De wassen neus van ‘open’ kunstmatige intelligentie

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, nog geen reacties
OpenClipart-Vectors / Pixabay

Veel bedrijven die met kunstmatige intelligentie bezig zijn, noemen zichzelf ‘open’: ze zijn transparant over wat ze doen en hun software is voor iedereen gratis toegankelijk. Zo opende De Correspondent onlangs. Veel datamodellen – zoals LLaMa van Meta – zijn zo open beschikbaar, in tegenstelling tot het OpenAI GPT model dat stevig op slot zit. Maar hoe open is dat nou echt?

Open source heeft het internet gewonnen, daar is iedereen het wel over eens ondertussen. Het model waarbij je broncode deelt en samen bugs oplost onder het motto “with enough eyeballs all bugs are shallow” blijkt de meestgebruikte software te hebben opgeleverd waar zo ongeveer alle internetdiensten op gebaseerd zijn.

Velen willen meeliften op dit succes, dus alles en z’n broer heet “open dit” of “open dat”, maar je moet altijd wel even verder kijken of het écht open is. Want dat betekent niet alleen “je kunt het zonder registratie of aanvraag te pakken krijgen” maar ook “je mag er écht alles mee doen dat je wilt, inclusief aanpassen en ons ermee beconcurreren”. De Business Source License bijvoorbeeld is dus géén open source.

Men citeert in het artikel onderzoek van drie taalwetenschappers van de Radboud Universiteit in Nijmegen, die zo’n dertig verschillende modellen scoorden op dertien variabelen. Specifiek voor LLaMa2 concludeert men:

Zo blijven de data waarop het model is getraind geheim en is Meta minimaal scheutig met de onderliggende computercode. Er is geen erkende wetenschappelijke onderbouwing van het model en de technische uitleg haalt een ruime onvoldoende. In de techwereld zijn dit allemaal gebruikelijke standaarden waaraan je moet voldoen, wil je met goed fatsoen het label ‘open source’ kunnen dragen. Llama2 voldoet aan geen enkele.
De meeste andere modellen komen niet veel beter uit het onderzoek. Dat wordt nog ingewikkeld: de AI Act komt eraan en die gaat óók aan dit soort modellen regels stellen. Die regels gaan onder meer over transparantie en verantwoording, waar komt je data vandaan, hoe representatief en volledig ben je bijvoorbeeld. Hierover hadden we laatst dat onderzoek naar LLMs dat concludeerde dat niet eentje echt voldeed. (Bloom, dat daar het beste scoorde, komt ook nu het hoogste eruit.)

De term ‘open source’ is dan natuurlijk een mooie schaamlap om te doen alsof je model maatschappelijk heel nuttig is. Hopelijk zal de nieuwe wet ervoor zorgen dat we ook daadwerkelijk openheid gaan krijgen.

Arnoud

 

 

Kan ik als ontwikkelaar de AVG-risico’s van mijn software bij de klant leggen?

Geplaatst op in Ondernemingsvrijheid, Privacy, 8 reacties

Een lezer vroeg me:

Ik ben een eenmansbedrijf dat software maakt voor kassasystemen. Ik heb een klant die vasthoudt aan een legacy systeem van mij, waar persoonsgegevens in zitten. Ik kan echt niet meer 100% instaan dat dit veilig is gezien de leeftijd van het systeem, maar deze klant wil het persé aanhouden en alle risico’s dragen. Kan ik op een of andere manier alle AVG risico’s bij de klant leggen, of kan dit niet en zit er niets anders op dan het systeem echt af te sluiten?
Bij een onsite applicatie kun je alle verantwoordelijkheid verleggen, dat zou ik wel expliciet doen met een aparte verklaring.

Bij SaaS ben jij verwerker van die persoonsgegevens, en de AVG bepaalt apart dat ook jij aansprakelijk bent naar betrokkenen toe en dat jij apart beboet kan worden door de AP als het systeem niet adequaat is. Dat kun je niet verleggen met een contract.

Het beste dat je bij SaaS kunt doen is afspreken dat de klant je vrijwaart van eventuele boetes en claims. Dat betekent dan nog steeds dat jij ze moet betalen, maar je mag je dan omdraaien en ze verhalen op je klant die zo nodig dit systeem moest gebruiken. Punt is natuurlijk wel dat als de klant in de tussentijd gestopt is of failliet verklaard, er niets te halen is.

Arnoud

Kun je met een tweet de nieuwe voorwaarden van Twitter afwijzen?

Geplaatst op in Ondernemingsvrijheid, 17 reacties

Via Twitter:

Hey, @X: I #DoNotAccept the new terms of service, and my continued use of the site after they roll out should not be construed as acceptance of those terms. You can ban my account after the new terms roll out, for failure to agree to them. If not, you’ve agreed I can stay.
De plaatser is een Amerikaanse advocaat (NY) dus dat gaf vele vragen: is het na al die jaren gesteggel over websitevoorwaarden dan toch zó makkelijk om van de periodieke updates af te komen?

Cohen nuanceert zijn opmerking direct: er is geen rechtspraak over wat voorgaat, je mededeling “ik weiger de nieuwe voorwaarden” of het voortgezet gebruik waarvan Twitter had gezegd dat het zal worden opgevat als een aanvaarding. Als je bij Albert Heijn door het hekje gaat waar dat bordje hangt “Vanaf hier winkelwagen verplicht” terwijl je roept “Ik verwerp het aanbod tot binnentreden onder deze verplichting (art. 6:221 lid 2 BW)”, heb je je dan verplicht een winkelwagen te pakken?

AH zal er weinig juridische woorden aan vuil maken: allereerst kom je er in de praktijk natuurlijk vaak mee weg, en ten tweede is de remedie vrij simpel – de beveiliger sommeert je de winkel te verlaten, dat doe je en het is klaar.

Bij Twitter geldt in principe hetzelfde. Het maakt niet zo heel veel uit of je de redenering insteekt vanuit contractuele voorwaarden of huisregels gekoppeld aan server-eigendom, als jij iets doet dat het bedrijf verboden heeft, dan kunnen en mogen ze ingrijpen, inclusief verwijdering.

Er zijn echter een categorie verbintenissen die je wat lastiger kunt koppelen aan eigendomsrecht. Mag Twitter bijvoorbeeld een onbeperkte vrijwaring van claims van derden van je eisen, of je recht op toegang tot de burgerlijke rechter (met jury)? Dat heeft niet echt iets te maken met hoe jij je gedraagt op hun medium.

Je kunt natuurlijk op zich alles afspreken (althans in de VS; bij ons is het uitsluiten van de rechter en afdwingen van arbitrage iets ingewikkelder). Maar dan heb je wel echt een overeenkomst nodig, en dat vereist dat je kunt aanwijzen waar een aanbod is gedaan en of en hoe dat is aanvaard.

Dat Twitter een aanbod doet (“op gebruik van onze dienst gelden deze voorwaarden”) staat wel vast wat mij betreft. Het is mogelijk om bij een aanbod voorwaarden te stellen over de aanvaarding. Bekend is “uitsluitend schriftelijk aanvaarden” of “het aanbod vervalt binnen 48 uur als u niet aanvaardt”.

Hier is de voorwaarde “door de dienst te blijven gebruiken, ga je akkoord”. Dat is juridisch vergelijkbaar met een eis zoals schriftelijkheid: ik wil dat jij op een bepaalde manier aangeeft dat je akkoord bent. Dat is prima, al is hier wel lastig dat mensen ook onbedoeld de dienst kunnen blijven gebruiken, bijvoorbeeld omdat ze niet hebben gezien dat er nieuwe voorwaarden gelden.

In de VS is in 2022 uitgemaakt dat de lat voor een dienstverlener wel hoog ligt: deze moet bewijzen dat de mededeling niet te missen was geweest. Als dat lukt, dan wordt de gebruiker geacht eraan te zijn gebonden, omdat in die omstandigheden doen alsof je ‘gewoon’ nog verder wilde, niet genoeg is.

Het argument waar deze blog mee begon, is dat als je tegelijkertijd dus hard roept “ik verwerp het aanbod”, je daarmee die gebondenheid zou passeren. Ik denk dat dat hier niet opgaat, vanwege het massale karakter van deze dienst. Twitter heeft niet voor niets zo’n algemene manier van updaten en accorderen opgezet; individueel onderhandelen is niet haalbaar. Dan is het niet redelijk te verwachten dat jij met een tekstbericht wél ineens mag onderhandelen.

Arnoud

Britse encryptiewet wordt niet gehandhaafd omdat ‘encryptie scannen niet kan’

Geplaatst op in Regulering, Security, 1 reacties

Een Brits wetvoorstel dat het mogelijk moet maken om versleutelde chats te scannen op kindermisbruikmateriaal is flink afgezwakt. Dat meldde Tweakers vorige week. Pas als het ’technisch mogelijk is’ om chats te scannen ondanks versleuteling, komt men hierop terug. Wel moet markttoezichthouder Ofcom zijn macht gebruiken om van bedrijven te eisen dat ze ‘hun best doen’ om oplossingen voor het probleem te vinden.

De Online Safety Bill, zoals de wet heet, was al geruime tijd zeer controversieel vanwege haar plicht aan techbedrijven om desgevraagd versleutelde chats toegankelijk te maken voor Justitie. Bedrijven als Signal en WhatsApp hadden gedreigd hun product uit het VK terug te trekken als deze plicht in de wet zou komen.

De voorgestelde constructie was dat men onder de wet verplicht zou zijn achterdeurtjes of dergelijke in te bouwen, zonder het adequate karakter van de beveiliging te beschadigen. Dat dit niet kan, is een waarheid als een koe, maar dat heeft nog nooit een publiciteitsbeluste politicus tegengehouden het toch te eisen.

Het nieuwe voorstel is wat afgezwakt, aldus Wired:

Under the bill, the regulator, Ofcom, will be able “to direct companies to either use, or make best efforts to develop or source, technology to identify and remove illegal child sexual abuse content—which we know can be developed,” Scully said.
De toezichthouder moet dus uitzoeken welke technologie er zoal beschikbaar is, en dan van de techbedrijven eisen dat die een “best effort” (goeie inspanning) maken om te kijken of dat kan werken. Daar zitten genoeg mensen die daar met goede motivatie jaren over doen om te concluderen dat het niet kan werken, dus ik snap wel dat de conclusie is dat de wet hiermee effectief om zeep geholpen is.

Arnoud

 

 

Mozilla: moderne auto’s zijn privacynachtmerrie op wielen

Geplaatst op in Ondernemingsvrijheid, Privacy, 12 reacties

Moderne auto’s zijn een privacynachtmerrie op wielen, zo stelt Mozilla dat onderzocht hoe 25 automerken met persoonlijke informatie omgaan. Dat meldde Security.nl vorige week. Ze kunnen zelfs “race, national origin, religious or philosophical beliefs, sexual orientation, sexual activity, precise geolocation, health diagnosis data, and genetic information” van je achterhalen. Ik ga direct de sensoren in mijn auto nalopen.

Oké, die was flauw: dit is voor mij een volkomen standaard riedel die ik nodeloos op een heleboel plekken zie. Het is gewoon de definitie van “bijzondere persoonsgegevens” uit de AVG, en uit luiheid heeft daar een jurist die overgeschreven voor het geval dat er wellicht indirect en onvoorzien zo’n gegeven wordt verzameld.

Spannender is wat Mozilla ook ontdekte:

Our main concern is that we can’t tell whether any of the cars encrypt all of the personal information that sits on the car. And that’s the bare minimum! We don’t call them our state-of-the-art security standards, after all.
In combinatie met het gegeven dat elke nieuwe auto een ingebouwd modem heeft, is dit natuurlijk wel een recept voor ongelukken. Dit hoewel in Europa sinds kort nieuwe regelgeving voor cybersecurity van auto’s van kracht is, die onder meer eist dat een auto goed beveiligd is bij haar
on-board instruments, electrical system, vehicle lighting and protection against unauthorised use including cyberattacks;
Dit komt terug in de technische bijlage als de eis “D4 Protection of vehicle against cyberattacks”, die weer verwijst naar United Nations regulering 155. Wie deze doorleest, zal vooral opvallen dat er ontzettend veel procedureels in staat maar geen harde inhoudelijke eisen. Dat is bewust: goede security gaat meer om consistent je best doen dan om arbitraire lijstjes met eisen langs te lopen.

Tevens is het met deze aanpak zo dat de fabrikant aan het einde van het proces moet verklaren dat het autotype cybersecurity-veilig is. Dat levert een stukje productaansprakelijkheid op als dat niet zo blijkt te zijn, net zoals met alle andere veiligheidsaspecten van auto’s.

Het grootste probleem dat ik dan ook zie, is dat het vooral het niet-kwantificeerbaar zijn van de schade is. Bij slechte kwaliteit banden of verkeerde remwegsensoren is de schade vast te stellen op een bepaald bedrag, maar wat moet een autofabrikant betalen als gegevens over jouw seksuele gerichtheid naar Koreaanse hackers zijn gegaan?

Dit is natuurlijk geen specifiek probleem voor auto’s, het is hét probleem met de AVG.

Arnoud

 

Mag een vingerafdruk voor authenticatie wel als deze op de laptop blijft in een speciale chip?

Geplaatst op in Privacy, Security, 22 reacties

Een lezer vroeg me:

Mijn werkgever heeft gekozen voor implementatie van schermsloten met vingerafdrukherkenning. Echter, mij is nu onduidelijk of dit als verwerking van biometrische gegevens telt onder de AVG. Immers: er wordt geen foto van de vingerafdruk opgeslagen maar een vectorpatroon dat niet (her-)gebruikt kan worden als vingerafdruk. Dat vectorpatroon wordt opgeslagen in een speciale chip waar het niet uitgehaald kan worden. De “vingerafdruk” verlaat dus nooit de laptop, zelfs niet de chip.
Een vingerafdruk is een biometrisch persoonsgegeven volgens de definitie uit de AVG. Artikel 4 lid 14 AVG omschrijft het immers als “fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon”. Of je die kenmerken nou opslaat als een plaatje of als een feature vector, dat maakt niet uit. Het blijven kenmerken van (een vinger van) een persoon.

Het vectorpatroon blijft in een speciale plek, een chip die op een veilige manier een nieuw vectorpatroon (van een nieuw aangeboden vinger) vergelijkt met het opgeslagen patroon. Daar komt een “ja” of “nee” uit en daar kan de rest van het systeem mee verder. Dit is qua beveiliging van de persoonsgegevens prima, en het lijkt me ook meer algemeen een keurige implementatie.

Het is alleen niet zo dat je daarmee geen biometrische persoonsgegevens verwerkt. Je doet dit heel adequaat, veilig en zorgvuldig, maar je doet het uiteindelijk wel. En dat is dan verder prima, mits je maar je houdt aan de algemene regels over biometrie.

De AVG zegt dat je geen biometrische persoonsgegevens mag gebruiken behalve in uitzonderlijke gevallen. De relevante uitzondering is in Nederland opgenomen in de Uitvoeringswet AVG, artikel 29:

… het verbod om biometrische gegevens met het oog op de unieke identificatie van een persoon te verwerken [is] niet van toepassing, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden.

In dit specifieke geval zie ik de noodzaak wel, met name omdat het een optionele extra is naast de gewone authenticatie en de authenticatie op de laptop blijft waar deze ingebouwd zit. De noodzaak is dan “ik als gebruiker wil sneller en toch veilig me authenticeren op mijn laptop” en in die kleine context lijkt me dat verdedigbaar.

Wel wordt verdedigd dat de opgeslagen vingerafdruk (vectorpatroon) geen persoonsgegeven is, omdat immers alléén het vectorpatroon wordt opgeslagen zonder daarnaast de naam etcetera van de gebruiker. Dat zie ik niet, omdat uiteindelijk deze constructie gebruikt wordt om iemands account te unlocken. Er is dus een koppeling met een ‘iemand’ en dat is genoeg om van een persoonsgegeven te spreken.

Mag je het nieuws herschrijven met AI?

Geplaatst op in Innovatie, Intellectuele rechten, Ondernemingsvrijheid, 17 reacties

Er duiken steeds meer nieuwssites op die kunstmatige intelligentie (AI) gebruiken om razendsnel artikelen van gerenommeerde media te hergebruiken. Dat meldde Nu.nl een tijdje terug (sorry). De kern is dat je die artikelen dan in ChatGPT duwt met de instructie “herschrijf dit”, waarna het resultaat automatisch online gaat. Mag dat?

De Amerikaanse nieuwswaakhond NewsGuard heeft 37 van die sites aangetroffen, wat vrij eenvoudig was omdat men soms fouten maakte in de prompt en dan de standaardtekst “Als AI-taalmodel kan ik niet …” liet staan. Dus het betrappen dat iemand dit doet, dat lukt nog wel.

Het Nu.nl-artikel heeft het dan over ‘plagiaat’, maar dat is geen juridische term. Plagiëren kan ook gaan over het  (zonder naamsvermelding) overnemen van iemands idee, ontdekking of werkwijze, zaken die juridisch prima mogen maar waar men met name in de wetenschap ernstig gefronste wenkbrauwen van krijgt.

De juridische term is gewoon “auteursrechtinbreuk”, en dat is nog geen uitgemaakte zaak. Auteursrecht krijg je namelijk op jouw uitwerking van een idee of jouw vertelling van een serie feiten. En specifiek bij nieuws kan dat vrij dun zijn: je kunt het op heel veel manieren vertellen, maar als het neerkomt op “er staat een file op de A12” dan is dat feit vrij voor iedereen om in eigen woorden door te vertellen.

Het meekijken met andermans nieuws en dat in eigen woorden doorvertellen is al zo oud als het nieuws, volgens mij. Het was alleen altijd vrij veel werk, omdat je echt wel je best moet doen als mens om een artikel echt opnieuw te schrijven. Dat laatste is nu een kwestie van iets aan ChatGPT vragen (bron, klik voor groot):

Met een paar API-koppelingen kun je dit volledig automatiseren, zodat je bij ieder nieuwsbericht op een bronsite vrijwel direct een herschreven kopie op je eigen site krijg.

Auteursrechtelijk is dit volgens mij aan de goede kant van de streep, omdat de zinnen duidelijk afstand houden van het origineel. Ze bevatten dezelfde feiten, maar dat is dus geen probleem, de opbouw is anders en er worden geen zinsconstructies letterlijk herhaald. Ik zie niet hoe dat auteursrechtinbreuk zou zijn.

Natuurlijk, het voelt onrechtvaardig, maar dat is omdat het hiermee zó makkelijk is geworden om mee te rijden op andermans werk zonder dat daar een juridisch eenvoudig trucje (een DSA copyright takedown) tegen is. Maar dat is echt een heel andere discussie.

Arnoud

 

Mag je hoger scoren dan de concurrent op diens nieuwe naam?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 17 reacties

Je leest het goed, Odido. En nee, we hebben geen tikfout gemaakt. Zo opende een recent nieuwsbericht van KPN dat uitgebreid ingaat op de etymologie van dit woord en uitlegt dat KPN hele goede diensten levert. Een strakke actie aldus marketeers, maar zou T-Mobile, pardon Odido tegenwoordig dus, hier juridisch wat mee kunnen?

T-Mobile Nederland en Tele2 Mobiel gaan sinds kort verder onder de naam Odido. Ben, Simpel en Tele2 Thuis horen ook bij Odido, maar die merknamen blijven bestaan. Waarom men nu met de nieuwe naam – die me aan het bovengetoonde 7-up figuur doet denken – komt, is niet geheel duidelijk, maar goed het kan een bedrijfskeuze zijn.

KPN had een dag eerder lucht gekregen van de nieuwe naam, en besloot toen snel een artikel te publiceren waarin men alle klassieke SEO trucs uit de kast haalt om op alle mogelijke manieren relevant te zijn bij zoekopdrachten voor de naam Odido:

Zoals je leest heeft Odido alles te maken met goede communicatie. Zoals je weet communiceren we tegenwoordig veel via het internet of de mobiele telefoon. Laat dat nou net een onderwerp zijn waar wij alles van weten.
Natuurlijk heeft Odido een merkregistratie voor die nieuwe naam, en reclame maken voor je eigen telefonie- of internetdiensten onder die naam zal dan ook merkinbreuk opleveren. Daar heb ik weinig twijfel over. Alleen, wie de tekst van KPN goed leest zal nergens zien dat men zegt “neem bij ons Odido internet”:
Ga je op het internet op zoek naar Odido en zoek je dan naar een goede deal voor een internetabonnement? Dan zou je zomaar bij KPN uit kunnen komen. KPN biedt namelijk het beste glasvezel internet. Daarmee kan je even snel informatie versturen als downloaden. Wel zo handig als je wil thuiswerken of bestanden gaat uploaden in de cloud.
Het enige juridische punt dat ik hiervan kan maken, is dat KPN hier vergelijkende reclame maakt in de zin dat haar glasvezelinternetdienst beter is dan die van T-Mobile/Odido. Dat kan problematisch zijn, maar toevallig verklaarde dit voorjaar nog de Consumentenbond KPN haar glasvezel tot de beste van Nederland.

Ondertussen is de berichtgeving over Odido alweer zo ver en heeft T-Mobile de nieuwe naam en branding zodanig uitgerold dat het KPN artikel alweer min of meer weggespoeld is. Het zou weinig zinnig zijn om daar dan nu nog een punt over te maken. Dat gezegd hebbende, een knap gebbetje was het.

Arnoud

 

Politie stopt met gewraakt algoritme dat ‘voorspelt’ wie in de toekomst geweld gebruikt

Geplaatst op in Innovatie, Regulering, 19 reacties

De politie stopt ‘per direct’ met het algoritme waarmee ze voorspelt of iemand in de toekomst geweld gaat gebruiken, las ik bij FTM. Dit is de uitkomst van een eerdere publicatie over het Risicotaxatie Instrument Geweld (RTI-G), het zoveelste voorbeeld dat laat zien hoe inherent dubieus het is om voorspellende uitspraken over menselijk gedrag te doen op basis van datasets.

“AI snake oil”, noemt professor Arvind Narayanan van Princeton het. Uitspraken over gedrag of verwachtingen omtrent personen, aangekleed met “Artificial Intelligence” versieringen en zogenaamd perfect werkend. Haarlemmer AIoli, zou ik het haast noemen. Het komt er altijd op neer dat men een niet direct verifieerbare uitspraak doet op basis van een brokje data en een black box model, die dan heel precies klinkt en daarom vaak wordt overgenomen.

Bij een spamfilter dat een verkeerde classificatie maakt, of een AI-biometrie die je niet binnenlaat, krijg je vrij direct feedback dat het niet werkt. Een algoritme dat voorspelt of iemand gaat recidiveren of geweld gebruiken is een heel stuk lastiger – net zoals met alle juridische afwegingen, van het automatisch afwegen van een bezwaar in het bestuursrecht tot een strafvonnis genereren.

Natuurlijk handelde de politie niet blind op de uitkomst van het RTI-G, maar ‘het risicoprofiel dient te worden gezien als aanwijzing dat een strafbaar feit gepleegd gaat worden.’ En daar wordt dan wél op geageerd: een van de mensen die met FTM sprak, kreeg een schriftelijk bevel een half jaar lang op ieder gewenst moment mee te werken aan fouillering en doorzoeking van de auto. Het Hof Den Haag floot de politie terug:

De rechtspraak gaat uit van een concrete aanleiding dan wel feitelijke omstandigheden kort voorafgaand aan dan wel ten tijde van de inzet van de bevoegdheden op basis van deze artikelen. Daarvan is geen sprake als [geïntimeerde] alleen op basis van zijn aanwijzing als veiligheidsrisicosubject aan een fouillering of doorzoeking van zijn auto wordt onderworpen.
Desondanks blijft de vraag gerechtvaardigd: hoe kwam dat systeem dan tot haar conclusies? Op basis van welke gegevens en algoritmes kon men deze uitspraak doen en hoe is dat te rechtvaardigen? Ik zet het even op een rijtje uit het FTM artikel:
  1. Iemands verleden in de politiesystemen, bijvoorbeeld betrokkenheid (dader, getuige, aangever) bij geweldsdelicten, eventuele aangetroffen wapens en de optelsom van andere delicten wegen ook mee.
  2. Hoe groter het aantal registraties van (vermoedelijke) delicten bij de politie, gewogen naar de vermoedelijke samenhang met geweld.
  3. Geslacht en leeftijd; mannen meer dan vrouwen en mensen die jong een eerste delict pleegden meer dan latere plegers.
  4. Etniciteit, wat er in 2017 uitgehaald is omdat het ‘een beperkt maar toch nadelig effect op de interne beeldvorming [gaf] voor een individu.’ Een Antilliaanse achtergrond telde daarbij zwaarder mee dan een Marokkaanse of Somalische.
Afgaande op het meegepubliceerde screenshot gaat het hier om een ‘klassiek’ beslissysteem, namelijk een veredelde Excelsheet die aan elke factor punten geeft en een totaalsom maakt:Hoogleraar digitale surveillance Marc Schuilenburg is vernietigend: de resultaten zijn ‘uit de lucht gegrepen’, er is geen enkele validatie laat staan een feedbacksysteem om fouten te corrigeren.
Volgens hem is Nederland een ‘voorzorgsmaatschappij’ geworden. ‘In de politiek en de samenleving gaat het om het voorkomen van potentiële risico’s,’ aldus Schuilenburg. ‘Vroeger was er eerst een verdenking en dan pas surveillance. Nu is er eerst surveillance en dan pas een verdenking.’
Het ergerlijke voor mij is vooral dat de uitkomsten van die surveillance worden aangekleed met een sausje van juistheid: kijk maar, het getal rechtsonder is 970 dus dit klopt echt, en ik zie ook vijf donkerrode vlakken dus het is ernstig ook. (Dit staat bekend als “precision bias” in het vakgebied.) Maar garbage in, garbage out: hoe weet je of het klopt?

En nee, het is nu te makkelijk om te zeggen “door gewoon die mensen te fouilleren en te zien of ze wapens hebben”. Even los van wat de wet daar dus over zegt, als je handelt vanuit een foute aanname dan komt daar nooit een goed resultaat uit. Ja, misschien vind je een wapen en misschien zelfs vaker bij Antilliaanse verdachten dan bij Nederlandse boerenzonen. Maar bewijst dat dat je startpunt klopte?

Arnoud

 

“Het is technisch onvermijdelijk dat wij u in de wacht afluisteren”, wacht, wat?

Geplaatst op in Ondernemingsvrijheid, Privacy, 36 reacties

Klantenservices mogen klanten die in de wacht staan niet opnemen, meldde Security.nl onlangs. Men citeert uit onderzoek van Radar, dat vele klantenservices belde en vervolgens navraag deed: wordt er opgenomen terwijl ik in de wacht sta, en waarom zet je dat niet uit? Verbijsterend antwoord: dat kan technisch niet.

“Het mag eigenlijk niet, want het is niet nodig voor het doel van het gesprek,” zo citeert men de Autoriteit Persoonsgegevens. Jammer van dat “eigenlijk”, want het argument toont aan dat het gewoon écht niet mag. Ook niet een beetje.

Je mag opnemen om bewijs te verzamelen van het gesprek (bijvoorbeeld dat er ‘ja’ is gezegd op een aanbod, of dat de klant agressief werd), of om je personeel te evalueren of trainen, en zo zijn er nog een paar. Natuurlijk moet je dat melden (transparantie), maar je hebt ook een noodzaak nodig. En daarbij is volgens mij inherent dat je een gesprek aan het voeren bent.

Wie in de wacht staat, voert geen gesprek maar zit te wachten tot zhij aan de beurt is. Dan kan er dus geen sprake zijn van bewijsnood over wat er gezegd is, en hoe je je mensen wilt trainen of beoordelen op basis van geluiden tijdens de wacht ontgaat me evenzo. De opname moet dan uit staan.

De praktijk is anders:

De Friesland en Interpolis bevestigen dat de opnameband blijft lopen als je bij hen in de wacht staat, terwijl dat dus de privacyregels schendt. “Als tijdens dat gesprek de medewerker de klant “in de wacht” zet om bijvoorbeeld het juiste antwoord op te zoeken, wordt dat gedeelte ook opgenomen. […] Technisch gezien is het anders niet mogelijk,” stelt het Woonfonds. … Ook Bol.com blijft je afluisteren terwijl je in de wacht staat, zo bevestigt de webwinkel. Zij geeft daarvoor ook dezelfde reden: “Het is technisch niet mogelijk om de opname tijdelijk te stoppen en weer te starten als het gesprek weer begint.”
Radar vond echter vele andere bedrijven (KLM, Ziggo, Eneco, Vattenfall, T-Mobile, Nationale Nederlanden, ASR, ING en Rabobank) die het technisch prima aan kunnen, de opname uitstaan wanneer het systeem naar wachtstand schakelt. Dit klinkt voor mij dus meer als “onze software kan dit niet” dan een fundamentele reden waarom je helaas gedwongen bent de opname door te laten lopen.

Is dat een argument? Nee, natuurlijk niet. Software en andere tooling die je gebruikt, moet AVG compliant zijn. Het opnemen van wachtstandgeluid is niet noodzakelijk onder de AVG en mag dus niet gebeuren. Dus moet je software hier automatisch de opname bij staken, privacy by design.

Ik zie héél misschien een argumentje bij het kort in de wacht staan terwijl de medewerker iets nazoekt. Dan zit je al in het gesprek en draait de medewerker zich om. De klant zou dan net iets relevants kunnen zeggen, of juist dan leeglopen over de medewerker – “mompelmompel” / “sorry, wát zei u daar over mij” / “nee, niets”. Ik vind dat wel een tikje gezocht.

Arnoud