Deze column staat in Het Financieele Dagblad van 12 mei 2021. Volg deze link voor mijn eerdere FD columns.

Bij kunstmatige intelligentie (AI) is de afnemer te afhankelijk van de ontwikkelaar. Die ongelijkheid zal de komende jaren alleen maar toenemen, schrijft informatierecht-expert Axel Arnbak.

Illustratie: Hein de Kort voor Het Financieele Dagblad

Al decennia geldt in de digitale wereld: afhankelijkheid is onmacht. Een paar weken terug bekende het CIO Platform namens 130 serieuze bedrijven in het FD dat zij nog steeds niet bij machte zijn te voldoen aan de strenge privacywet AVG, die op 25 mei drie jaar van kracht is. Reden: afhankelijkheid van Amerikaanse cloudleveranciers waarvan sommige de regels niet respecteren, maar wel eisen dat hun klanten complexe contracten ondertekenen bij het kruisje, zonder ruimte voor onderhandelen.

Bij grootschalige cybersecurity-incidenten hangen organisaties, net als u en ik thuis bij een falende internetverbinding tijdens het corona-thuiswerken, vaak aan de broekspijp van hun IT-provider: deels wanhopig om de oorzaak, deels vurig hopend op een oplossing. Teleurgesteld, maar afhankelijk, kunnen de afnemers van IT-diensten nauwelijks voldoen aan hun juridische plichten, laat staan opkomen voor hun rechten tegen almachtige IT-leveranciers.

Op 21 april lanceerde de Europese Commissie haar langverwachte wetgevingsvoorstellen voor kunstmatige intelligentie (AI). Zelflerende software zonder directe menselijke controle heeft al een reusachtige impact op ons leven en is overal: in de financiële sector, in het ziekenhuis, in uw zelfrijdende auto, in uw spamfilter en in uw broekzak op uw smartphone. Nog meer dan in conventionele IT, kunnen de meeste bedrijven en instellingen die ‘iets’ met AI willen de kneepjes van het vak niet zelf aanleren, wegens gebrek aan middelen en talent.

Toverkracht
In hun zoektocht naar de toverkracht van AI, verwordt AI dus een dienst die je afneemt, net zoals cloud computing en IT-beveiliging. De fundamentele afhankelijkheid die de digitale wereld nu al kenmerkt, zal in het AI-tijdperk explosief toenemen. Het wordt nagelbijten of de Europese Unie erin slaagt de afnemers van AI adequaat te beschermen tegen de aanbieders.

De allereerste studies naar privacy in de informatiesamenleving uit de jaren ‘60 stippen de fundamentele afhankelijkheid in de digitale wereld al aan. In de jaren ‘70 en ‘80 leidde dit inzicht tot verhit debat wie nu de juridische en maatschappelijke verantwoordelijkheid draagt voor behoorlijke IT: de afnemer of de ontwikkelaar van software? De allereerste datawetten ter wereld, ook de Nederlandse Wet persoonsregistraties van 1989, legt die verantwoordelijkheid mede dankzij strak lobbywerk van de ontwikkelaars bij de afnemer.

AI-ontwikkelaars hebben enthousiast gereageerd op de concept-regulering. Dan weet je eigenlijk al genoeg.

In 2012 concludeerden collega-onderzoekers Nico van Eijk, Joris van Hoboken en ik in opdracht van SURF, de IT-organisatie van de Nederlandse onderwijs- en onderzoeksinstellingen, dat de afhankelijkheid van SURF van Amerikaanse cloudproviders juridisch problematisch was. Dat zou aanzienlijke maatschappelijke verontwaardiging tot gevolg hebben als de geruchten over grootschalige spionage door Amerikaanse inlichtingendiensten via de cloud waar bleken te zijn.

Wij simpele wetenschappers konden die geruchten natuurlijk niet bewijzen, slechts aanstippen. Maar klokkenluider Edward Snowden bewees de wereld vanaf 2013 een grote dienst door theorie aan praktijk te koppelen. Weliswaar bevatte privacywet AVG vanaf 2018 voor het eerst een aantal afzonderlijke verplichtingen voor IT-leveranciers, toch is de afnemer juridisch en in de praktijk primair de ‘verantwoordelijke’ voor uw privacy.

Cybersecurity gaat niet alleen over de bescherming van persoonsgegevens en dus de AVG, maar ook over de continuïteit van onze digitale wereld als die wereld ineens tot stilstand komt na een hack of een storing. Als organisaties worden gegijzeld door cybercriminelen of ineens ontdekken dat in China of Rusland een nogal identiek product van de fabriekslijn rolt, ligt de oorzaak bijna altijd bij de ondermaats presterende IT-leverancier.

Hopen
Toch voorziet de wet niet in aansprakelijkheid van softwareleveranciers voor bekende kwetsbaarheden, en zijn afnemers na een incident individueel niet bij machte om hun rechten goed af te dekken in hun contracten met een IT-moloch. Temidden van de paniek die altijd gepaard gaat met een incident, rest de afnemer bij gebrek aan strakke wetgeving dezelfde houding als u en ik bij de helpdesk van onze internetprovider: vooral hopen dat alles het snel weer doet. En als de zaak weer draait, is een jarenlange, kostbare en meestal onzekere procedure tegen diegene waarvan je zo afhankelijk bent meestal geen optie.

Bij AI lost de AVG evenmin alles op, maar zit de angst voor oncontroleerbare, zelflerende software er wel goed in. De voorgestelde AI-regulering van de Commissie bevat dus strenge verplichtingen voor aanbieders van AI-producten. Toch draagt een afnemer diezelfde verplichtingen zodra zij de afgenomen AI-dienst op de markt brengt, en zelfs helemaal overneemt bij een aanpassing van die dienst.

Maar waar begint en eindigt eenieders verantwoordelijkheid? In contractuele twisten zijn ontwikkelaars meestal in het voordeel, vooral vanwege schaal (grote ontwikkelaar versus kleine afnemer), informatie-asymmetrie (ontwikkelaar weet tot in detail hoe de AI werkt), complexiteit (afnemers doorgrondt de werking zelfs bij transparantie niet) en lock-in (afnemer is en blijft afhankelijk van de AI-ontwikkelaar).

Geen vuist
Ontwikkelaars van AI hebben publiekelijk opvallend enthousiast gereageerd op het concept van de AI-regulering. Dan weet je eigenlijk al genoeg. Decennialange ervaring in privacy en cybersecurity leren ons namelijk, dat afnemers nauwelijks bij machte zullen zijn de digitale wereld te doorgronden, laat staan een vuist te maken tegen de ontwikkelaars.