Vijf jaar GDPR: het is dan toch geen sof


Zonder één jonge Oostenrijkse advocaat was de Europese GDPR privacy-wetgeving, die vijf jaar van kracht is, een dikke sof geweest. Hopelijk pakken we het met de AI Act beter aan.


Op 25 mei 2018 trad de General Data Protection Regulation in werking. Het was een trieste vijfde verjaardag geweest, ware het niet dat Meta maandag veroordeeld is tot een boete van 1,2 miljard euro – net op de valreep dus toch een miljardenboete die bewijst dat de GDPR geen papieren tijger is.

Dat was de grote kritiek: de GDPR bevatte mooie, krachtige taal over hoe de burger zijn ‘vrije, specifieke, geïnformeerde en ondubbelzinnige toestemming’ moest geven alvorens zijn persoonlijke gegevens mochten worden gebruikt. Maar de wollige paragrafen daarrond zetten de achterpoortjes wijd open.

Toen begon één man, de jonge Oostenrijkse advocaat Max Schrems, die achterpoortjes een voor een te sluiten. ‘Als ik niet maak dat de GDPR wordt afgedwongen, gaat niemand het doen’, zei hij toen. Hij had gelijk. Zonder Schrems was de GDPR een lachertje geworden.

Telkens als hij bot ving bij de Ierse Data Protection Commission, speelde Schrems de bal door naar het Europees Hof van Justitie in Luxemburg, dat hem steevast gelijk gaf: die mooie principes uit de GDPR staan er zwart op wit. En de achterbakse trucs – pop-ups waarin ‘toestemming’ wordt gevraagd die je onmogelijk kunt weigeren, bijvoorbeeld – zijn onwettig: toestemming die niet ‘vrij’ en ‘geïnformeerd’ is, kan niet geldig zijn.

Intussen groeit internationaal het besef dat het internet – of toch de reclame-industrie in het hart ervan – gestoeld is op praktijken waarmee een ‘geïnformeerde’ burger nooit zou instemmen, met name de reclameveilingen die elke seconde gebeuren en waarin uw en mijn gegevens tegen betaling heen en weer flitsen. Het systeem is zo complex en ondoorzichtig dat vrijwel niemand het snapt. De GDPR speelde een sleutelrol in die bewustwording.

Zo is de GDPR dan toch geen sof gebleken. Ze kreeg navolging over de hele wereld, tot in Californië. Europa pronkt sinds 2018 graag met zijn rol als regulator van technologie. De EU putte daaruit de energie om een Digital Services Act en Digital Markets Act te lanceren, die een eind moeten maken aan het vrije spel dat big tech ruim 20 jaar lang op het internet had. En nu is er ook de AI Act, de eerste poging om artificiële intelligentie wettelijk te reguleren.

Deze week riepen twee kopstukken van de AI-industrie, Sundar Pichai van Google en Sam Altman van OpenAI, afzonderlijk op om hun technologie te reguleren – maar dan wel wereldwijd. Ze hopen dat de Europese ideeën ‘verdund’ raken in zo’n internationale mix. Big tech heeft nog enkele maanden de tijd om de Europese tekst met intens lobbywerk af te zwakken of op de lange baan te schuiven. Sam Altman haalde donderdag zelfs dreigementen boven: de AI Act is zo streng dat zijn bedrijf misschien de activiteiten in Europa zal moeten staken.

Als Europa voet bij stuk houdt, kan de AI Act eind 2025 van kracht zijn. Hopelijk blijft tegen dan nog genoeg van de tekst overeind, want we hebben die regulering nodig. En hopelijk rekenen we niet op een Oostenrijkse advocaat om de regels af te dwingen.


DS, 27-05-2023 (Dominique Deckmyn)