Afgelopen woensdag hebben de EU-lidstaten een wijziging van de AVG goedgekeurd die de winstbelangen van OpenAI, Anthropic, Google, Meta en SpaceX boven het grondrecht van Europeanen op gegevensbescherming zou stellen. Volgens de goedgekeurde tekst geldt de verwerking van persoonsgegevens “in de context van AI” automatisch rechtmatig zijn. Met name zouden de grote techbedrijven alle persoonlijke gegevens die de afgelopen decennia zijn verzameld vrijwel onbeperkt kunnen gebruiken, zolang dit maar gebeurt “in de context” van AI gebeurt. Schrems: “Volgens de overeengekomen tekst zouden de winsten van AI-bedrijven doorgaans zwaarder wegen dan het grondrecht van Europeanen op privacy. Dit is niets anders dan een digitale onteigening van Europeanen.” Dit alles gebeurt ondanks het feit dat de topfiguren van AI-bedrijven actief waarschuwen voor de enorme risico’s die aan hun eigen producten verbonden zijn.
Laatste barrières vallen weg: gaan de winsten van AI-bedrijven boven gegevensbescherming? Alsonderdeel van het „Digital Omnibus“-voorstel beweerde de Europese Commissie dat zij slechts kleine wijzigingen zou aanbrengen om de zaken voor EU-bedrijven te vereenvoudigen. Tegelijkertijd verklaarde zij uitdrukkelijk dat zij een „hoog beschermingsniveau“ voor de Europese burgers zou handhaven. Daarom werd gekozen voor een „versnelde procedure“. Dit gebeurde zonder dat er een grondrechtenbeoordeling werd uitgevoerd of dat de Europese deskundigengroep inzake gegevensbescherming rechtstreeks bij het proces werd betrokken.
Artikel 88c, zoals voorgesteld door de Europese Commissie (nu artikel 88bis in het document van de Raad), beoogt het gebruik van persoonsgegevens voor AI vrij te maken. Het voorstel ligt momenteel bij de Raad, waar het Ierse voorzitterschap momenteel de touwtjes in handen heeft. Ierland fungeert ook als EU-hoofdkwartier voor het merendeel van de Amerikaanse en Chinese AI-bedrijven.
Digitale onteigening: goedgekeurd in de Raad. Met steun van Duitsland en andere EU-grootmachten heeft de Raad (die de EU-lidstaten vertegenwoordigt) woensdag goedgekeurd dat bedrijven in principe vrijwel alles mogen doen bij het gebruik van persoonsgegevens "in de context van AI". Dit betekent dat de commerciële belangen van AI-bedrijven in het algemeen zwaarder zouden wegen dan de grondrechten van gebruikers. Deze algemene toestemming zou ook gelden voor mensen die nog nooit klant zijn geweest van een AI-bedrijf en voor gegevens die decennia geleden zijn ingevoerd, bijvoorbeeld in chats of op sociale media. Alle persoonsgegevens waar een AI-bedrijf op de een of andere manier de hand op kan leggen, zouden onder deze bepaling vallen. Het zou niet nodig zijn om gebruikers om toestemming te vragen. In plaats daarvan wordt automatisch aangenomen dat bedrijven een doorslaggevend „gerechtvaardigd belang“ hebben wanneer zij een AI-product gebruiken of trainen.
De Raad heeft een verwijzing toegevoegd naar de bestaande rechten en plichten uit hoofde van artikel 21 (een recht op opt-out in specifieke gevallen) en artikel 24 van de AVG (de noodzaak van technische en organisatorische maatregelen ter nakoming van wettelijke verplichtingen), maar deze zogenaamde „waarborgen“ zouden ook zonder die verwijzing van toepassing zijn op elke verwerking. In wezen worden er door het nieuwe artikel 88 bis inzake AI geen wezenlijke waarborgen vereist.
Max Schrems: “Afgelopen woensdag zijn de EU-lidstaten overeengekomen om onze gegevens gratis aan AI-bedrijven te verstrekken. Al decennia lang vertellen we mensen dat hun gegevens veilig zijn en hooguit voor advertenties worden gebruikt. Nu kunnen Google, Meta en Microsoft alle gegevens die ze hebben verzameld vrijwel onbeperkt gebruiken voor elk project dat een of andere ‘AI’-component bevat. Dit is het grootste geschenk dat de EU-lidstaten ooit aan de Amerikaanse Big Tech hebben gegeven.”
De verkoop van Europese gegevens aan de VS en China. Politici lijken te geloven dat de Europese economie baat zal hebben bij het afschaffen van zoveel mogelijk wetten. Toch valt precies het tegenovergestelde te verwachten: de meeste EU-bedrijven beschikken noch over dezelfde hoeveelheid gegevens, noch over het kapitaal om te concurreren met Amerikaanse bedrijven. In veel gevallen zou dit ook kunnen betekenen dat de gegevens die door EU-bedrijven worden verzameld (maar op platforms of diensten buiten de EU worden verwerkt) naar aanbieders in de VS of China zouden stromen.
Max Schrems: „Deze wetswijziging komt vooral ten goede aan de grote spelers, degenen die enorme hoeveelheden Europese gegevens hebben verzameld. Dit is een totale uitverkoop van Europese gegevens aan mondiale bedrijven. Het zou er ook toe leiden dat een grote hoeveelheid knowhow van EU-bedrijven naar de VS of China zou vloeien. Vanuit het oogpunt van het industriebeleid is een dergelijke aanpak waanzin.”
Een blanco cheque voor een hele technologie? Normaal gesprokenstaat de AVG verwerking toe voor specifieke doeleinden (bijvoorbeeld het bewaren van gegevens voor belastingdoeleinden of fraudepreventie). Het overeengekomen artikel 88c (of artikel 88bis) legitimeert echter een hele technologie. Ongeacht het doel waarvoor het wordt gebruikt, zou elk AI-systeem standaard rechtmatig alle persoonsgegevens mogen verzamelen. Het voorgestelde artikel zou bijvoorbeeld ook het trainen en gebruiken van AI toestaan voor manipulatie, desinformatie, het genereren van naaktbeelden of moorddrones, en inderdaad elk ander twijfelachtig doel. Veel verwerkingen die tot nu toe onwettig waren, zouden plotseling wettig kunnen worden – louter omdat ze plaatsvinden „in de context” van een AI-systeem plaatsvinden. Zo is gegevensverwerking voor persoonlijke reclamedoeleinden (zonder toestemming) momenteel illegaal in de EU. Nu zou reclame echter plotseling legaal kunnen worden als deze met behulp van AI-technologie wordt gepersonaliseerd.
Max Schrems: „Het is alsof je zegt dat alles mag – wat je ook doet – zolang het maar met AI gebeurt. Als iets in een Excel-spreadsheet illegaal is, is het legaal als het met een AI-agent wordt gedaan. Het is volkomen absurd om een risicovolle technologie een voorkeursbehandeling te geven ten opzichte van elk ander computersysteem.”
De 45 jaar oude belofte van gegevensbescherming stort in. Op Europees niveau bestaat er al sinds 1981 wetgeving inzake gegevensbescherming. Al decennia lang wordt Europeanen beloofd dat dergelijke (zogenaamd) „strikte“ gegevensbescherming ervoor zou zorgen dat platforms zoals Twitter/X, Facebook of Instagram, en bedrijven zoals Google of Microsoft, die enorme hoeveelheden gegevens verzamelen, deze „nooit“ zouden gebruiken voor andere doeleinden dan waarvoor ze werden gedeeld. Het voorgestelde artikel 88c (of nu 88bis) breekt deze belofte: alle verzamelde gegevens liggen plotseling voor het grijpen voor elk gebruik door elk AI-systeem.
Max Schrems: „Sinds de jaren tachtig hebben we mensen beloofd dat grote bedrijven weliswaar gegevens mogen bewaren, maar deze slechts in beperkte mate mogen gebruiken. Artikel 88bis zet echter plotseling de sluizen open en staat onbeperkt gebruik van alle gegevens voor AI toe.”
Verdere ingrijpende beperkingen van beschermingsmaatregelen en rechten. Bovendien hebben EU-lidstaten voorgesteld om de definitie van „persoonsgegevens“ drastisch te versmallen. Dit betekent onder andere dat het onduidelijk is of online tracking nog steeds onder de AVG zou vallen. Dit zou moeten gebeuren met behulp van zogenaamde „pseudoniemen“, die dan in de regel niet meer onder de AVG zouden vallen. Het probleem is dat de meeste IT-systemen voornamelijk met pseudoniemen werken (zoals gebruikers-ID’s, tracking-ID’s, IP-adressen of burgerservicenummers). De beslissing of gegevens nog steeds „persoonsgegevens“ zijn, zou in de eerste plaats worden genomen door de bedrijven die onder de wet vallen. Dergelijke debatten slepen zich doorgaans jarenlang voort en zorgen voor enorme vertragingen en enorme kosten – dus allesbehalve „vereenvoudiging“.
Max Schrems: „Deze wijzigingen komen rechtstreeks uit het draaiboek van elk groot advocatenkantoor dat grote techbedrijven verdedigt. We hebben jarenlang in rechtbanken en bij autoriteiten gestreden om deze beweringen te laten verwerpen. De EU-wetgever zal ze waarschijnlijk nog verder aanwakkeren en daarmee het EU-recht nog complexer en onuitvoerbaarder maken.”
Volgend strijdtoneel: het Europees Parlement. Deze overeenkomst is geen akkoord over de definitieve wet. De Raad moet nog onderhandelen over de definitieve tekst met het Europees Parlement, dat nog geen standpunt heeft ingenomen. De Europese Commissie is de derde instelling die betrokken is bij de zogenaamde "trilogen" die tot een definitieve EU-wet zullen leiden. De Commissie heeft al een tijdje geleden een ommezwaai van 180 graden gemaakt en geeft momenteel duidelijk voorrang aan de belangen van de lobby's uit de industrie boven de grondrechten.
Het standpunt van het Europees Parlement is nog in ontwikkeling. Terwijl het merendeel van de Europese Volkspartij (EVP) ertoe neigt te pleiten voor het inbouwen van steeds meer mazen in de digitale EU-wetgeving, hebben leden van het Europees Parlement uit de centrumlinkse fracties tot nu toe weerstand geboden en geven zij de voorkeur aan handhaving van de status quo. Ook groeperingen uit het uiterste rechts verzetten zich in toenemende mate tegen voorstellen voor een „vrijbrief“ voor Big Tech.
Laatste hoop: het Hof van Justitie? Debelangrijkste vraag lijkt te zijn of een wet zonder enige betekenisvolle beperkingen op enigerlei wijze te verzoenen is met de grondrechten van de EU. In het verleden heeft het Europees Hof van Justitie EU-wetgeving vernietigd in zaken waarbij sprake was van veel minder ingrijpende schendingen van de grondrechten van de EU, zoals het bewaren van gegevens of de overdracht van EU-gegevens naar de Verenigde Staten.
Max Schrems: „Als de wetgever elk gevoel voor proportie en richting heeft verloren, kunnen de burgers zich alleen nog tot de rechtbanken wenden. Elke extreme wet die een groot risico loopt te worden vernietigd, zou tegelijkertijd alleen maar meer rechtsonzekerheid creëren in plaats van de beloofde vereenvoudiging.”
