Cryptobeurs Coinbase heeft van De Nederlandsche Bank (DNB) een boete van ruim 3,3 miljoen euro gekregen voor het overtreden van de registratieplicht, las ik bij Security.nl. Financiële dienstverleners moeten zich registreren bij de DNB als deel van de wetgeving tegen bestrijding van witwassen. De boete is hoger dan de standaardboete (2 miljoen) omdat Coinbase een van de grootste is, en dit dus makkelijk had kunnen weten en doen, en bovendien commercieel voordeel had van niet-geregistreerd zijn.
Eenzelfde boete werd vorig jaar uitgedeeld aan concurrent Binance, waarbij eveneens het concurrentievoordeel als factor meewoog omdat de cryptobeurs dan “geen kosten heeft gemaakt in verband met doorlopend toezicht”. Die boete kwam DNB op kritiek te staan: waarom had men niet direct ingegrepen in 2020 toen het bedrijf in Nederland opdook samen met vele concurrenten. Weliswaar deelde men in 2021 een waarschuwing uit, maar de beurs kon daarna ongehinrderd groeien en krijgt nu dus alleen een boete met de plicht zich alsnog te registreren.
Dit is bepaald geen prikkel om als cryptobeurs vooraf je netjes aan alle regels te gaan houden. Die kosten enorm veel geld, denk aan medewerkers die ‘ongebruikelijke’ transacties controleren of het op de voorgeschreven manier identificeren van nieuwe klanten (haha hij zei crypto en identificatie, ja maar het moet van de wet). Dan kun je beter de regels negeren en de handhaving traineren totdat de boete klein bier is geworden. Een beter signaal was geweest als het bedrijf (al is het maar voor een jaar) niet had mogen handelen in Nederland als sanctie.
Sociaal medium TikTok heeft medewerkers die fulltime thuiswerken gedreigd met ontslag, zo las ik bij Tweakers. Amerikaanse site The Information kreeg een interne memo van die strekking onder ogen, met onder meer de constatering dat als medewerkers te ver van een kantoor wonen, ze riskeren hun baan te verliezen. De stappen van TikTok zijn geen uitzondering in de techindustrie, en ik kreeg dan ook diverse vragen hoe dat ondertussen in Nederland is geregeld.
In 2021 werd het initiatiefswetsvoorstel “Wet werken waar je wilt” ingediend. Deze wet is aangenomen door de Tweede Kamer, maar is op dit moment nog steeds bij de Eerste Kamer in behandeling. Formeel is het dus nog steeds ‘maar’ een voorstel, maar het ligt in de verwachting dat het aangenomen zal worden.
Tot die wet er is, gelden de regels uit de Wet flexibel werken of Wfw. Ook hierbij geldt dat je een verzoek tot wijziging van je arbeidsplaats moet kunnen indienen, zij het dat je dan minstens een half jaar bij de betreffende werkgever in dienst moet zijn. Dat verzoek moet twee maanden van tevoren worden ingediend. En of het kans heeft? Bij de memorie van toelichting van de Wwwjw legt men uit:
De werkgever dient [onder de Wfw] uiterlijk een maand voor de beoogde ingangsdatum van het verzoek schriftelijk te reageren. Wanneer de werkgever dit niet doet, dan wordt het verzoek van de werknemer ingewilligd. Als het gaat om een verzoek tot wijziging van de arbeidsduur of werktijd, wordt dat verzoek tevens ingewilligd, als er geen sprake is van zwaarwegende bedrijfs- of dienstbelangen die zich hiertegen verzetten. De werkgever dient bij afwijzing van het verzoek te motiveren waarom sprake zou zijn van zwaarwegende bedrijfs- of dienstbelangen. Daarvan is volgens de Wfw onder meer sprake bij ernstige problemen op het gebied van de veiligheid of van roostertechnische aard.
Bij wijziging van de arbeidsplaats is er meer ruimte om te weigeren, er hoeft dan geen zwaarwegende grond te zijn. Een werkgever kan dus met een mager excuus een verzoek om thuiswerken weigeren. Maar als de Wwwjw van kracht wordt, dan geldt dus dezelfde hoge lat als bij arbeidsduur of werktijd. En hoe zou die zich vertalen naar de situatie van arbeidsplaats? Wederom de MvT:
Niet ieder bedrijfsbelang is aan te merken als een zwaarwegend bedrijfsbelang. Bij zwaarwegende bedrijfsbelangen moet worden gedacht aan economische, technische of operationele belangen die ernstig zouden worden geschaad indien het verzoek zou worden gehonoreerd, zo blijkt uit de wetshistorie. Aangaande aanpassing van de arbeidsplaats achten de initiatiefnemers het echter ook mogelijk dat het behoud van de sociale cohesie op de werkvloer een voldoende zwaarwegend bedrijfsbelang kan vormen op basis waarvan een werkgever een verzoek tot aanpassing van de werkplaats (gedeeltelijk) af kan wijzen. Ook de omstandigheid dat een werkgever in verhouding bijzonder zware lasten moet dragen om thuiswerken mogelijk te maken kan een grond zijn. Immers zal een werkgever dan vaak moeten voorzien in adequate arbeidsomstandigheden en digitale middelen om veilig en in lijn met onder meer privacywetgeving te werken. In sommige beroepsgroepen gelden nog zwaardere eisen, bijvoorbeeld omdat een beroepsgeheim aan de orde is.
Dit zijn stevige uitspraken, maar geen absolutismen: je kunt dus als werkgever niet zomaar roepen “wij hechten aan sociale cohesie dus iedereen werkt hier” of “dat is te duur”. Je zult dat moeten onderbouwen voor jouw specifieke bedrijf, in combinatie met de functie van de werknemer die erom vraagt. Misschien kunnen je programmeurs niet thuiswerken maar je verkoper wel, zeker als die toch driekwart van z’n tijd onderweg is om met relaties te spreken. Of de systeembeheerder, omdat die toch van 8 tot 8 in een dichte kamer werkt en prima via een vpn kan inloggen.
Het enkele feit “dat het onder corona kon” is expliciet benoemd als geen argument, en dat is logisch. In die periode moest iedereen extra flexibel zijn, zodat dingen mogelijk werden die eigenlijk niet wenselijk waren. Nieuwe verzoeken moeten dus worden beoordeeld op hun eigen merites.
Minister Dijkgraaf van Onderwijs is gevraagd om het gebruik van chatbot ChatGPT in het klaslokaal te verbieden, zo las ik bij Security.nl. Naar aanleiding van berichtgeving dat studenten de chatbot gebruiken voor het maken van hun huiswerk, besloot het parlement 4000 euro stuk te slaan om publiciteit te genereren met het idee dat een verbod hier iets zinnigs toevoegt. En ik trap erin want ik schrijf erover, maar dat is mede omdat ik mijn opleiding wil pluggen natuurlijk.
Op 30 november vorig jaar bracht instituut OpenAI de tool ChatGPT uit. Deze tool is getraind op miljarden woorden en kan gegeven een prompt een serieus klinkend maar puur op statistiek gebaseerd antwoord produceren. Ik vind de tool erg handig als schrijfhulpje, zolang je maar beseft dat je het alleen gebruikt voor mooi klinkende teksten en niet voor kloppende teksten.
Het probleem is natuurlijk dat ChatGPT bij oppervlakkige lezing een best redelijk verhaal produceert, zeg maar wat je krijgt als je zonder inhoudelijke kennis flink googelt voor je essay, liberaal copypaste toepast en dan wat herschrijft zodat het niet direct opvalt in de plagiaatcontrole. En ik zie hoe dat in het onderwijs een nakijk-uitdaging oplevert, mede omdat leraren niet de tijd of de middelen (zoals een ChatGPT-detector) hebben om hier adequaat op te reageren.
Je kunt ook als school de vlucht naar voren nemen, en de tool actief inzetten ent zoals je mediavaardigheden leert en mensen met de spellingscontrole laat werken als ze een essay maken. Of een rekenmachine leren gebruiken (weet iemand nog waarom die in onze tijd grafisch moest zijn, trouwens) voor complexe reken-opgaven. Werken met een chatbot en feit van fictie leren scheiden is een best nuttige vaardigheid.
Dat laatste is dus tegen het zere been van de politiek, vandaar de kamervragen om de tool te verbieden in het onderwijs. En ja, juridisch is dat prima te regelen. De wet stelt kaders en scholen vullen deze nader in, daar zijn genoeg haakjes om te bepalen dat in lessen mediawijsheid niet wordt onderwezen over AI-chatbots en dat leerlingen niet mogen nagaan hoe deze werken. Maar het lijkt mij compleet onzinnig.
Wat ik vooral wil weten: waarom is ChatGPT in zo korte tijd zón enorm ding geworden?
DoNotPay will pay any lawyer or person $1,000,000 with an upcoming case in front of the United States Supreme Court to wear AirPods and let our robot lawyer argue the case by repeating exactly what it says. … We have upcoming cases in municipal (traffic) court next month. But the haters will say “traffic court is too simple for GPT.” So we are making this serious offer, contingent on us coming to a formal agreement and all rules being followed. Please contact me if interested!
Joshua Browder is de oprichter en directeur van de legal tech dienst DoNotPay, die begon als een bezwaargenerator voor parkeerboetes maar ondertussen vrij generiek juridisch advies én procedures ondersteunt. Deel van de technologie is IBM’s Watson AI systeem en het bedrijf zou nu 210 miljoen dollar waard zijn. Dus een lege toezegging zou ik dit niet noemen.
Punt is natuurlijk: een advocaat die bij de US Supreme Court komt pleiten, mag geen oortjes in hebben of op een iPad kijken wat zhij ook weer gaat zeggen. Nog even los van klakkeloos nazeggen wat een ander gaat zeggen, daar zijn ongetwijfeld gedragsregels tegen. Dat maakt het dus een vrij spannende uitdaging, want je zet je professionele carrière op het spel voor een kans op 1 miljoen dollar.
Zou het in Nederland mogen? Het is advocaten zeker toegestaan om elektronica (zoals een iPad) mee te nemen, en je mag er ook prima op kijken als je even twijfelt over wat te zeggen. Maar je pleitnota (wat je gaat zeggen, zeg maar) moet je vooraf ingeleverd hebben, dus heel veel ruimte voor spontane toevoegingen heb je niet.
Voor het reageren op wat de wederpartij zegt zou zo’n oortje-met-AI nuttig kunnen zijn, maar ik zou niet weten hoe je dát onopvallend doet – de andere advocaat komt met een opmerking tussendoor, jij kijkt twee seconden glazig met je vinger op je oor en je komt met een perfect weerwoord? Ik zou er als rechter niet vrolijk van worden.
Het meer algemene punt van Browder vind ik zeker wel interessant, maar ik denk wel dat je het in de openheid moet doen: beide partijen weten dat er AI’s meedenken, en kunnen daar dan dus op inspelen. Bij een ‘gewone’ rechter gaat dat niet werken, maar je kunt in Nederland prima afspreken dat je een particuliere partij zult volgen (de Rijdende Rechter is er groot mee geworden), en als die in zijn reglement zegt dat alleen AI’s verhalen mogen houden, waarom niet? De AI-ende Rechter?
Activistische hackers hebben 1,8 terabyte aan software en broncode online gezet van het Israëlische spionagebedrijf Cellebrite. Dat meldde Tweakers vorige week. Onder meer ons NFI gebruikt deze software om mobiele telefoons te kraken, bijvoorbeeld in een strafrechtelijk onderzoek. De discussie in de comments focuste op een interessante vraag: mag je in deze publicatie snuffelen als je vermoedt dat deze software ook tegen jou gebruikt zou (kunnen) zijn?
Hoe ernstig het lek is, is nog wel de vraag. Reageerder Eltweako meldt bijvoorbeeld dat “verreweg de meeste files gewoon te downloaden van de Cellebrite portal als je hun software afneemt.”
Het grootste deel van de 1.7TB zijn de offline map packages. Die zijn bedoeld om in te laden in de Physical Analyzer als je “in het veld” aan het werk bent. Grofweg zijn er 2 tools die je gebruikt en die ook in deze leak zitten: De Physical Analyzer en UFED4PC. UFED4PC is de tool die je gebruikt voor het uitlezen van mobiele apparaten, en is gelijk aan de software die op hun hardware draait.
De software is vrij breed beschikbaar onder vakgenoten, er zitten geen spectaculaire 0day inbraaktools tussen. Dat is relevant, want de zorg over of je erin mag kijken komt vanwege het recente wetsartikel tegen helen van gegevens, artikel 139g Wetboek van Strafrecht, dat het verwerven, hebben of verspreiden van “niet-openbare gegevens” strafbaar stelt. Dus of het nou software is of data, persoonsgegevens of niet, je mag ze niet verspreiden – als je wist of moest weten dat de gegevens door misdrijf zijn verkregen uit de originele bron.
Er is een uitzondering in lid 2:
Niet strafbaar is degene die te goeder trouw heeft kunnen aannemen dat het algemeen belang het verwerven, voorhanden hebben, ter beschikkingstellen, bekendmaken of gebruik van de gegevens, bedoeld in het eerste lid, vereiste.
Deze uitzondering is met name bedoeld voor journalisten, die zouden willen publiceren over misstanden en daarbij deze gegevens als brongegevens nodig hadden. Stel tussen die gelekte gegevens zat ook een klantenlijst en men ziet daarop allerlei onfrisse geheime diensten in schurkenstaten, dan zou dat nieuwswaarde hebben om te publiceren en dan is het ongewenst dat het OM de nieuwsmedia kan vervolgen wegens “heling van informatie”.
De vraag die hier opdook, was echter of je zelf mag kijken of die software iets kan waardoor jou onrecht kan zijn aangedaan. Een soort van terughacken, zeg maar. Want dat is dan in jouw eigen belang, maar is dat hetzelfde als het algemeen belang, zeker als je niet publiceert? Indirect denk ik toch wel, want dat belang dat jij nastreeft is een belang voor het algemeen, het bestrijden van onrecht dat jou is aangedaan zodat je juridische stappen kunt nemen lijkt me daar wel aan te voldoen.
Stockfotodatabank Getty Images heeft Stable Diffusion-maker Stability AI aangeklaagd, las ik bij Tweakers. Stability AI zou haar plaatjesgenerator (mede) hebben getraind op ‘miljoenen’ afbeeldingen van Getty, en daarbij de verkeerde (lees: te goedkope) licentie hebben afgenomen om bij de bronbeelden te kunnen. Het roept natuurlijk de vraag op, is het überhaupt inbreuk op auteursrechten als je een AI traint op beschermde werken?
Ik heb al eerder geblogd over je foto als datapunt in iemands AI, waarbij de kern is of het leren van een foto telt als een inbreuk op het auteursrecht. Hoofdregel van het auteursrecht is immers dat een stukje van het werk in de uitvoer terecht komt, en als ik alleen maar de onderliggende informatie extraheer dat “ondergaande zon” hoort bij een halfronde gelige bol, dan zie ik niet hoe ik een auteursrecht schend.
Dit soort plaatjesgeneratoren werkt alleen subtiel net iets anders. Ze extraheren niet de informatie van hoe dingen eruit zien (zoals een leerling-kunstenaar zou doen) om daar vervolgens nieuwe werken mee te maken. Zoals Matthew Butterick (die ook Github aanklaagt over hun AI) uitlegt:
The first phase in diffusion is to take an image (or other data) and progressively add more visual noise to it in a series of steps. (…) At each step, the AI records how the addition of noise changes the image. By the last step, the image has been “diffused” into essentially random noise. The second phase is like the first, but in reverse.
Het systeem bewaart dus een soort-van gecomprimeerde versie van elke bronafbeelding, waarbij bij elke afbeelding termen onthouden worden waar ze over gaan. Butterick laat dit zien met deze afbeelding:
De originele afbeelding linksboven wordt via twee stappen omgezet naar ruis, wat je kunt zien als een soort-van hash, een soort-van compressie. Reconstructie gebeurt door die ruis als invoer te nemen en via een omgekeerde functie te vertalen naar een bronafbeelding.
De volgende stap is het genereren van nieuwe afbeeldingen. Dit illustreert Butterick met de volgende afbeelding, die laat zien hoe men van twee portretafbeeldingen een nieuwe maakt (klik voor groot):
De groene afbeelding is waar het uiteindelijk om gaat. Deze wordt niet gemaakt door pixels samen te voegen (zoals bij de rode) maar door de soort-van hashes van de twee bronafbeeldingen samen te voegen en daar de reconstructie op los te laten.
Het wordt dan nog iets complexer door de constructie van prompts, die zeg maar bepalen welke bronafbeeldingen worden gebruikt. Maar de kern blijft: bronafbeeldingen worden in soort-van gecomprimeerde vorm samengevoegd en daaruit wordt dan een nieuwe afbeelding gereconstrueerd. Deze techniek kent geen analogie, maar heel breed gekeken zou je dit wellicht een vorm van collageren kunnen noemen? Daar gaat het om kleine stukjes uit vele werken, hier meer om vage versies van vele werken.
Kom ik terug bij die hoofdregel: als een stukje van een werk herkenbaar in andermans werk zit, en dat stukje geeft blijk van het creatief vermogen van de maker van het origineel, dan is sprake van inbreuk (tenzij citaatrecht et cetera). De analyse van Butterick laat zien dat er stukjes van bronwerken in gegeneerder werken terechtkomen, zij het vaag. Dat roept de vraag op of die stukjes blijk-van-creativiteit nog wel aan te wijzen zijn – nog los van de vraag hoe een individuele rechthebbende kan aantonen dat zijn werk gebruikt is.
Bij Getty is dat laatste iets minder een issue, als bewezen is dat er miljoenen afbeeldingen in het systeem ingelezen zijn dan zou de inbreuk vrij snel vast moeten staan. Alleen is het de vraag of dit wel “inbreuk” te noemen is, gezien Stability AI op basis van een licentie de afbeeldingen gebruikte. En mogelijk zijn ze dan de voorwaarden te buiten gegaan, maar dat noemen we eerder contractuele wanprestatie dan een rechtenschending. (Dat heeft gevolgen voor de schadeclaim, proceskosten enzovoorts.)
Het zou in het algemeen wel raar zijn als vaststaat dát er grootschalig allerlei rechten worden geschonden door dit transformatieve proces, maar dat geen enkele rechthebbende kan optreden tenzij deze door de vage schimmen heen kan prikken en zijn individuele foto aanwijzen.
Een man die via sms en WhatsApp phishingaanvallen uitvoerde heeft een lagere straf gekregen omdat de politie zijn iPhone zonder toestemming van de rechter-commissaris onderzocht, las ik bij Security.nl. De rechtbank Midden-Nederland oordeelde dat
De strafzaak was het gevolg van een smishing-zaak (sms-phishing, sorry) waarbij verzekeraar Achmea als gezicht was gebruikt. Dat lijkt competent genoeg te zijn opgepakt:
Het Cyber Defence Center van Achmea heeft onderzoek gedaan naar de links die in de sms-berichten stonden en heeft daarbij achterhaald dat de website waarop men terecht kwam na het klikken op de link werd beheerd vanaf het IP-adres [IP-adres] . Op dit IP-adres is vervolgens een IP-tap aangesloten, waaruit het vermoeden ontstond dat er op 11 februari 2021 live phishing activiteiten plaatsvonden. De politie is daarop binnengetreden in de woning die hoorde bij het voornoemde IP-adres aan de [adres] in [woonplaats] (hierna: [woonplaats] ) en trof daar verdachte en zijn twee medeverdachten ( [medeverdachte 1] en [medeverdachte 2] ) aan.
En ja, daar staat dus dat de phisher de nepsite vanuit huis draaide. Niet beheerde maar echt de website fysiek op zijn thuisadres gehost.
Bij de inval werden naast diverse andere zaken ook een telefoon gevonden (een iPhone X Max Pro) die vermoedelijk van de verdachte was. Daarop werd deze inhoudelijk onderzocht, wat een complex dingetje is in de strafvordering want daar is dus geen formele wettelijke bevoegdheid voor. De Hoge Raad staat het echter toe onder de voorwaarde dat je bij het onderzoek vooraf moet kijken hoe ‘diep’ je wilt gaan, en afhankelijk daarvan moet beslissen hoe ernstig de inbreuk op de privacy is. In dit geval vrij ernstig:
De rechtbank constateert dat er bij het onderzoek aan de telefoon van verdachte zeer veel persoonlijke informatie is aangetroffen. De rechtbank denkt daarbij specifiek aan chats tussen verdachte en zijn (ex-)vriendin, chats met zijn zus, informatie over verkeersboetes en de enorme hoeveelheid afbeeldingen (meer dan 75.000) en video’s (ruim 4.000). De rechtbank is van oordeel dat er met het onderzoek aan de telefoon een min of meer volledig beeld is verkregen van het leven van verdachte. Daarmee is in vergaande mate een inbreuk op de persoonlijke levenssfeer van verdachte gemaakt. Nu het onderzoek in het licht van artikel 8 EVRM pas had mogen plaatsvinden na toestemming van de rechter-commissaris, is er sprake van een onherstelbaar vormverzuim in het voorbereidend onderzoek jegens verdachte.
Die term “onherstelbaar vormverzuim” klinkt ernstig: de zaak kan de prullenbak in, volledige vrijspraak en een schadevergoeding voor alle dagen onterecht vastzitten. Maar nee, zo werkt dat niet in Nederland. Wij houden het simpel: als het wel was gevraagd, had de r-c vast wel toestemming gegeven dus eigenlijk is er niets aan de hand. Ook ging het hier om een situatie waarin 22 telefoons waren gevonden en de informatie in brokjes naar boven kwam. Kan gebeuren, begrijpelijk, niets aan de hand.
Of nou ja, niet helemáál niets, omdat de privacy van de verdachte is geschonden door deze doorzoeking wordt een van de zes maanden celstraf kwijtgescholden. Die straf is an sich veel lager dan de 42 gevorderde maanden, maar dat kwam omdat de rechtbank de bewijsstukken veel minder sterk weegt.
Ik heb onlangs een abonnement afgesloten voor het huren van een e-bike. Ik wil nu het abonnement opzeggen, en ik zit nog binnen de 14 dagen bedenktijd die het consumentenrecht geeft. Na een gesprek met de klantenservice werd mij verteld dat ik daar geen recht op heb omdat ze dat ‘niet aanbieden’. Ik moet nu volgens het bedrijf dus een extra maand betalen volgens hun opzegtermijn. … Mijn vraag is dan ook: geldt het herroepingsrecht hier wel of niet?
Hoofdregel is natuurlijk dat als je iets bestelt via internet, ook dienstverlening, dat je er dan binnen 14 dagen vanaf kan. Bij dienstverlening gaat die 14 dagen in de dag na je bestelling, niet na ontvangst, en bij online diensten vervalt het recht vanaf het moment dat je die gaat gebruiken (mits je bij bestelling een daartoe strekkend vinkje aanvinkte).
Er zijn natuurlijk uitzonderingen, en huur is er daar eentje van (art. 6:230p sub e BW):
een overeenkomst tot het verrichten van diensten die strekt tot de terbeschikkingstelling van accommodatie anders dan voor woondoeleinden, van goederenvervoer, van autoverhuurdiensten, van catering en van diensten met betrekking tot vrijetijdsbesteding, indien in de overeenkomst een bepaald tijdstip of een bepaalde periode van nakoming is voorzien;
Specifiek fietsverhuur staat hier niet in. Dan kom je bij de vraag of een e-bike een auto (motorvoertuig) is, wat onder de Wegenverkeerswet geen triviaal antwoord heeft. Maar hoe dan ook is wel vereist dat de huur voor een specifieke periode afgesproken is. “Ik heb dinsdag een e-bike nodig” is dus niet annuleerbaar, een cadeaubon “dagje fietsen door Amsterdam met een luxe e-bike” is wel annuleerbaar.
Bij deze vraagsteller gaat het echter om een abonnement. Dat kan gaan om een ‘klassiek’ abonnement – een jaar lang een e-bike, inclusief service en omruilfiets bijvoorbeeld – maar ook om zo’n deelfietsabonnement: vanaf nu tot de einddatum mag je zo’n e-bike aan de straat pakken wanneer je wil en erop gaan fietsen.
Wat voor abonnement het is, maakt voor mij nogal uit. Een jaar lang een e-bike is specifiek waar die uitzondering “autoverhuur” voor bedoeld is, en dan kom je dus bij de discussie of een e-bike een motorvoertuig is dat de Europese wetgever ‘auto’ noemde. Zo ja, dan is er geen herroepingsrecht.
Als het gaat om een deelfietsabonnement, dan wordt het voor mij wat ingewikkelder want dan is het niet direct huur zoals de wet (art. 7:201 BW) bedoelt:
Huur is de overeenkomst waarbij de ene partij, de verhuurder, zich verbindt aan de andere partij, de huurder, een zaak of een gedeelte daarvan in gebruik te verstrekken en de huurder zich verbindt tot een tegenprestatie.
De overeenkomst strekt namelijk niet tot het huren van een fiets, maar tot de dienst van periodiek (wanneer jij wil) een fiets huren. Moet je dat dan zien als een dienstovereenkomst (art. 7:400 BW) met daarin stukjes huur, of een raamovereenkomst tot steeds huurcontractjes van 3 uur en 20 minuten, of als een huurcontract waarbij je tussentijds het gehuurde even stalt bij de verhuurder? Voor het annuleringsrecht maakt dit nogal uit.
Ik neig zelf sterk naar het aspect van de dienstovereenkomst, je krijgt een dienst waarbij je snel en makkelijk overal een fiets kan huren. Daar staat tegenover dat je alleen betaalt voor het daadwerkelijk huren (er is geen maandtarief, voor zover ik weet).
OpenAI werkt aan een zakelijke, betaalde versie van zijn chatbot ChatGPT. Dat meldde Tweakers onlangs. Momenteel is de chatbot gratis maar niet voor bedrijfsdoeleinden inzetbaar (wat natuurlijk geen hond tegenhoudt om er zakelijk gebruik van te maken). Het onderscheid zal vooral zitten in beschikbaarheid, snelheid en meer berichten per minuut. Het riep wel vele vragen op, die in de comments mooi samengevat werden als “Hoe wordt er in de professionele variant rekening gehouden met data die proprietary is of waar, op zijn minst, een copyright op berust?”
Het GPT-3 taalmodel waar de chatbot mee werkt, is getraind op vele miljarden tekstvoorbeelden. Het doel is leren wat het meest logische volgende woord is – kort gezegd – op basis van een prompt en de reeds gegeven woorden. Dat is met genoeg voorbeelden prima mogelijk, zeker op het niveau van chats waarbij je een vraag moet beantwoorden. ChatGPT produceert dan ook verbluffend goede resultaten, hoewel er ook volkomen waanzinnige reacties tussen zitten die met de grootste overtuiging worden gebracht.
Die tekstvoorbeelden komen natuurlijk van internet, ‘gewoon’ met een crawler die heel internet downloadt en daar machine-leesbare chocola van maakt. De makers leggen uit dat ze meer dan een biljoen (Amerikaans trillion, 1012) woorden hebben verwerkt. Dat kan niet anders dan zonder toestemming, maar iedereen stelt dat dit onder fair use te rechtvaardigen is en weet bovendien dat het ontzettend moeilijk is aan te tonen dat specifiek iemands werk opgenomen is in de dataset, plus dat een rechtszaak om dít punt uit te vechten veel te duur is voor iedere individuele rechthebbende. Uitgesloten is het niet – zie de rechtszaak over CoPilot, waarbij software-eigenaren wel degelijk zagen hoe deze AI-tool herkenbare fragmenten uit hun werk reproduceerde als “AI-generated”.
In de VS zou er misschien nog een lichtpuntje zijn wanneer je aannemelijk kunt maken dat jouw werk is gebruikt, omdat je dan via de zogeheten discovery procedure inzage kunt krijgen in documentatie rondom de bronbestanden. Dan heb je in ieder geval het feitelijke bewijs dat jouw werk is gebruikt. Vervolgens zit je nog met het juridische punt of het inbreuk is om een AI te trainen op jouw data, of dat het pas inbreuk is als de AI jouw werk reproduceert (dat laatste lijkt me evident).
In het auteursrecht geldt nu eenmaal de regel dat het bronwerk herkenbaar terug moet komen in het beweerdelijk inbreukmakende werk. Als ik iemands artikel lees en me laat inspireren tot een hoofdstuk in een boek, dan schend ik geen auteursrechten, hooguit pleeg ik academisch plagiaat. Maar als ik het artikel min of meer naschrijf, dan komt het auteursrecht wel om de hoek kijken. De academische grap is dan ook: één bron gebruiken is plagiaat, honderd bronnen gebruiken is onderzoek. En laat AI nou dus heel duidelijk die laatste kant op gaan: als honderd bronnen gebruiken mag, dan zal varen op honderd miljoen bronnen toch zeker ook wel mogen.
Het nieuwe aan de discussie is vooral dat we nu een betaalde dienst krijgen met een SLA. Afnemers daarvan zullen meer garanties gaan eisen, waaronder dus met name een vrijwaring (indemnification) tegen claims van derden. Want als ik als rechthebbende lees dat er ergens een adviesbureau komt dat een juridische chatbot heeft, dan ga ik die natuurlijk aanklagen en niet OpenAI uit San Francisco. Want ik durf de stelling wel aan dat mijn blog ergens in die dataset zit. Dat bureau heeft dan een probleem, want die is zelfstandig aansprakelijk. Dus dan moeten ze OpenAI zo ver krijgen de verdediging te gaan voeren, en dan wordt het een groot verhaal waar best wat nuttige puntjes uit te slepen zijn.
De NIS2-richtlijn lijkt nog ver weg, maar omdat de gevolgen groot kunnen zijn, moeten bedrijven niet te lang wachten met actie. Dat las ik bij Dutch IT Channel. “Heel belangrijk detail is dat de directie van bedrijven persoonlijk aansprakelijk wordt voor het conformeren aan deze wetgeving”, zo werd uitgelegd tijdens een bijeenkomst van de Dutch Cybersecurity Assembly. Oh wacht even, heb ik iets gemist?
NIS-2 is de tweede versie van de Europese Network and Information Systems-richtlijn, die voor het eerst in 2016 uitkwam. Bij Computable leggen ze uit waar het om gaat:
[De] kern bestaat uit twee elementen: de zorgplicht en de meldplicht. De zorgplicht verplicht organisaties om de hele infrastructuur op orde te brengen. Zo wordt het verplicht om de faciliteiten te hebben om te monitoren wat er gebeurt op het netwerk. De meldplicht wil dat organisaties melding moeten maken wanneer ze te maken krijgen met een cyberincident. Voor alle organisaties die gezien worden als leverancier van ‘essentiële diensten’ is er dus (veel) werk aan de winkel.
En de ophef is groot, want waar de eerste NIS-richtlijn alleen enkele specifieke sectoren betrof, is de reikwijdte nu zo groot dat ook bijvoorbeeld managed hostingbedrijven eronder gaan vallen. Computable noemt een aantal van zesduizend bedrijven dat binnenkort met deze regels te maken krijgt.
Nou is dat niet de eerste keer – ik noem de AVG – maar er lijkt nu extra veel herrie te komen, wat mogelijk komt door die angst voor persoonlijke aansprakelijkheid. Bij de AVG viel dat wel mee, daar kun je als directeur alleen persoonlijk een claim krijgen als je niet-naleving zo ernstig is dat we van wanbestuur kunnen spreken.
Bij de NIS2-richtlijn is er meer. Het governance-artikel (20) bepaalt namelijk in lid 1:
De lidstaten zorgen ervoor dat de bestuursorganen van essentiële en belangrijke entiteiten de door deze entiteiten genomen maatregelen voor het beheer van cyberbeveiligingsrisico’s goedkeuren om te voldoen aan artikel 21, toezien op de uitvoering ervan en aansprakelijk kunnen worden gesteld voor inbreuken door de entiteiten op dat artikel.
Dus bestuursorganen van de entiteiten die onder de richtlijnen vallen, moeten zorgen dat ze toezicht houden op de uitvoering en de wetgever moet zorgen dat ze aansprakelijk gesteld kunnen worden als ze artikel 21 schenden. Artikel 21 is dan het artikel met de algemene beveiligingseisen. Maar wat is een “bestuursorgaan”? De NIS-richtlijn definieert het niet, en het begrip is duidelijk niet bedoeld als het bestuursrechtelijke begrip ‘bestuursorgaan’. Vermoedelijk zocht men een generieke term voor zaken zoals een holding, of de bestuursafdeling.
Maar het gaat verder, in artikel 29 staat letterlijk (lid 6):
De lidstaten zorgen ervoor dat elke natuurlijke persoon die verantwoordelijk is voor of optreedt als wettelijke vertegenwoordiger van een essentiële entiteit op basis van de bevoegdheid om deze te vertegenwoordigen, de bevoegdheid om namens deze entiteit beslissingen te nemen of de bevoegdheid om controle uit te oefenen op deze entiteit, de bevoegdheid heeft om ervoor te zorgen dat deze entiteit deze richtlijn nakomt. De lidstaten zorgen ervoor dat dergelijke natuurlijke personen aansprakelijk kunnen worden gesteld voor het niet nakomen van hun verplichtingen om te zorgen voor de naleving van deze richtlijn.
Kort gezegd: iedere bestuurder van een bedrijf moet wettelijk bevoegd zijn om security-maatregelen te nemen, zodat directeur A dat niet klein kan houden “vanwege de kosten” terwijl directeur B graag breed wil uitpakken. Maar ook zijn deze personen dus zélf aansprakelijk voor het niet-nakomen.
Dat wil natuurlijk niet zeggen dat iedereen ter wereld maar even geld mag komen eisen bij de directeur privé zodra een bedrijf een of andere maatregel niet is nagekomen. De crux zit hem erin dat de beveiligingseis een open norm is: je moet adequaat beveiligen, en pas als je dus écht onder maat bent gebleven, is er mogelijk een aansprakelijkheidsdiscussie te voeren. En dan moet er ook nog eens geldelijk schade geleden zijn die aan die directeur te verwijten is.
Cryptobeurs Coinbase heeft van De Nederlandsche Bank (DNB) een boete van ruim 3,3 miljoen euro gekregen voor het overtreden van de registratieplicht, las ik bij Security.nl. Financiële dienstverleners moeten zich registreren bij de DNB als deel van de wetgeving tegen bestrijding van witwassen. De boete is hoger dan de standaardboete (2 miljoen) omdat Coinbase een van de grootste is, en dit dus makkelijk had kunnen weten en doen, en bovendien commercieel voordeel had van niet-geregistreerd zijn.
Activistische hackers hebben 1,8 terabyte aan software en broncode online gezet van het Israëlische spionagebedrijf Cellebrite. Dat 
OpenAI werkt aan een zakelijke, betaalde versie van zijn chatbot ChatGPT. Dat 
De NIS2-richtlijn lijkt nog ver weg, maar omdat de gevolgen groot kunnen zijn, moeten bedrijven niet te lang wachten met actie. Dat las ik