Kan een robot juridisch advies geven?

Geplaatst op in Innovatie, 14 reacties

Twee weken geleden lanceerde ik NDA Lynn, een AI lawyerbot die geheimhoudingscontracten (NDA’s) kan lezen. Dat gaf veel leuke reacties, en Lynn heeft aardig bijgeleerd: meer dan 400 extra NDA’s waar ik verder mee kan trainen. Opmerkelijkste observatie: veel Nederlandstalige NDA’s, terwijl Lynn toch volgens mij vrij duidelijk Engelstalig is. Dat moet dus even anders. Maar ook de nodige andere kwesties.

Veel reacties gingen natuurlijk over de kwaliteit. Lynn beoordeelt zinnen in 87% (huidige versie 93.8%) van de gevallen correct, en kan daarmee clausules dus behoorlijk goed maar niet perfect herkennen. Dat is dus een risico, ze kan een clausule dus afkeuren of roepen dat die er niet in staat, enkel omdat de bewoordingen anders waren dan in haar trainingset. Maar mijn inschatting is dat dit wel meevalt omdat het gemiddeld wel goed uitkomt. Wel een probleem is nog de afhandeling van echte fouten, zoals een document waar geen tekst uit komt (een gescande PDF) of een tekst die in het geheel geen NDA is (ik kreeg onder meer Charles Dickens Night before Christmas langs, gelukkig was het advies die niet te tekenen).

Leuk vond ik de aandacht van Sprout en Emerce, die beiden ingaan op mijn motivatie: een kleine 18 jaar bezig zijn met NDA’s heeft me een grondige hekel aan die dingen gegeven (en nee, er 400 screenen in twee weken om je lawyerbot te verbeteren hielp niet), dus een automatische adviesbot is gewoon een mooie manier om tijd vrij te maken voor de leukere dingen in het juridische werk.

Want dat is uiteindelijk waar het volgens mij om gaat met AI in het recht. Robots gaan nooit advocaten vervangen, of het hoogwaardig juridisch advies over nieuwe kwesties. Robots doen per definitie standaardwerk, oftewel dingen als het screenen van stapels documenten of het spotten van kleine stiekemigheden in standaardcontracten of algemene voorwaarden. Als je als mens die dingen niet meer hoeft te doen, maar juist de afwijkingen krijgt en daar een oplossing voor moet vinden, dan heb je toch gewoon léuker werk dankzij een robot?

Vanuit de VS kreeg ik hele andere reacties: stop right there buddy, that’s unauthorized practice of law. Een beetje juridisch advies geven zonder advocatentitel, dat kan natuurlijk niet. Nu geef ik natuurlijk geen juridisch advies in de VS, maar dit blijkt dus een dingetje: allerlei tools zoals adviesbots en documentgeneratoren worden in diverse staten als advocaatjespelen aangemerkt en dus verboden. De achterliggende argumentatie is dat alleen een gekwalificeerd advocaat met tuchtrecht, verzekering en toezicht de kwaliteit kan bieden waar de burger recht op heeft.

Bij Justia staat een overzicht van de problematiek, met name: waar trek je de grens. De interessantste definitie vond ik “if a computer could do it, it’s not the practice of law.” Anders gezegd, juridische bijstand moet per definitie door een mens worden gedaan, omdat het creativiteit en inzicht vergt om de per definitie niet vastomlijnde set regels uit de wet toe te kunnen passen op een concreet geval. Ik twijfel of ik het ermee eens ben, want volgens mij kan best een aardig deel van zulk advieswerk geautomatiseerd gedaan worden. Zeg maar de 80% van de gevallen met de standaardsituaties die gewoon helder in de wet benoemd zijn. Het leuke stuk van de juristerij begint bij die 20%, maar dat wil niet zeggen dat de rest geen juridisch advies meer te noemen is.

En nou ja, uiteindelijk is dat volgens mij het voordeel dat je kunt halen met de inzet van AI. Automatiseer het saaie werk en maak je eigen werk leuker. Op naar de volgende Lynn dus, wat mij betreft.

Arnoud

Mensen boos omdat Google Docs hun privédocumenten als abuse aanmerkte

Geplaatst op in Informatiemaatschappij, 18 reacties

Mensen worden buitengesloten van hun Google Docs, en daar zijn ze boos over. Dat meldde Slate vorige maand. Om onduidelijke redenen merkte een grote groep mensen ineens dat de toegang tot bepaalde van hun documenten geblokkeerd was, met als melding dat hier de Terms of Service waren overtreden. Censuur, omdat het ging om privédocumenten?

Uiteindelijk bleek het een typefout in de software:

This morning, we made a code push that incorrectly flagged a small percentage of Google Docs as abusive, which caused those documents to be automatically blocked. A fix is in place and all users should have full access to their docs.

Het laat wel weer mooi de grote zwakte van de cloud zien: er is geen cloud, er is alleen uitbesteden en daarmee een afhankelijkheid van je leverancier. Die kan en mag de dienstverlening veranderen, en als hij door een foutje je gegevens ontoegankelijk maakt dan heb je even pech. Net zoals een butler die de boodschappen vergeten is.

Die vergelijking maak ik niet zomaar, want voor de wet is er geen verschil tussen een butler en een clouddienst. Het is allebei dienstverlening, en de regels zijn simpel: die mag worden aangepast of opgezegd, en dat is het wel zo’n beetje. Dus nee, er is niet veel te doen tegen dit soort grappen.

Tegelijk weet ik ook niet goed hoe dit op te lossen, want het gaat ook weer erg ver om te zeggen, clouddiensten moeten tot jaar en dag ongewijzigd beschikbaar zijn. Dat kun je ook weer niet van mensen vragen.

Arnoud

Internationale domeinbeheerder staat afschermen domeininfo toe

Geplaatst op in Intellectuele rechten, Privacy, 14 reacties

De wereldwijde domeinnaambeheerder ICANN gaat geen stappen ondernemen tegen beheerders van domeinnaamextensies die de zogenoemde WHOIS-gegevens afschermen. Volgens de ICANN-regels moeten gegevens van domeinnaamhouders in het WHOIS register worden gepubliceerd, waar ze zonder enige restrictie toegankelijk zijn voor de hele wereld. Onze eigen Autoriteit Persoonsgegevens kwam recent tot de conclusie dat dat niet mag wanneer het gaat om persoonsgegevens, en ICANN lijkt daardoor nu overstag te gaan.

Domeinnamen en WHOIS bestaan al enkele decennia. In de basis is het erg nuttig dat je kunt zien wie de eigenaar is van een domeinnaam, zodat je deze bijvoorbeeld kunt contacteren in geval van misbruik van het systeem. Meestal was dat ook geen probleem voor de eigenaar, want lange tijd hadden eigenlijk alleen bedrijven en instellingen hun eigen domeinnamen.

Nadat steeds meer privépersonen domeinnamen gingen registreren, begon het ietwat te knellen. Je moest namelijk je ware en volledige gegevens invullen, inclusief je naam en privéwoonadres. Dat voelt nogal privacygevoelig en dat is het natuurlijk ook, maar zo waren de regels nu eenmaal. En zeker met de AVG in het vooruitzicht werd het tijd dat hier een knoop over werd doorgehakt.

De AP is stellig, zij het kort:

Het onbeperkt publiekelijk toegankelijk maken van WHOIS-gegevens via internet is een vorm van verwerking van persoonsgegevens waarvoor een wettelijke grondslag is vereist. Volgens de AP én eerder dus ook WP29, kunnen ICANN en de registries zich niet beroepen op de grondslagen ‘noodzakelijk voor de uitvoering van een overeenkomst’ en ‘gerechtvaardigd belang’. Ook een beroep op de grondslag ‘toestemming van individuele domeinnaamhouders’ is niet mogelijk, omdat het geven van toestemming een vereiste is voor het verwerven van een domeinnaam en er dus geen vrije wilsuiting is.

De kern zit hem natuurlijk in die noodzaak. ICANN zei altijd dat die gegevens nodig waren, maar dat is eigenlijk een cirkelredenering: zij hadden een regel ingevoerd dat het moest, dus moest het. Maar dat is niet genoeg, je moet een objectieve noodzaak kunnen aantonen. En die is er eigenlijk niet. Het zou net zo goed kunnen werken bijvoorbeeld als de WHOIS gegevens afgeschermd zijn, en men via een opvraagprocedure gemotiveerd moet aangeven waarom men die gegevens wil hebben.

Ook is er geen sprake van toestemming, want (zeker onder de AVG) wie zegt “zonder toestemming kom je er niet in” die dwingt toestemming af, en die is dan niet rechtsgeldig. Niet meer dan logisch.

In haar verklaring zegt ICANN dat ze nu voorlopig dit vereiste los gaat laten voor persoonsgebonden domeinnamen. Een registrar die op deze manier wil gaan werken, moet wel aan ICANN uitleggen wat haar proces is om op zorgvuldige manier de werkelijke houderdata te verkrijgen en te bewaren.

Voor Nederlandse domeinnamen geldt dit niet: die worden beheerd door SIDN en die heeft al jaren een afgeschermd register. Alleen een zelfgekozen mailadres moet zichtbaar zijn bij privépersonen, de overige gegevens zijn alleen gemotiveerd op te vragen.

Arnoud

‘Dikke problemen’ voor grappenmaker die Trump van Twitter haalde

Geplaatst op in Ondernemingsvrijheid, 14 reacties

Op zijn laatste werkdag haalde een medewerker van Twitter het account van Donald Trump offline, las ik bij RTL. Elf minuten was @realDonaldTrump onbereikbaar voor de 41 miljoen Twittervolgers. Ondanks die beperkte tijd toch pijnlijk natuurlijk, en het zal zeker dan ook gevolgen hebben voor de ex-medewerker. Maar zou Trump zelf ook wat te claimen hebben? Welnee, want -daar gaan we weer- social media accounts zijn geen eigendom, ze bestaan bij de gratie van de welwillendheid van de dienstverlener.

Waarom de medewerker deze actie uithaalde, is nog niet duidelijk hoewel je natuurlijk wel een en ander op je klompen aanvoelt. Wat mij vooral verbaast is dat hij dacht dat het effect zou hebben. Bij zulke bekende/beruchte accounts mag je verwachten dat er snel alarmbellen af gaan, dus het voelde een tikje naïef.

Een arbeidsrechtelijk gevolg zal het zeker hebben. Want ook als je op je laatste dag iets uithaalt, kun je daar gewoon op aangesproken worden. Je kunt zelfs alsnog op staande voet ontslagen worden, wat consequenties heeft voor je uitkering en dergelijke. En een schadeclaim is in theorie ook mogelijk, zeker hier waar het gaat om opzettelijk handelen van de werknemer. Die schade zal lastig te kwantificeren zijn, want ook bij reputatieschade moet er iets worden onderbouwd.

Trump zelf zal weinig te claimen hebben overigens, want de voorwaarden bepalen uiteraard “You understand and agree that the Services are provided to you on an “AS IS” and “AS AVAILABLE” basis.” Oftewel: als hij het niet doet, heb je dikke pech. Ongeacht reden? In principe ja, want Twitter bepaalt hoe haar diensten worden ingericht en geleverd. Zelfs als Twitter had bedacht, we pakken door en láten Trump offline, dan nog had hij geen reden tot klagen gehad. Daarnaast zit je met ook hier de vraag wat de schade is.

Arnoud

Ben ik de pineut als een netjes gekochte stockfoto illegaal blijkt te zijn?

Geplaatst op in Intellectuele rechten, 79 reacties

Een lezer vroeg me:

Ik heb een foto netjes gekocht bij een stockbureau. Nu meldt zich echter een fotograaf in de mail of ik even 700 euro wil betalen! Ik heb hem verwezen naar het bureau maar hij zegt dat hij die niet kent en dat ik aansprakelijk ben, ongeacht waar ik de foto koop. Is dat echt zo?

In principe ja. Iemand die een foto publiceert, is aansprakelijk voor de schade als die publicatie inbreukmakend is. Het doet er daarbij niet toe hoe je aan de foto kwam en wat de verkoper van de foto tegen je zei. Er is geen specifieke regeling zoals bij heling, waarbij je beschermd bent als je iets tegen een normale prijs in een gewone winkel koopt.

Natuurlijk kun je de claim van die fotograaf verhalen op de stockfotosite. Zij hebben je immers schade berokkend door een foto te verkopen zonder dat ze de juiste rechten daarvoor hadden. Dat is een contractuele wanprestatie en daarvoor moeten ze de schade vergoeden. Ik denk zelfs dat je de algemene voorwaarden van tafel kunt krijgen en ze dus onbeperkt aansprakelijk kunt stellen, want dit voelt voor mij als een gevalletje grove nalatigheid. En daar mogen ze hun aansprakelijkheid niet voor uitsluiten.

In de praktijk kan dat nog knap ingewikkeld zijn, bijvoorbeeld omdat de stocksite in het buitenland zit en je dus een advocaat daar moet vinden. Dus je neemt eigenlijk altijd een zeker risico als je met stockbeeld werkt.

Arnoud

Data bestaat juridisch niet, wat betekent dat voor de praktijk?

Geplaatst op in Innovatie, 21 reacties

Data is niets, is een mantra dat ik al geruime tijd verkondig op deze blog. Je kunt geen eigenaar zijn van data, want de wet kent dat concept alleen voor fysieke goederen. Dat roept dan altijd de nodige vragen op: als data niets is, wat doe ik dan allemaal online, en waarom zijn er dan soms toch wetten die wat zeggen over data die ik publiceer of up- dan wel download?

De reden dat ik dit roep, is om aan te geven dat je erg zwak staat wanneer je aanspraak wilt maken op data die je ergens hebt geplaatst. Bij fysieke goederen is dat makkelijk: die kun je te allen tijde terughalen met een beroep op je eigendomsrecht, no questions asked (behalve als je de rekening nog open hebt staan).

Een equivalent daarvan ontbreekt bij data. Er is geen enkele wettelijke grondslag om een kopie van je data op te eisen. Als je er niet bij kunt, of als hij weg is, dan heb je pech en de wet laat je in de kou staan. Hooguit kun je schadevergoeding krijgen voor de tijd nodig om deze te herstellen, maar in veel gevallen wil je helemaal niet de data herstellen of kún je dat niet eens (die vakantiefoto’s van tien jaar geleden, of je bonnetjes van je bedrijf van vorig jaar).

Natuurlijk heb je intellectuele-eigendomsrechten, met name auteursrecht en databankrecht op je data. Maar dit zijn ‘exclusieve’ rechten, oftewel rechten waarmee je anderen kunt verbieden iets te doen met die data. Ze geven je geen recht op toegang tot die data of anderszins beschikkingsrecht over die data. Je kunt daarmee dus alleen eisen dat men de data wist of weghaalt, meer niet.

Data in de vorm van virtuele objecten in online spellen bestaat juridisch dan weer wél, dat is gewoon een stukje eigendom. Dat volgt uit jurisprudentie over diefstal en beroving van dergelijke objecten. Ook je SMS-tegoed en dergelijke saldo’s gelden als eigendom. Maar dit is de uitzondering en niet de regel.

Ik noem dit met enige regelmaat een van de grootste, zo niet het grootste, probleem van de informatiemaatschappij. Informatie is alles, maar is tegelijkertijd niets in deze samenleving. Dat is raar. En het kan héél vervelend uitpakken, want we plaatsen steeds meer data bij derden in plaats van die zelf te bewaren. Als je daar geen zeggenschap over hebt, dan is dus die centrale grondstof van de maatschappij ineens juridisch buitengewoon kwetsbaar.

Misschien dat de nieuwe privacywet vanaf 25 mei hier verandering in brengt. Wie data over hemzelf elders onderbrengt, heeft recht op een kopie van zijn “dossier”, alle persoonsgegevens. Daarmee zou je dus je fotoverzameling terug kunnen halen, die hangt aan jouw account en is dus van jou. Maar ideaal is dat niet – zeker niet voor bedrijven, want data van een bedrijf is geen persoonsgegeven.

Is er een oplossing? Ik betwijfel het. Gewoon in de wet zetten dat eigendomsrecht ook geldt voor computergegevens gaat wat te snel. Je loopt dan tegen allerlei problemen aan, hoe pakt dat uit? Hoe geef je dan bijvoorbeeld data als onderpand, of wat gebeurt er als ik data dan twee keer verkoop? Maar een andere oplossing weet ik ook niet.

Arnoud

Heb je recht op een gelijkwaardig alternatief als je telefoon niet leverbaar is?

Geplaatst op in Ondernemingsvrijheid, 17 reacties

Diverse lezers wezen me op deze draad van dealtjessite Pepper.com, waar een Samsung Galaxy J5 (uit 2016) te koop werd aangeboden in combinatie met een Tele2 abonnement. Helaas bleek al snel dat de deal té goed liep, waarop de aanbieder zich meldde met “[we willen je] graag een vergelijkbaar toestel aanbieden voor dezelfde prijs: de Samsung Galaxy J3 (2017).” Nu kun je erover twisten of dat wel een vergelijkbaar toestel is, maar ik trof op een hoop plekken de opmerking dat je récht hebt op een gelijkwaardig alternatief. En die snap ik even niet.

Aanbieder mobiel.nl probeert met dit overzicht aan te geven waarom de twee toestellen gelijk zijn. En natuurlijk zijn er veel overeenkomende specificaties, zoals camera, werkgeheugen en opslag. Het scherm is ‘iets’ kleiner, 0.2 inch om precies te zijn. En je krijgt Android 7 in plaats van 6, wat juist als een upgrade zou moeten voelen. Maar voor velen is met name het kleinere scherm een dealbreaker.

Het is natuurlijk heel vervelend als een winkel of site een aanbieding niet kan nakomen. Dat hoort niet te gebeuren: wie een aanbieding uitschrijft, moet zorgen voldoende voorraad te hebben of moet er “op=op” of iets dergelijks bij zetten zodat je weet dat het een tijdelijk iets is met beperkte voorraad. Het is een oneerlijke handelspraktijk om willens en wetens met te kleine voorraad te gaan stunten. Maar in dit geval denk ik dat het gewoon een onverwachte stormloop is, en dat is moeilijk de aanbieder te verwijten.

Mensen een alternatief bieden is netjes, maar volgens mij juridisch niet verplicht. Waar mensen dit op baseren, is mij een raadsel. Ik kan nergens in de wet terugvinden dat je verplicht bent bij een aanbieding iets gelijkwaardigs te leveren als je eigenlijke aanbod op is.

Het enige dat in de buurt komt, is het oude artikel 7:46f BW dat bepaalde dat een online verkoper het récht heeft (mits dat in de AV staat) om je een vervangend artikel te sturen bij gebrek aan voorraad. Je had als consument dan weer wel het recht dit te weigeren en kosteloos terug te sturen. Maar hoe dan een recht van de winkel veranderde in een plicht van de winkel, dat weet ik niet. Wie me kan aanwijzen waar het staat: ik hoor het graag.

Voor zover ik kan zien is het vrij simpel: de aanbieder kan het aanbod niet waarmaken, dus kan de consument de overeenkomst kosteloos annuleren. Je mag natuurlijk genoegen nemen met het geboden alternatief, of zien of er wat anders uit te halen is (tegen bijbetaling een nog weer ander toestel, bijvoorbeeld) maar dat is een optie en geen recht of plicht.

Arnoud

U staat op een zwarte lijst, mag dat?

Geplaatst op in Privacy, 37 reacties

Incassokantoren hebben stilletjes grote zwarte lijsten aangelegd van bijna iedereen die in Nederland wel eens een rekening vergat te betalen. Dat meldde De Groene) vorige week (dank, vele tipgevers!). Talloze energiebedrijven, webwinkels en telefoonmaatschappijen checken de betaalmoraal van hun klanten – geheel in strijd met de wet. Wat dus al die tipgevers mij deed mailen: hoe kan het dat men daarmee wegkomt, en wat kun je doen als individu als je terecht of onterecht op zo’n lijst staat?

Iedereen kent het BKR uit Tiel, maar er blijken dus veel meer bedrijven te zijn die gegevens verzamelen over ons betaalgedrag:

Databedrijf EDR bijvoorbeeld heeft gegevens van 7,5 miljoen mensen. Het bedrijf Lindorff beschikt over de vuile was van 10,3 miljoen consumenten en Focum is kampioen met 10,5 miljoen Nederlanders, oftewel bijna iedere volwassene met een eigen portemonnee. Bedrijven analyseren de herkomst van je achternaam en hoeveel je verdient. Ze registreren openstaande rekeningen die je een keer over het hoofd hebt gezien. En ze knopen daar subjectieve conclusies aan vast die zeer nadelig kunnen zijn.

Juridisch kan ik daar weinig over zeggen dat niet al door Jan Kabel en Arnold Roosendaal is gezegd: dit mag gewoon niet, punt. Je moet worden geïnformeerd (actief) over waar je persoonsgegevens heen gaan, en wat die ander daarmee gaat doen. Daarnaast heb je recht op inzage in je dossier, en onder de AVG straks ook recht op een kopie daarvan plus een uitleg over de algoritmes die bepalen waarom men je een wanbetaler noemt.

Frustrerend dat het niet gebeurt, en dat hier geen handhaving op plaatsvindt. Dit is toch een grootschalige misstand waar mensen écht last van hebben. Het is een wat flauw argument om dan te zeggen, vanaf de nieuwe wet zal er opnieuw naar gedragscodes en naleving worden gekeken. Hoewel ik het wel begrijp, het schiet weinig op om een uitspraak onder de Wbp te krijgen terwijl we over minder dan 9 maanden een nieuwe wet krijgen met geheel nieuwe kaders.

Praktisch gezien weet ik niet hoe hier dan beweging in te krijgen, als de Autoriteit Persoonsgegevens het niet oppakt. Het enige dat ik kan bedenken, is massaal gebruik maken van je recht op inzage, en vanaf 25 mei ook staan op uitleg over een en ander.

Helaas staat er nog steeds geen standaardbedrag aan schadevergoeding op het niet naleven van zulke rechten. Ik blijf peinzen op een manier om een uitspraak daarover te forceren. Het blijft raar dat bij inbreuk op ‘gewone’ rechten (zoals auteursrecht) de rechter eigenlijk altijd aanneemt dat er schade is, en dat we bij privacy-inbreuk eigenlijk standaard zeggen dat er geen waardeerbare schade is. Een massaclaim dan maar, iedereen claimt een symbolische euro schade bij een stichting en dan namens tienduizend mensen naar de kantonrechter?

Arnoud

Univé verzekert gehackte pc consument

Geplaatst op in Security, 11 reacties

Verzekeraar Univé introduceert een verzekeringspakket waarmee consumenten hun pc of smartphone kunnen beschermen tegen hackers, las ik bij AMweb. Een speciaal kastje en een hulplijn moeten voorkomen dat het misgaat. Weten cybercriminelen je pc toch te vernielen dan vergoedt de coöperatieve verzekeraar de schade. En dat voor twaalf euro per maand. Ik kreeg er veel vragen over: voegt dit wat toe en wat heb je er aan?

Het is bij mijn weten de eerste verzekeraar die expliciet ICT-schade dekt onder een verzekering. Natuurlijk heeft iedereen al schadeverzekeringen, maar die dekken meestal alleen zogeheten letsel- en zaakschade: mensen of dingen die fysiek stuk gaan. Bij ICT-problemen is vaak eerder sprake van vermogensschade, áls er al schade is: zet maar eens een prijs op driehonderd verloren JPEG’s of de kosten van het opnieuw instellen van je tienduizend persoonlijke voorkeuren op je net opnieuw geïnstalleerde laptop. Dus een specifieke ICT-verzekering kan wat toevoegen hier.

Of deze verzekering genoeg doet daarvoor, is me nog niet duidelijk. Het ND zocht het uit en concludeerde dat je nou net geen schadevergoeding krijgt voor het verlies van bestanden met een emotionele waarde, zoals familiefoto’s, of voor betaald losgeld bij ransomware. Maar men dekt je wel wanneer jouw pc bij anderen schade aanricht, zoals wanneer een virus op jouw laptop overspringt naar zeg de postduivenvereniging waar je secretaris bent. (Bij je werkgever boeit dat niet, want die kan jou niet aansprakelijk stellen voor virussen die door jouw nalatigheid het bedrijfsnetwerk infecteren.)

Een interessant punt vond ik dat de verzekeraar je een modem met F-Secure SENSE firewall geeft, om zo de risico’s praktisch te beperken. (Een ding van 199 euro en na het eerste jaar 9,90 per maand securityupdates.) Dat is een mooie geste die voor veel consumenten wel wat toe kan voegen. En het past in de trend die ik in de zakelijke markt zie: niet alleen een risico dekken maar ook actief stimuleren (of zelfs verplichten) dat schadebeperkende maatregelen worden genomen.

Tegelijk kun je je afvragen, zou je voor dat geld niet zo’n firewall en een backupoplossing kunnen kopen als consument?

Arnoud