Begin-tot-eindversleuteling blijkt vaak iets wat niet goed door politici begrepen wordt. Het gevolg is dan vaak voorstellen met een sleutel in ‘veilige handen’. Terwijl allang bekend is dat dit een illusie is, de geschiedenis laat keer op keer zien dat zo’n sleutel uiteindelijk altijd uitlekt.

Het leek dan ook goed nieuws dat de huidige EU-voorzitter Denemarken het voorstel voor ChatControl terugtrok, maar dat blijkt niet definitief te zijn.



De Europese Commissie wil dat aanbieders van communicatieplatforms verplicht worden om afbeeldingen en URL’s van websites die gebruikers elkaar sturen te controleren op mogelijk seksueel misbruik. Het 'probleem' daarbij is dat berichten in veel apps, zoals Berichten, WhatsApp en Signal versleuteld zijn. Daar dus ook de aanbieder zelf niet bij.

De truc die bedacht werd is om diezelfde aanbieders te verplichten om alle afbeeldingen en URL's te scannen voordat ze worden versleuteld, waarbij het digitaal briefgeheim dus opgeheven zou worden.

Zoals zo vaak is de bedoeling, het bestrijden van kinderporno, prima. Maar het zou betekenen dat eigenlijk alle Europeanen voortaan als verdachten behandeld zullen gaan worden. Daarbij worden allerlei verzekeringen gegeven dat dit systeem niet misbruikt zal worden. Maar de geschiedenis leert dat in dit soort gevallen er altijd een glijdende schaal ontstaat, en het misbruik door autoritaire regimes is natuurlijk ook levensgroot aanwezig. Een extra risico, nu we in Europa in meerdere landen al zien hoe snel democratische waarden kunnen eroderen, bijvoorbeeld in Hongarije of Polen.

Aanpassing van de plannen

Omdat de steun van Duitsland voor dit plan wegviel, Nederland was al langer tegen, is er nu een nieuw plan ontwikkeld. Het belangrijkste verschil met het vorige voorstel: de verplichting om berichten te scannen, is eruit gehaald. Maar de mogelijkheid zou er dus wel komen, waarbij er een groot vertrouwen lijkt te zijn om dit met AI te doen.

Maar juist AI blijkt ook nog spectaculair te kunnen falen, zoals het voorbeeld van de vader in de VS die een foto van de pijnlijke penis van zijn zoontje naar een zorgmedewerker stuurde. De AI van Google markeerde dit als seksueel misbruik, de man kon daarna zijn account niet meer gebruiken er er volgde zelfs een strafrechtelijk onderzoek. Uiteindelijk kon de man zijn onschuld bewijzen, maar dat kostte veel tijd en moeite. Het principe van onschuldpresumptie werd hier dus overboord gezet, hij was schuldig tot hij het tegendeel kon bewijzen.

Daarbij creëert deze nieuw insteek ook veel onduidelijkheid, want welke diensten gaan nu scannen, en welke niet? WhatsApp en Signal in ieder geval niet, die willen hun versleuteling niet opgeven. Het lijkt er dus op dat we naar een scenario gaan dat sommige diensten wel gaan scannen, waardoor de diensten die dat niet doen steeds meer onder druk zullen komen te staan.

Nieuwe plannen

Verder zijn er ook nieuwe ingrediënten in het Deense plan, zoals bijvoorbeeld een al dan niet verplichte leeftijdsverificatie voor het gebruik van sommige platforms. Daarvoor zou een database van miljoenen Europeanen moeten worden opgetuigd, wat ook weer risico's met zich meebrengt.

Daarbij zou er ook, alweer met hulp van AI, gescand kunnen gaan worden op mogelijke grooming, waarbij jonge slachtoffers worden verleid, om ze vervolgens te exploiteren. Ook hier zijn de systemen nog helemaal niet waterdicht, waardoor het zo goed als zeker is dat het false positives als resultaat zal hebben, met al het persoonlijk leed wat daaruit voort kan vloeien.

Het nieuwe Deense voorstel krijgt in elk geval voorlopig voldoende steun, en waarschijnlijk morgen of overmorgen de goedkeuring van de EU-delegaties gaan krijgen. Daarna zullen de Europese Commissie, de Europese Raad en het Europees Parlement zich er nog over moeten buigen. Zowel de Commissie en lidstaten zoals Spanje en Hongarije zouden graag nog een stuk verder willen gaan. Tegelijk zullen bijvoorbeeld Duitsland en initiatiefnemer Denemarken blij zijn dat er eindelijk een voorstel op tafel ligt dat acceptabel is, en dus voldoende steun krijgt.