstopt en veel dingen kunnen gewoon efficiënter als je maatwerk toepast en niet alles op dezelfde manier behandelt. Maar de afwezigheid van transparantie vind ik moeilijk te verkroppen, helemaal omdat een AI in rechtspraak gewoon heel gevoelig ligt. En als je dan ook nog eens het primair opzet om schuldincasso te doen – waar notoir vaak mensen in de molen vermalen worden – dan krijg ik er een vervelend gevoel bij. Je ziet dat nu ook terug in de berichtgeving, dat het een “robotrechter” is die je blind veroordeelt. Niet goed voor de beeldvorming van legal tech en AI in de juridische sector. Dus nee, jammer.

Arnoud