AI-reuzen VS akkoord met spionage op Europeanen

Hoewel Anthropic onlangs een miljardencontract met het Pentagon zag stranden omdat het 'rode lijnen' trok bij binnenlandse surveillance en autonome wapens, bevestigde CEO Dario Amodei dat het bedrijf buitenlandse inlichtingenmissies juist steunt. De waarborgen die zowel Anthropic als OpenAI eisen, gelden specifiek voor "US persons". Voor Europeanen is dergelijke bescherming in de contracten nergens terug te vinden zo meldt euractiv.com.

OpenAI, dat inmiddels wel een deal sloot met het Pentagon, benadrukte eveneens dat hun systemen niet gebruikt mogen worden voor toezicht op Amerikaanse burgers. Privacy-expert Max Schrems waarschuwt in Euractiv dat voor niet-Amerikanen vrijwel alles mogelijk is zodra data "relevant zijn voor de Amerikaanse buitenlandse betrekkingen."

Onderzoekers wijzen erop dat AI massasurveillance "superchargt": het profileren van individuen kan met AI tot duizend keer goedkoper en sneller dan met traditionele methoden. Terwijl Brussel en Washington nog praten over dataverdragen, lijkt de technische infrastructuur voor grootschalige AI-spionage op EU-burgers al operationeel.

Reactie EU

Wat kan de EU hier tegen doen? Dat is een complexe juridische uitdaging. De Europese AI Act is weliswaar de strengste AI-wetgeving ter wereld, maar heeft te maken met de grenzen van nationale veiligheid en internationale verdragen.

Hier zijn de belangrijkste juridische routes die de EU kan bewandelen:

1. De AI Act: Handhaving op de 'Output'

Hoewel de EU weinig invloed heeft op wat het Pentagon binnen de VS doet, stelt de AI Act (artikel 2) dat de regels gelden voor elke AI-aanbieder wiens output in de EU wordt gebruikt.

• Als OpenAI-modellen worden ingezet om beslissingen te nemen over Europese burgers (bijvoorbeeld bij grenscontroles of visumverplichtingen), moeten deze systemen voldoen aan strenge transparantie- en risico-eisen.
• Verboden praktijken: 'Social scoring' en bepaalde vormen van biometrische surveillance zijn onder de AI Act strikt verboden in de EU. Brussel kan boetes opleggen aan bedrijven die meewerken aan systemen die deze Europese regels schenden.

2. De GDPR en het 'Schrems'-traject

Het sterkste wapen van de EU blijft de GDPR (AVG). De hoogste Europese rechter heeft in het verleden (Schrems I en II) al eerdere dataverdragen met de VS ongeldig verklaard omdat de Amerikaanse privacybescherming niet gelijkwaardig was aan de Europese.

• Het huidige Data Privacy Framework (DPF) bevat een klachtenmechanisme voor Europeanen tegen Amerikaanse inlichtingendiensten.
• Als blijkt dat AI-surveillance door het Pentagon dit verdrag schendt, kan de Europese privacytoezichthouder (EDPB) de datastromen naar de VS opnieuw blokkeren.

3. Exportcontroles en de 'Digital Sovereignty'

De EU werkt aan wetgeving om minder afhankelijk te worden van Amerikaanse technologie.

• Sovereign Cloud: Door data op te slaan in 'EU-only' clouds (zoals Gaia-X), wordt het fysiek moeilijker voor Amerikaanse diensten om via een 'backdoor' bij Europese data te komen.
• Handelsbeperkingen: De EU zou, vergelijkbaar met hoe de VS handelt, bepaalde AI-modellen kunnen aanmerken als een risico voor de nationale veiligheid als bewezen is dat ze voor massasurveillance worden ingezet.

De beperking: Nationale veiligheid

De grootste juridische hindernis is dat de EU-verdragen bepalen dat nationale veiligheid een exclusieve bevoegdheid is van de lidstaten zelf, niet van "Brussel". Dit betekent dat zolang individuele Europese regeringen nauw samenwerken met de Amerikaanse inlichtingendiensten, het voor de Europese Commissie erg lastig is om deze praktijken via de rechter te verbieden.

Verschil in rechten

Het verschil in juridische bescherming is scherp getrokken: in de Verenigde Staten is privacy een recht dat primair is voorbehouden aan de eigen burgers. Voor een Europeaan die geen Amerikaans staatsburger is, gelden compleet andere regels zodra data de oceaan oversteken.

Hier zijn de belangrijkste verschillen op een rij:

1. Grondwettelijke bescherming (The Fourth Amendment)

• US Person: De Amerikaanse grondwet beschermt burgers tegen "onredelijke doorzoekingen en inbeslagnames". De overheid heeft meestal een bevel van een rechter nodig om privégegevens in te zien.
• EU-burger: De Amerikaanse grondwet is niet van toepassing op niet-Amerikanen buiten de VS. Inlichtingendiensten zoals de NSA mogen gegevens van buitenlanders verzamelen zonder dat daar een specifiek gerechtelijk bevel voor nodig is, zolang dit gebeurt voor "buitenlandse inlichtingen".

2. FISA Section 702: Het legale 'sleepnet'

Dit is de belangrijkste wet waar de huidige AI-discussie over gaat.

• US Person: Het is de NSA verboden om Section 702 te gebruiken om specifiek Amerikaanse burgers te targeten. Als hun data "per ongeluk" worden verzameld, gelden er strikte regels voor het anonimiseren ervan.
• EU-burger: Deze wet is specifiek ontworpen om communicatie van niet-Amerikanen te onderscheppen die via Amerikaanse providers (zoals Google, Microsoft of OpenAI) loopt. De AI-systemen van het Pentagon kunnen deze data onder deze wet legaal analyseren en profileren zonder individuele toestemming.

3. Judicial Redress Act vs. Privacy Act

• US Person: Onder de Privacy Act van 1974 kunnen Amerikanen de overheid aanklagen als hun persoonlijke gegevens worden misbruikt.
• EU-burger: Dankzij de Judicial Redress Act (onderdeel van eerdere EU-VS verdragen) hebben Europeanen weliswaar enige rechten om naar de Amerikaanse rechter te stappen, maar dit is in de praktijk zeer beperkt. Het geldt vaak alleen voor informatie die gedeeld is voor wetshandhaving (misdaadbestrijding), niet voor nationale veiligheid of massaspionage.

4. Transparantie en toezicht

• US Person: Er zijn parlementaire commissies in de VS die toezien op de privacy van Amerikanen. Als een AI-systeem onterecht Amerikanen bespioneert, leidt dit tot politieke schandalen.
• EU-burger: Voor Europeanen is er het Data Privacy Framework (DPF). Dit bevat een speciaal "DPRC-hof" waar Europeanen een klacht kunnen indienen. Critici, waaronder Max Schrems, stellen echter dat dit hof achter gesloten deuren werkt en dat de klager vaak niet eens te horen krijgt óf er spionage heeft plaatsgevonden, alleen dat "de regels zijn nageleefd".

Conclusie

Terwijl OpenAI en Anthropic beloven dat hun AI-modellen geen "Amerikanen" zullen bespioneren, laten ze de deur voor Europeanen wijd open. Voor de Amerikaanse wet is een Europeaan simpelweg een "target" zodra de data relevant zijn voor hun buitenlandse agenda.