Hof van Justitie: Algoritmische invloed op contentpresentatie maakt dat je er aansprakelijk voor wordt

Geplaatst op in Ondernemingsvrijheid, Regulering, 9 reacties
Photo by ?????? ????? on Unsplash

Wie met een algoritme bepaalt onder welke voorwaarden, op welke wijze en in welke volgorde van prioriteit andermans content wordt verspreid, kan zich niet achter de bescherming van hosters verschuilen. Dat bepaalde het Hof van Justitie afgelopen dinsdag (zaak C-188/24). Een aardverschuiving in het aansprakelijkheidsrecht?

Het Hof kwam tot deze uitspraak in twee gevoegde zaken uit Frankrijk. De een ging over een pornosite die te weinig deed om minderjarigen te weren, de ander over een radarcontrole-waarschuwingsdienst. Dat lijkt weinig met elkaar gemeen te hebben, behalve dat beiden platforms waren waar gebruikers content plaatsten, en beiden stelden dat de Franse overheid ze dwong tot een algemene controleplicht. Dat is in strijd met artikel 15 van de E-commercerichtlijn (en nu artikel 8 DSA).

Uit de vraag maakt het Hof op dat de Franse rechter mede wil weten of deze partijen onder de beperking van aansprakelijkheid voor hosters valt (artikel 14 richtlijn). Daarvoor geldt namelijk dat je geen controle of invloed over de content moet uitoefenen. Het klassieke voorbeeld is voorafgaande moderatie – dan kies je wat er op je site mag komen. Idem voor de foto van de dag die je op de homepage zet.

Zo handmatig gebeurt het al lang niet meer. De meeste platforms werken met een omgekeerd-chronologische feed en/of thematische categorieën. Dat is volgens de standaardjurisprudentie geen probleem (Google/Vuitton), zolang je maar geen dingen doet waarmee je inhoudelijke kennis of controle over de content krijgt (Youtube/Cyando).

In die zaken ging dat goed (voor het platform), omdat die alleen keken naar metadata van de content. Bij deze platforms was er meer inhoudelijke bemoeienis, hoewel puur algoritmisch. Maar door dat algoritme kon de aanbieder zelf bepalen

onder welke voorwaarden, op welke wijze en in welke prioriteitsvolgorde deze informatie wel of niet wordt verspreid, [zodat] de exploitant zeggenschap over die informatie uitoefent (…).
Met name woog daarin zwaar dat de exploitant in haar eigen belang handelde. Dit in tegenstelling tot enkel het belang van de uploader, denk aan een virusscan.

Voor mij is dat “prioriteitsvolgorde” de kern: je bepaalt dan niet alleen waar de content moet staan, maar ook of de content überhaupt in beeld komt. Bij een omgekeerd-chronologische feed kom je alles tegen als je lang genoeg scrollt, maar dat is zeker niet zo bij een “Relevant voor jou”-feed.

Dan is die feed dus een “foto van de dag” (de seconde?) selectie van de redactie. Dat je dat uitbesteedt aan een algoritme, is daarbij irrelevant.

Het Hof formuleert alleen de regels, het is aan de nationale (hier dus Franse) rechter om te bepalen of die platforms er aan voldoen. Maar dit is wel een sterke voorzet dát dit het geval gaat zijn.

Betekent dit nu dat íeder platform met een recommender zijn beperking van aansprakelijkheid kwijtraakt? Een strakke lezing zegt van wel: je gebruikt een algoritme, en dat zegt hoe en in welke prioriteit content wordt getoond. En intuïtief is dat ook passend: je bént geen neutraal doorgeefluik als je zelf rangschikt wat het beste/mooiste/interessantste is.

Dat wil tegelijkertijd niet zeggen dat je automatisch mag betalen als er iets onrechtmatigs op je site staat. Een platform met duidelijke regels en actieve moderatie handelt niet onrechtmatig door af en toe per abuis iets door te laten dat tegen de wet is.

Arnoud

 

Waarom mag fingerprinten eigenlijk zonder toestemming, terwijl cookies altijd mét toestemming moeten?

Geplaatst op in Privacy, Security, 18 reacties
Photo by Meg Jenson on Unsplash

Een lezer vroeg me:

Websites en apps moeten toestemming vragen voordat ze gegevens mogen verwerken waarmee gebruikers zijn te volgen. Denk bijvoorbeeld aan cookiebanners of toestemmingsvinkjes in apps. Tegelijkertijd verstuurt je browser standaard allerlei technische informatie (zoals user agent, fonts en tijdzone) naar websites waarmee een fingerprint van het device is te maken en de gebruiker online is te volgen. Ook je besturingssysteem maakt allerlei informatie voor apps beschikbaar die dit voor tracking kunnen gebruiken. Dit gebeurt eigenlijk altijd zonder aparte toestemming. Waarom kent de wet dat onderscheid?
De toestemmingsvraag voor cookies en dergelijke gaat terug op de Telecommunicatiewet: het uitlezen of plaatsen van informatie op randapparatuur in een netwerk mag alleen met toestemming van de gebruiker. Op die toestemming is dan weer de AVG van toepassing. Tracking cookies zijn stukjes informatie (een code, soms een profiel) en die worden geplaatst op je randapparaat, dus is toestemming nodig.

Deze regel komt uit de ePrivacy-richtlijn, die in heel Europa geldt. De wet is hard en rechtlijnig, de enige uitzondering geldt voor de technisch noodzakelijke cookies, zoals het bekende cookie dat je winkelmandje beheert, of een sessiecookie voor een ingelogde gebruiker. In Nederland is daar nog een uitzondering bij gekomen, voor het doel informatie te verkrijgen over de kwaliteit of effectiviteit. Vereist daarbij is dat dit geen of geringe gevolgen heeft voor de persoonlijke levenssfeer van de betrokken abonnee of gebruiker. Dit wordt wel de Google Analytics of first-party-analytics uitzondering genoemd.

Technieken zoals browser fingerprinting op basis van die browserinformatie vallen buiten deze regel, om de simpele reden dat deze informatie niet wordt uitgelezen van het randapparatuur. De browser, een applicatie onder beheer van de eindgebruiker, stuurt die proactief en ongevraagd mee. Daarom is toestemming vragen niet perse nodig.

Natuurlijk levert zo’n fingerprint een persoonsgegeven op, want het hele punt ervan is een persoon te identificeren (in de zin van: een uniek label geven) en daar analyses op te doen. Maar dat valt onder de AVG, en die kent naast toestemming nog andere grondslagen, zoals het bekende (beruchte?) eigen gerechtvaardigd belang. Zolang je daar een beroep op kunt doen, mag je dus met fingerprints tracken zonder toestemming te hoeven vragen.

Arnoud

Duitse rechter: Google is verantwoordelijk voor onjuiste claims van AI Overviews

Geplaatst op in Ondernemingsvrijheid, 8 reacties
Photo by Wolfgang Vrede on Unsplash

Google is verantwoordelijk voor de inhoud van AI Overviews, aldus Tweakers vorige week. Het Landgericht München bepaalde dat het advertentiebedrijf zich niet kan verschuilen achter disclaimers, omdat AI Overviews eigen content zijn en niet andermans zoekresultaten.

Bij The Decoder leggen ze uit:

De AI-analyses van Google hadden twee uitgeverijen ten onrechte in verband gebracht met oplichting, abonnementsvalstrikken en dubieuze zakelijke praktijken bij bepaalde zoekopdrachten. Volgens de rechtbank vermengde de AI informatie over andere, daadwerkelijk dubieuze bedrijven met die van de eisers en legde verbanden die in geen van de gelinkte bronnen voorkwamen. De uitgevers stuurden Google een sommatiebrief, maar Google reageerde niet adequaat.
Googles verweer bij de rechter was niet verrassend: wij zijn niet aansprakelijk want alles is third-party content, wij knopen het aan elkaar en streven naar een prettige gebruikservaring. En daar is genoeg jurisprudentie over, inclusief smadelijke teksten in de snippets die op de resultatenpagina worden getoond.

Een AI Overview is alleen niet hetzelfde als een snippet. Daarvan kun je nog zeggen “dat komt zo uit de bron en dat kun je niet controleren”. Die overviews maak je zelf. Weliswaar op basis van die snippets, maar daarmee maak je het tot een eigen uiting. Uit het vonnis:

Dit begint met de inleidende bevestiging van de zoekopdracht (“Ja, Verlagshaus24 (GeraMont Verlag) staat bekend om dubieuze handelspraktijken…” of “Ja, er zijn aanwijzingen voor frauduleuze praktijken en dubieuze praktijken in verband met de uitgeverij – Verlagshaus24…”), wat qua taalgebruik al verder gaat dan de loutere presentatie van de links. Het vervolgt met de onafhankelijke thematische structurering van het antwoord, die niet wordt weergegeven of opgenomen in de daaropvolgende resultaten van websites van derden. Deze structuur bestaat uit een inleidende samenvatting, gevolgd door een overzicht van de “Kenmerken van de vermeende fraude” / “Typische fraudegevallen”, en een daaropvolgende aanbeveling voor actie onder “Wat u kunt doen” / “Wat u zou moeten doen”.

Dit alles toont een onafhankelijke, op inhoud gebaseerde verwerking van de zoekresultaten door de door de gedaagde aangeboden en in de zoekopdracht gebruikte AI aan. Op deze manier creëert de gedaagde onafhankelijke verklaringen die verder gaan dan de individuele zoekresultaten die later via links worden weergegeven. Aangezien de gedaagde zelf de kunstmatige intelligentie heeft geïntroduceerd en deze aan gebruikers aanbiedt, moet zij ook verantwoordelijk worden gehouden voor de resultaten, omdat alleen zij invloed heeft op het aanbod van de AI en de algoritmen waarmee de AI werkt.

Het helpt dan al helemaal niet als de AI zelf nog beschuldigingen erbij verzint:
Bovenal bevat het “overzicht met AI” echter verklaringen die helemaal niet in de zoekresultaten voorkomen. Geen van de verstrekte links legt een verband tussen de eisers en een “[niet gespecificeerde entiteit]” of beweert dat er sprake is van frequente naamswijzigingen tussen “[niet gespecificeerde entiteit]”. Dit zijn verklaringen van de beklaagde zelf en gaan dus verder dan de loutere presentatie van de zoekresultaten.
Maar ook zonder dat laatste kun je Google dus wel degelijk aanspreken op het gegeven dat er onwaarheden in die samenvattingen staan, aangenomen dat jij daar schade door lijdt.

Google mág zich verweren door bijvoorbeeld te laten zien dat “iedereen” dat zegt, of dat ze redelijkerwijs mochten vertrouwen op de juistheid. Maar dat vergt een inhoudelijke analyse, die verder moet gaan dan enkel “dit stond op pagina X”.

Arnoud

 

 

VS blokkeert Anthropic Claude Fable 5 en Mythos 5 vanwege zorgen jailbreak

Geplaatst op in Innovatie, 4 reacties

Anthropic heeft Claude Mythos 5 en spin-off Fable 5 wereldwijd offline gehaald vanwege een blokkade door de Amerikaanse overheid. Dat meldde Tweakers zaterdag. Zo voelen we eens een keer met z’n allen wat dat nou is, afhankelijk zijn van de nukken van een buitenlandse regering.

In een verklaring legt het AI-bedrijf uit:

The letter did not provide specific details of its national security concern. Our understanding is that the government believes it has become aware of a method of bypassing, or “jailbreaking” Fable 5. We reviewed a demonstration of this specific technique being used to identify a small number of previously known, minor vulnerabilities. These vulnerabilities all appear relatively simple, and we have found that other publicly-available models are able to discover them as well without requiring a bypass.
Het eerder zwaar gehypete model Mythos zou zó krachtig zijn dat het iedereen de moeder kon hacken, en daarom werd het in afgezwakte versie op de markt gebracht als het model Fable. (Een fabel is dus een mythe met vangrails.) Slechts een zeer beperkt groepje organisaties mocht echt met Mythos werken.

De CEO van Amazon – investeerder in Anthropic – liet vrijdagavond echter de minister van financiën Scott Bessent zo hard schrikken dat er meteen een exportrestrictie op Mythos en Fable werd gezet. Of iets formeler: Amazon, als defensie-toeleverancier, handelde onder haar wettelijke plicht om mogelijke risico’s voor de nationale veiligheid te melden bij de autoriteiten.

Waarom precies is niet duidelijk, net zo min als waar die restrictie juridisch op gebaseerd is. Vermoedelijk gaat het om de U.S. Export Administration Regulations (EAR, 15 CFR § 772.1), omdat het van de Commerce Secretary Howard Lutnick afkomstig is en die daarover gaat. Deze wet biedt daarbij ook de mogelijkheid om te verbieden dat buitenlanders in de VS toegang krijgen tot de technologie. En ja, dat raakt dus ook de werknemers van Anthropic zelf.

Omdat uitsluiten van toegang op nationaliteit niet 100% effectief is, heeft Anthropic er voor gekozen om de modellen geheel offline te halen. Dat geeft toevalligerwijs ook de meeste reuring, want reken maar dat iedereen dit model wil hebben als het straks weer online komt.

Voor mij is het mooie aan dit incident vooral dat het nu brééd invoelbaar is, die afhankelijkheid van US Big Tech. Het bleef altijd zo abstract. Meneer Breton mag de VS niet in. Diverse ambtenaren hun mailadres ligt bij het Amerikaanse Congres. Iemand zijn Onedrive werd geblokkeerd zonder reden. De ICC aanklager kan niet meer in Office. Het is allemaal net te ver weg. Dus ik hoop dat het een accelerator is in de discussie.

Arnoud

Laten we het opheffen van domeinnamen gewoon eens verbieden

Geplaatst op in Informatiemaatschappij, Ondernemingsvrijheid, Privacy, 25 reacties
Photo by JanBaby on Pixabay

Cybercriminelen kunnen heel eenvoudig klantgegevens van bewindvoerders buitmaken, aldus RTL Nieuws maandag. Daardoor kunnen persoonsgegevens van mensen met financiële problemen, een groep die extra kwetsbaar is voor fraude en uitbuiting, in verkeerde handen vallen. Het gevaar schuilt in slecht beveiligde oude e-mailadressen.

De aanleiding voor het onderzoek was het Odido-datalek, waarbij ethisch Hacker Wesley Neelen zag dat “veel mensen het e-mailadres van hun bewindvoerder gebruiken”. Niet raar als je onder bewind staat. En inderdaad een groep die extra kwetsbaar is voor criminelen die ze “snel extra geld verdienen” voorhouden.

Het echte probleem is echter diepen, zoals Neelen toelicht:

Deze mailadressen waren alleen niet meer in gebruik, en met een druk op de knop kon hij de website en bijbehorende mailbox registreren en overnemen: “Technisch gezien is het heel makkelijk. Ik stond ervan te kijken dat er nog zo veel e-mails binnenkwamen terwijl de inbox al een tijd niet meer in gebruik is.”
Dit probleem is an sich niet nieuw; elke paar jaar zie ik wel een nieuwsbericht of onderzoek dat gevoelige mails kunnen worden onderschept als je een oud domein van [organisatie X|bedrijven in branche Y|overheid Z] registreert en een catchall mailadres inricht. De impact is natuurlijk wel groot als dit écht een malafide partij is.

De onderliggende reden waar we het écht over moeten hebben, is de gedachte dat je oude domeinnamen opheft. Waarom? Ik citeer weer even RTL:

Veel bewindvoerders zijn de afgelopen jaren gefuseerd of overgenomen door andere organisaties. De bewindvoerder moet zijn eigen website en e-mailbox, zoals @bewindvoerder .nl, beveiligd afsluiten om misbruik te voorkomen. Dat kost ongeveer tien euro per jaar. Veel bewindvoerders betalen die kosten niet en laten de domeinnaam van hun website verlopen.
Dat “beveiligd afsluiten” wil zoveel zeggen als de domeinnaam actief houden maar zorgen dat alle mails teruggestuurd worden met een autoreply of een technische foutmelding. Dit is op zich een eenmalige moeite, en dat tientje per jaar is vooral de administratieve overhead van de betrokken partijen.

Misschien wordt het tijd voor een nieuwe AVG-meme: domeinnamen opheffen mag niet van de AVG, want het veroorzaakt datalekken wanneer (niet als) ze door een ander worden geregistreerd. En de kostenbatenanalyse valt zó duidelijk in het voordeel van “geregistreerd houden” uit, dat ik geen tegenargument meer weet.

Arnoud

Kan ik na het omvallen van mijn cryptobank mijn geld terugkrijgen?

Geplaatst op in Ondernemingsvrijheid, 11 reacties
Photo by Traxer on Unsplash

Een lezer vroeg me:

Ik heb spaargeld omgezet in crypto via een Nederlandse partij met DNB-vergunning als cryptodienstverlener. Deze partij lijkt nu te zijn omgevallen, en nu lees ik dat ik buiten de bescherming van het nationaal depositogarantiestelsel ga vallen. Is er nog een juridische manier om mijn geld terug te eisen van deze cryptobank?
Het depositogarantiestelsel is een wettelijke bescherming voor geld dat bij banken op een rekening staat. Zoals DNB zegt, “Mocht een bank failliet gaan, dan zorgt De Nederlandsche Bank (DNB) dat u uw geld terugkrijgt. Van 1 cent tot maximaal € 100.000 per persoon, per bank.” Wie daar doorklikt, komt bij de veelgestelde vragen en daar wordt vrij snel en hard gezegd “Een crypto (zoals bitcoin) is geen geld dat bij de bank staat. Het is daarom niet beschermd door de Nederlandse Depositogarantie.”

De juridische basis voor dit stelsel is de Wet op het financieel toezicht (Wft), afdeling 3.5.6. Alle “banken die een vergunning als bedoeld in artikel 2:11 hebben” (en bepaalde beleggingsinstellingen) moeten meewerken aan dit stelsel. En dan is het antwoord verder heel flauw: een cryptodienstverlener, ook met vergunning, is geen “bank in de zin van artikel 2:11 Wft” en valt dus buiten het depositogarantiestelsel.

De achterliggende motivatie is dat crypto’s op één lijn worden gezet met gewone beleggingen, die ook buiten het garantiestelsel vallen. In 2018 meldde de minister bijvoorbeeld dat een probleem daarbij is dat er geen centrale uitgever aan te spreken is op misstanden. Je zou kunnen stellen dat een cryptodienstverlener zo’n centrale rol kan spelen voor de crypto’s die daar gestald staan, maar dat vereist een wetswijziging en ik vermoed dat de overheid daar weinig trek in heeft.

Arnoud

EU wil Amerikaanse techbedrijven uitsluiten van grote IT-contracten

Geplaatst op in Innovatie, 4 reacties
Photo by Karmishth Tandel on Unsplash

De Europese Unie wil strengere regels invoeren voor grote digitale contracten van overheden, las ik bij Nu.nl. De aangekondigde Cloud and AI Development Act is het langverwachte antwoord op de hegemonie van US Big Tech, en deel van een breder pakket aan soevereiniteitsbevorderende maatregelen. Uitpakken maar.

De CADA, zoals het 129 pagina’s tellende ding afgekort moet worden, is een voorstel voor een Verordening (Europese wet) die primair adoptie en investeringen in AI moet versnellen en versterken. Het staat dan ook vol opdrachten om te investeren, te bouwen en te doen. En om hindernissen weg te spelen: vergunningen voor datacenters moeten binnen een jaar afgehandeld worden, bijvoorbeeld.

Het grote probleem is en blijft: US Big Tech is goedkoper en qua features ook een fors eind vooruit. Die zal dan ook snel winnen bij aanbestedingen, want je mag niet uitsluiten op vestigingsland. En omdat (op papier) de CLOUD Act geen gevaar is (want de VS is een AVG-adequaat land), is daar verder niets tegen te doen.

Het antwoord is nu een EU-breed assessment framework om de soevereiniteitsrisico’s van een dienst in te schatten. Er zijn vier niveaus, met oplopende eisen aan controle, datalokaliteit en operationele autonomie. Men lijkt inspiratie uit de niveaus 1-4 van het bestaande Cloud Sovereinty Framework te hebben gehaald, maar een aantal zaken is veranderd – zo is het vanaf niveau 2 verboden om klantdata te gebruiken voor training of fine-tuning van AI-systemen.

De soevereiniteitshaak zit in levels 3 en 4. Vanaf hier wordt hard vereist dat de dienstverlener niet onder “control” van een derde land of een in een derde land gevestigde entiteit staat (zoals gedefinieerd in de EDF-verordening 2021/697). Vanaf niveau 2 moet je een onafhankelijke auditverklaring overleggen om mee te mogen doen bij aanbestedingen van Unie-entiteiten of publieke-sectororganen. En bij bepaalde “openbare-orde” diensten is het verplicht dat je niveau 3 of 4 bent.

Naar de letter van de wet kan US Big Tech geen niveau 3 of 4-verklaring krijgen, omdat hun “control” uit een derde land komt. Ook als een in Europa gevestigde dochteronderneming de aanbieding doet. Maar er is een escape in artikel 18: de Commissie mag landen aanwijzen als “niveau 3 adequaat” als aan een aantal voorwaarden is voldaan:

  • Het land is als adequaat aangewezen onder de AVG (en dat is de VS dus, totdat het DPF omvalt);
  • Er bestaat geen wetgeving die in strijd is met de datatoegangsregels uit de Data Act (artikel 32), en hier zou de CLOUD Act dan tegenaan botsen;
  • Er bestaat geen wetgeving, zoals sancties of embargos (OFAC/EAR), waarmee de provider gedwongen kan worden de dienst af te knijpen of te verstoren (wat mij de reden leek om de Solvinity-overname te verbieden);
  • Er bestaat geen wetgeving die gebruik van de laatste technologie door de Europese klant te verbieden (herinnering aan de oude Amerikaanse crypto-exportregels waarbij “het buitenland” de zwakke versies kreeg);
  • Europese clouddiensten mogen open en vrij in hún markt opereren, inclusief bij aanbestedingen.
 

Uiteraard is dit “maar een voorstel”, maar ik vind het een goede stap die overheden en grote organisaties zal dwingen tot een fundamentele verandering in hoe ze omgaan met ict-diensten. Cynisch als ik ben denk ik wel gelijk: niemand gaat iets doen tot deze wet er is, dan gaan ze klagen dat het zo moeilijk is, er komt twee jaar overgangsrecht en daarna gaan mensen wéér klagen dat ze meer tijd nodig hebben.

Arnoud

Nederlandse provider onze.nl neemt met AI gesprekken op, eh, wat?

Geplaatst op in Ondernemingsvrijheid, Privacy, 14 reacties
Photo by israel palacio on Unsplash

De Nederlandse provider onze.nl biedt mobiele abonnementen aan en integreert een AI-assistent die gesprekken opneemt om samenvattingen en transcripties te maken. Aldus Tweakers.net vorige week. Kan dat zomaar, een AI in je telefoon?

Onze.nl is een virtuele provider (over het netwerk van Odido) en de USP is dus dat je telefoongesprekken automatisch opgenomen en getranscribeerd worden. Daar heb je dan geen apps voor nodig, en de AI-assistent kan allerlei handige functies gaan doen. Er zal een doelgroep voor zijn.

Alleen je eigen stem wordt opgenomen, zo verklaart men op de site. Dat kan technisch vrij eenvoudig: jouw kant van het gesprek gaat naar de servers van Onze.nl en vanaf daar naar je wederpartij, dus dat kan daar afgetakt en geanalyseerd zonder dat er wederpartij-geluid tussen zit.

Dat komt goed uit, want als je die wederpartij gaat aftakken dan wordt het juridisch spannend. Niet strafrechtelijk, want Onze.nl handelt in opdracht van de deelnemer, art. 139a lid 1 Strafrecht zondert uit wie “in opdracht van zulk een deelnemer opneemt”.

De spanning zit hem natuurlijk in de AVG. In het algemeen is die niet relevant bij iemand die voor zichzelf gesprekken opneemt. Dat is voor huishoudelijk gebruik (art. 2 lid 2 AVG) en dan geldt de AVG niet. Bij zakelijk opnemen kan de privé-uitzondering ook gelden, maar vrijwel altijd gaat de data verder het bedrijf in en dan overschrijd je een grens.

De uitdaging zit hem in de rol die Onze.nl hierbij aanneemt. De privacyverklaring is daarbij duidelijk: men opereert als verwerker, dus uitsluitend ten behoeve van de klant die het gesprek op laat nemen. Maar zoals dat gaat bij AI, gaat het altijd toch een kléin stapje verder.

Het gaat hierbij om door u aangeleverde referentie- of contextinformatie (zoals beroepsspecifieke terminologie, klantgegevens of voorkeuren voor de opmaak van gespreksrapporten) die wij gebruiken om de relevantie en nauwkeurigheid van de AI-gegenereerde output uitsluitend voor uw eigen gebruik te verbeteren.
En dan weer iets verderop lees ik dat er “Externe dienstverleners (IT dienstverleners, AI-dienstverleners, en hostingpartijen)” zijn die dan weer “namens [onze.nl]” taken uitvoeren:
Voorbeelden hiervan zijn hosting, het versturen van emails en het verwerken en transcriberen van uw telefoongesprekken in het kader van de Slim Bellen-functionaliteit.
De transcriptie wordt dus uitbesteed, nergens zie ik welke AI dit onder water is maar dat zou dus zomaar een standaard commerciële AI zoals ChatGPT of Claude kunnen zijn. En dat kan binnen de AVG, als je de API aanroept vanuit een enterprise contract, want daar zit een (sub)verwerkersovereenkomst bij en de data wordt niet gebruikt voor bijtrainen.

(Of je de data binnen de EU kunt houden is een lastiger discussie, maar op papier staat het Data Protection Framework nog overeind dus export naar een verwerker in de VS mág.)

De grote uitdaging is echter, als je de spraak van de wederpartij ook zo wil gaan verwerken, welke grondslag onder de AVG heb je dan nodig? Toestemming gaat niet, want hoe krijg je die vooraf? Dus dan kom je zoals altijd uit bij gerechtvaardigd belang. Ik denk dat dat een heel eind goed gaat hier, juist omdat de transcriptie door een verwerker wordt gedaan én alleen bij de bellende partij terecht komt.

Uiteraard moet je een bezwaarmogelijkheid aanbieden (artikel 21 AVG) als mensen zwaarwegende persoonlijke omstandigheden hebben waardoor ze niet opgenomen willen worden. Bij een telefoongesprek zoals hier, vind ik het moeilijk daar voorbeelden van te bedenken.

Arnoud

Huh? Kids Top20 is opeens ’terug’ met AI-presentatrice

Geplaatst op in Innovatie, 10 reacties
Beeld: Jeugdjournaal

‘Mijn naam is Jess, en dit is de compleet nieuwe Kids Top 20’! Maar er is iets geks mee: presentatrice Jess bestaat helemaal niet! Aldus het Jeugdjournaal. Raar verhaal. Maar op dit moment inderdaad niet wettelijk verboden.

Voor wie het niet weet: de Kids Top 20 was een Nederlands muziekprogramma voor kinderen tussen 6 en 12 jaar, waarbij de hitlijst door stemmen van kinderen zelf tot stand kwam. Het programma was in Nederland van 2007 tot november 2025 op televisie, en werd toen wegbezuinigd.

Nu is er een doorstart via de website, en kennelijk was het alsnog te duur om dan iemand in te huren. Vandaar ‘Jess’, een inderdaad vrij snel als AI herkenbare simulatie. Het is toch maar voor de kinderen, die zien de hele dag al AI. Of zoiets. Ja, erger ik me aan.

Het werd nergens gemeld (het JJ zet er zelf keurig “Let op AI” bordjes overheen), en dat doet wel raar aan. Maar op dit moment is er geen wettelijke regel die dat verplicht. Dat komt pas in augustus, als artikel 50 van de AI-verordening (AI Act) van kracht wordt. (De recent aangenomen Omnibus AI Act verandert hier niets aan.)

Wie deepfakes maakt met een AI-systeem, moet bij die content bekend maken “dat de content kunstmatig is gegenereerd of gemanipuleerd”. Dat is dus meer dan een watermerk (zoals bij gewone synthetische content), het moet er echt expliciet bij staan. Vanaf augustus moet de Kids Top 20 dat label dus apart voeren.

Om de kunst te beschermen, is er een iets zwakkere formulering bij deepfakes in een “kennelijk artistiek, creatief, satirisch, fictief of analoog werk of programma”, en ik kan niet ontkennen dat de Kids Top 20 daar onder valt. Voor dergelijke programma’s

zijn de transparantieverplichtingen van dit lid beperkt tot de openbaarmaking van het bestaan van dergelijke gegenereerde of bewerkte content op een passende wijze die de weergave of het genot van het werk niet belemmert.
Een kadertje of symbool in een hoek van het programma zou in dit geval wel passend zijn, lijkt me.

Een juridisch-technisch probleem is nog of dit wel een deepfake is, omdat ‘Jess’ niet bestaat. Moet een deepfake van iemand zijn? De AI Act zelf is daar niet duidelijk over. De in mei voorgestelde richtsnoeren van de AI Office hanteren een brede interpretatie waardoor ‘Jess’ wél een deepfake is:

[I]t is sufficient for simulated persons, objects, places, entities or events to resemble someone or something that can exist or could have existed in reality to be considered a deep fake.
‘Jess’ wordt voorgesteld als een werkelijk bestaand persoon, ze hád gewoon een acteur kunnen zijn. Als ze, en ik citeer,
[would] defy the laws of nature or physics or depict lifeforms that are not commonly accepted in biology
dan was het géén deepfake geweest.

Dus: óf ze krijgt vleugels, óf een AI waarschuwingslabel.

Arnoud

 

Mag een uitgaansgelegenheid camerabrillen verbieden in de huisregels?

Geplaatst op in Ondernemingsvrijheid, Privacy, 10 reacties
Photo by energepic.com on Pexels

Een lezer vroeg me:

Een club waar ik vaak kom heeft sinds kort een verbod op camerabrillen. Vind ik prima, maar los van het feit dat ik betwijfel of hun uitsmijters of garderobepersoneel een camerabril van een gewone bril kunnen onderscheiden, mogen ze dat zomaar verbieden?
Het korte antwoord is simpel: ja, want een club mag (binnen het redelijke & artikel 1 Grondwet) huisregels stellen zoals ze goeddunkt. Alleen in net pak, geen sportschoenen, geen camerabril, alleen met paars haar op Paarshaardag, kan allemaal.

Het idee is dat het zichzelf oplost: als te weinig mensen in net pak willen komen, dan krijg je geen publiek en ga je failliet. Dus waarom zou de wet zo’n regel verbieden. De discussie over huisregels gaat vrijwel altijd over verkapte discriminatie: met neutraal klinkende huisregels zoals “geen sportkleding, schoudertasjes en Vuitton-petjes” ben je in feite aan het selecteren op een beschermd (etnisch) kenmerk bijvoorbeeld, en dat mag niet.

Een goede reden hebben voor een huisregel is handig voor het draagvlak. Bij camerabrillen kan ik die wel bedenken, want velen ervaren het als ongewenst dat ze stiekem gefilmd worden. En voor regelziftende juristen zoals ik is er ook nog artikel 441b Strafrecht, dat heimelijk gebruik van camera’s in voor het publiek toegankelijke ruimtes (zoals cafés, bioscopen en clubs) strafbaar stelt. Ook als je ze in de hand houdt.

Een bezoeker met camerabril zou daar tegenover kunnen stellen dat elke club vol zit met Tiktokkende of Instagrammende bezoekers die alles livestreamen zonder te vragen. En dat is waar, maar valt niet onder het wettelijk verbod. Ook zijn die mensen makkelijk te spotten, al is het maar omdat ze zelf graag front and center in beeld willen zijn.

Camerabrillen zijn een stuk lastiger te spotten, zeker als mensen het rode lampje afplakken en gemaakt achteloos rondlopen. Dan gefilmd worden voelt ineens anders, en dat kan de sfeer in zo’n club beïnvloeden. En dat is voor mij al snel gelijk aan het “heimelijk” uit het strafrecht. Daarom kan -en mag- een club dan ingrijpen.

Arnoud