Femte juli Nätet till folket!

Nätet till folket!

Lär dig mer på våra specialsidor:

Så viktigt är dataskydd

Dataskydd handlar om vår rätt till din persondata och skydd av densamma. Detta gäller oavsett om våra data finns på nätet eller på andra ställen. Här skriver vi om allt från GDPR till nyfikna myndigheter som samlar in mer data om befolkningen än de behöver.

 

Going Dark – så vill EU komma åt dina meddelanden och din data

av 2 kommentarer

Vi har sammanställt allt du behöver veta om EU:s projekt Going Dark – som är tänkt att ge myndigheterna tillgång till medborgarnas meddelanden och data.

Vi har tidigare skrivit om EU:s Going Dark-grupp. Tanken är att komma åt medborgarnas elektroniska kommunikation, särskilt krypterad sådan.

En »High-Level Expert Group« har tillsatts. Den bytte snabbt namn till en »High-Level Group«, då expertgrupper har högre krav på på öppenhet och allsidighet. Deltagarlistan har varit hemlig.

Gruppen är speciellt inriktad på att ge myndigheterna tillgång till krypterad kommunikation och data, geodata och komma åt användning av anonymiseringstjänster som VPN och TOR/darknet.

Man har diskuterat tillgång till data i användarnas enheter (mobil, dator, platta, spelkonsoll etc.), tillgång till data i meddelande-apparnas system samt tillgång till data i transit.

Gruppen har även tagit upp statstrojaner (hemlig dataavläsning) och hur man skall komma runt EU-domstolens förbud mot generell datalagring. (I Sverige har en utredare redan föreslagit ny datalagring och att meddelandeoperatörer skall tvingas att överlämna begärd data i läsbar, det vill säga icke krypterad form.)

Going Dark-projektet var uppe som en informationspunkt i riksdagens EU-nämnd den 1 december 2023. Justitieminister Gunnar Strömmer sa då att…

»Vi som land fortsätter att vara utomordentligt aktiva i detta och i gruppens arbete i syfte att kunna bidra till att det kan presenteras verksamma rekommendationer inför tillträdet av den nya kommissionen hösten 2024 och för att de rekommendationerna sedan ska genomföras.«

EU-nämnden hade inga frågor, åsikter eller kommentarer.

I anknytning till Going Dark-gruppens arbete gick de europeiska polischeferna ut via Europol med uppmaningen »European Police Chiefs call for industry and governments to take action against end-to-end encryption roll-out«.

Vad de vill ha är laglig tillgång (lawfull access by design) till kommunikationstjänsternas lagrade data och skanning i realtid efter olagliga aktiviteter i användarnas meddelanden.

I ett 42-punktsprogram vill Going Dark-gruppen nu att meddelande-appar skall certifieras av EU. Man vill ha inflytande över branschens produktprotokoll och tekniska arkitektur.

Gruppen vill ha ny datalagring. Den kräver tillgång till begärd data i läsbar (ej krypterad) form. Data om IP-nummer / port skall också lagras. Detta skall även gälla operatörer som är baserade utanför EU.

Utöver datalagring vill man också ha tillgång till data. (Här kan nämnas att Europols utökade mandat redan ger dem rätt att bereda sig tillgång till data hos privata aktörer. Detta gäller även data om personer som inte är misstänkta för brott.)

Man vill även kunna övervaka dig i din uppkopplade bil – och genom allt annat under rubriken internet of things.

Man efterlyser infrastruktur som är »compatible with the transfer in real time of interception of potentially very large amounts of data of various nature«.

Gruppen har tydligen problem med att komma åt »home routing« via 5G. Därför vill man vara med i utformandet av standarden för 6G. Och så vill man komma åt internettrafik som går via satellit.

Man vill ha ökade resurser, inte bara för att komma åt krypterad data utan även för att utveckla AI-verktyg för dataanalys. (Som Chat Control 2, i sin grundform.)

Gruppen vill även se en mekanism för gränsöverskridande utbyte av information om tekniska sårbarheter som kan utnyttjas för övervakning.

Man kräver »state-of-the-art technological solutions« och en ny researchgrupp för att komma åt totalsträckskrypterad /end-to-end-krypterad kommunikation.

Meddelandeplattformar som inte underkastar sig det ovanstående skall kunna utsättas för administrativa sanktioner och begränsad möjlighet att verka på EU:s marknad.

(När samma resonemang är på tapeten i förslaget om Chat Control 2 föreslås att meddelande-appar som inte lyder order skall förbjudas på de tekniska plattformarnas app-stores.)

Man talar till och med om fängelse för »non-cooperative hosting providers«.

Allt detta och mer därtill hoppas man skall ligga till grund för den nya EU-kommissionens arbete de kommande fem åren.

Här kan det vara på sin plats att konstatera att Europadomstolen i februari slog fast att kryptering är en mänsklig rättighet. Europakonventionen och EU:s egen rättighetsstadga säger att…

»Var och en har rätt till skydd för sitt privat- och familjeliv, sitt hem och sin korrespondens.«

Även EU-domstolen har fattat i sammanhanget principiellt viktiga beslut. När den upphävde EU:s datalagringsdirektiv 2014 etablerade den principen: Övervaka dem som misstänks för brott – inte alla andra, hela tiden.

Dessutom har Europaparlamentet – i samband med behandlingen av Chat Control 2 – slagit fast följande relevanta punkter:

  • Ingen skanning av innehållet i totalsträckskrypterad / E2EE kommunikation.
  • Övervakning skall inriktas mot personer och grupper där det misstänks förekomma olagligt innehåll – inte vara generell.
  • Beslut om övervakning skall fattas av en domstol.

Man kan också konstatera att det inte finns något säkert sätt att komma åt krypterad information utan att också göra den tillgänglig för kriminella, främmande makt och andra aktörer med onda avsikter. Det har gjorts försök. Alla har misslyckats.

Det gäller även client-side-scanning oavsett om den sker på system- eller applikationsnivå. Den kräver svagheter i hård- eller mjukvaran som kan missbrukas. Finns det en bakdörr kommer information om den att läcka. Inte ens CIA och NSA har lyckats hålla sina verktyg hemliga.

Här skall också påpekas att det redan finns verktyg för client-side-scanning på systemnivå (hemlig dataavläsning) som efter prövning kan sättas in mot personer som faktiskt är misstänkta för brott. Men EU:s ministerråd och Europol tycker uppenbarligen att det inte räcker.

Ju mer man gräver ner sig i pappren, ju mer uppenbart blir det att Chat Control 2 inte kan ses som ett isolerat förslag. Det är en del i en större drive för att komma åt privat kommunikation och data. Det handlade aldrig om barnen.

Länkar och resurser:
• High-Level Group “Going Dark” outcome: A mission failure »
• Going Dark expert group – EU’s surveillance forge »
• Going Dark: Ett amerikanskt-europeiskt samarbete för att knäcka privat kommunikation i det dolda. »
• Going dark – EU:s krig mot krypterad kommunikation »
• EU-kommissionen: High-Level Group (HLG) on access to data for effective law enforcement »
• Europol: European Police Chiefs call for industry and governments to take action against end-to-end encryption roll-out »
• Europol: Equilibrium between security and privacy: new report on encryption »
• Europadomstolen om rätten till krypterad kommunikation »
• UNHCR: What is Encryption? »
• Anti-encryption EU expert group to make access to data a political and technical standard »
• EU-Staaten wollen Zugriff auf verschlüsselte Daten und mehr Überwachung »
• First insight: 42 key points of the secret #EUGoingDark surveillance plan for the new EU Commission
• Going Dark-gruppens 42-punktsprogram »

Nu tar EU makten över din webläsare

av 1 kommentar

Nu beslutar EU att din webläsare skall tvingas acceptera statligt påbjudna certifikat – som kan öppna för övervakning av vad du gör på nätet.

På torsdag röstar Europaparlamentet om ett European Digital Identity framework (eIDAS). Frågan om ett digitalt EU-ID är kontroversiell nog i sig. Men EU är även på väg att ta makten över din webläsare.

Vi har tidigare beskrivit frågan så här:

»Vad det handlar om är ett förslag om att din webb-läsare kanske måste acceptera certifikat som staten säger åt den att acceptera – utanför HTTPS certifikatsystem (artikel 45). Facktermen är QWAC.«

Och så här:

»Blir förslaget verklighet kommer den browser du använder att tvingas acceptera interaktion med certifikat från sådan tredje part som beslutas av regeringen – utan nödvändiga säkerhetsgarantier och helt utanför HTTPS certifikatsystem.

Vilket får allvarliga konsekvenser för säkerheten på nätet. Samtidigt öppnar det för att staten kan övervaka dig och vad du gör online.«

Techradar skrev förra veckan:

»Secure browser providers, like Mozilla, and cryptographers, computer scientists, and privacy advocates have warned of how these proposed provisions endanger the security and privacy of citizens across the block.«

»What the eIDAS wants to change, raising many concerns within the industry, is how to deal with these certificates. As computer engineer and professor at EPFL Carmela Troncoso explained, the law will give EU states the right to issue these proofs of trust which web browsers will have to accept as truthful. Browser providers will also be prevented from removing these certificates (as it currently happens) even in cases where they notice malicious activities, unless the member state doesn’t allow it.«

»”[The law] changes the balance of power by moving these security checks on member states. We find this to be extremely dangerous,” Troncoso told me. ”The security of the whole internet is on the line because this is not about the security of two pages, it is the whole thing.”«

Tyska Netzpolitik.de beskriver hur Europaparlamentet och IT-experter talat förbi varandra under processen. Politikerna menar till exempel att QWACs aldrig missbrukats för övervakning – vilket de facto skett i Kazakhstan, Kina, Ryssland och Frankrike.

Förvirringen om vad som gäller är betydande. Den som vill läsa den text parlamentet skall rösta om på torsdag, se punkt 38, artikel 45. Det finns även ett yrkande (ändringsförslag 15) om att helt stryka artikel 45.

Som vanligt finns det inga garantier för att Europaparlamentets ledamöter förstår vad de beslutar om när det kommer till internet och IT.

I värsta fall får man väl använda VPN för att hämta hem en web-läsare som inte tvingas acceptera EU-certifikaten, från något land utanför unionen.

Spionprogrammen som hotar vår säkerhet och demokrati har gjorts möjliga genom politiska beslut

av Lämna en kommentar

Den teknik som används för polisens hemliga dataavläsning möjliggör brottslighet, spioneri och övervakning av politiska motståndare.

Det finns åter tecken på att spion-programvara använts mot ledamöter i Europaparlamentet. Denna gång är det medlemmar i parlamentets Subcommittee on Security and Defence (SEDE) som tros ha fått sina telefoner buggade.

Men det är inte första gången. Parlamentets talman har utsatts för försök att installera spionprogram. Och på 2010-talet upptäcktes att parlamentets och övriga EU-instutioners e-post övervakades via ett intrång hos Belgacom.

Spionprogram har på senare år använts av nationella regeringar för att övervaka politiska motståndare i Spanien, Grekland, Ungern och Polen.

Ett skäl till att sådant spionage och politisk övervakning är möjlig är polisens användning av hemlig dataavläsning.

Hemlig dataavläsning handlar om att polisen kan övervaka misstänkta genom att med spionprogram ta kontrollen över telefoner, datorer, plattor och till och med spelkonsoler. Sedan får den tillgång till allt – alla meddelanden, alla filer, kamera och mikrofon.

För att detta skall vara möjligt måste kända säkerhetsluckor lämnas öppna.

Detta är allvarligt och öppnar för angrepp på vår IT-infrastruktur – vilket gör oss alla mindre säkra. Problemet har påpekats, men politiker i Sverige och andra länder har ändå beslutat sig för att tillåta hemlig dataavläsning.

Uppenbarligen utnyttjas detta inte bara av kriminella och främmande makt – utan även av politiker som vill övervaka sina motståndare.

Hemlig dataavläsning är alltså både ett praktiskt säkerhetsproblem och ett demokratiskt problem.

Skurkstater i FN vill ta kontroll över internet

av 2 kommentarer

Ryssland, Kina och Iran vill göra FN:s Cybercrime Treaty till ett verktyg för kontroll och förtryck. Nästa vecka kan allt avgöras.

29 januari till 9 februari genomförs slutförhandlingar om FN:s Cybercrime Treaty. Den text som ligger på bordet är problematisk.

Får länder som Ryssland, Kina, Iran och Pakistan som de vill öppnas dörren för censur och övervakning på ett sätt som står i konflikt med grundläggande mänskliga rättigheter. Några exempel:

  • Man är inte ens överens om vad »cyberbrottslighet« egentligen är. Vilket skapar utrymme för godtycke.
  • Vad vi i de demokratiska rättsstaterna betraktar som helt lagliga yttranden online kan komma att kriminaliseras.
  • Verksamhet som bedrivs av cybersäkerhetsexperter, visselblåsare, aktivister och journalister kan komma att kriminaliseras.
  • Säker elektronisk kommunikation kommer att undermineras.
  • IT-tekniker kan tvingas kringgå dagens verktyg för säkerhet online.
  • Data och information kan komma att delas och hämtas över gränserna på ett sätt som går bortom vad som kan anses vara lämpligt, nödvändigt och proportionerligt. Detta utan rimligt dataskydd och utan hänsyn till rättsstatens grundläggande principer.

Den sista punkten innebär att internetoperatörer och nätplattformar kan tvingas lämna ut information om sina användare och deras aktiviteter till skurkstater.

I sammanhanget skall man komma ihåg att många länder anser saker vara olagliga som är helt lagliga och självklara i en demokratisk rättsstat och i ett öppet samhälle.

Enkelt uttryckt är den aktuella texten skräddarsydd för auktoritära och totalitära stater som vill övervaka folket, kontrollera oliktänkande och hindra fri information.

Texten är inte förenlig med svensk eller EU:s lagstiftning. Och om man skall vara petig, inte heller med FN:s egen stadga om de mänskliga rättigheterna.

Dessutom finns redan nödvändiga konventioner på området, som Budapest-konventionen. Dock anser bland andra Ryssland att dessa inte går långt nog.

Så väl IT-industrin som ett hundratal organisationer som arbetar med mänskliga rättigheter och nätets frihet protesterar högljutt. Trots detta har fördraget svällt vad gäller såväl syfte som form.

EFF:s Policy Director for Global Privacy Katitza Rodriguez säger:

»The proposed treaty needs more than just minor adjustments; it requires a more focused, narrowly defined approach to tackle cybercrime. This change is essential to prevent the treaty from becoming a global surveillance pact rather than a tool for effectively combating core cybercrimes. With its wide-reaching scope and invasive surveillance powers, the current version raises serious concerns about cross-border repression and potential police overreach. Above all, human rights must be the treaty’s cornerstone, not an afterthought. If states can’t unite on these key points, they must outright reject the treaty.«

Vad gäller FN:s medlemsstater har motståndet varit trögt i starten – men verkar nu i sista stund ta fart. Bland andra USA, EU, Kanada, Nya Zeeland och ett antal latinamerikanska länder motsätter sig förslaget som det ligger i sin senaste version.

I sammanhanget är det värt att påminna om FN:s egen 5 juli-resolution som säger att mänskliga rättigheter offline även skall gälla online.

• EFF and More Than 100+ NGOS Set Non-Negotiable Redlines Ahead of UN Cybercrime Treaty Negotiations »

• Joint Statement on the Proposed Cybercrime Treaty Ahead of the Concluding Session »

• On eve of final negotiations, US says consensus growing around ‘narrow’ UN cybercrime treaty »

• Latest UN Cybercrime Treaty draft a ‘significant step in the wrong direction,’ experts warn »

Europaparlamentet: Nej till anonymitet online

av Lämna en kommentar

Europaparlamentet vill att nätanvändare skall kunna identifieras – vilket i så fall kan få negativa och oönskade konsekvenser.

Med 491 röster mot 76 har Europaparlamentet antagit en resolution (åsiktsförklaring, ej lagstiftning) som bland annat vill begränsa möjligheten att vara anonym på nätet.

Resolutionen menar (punkt 20) att avatarer, blockchain och decentraliserade autonoma organisationer är problematiska. Man vill även ge avatarer en särskild juridisk status (21).

Man vill vidare styra upp och standardisera det där med virtuella världar och de värderingar som råder i dessa.

Parlamentet vill även se »identity management systems« (20) så att användare kan identifieras.

Till att börja med kan man ställa sig frågan hur detta är tänkt att upprätthållas på ett internet som inte känner några nationella gränser. Ett nät där alla utom européer kan vara anonyma kan få en del konstiga konsekvenser.

Att vilja vara anonym online kan ha helt rimliga och legitima grunder.

På ett ibland stökigt internet kan anonymitet vara en förutsättning för många som vill delta i det offentliga samtalet utan att riskera trakasserier. För den som vill avslöja oegentligheter kan det vara en direkt nödvändig förutsättning.

Europaparlamentet uttalar sig ofta om demokratiska problem i länder som Ungern. Men nu vill man alltså begränsa möjligheten för medborgare i sådana länder att uttrycka sin åsikt utan att riskera statlig repression.

Anonymitet är även viktig för sårbara och utsatta grupper. Anonymitet är ett lager av skydd mot nätbedragare och andra ondsinta aktörer. Anonymitet är ett skydd mot övervakning och data mining.

Lustigt nog tycks resolutionen hålla med om vissa av de oavanstående argumenten för att i nästa ögonblick bortse från dem.

Slutligen: Anonymitet är ett effektivt verktyg för att värna individens rätt till privatliv – som är en grundläggande mänsklig rättighet.

Men en förkrossande majoritet i Europaparlamentet tycker att det är viktigare att hålla koll på vem som säger och gör vad på internet.

Riskerna med automatiserad ansiktsigenkänning

av 2 kommentarer

EU är på väg att införa kameraövervakning med automatiserad ansiktsigenkänning. Vi listar några av de uppenbara riskerna.

Trots Europaparlamentets motstånd tyder det mesta på att EU:s nya AI Act kommer att öppna för bred kameraövervakning med automatiserad ansiktsigenkänning i brottsbekämpningen.

Även den som anser att ändamålet helgar medlen måste vara medveten om att detta medför allvarliga risker.

Till att börja med utvidgas övervakningslagar i princip alltid till syfte och omfattning. Några egentliga spärrar mot detta saknas i EU:s nya lagstiftning.

Det är också viktigt att komma ihåg att automatiserad ansiktsigenkänning inte bara kommer att drabba kriminella utan alla medborgare och deras rätt till privatliv.

Konventioner och EU:s fördrag slår fast att rätten till privatliv är en grundläggande mänsklig rättighet.

Vanliga hederliga människor har rätt till anonymitet och frihet från övervakning. Med mer allmän användning av automatiserad ansiktsigenkänning gör man ett avsteg från denna princip.

Europa kommer att bli lite mer som Kina, där staten har tekniska möjligheter att kontrollera det mesta folk har för sig i det offentliga rummet.

Orwells 1984 var en varning, inte en instruktionsbok.

Även om dagens svenska politiker är hederliga, rättvisa demokrater som aldrig skulle missbruka sin makt finns det ingen garanti för att det kommer att vara så i morgon.

Är du beredd att ge detta verktyg till din värste politiske motståndare, till de politiska krafter som du anser hotar vår demokratiska rättsstat?

EU är inte bara Sverige. Det är inte svårt att föreställa sig hur ett så här kraftfullt verktyg för övervakning och kontroll kan komma att användas i länder som Ungern. Till exempel för att registrera människor som deltar i politiska möten och demonstrationer.

Den entusiasm som länder som Frankrike visar för den nya tekniken ger också en vink om att ändamålsglidning bara är en tidsfråga.

Sedan har vi den rent praktiska frågan om risken för felaktig identifiering. Att detta är en verklig risk visar erfarenhet från länder som redan prövat automatiserad ansiktsigenkänning.

Dessutom har det visat sig att denna risk är extra stor vad gäller etniska minoriteter. Oskyldiga kommer att drabbas.

En annan praktisk fråga gäller säkerhetsrisker och dataintrång. För att fungera måste ett sådant här system ha stora baser med biometrisk data.

Till att börja med vet vi att risken är stor för att data kommer att läcka. Vilket kan utnyttjas av allt från kriminella till främmande makt. Det finns även en risk för att hackare kan korrumpera sådan data, vilket kan få allvarliga konsekvenser.

Det skulle inte förvåna om EU-domstolen med tiden kommer att upphäva hela eller delar av EU:s nya AI Act enligt samma princip som gäller det ogiltigförklarade datalagringsdirektivet: Övervaka dem som misstänks för brott – inte alla andra, hela tiden.

EU inför gemensamt system för sjukjournaler

av 1 kommentar

Nu införs en gemensam databas och standard för sjukvårdsjournaler i EU:s 27 olika medlemsstater. Kanske praktiskt, men förenat med stora risker.

Både EU:s ministerråd och Europaparlamentet har nu givit grönt ljus till det nya europeiska systemet för sjukjournaler – EU Health Data Space.

I praktiken kommer det att vara obligatoriskt att vara med. Europaparlamentet har gjort tillägget att medborgare skall kunna »invända« genom ett skriftligt förfarande. Dock verkar det som att en sådan invändning bara kan göras mot vissa former av data och användning i sekundära syften.

Naturligtvis är det lätt att se fördelen med ett gemensamt journalsystem för hela EU, enligt en ny standard: Blir man sjuk har vården tillgång till samma information oavsett om man är i Bordeaux eller Borås.

I verkligheten är det naturligtvis en helt annan sak. Man skall stöpa om och centralisera journalsystemet för 27 olika länder till år 2025. Vad kan möjligen gå fel?

Detta för att inte nämna risken för IT-attacker, läckta patientuppgifter och missbruk av systemet. Eller tekniska fel, borttappad data och inkompetent handhavande.

Och det är inte bara din doktor som får tillgång till information. Data skall även tillhandahållas för forskning och utveckling. (Men parlamentet säger nej till att insamlad hälsodata får används när någon skall anställas och för finansiella tjänster som försäkringar…)

Parlamentet och ministerrådet ligger rätt nära varandra och kommissionens ursprungliga förslag. Det är i princip bara den ovan nämnda rätten att »invända« som skiljer. Så trilog-förhandlingarna om den slutliga texten kommer förmodligen att gå snabbt.

Och här är avslutningsvis en kritisk röst, MEP Patrick Breyer (PP, DE):

»A compulsory electronic patient file with Europe-wide access entails irresponsible risks of theft, hacking or loss of the most personal treatment data and threatens to deprive patients of any control over the collection of their illnesses and disorders,” emphasises Breyer, co-lead negotiator for the Greens/European Free Alliance group in the EU Parliament’s Civil Liberties Committee.

“This is nothing other than the end of medical confidentiality. Have we learnt nothing from the international hacker attacks on hospitals and other health data? If every mental illness, addiction therapy, every potency weakness and all abortions are forcibly networked, worried patients risk being deterred from urgent medical treatment – this can make people ill and put a strain on their families!

In the trilogue negotiations, I will fight to ensure that national opt-out schemes are clearly allowed for in the legislation.”«

• Europaparlamentet: EU Health Data Space: access to your health data across the EU »

• Europaparlamentet: EP supports creating EU Health Data Space to boost access to data and research »

• MEP Patrick Breyer (PP, DE): European Health Data Space: EU Parliament opposes mandatory electronic patient records for all citizens, but supports granting access to sensitive health data without asking patients »

Så vill EU ta makten över AI

av Lämna en kommentar

Nu reglerar EU användningen av artificiell intelligens – med stora undantag för brottsbekämpande myndigheter. Här är vad man har förhandlat fram.

Det finns nu i princip en överenskommelse mellan EU:s tre institutioner om dess nya reglering av artificiell intelligens, the AI Act. I princip, eftersom det fortfarande tycks råda en viss oklarhet om vad man beslutat i detalj.

Överenskommelsen är resultatet av trilog-förhandlingar – i vilka kommissionen, ministerrådet och parlamentet stänger in sig bakom stängda dörrar för att utarbeta en kompromiss utan offentlig insyn.

Trots att det inte finns något stöd för triloger i EU:s fördrag avgörs idag nio av tio lagförslag i EU genom dessa hemliga förhandlingar. Vilket är ett demokratiskt problem. Lagstiftning måste tåla insyn.

Än mer svajigt blir det om man betänker att detta är lagstiftning där den tekniska utvecklingen går med rasande fart. Plus att det är oklart om beslutsfattarna verkligen förstår vad AI är och hur den fungerar.

Men det är som det är. Till saken. Vad har man kommit fram till?

  • EU vill ha insyn i och viss möjlighet att påverka AI-system som anses vara hög risk för individen, samhället och ekonomin. Här ställs även krav på transparens, konsekvensanalyser och energianvändning.
  • Man förbjuder automatiserad ansiktsigenkänning i realtid, utom vad gäller att identifiera gärningsmän och offer vid vissa typer av brott och för att bekämpa terrorism.
  • Automatiserad ansiktsigenkänning i efterhand begränsas till utredning av allvarliga brott.
  • Användning av AI för förebyggande brotssbekämpning (pre-crime) begränsas delvis, speciellt om den bygger på personlighets- och karaktärsdrag (t.ex. ras, politisk åsikt eller religion – om inte sådana uppgifter har en direkt betydelse till ett visst brott eller hot).
  • Användning av AI för att upptäcka och registrera känslor förbjuds på arbetsplatser och inom utbildningsväsendet utom när det sker i säkerhetssyfte.
  • AI får inte användas för manipulation, exploatering av sårbarheter och sociala poängsystem (social scoring).
  • Militär användning undantas från begränsningar, så länge den är i linje med EU:s fördrag.
  • Fri och open source-mjukvara undantas från lagstiftningen utom när tillämpningen anses vara förenad med hög risk eller förbud enligt ovan.
  • Ett AI Office skall upprättas hos EU-kommissionen, en European Artificial Intelligence Board skall etableras liksom ett rådgivande forum och en vetenskaplig panel.

EU:s AI Act är tänkt att träda ikraft inom två år, med undantag för vissa förbud som skall börja gälla redan efter sex månader från det att rådet och parlamentet bekräftat trilogens kompromiss.

Hur tekniken kommer att se ut om två år och om lagstiftningen över huvud taget är relevant då är en öppen fråga.

Och som vanligt finns alltid en påtaglig risk för ändamålsglidning, missbruk av dessa verktyg och för vad de kan komma att användas till av auktoritära eller totalitära politiska krafter.

EU:s AI Act sätter också strålkastarljuset på Chat Control som nu av allt att döma skjutits på framtiden, till nästa mandatperiod. Att låta AI granska innehållet i medborgarnas elektroniska meddelanden samtidigt som man ger myndigheterna relativt fria händer på området tar frågan till en ny nivå. Detta bör uppmärksammas i vårens EU-valrörelse.

Några länkar:
• Europaparlamentet: Artificial Intelligence Act: deal on comprehensive rules for trustworthy AI »
• EU-kommissionen: Commission welcomes political agreement on Artificial Intelligence Act »
• EDRi – EU AI Act: Deal reached, but too soon to celebrate »
• Euractiv: AI Act: EU policymakers nail down rules on AI models, butt heads on law enforcement »
• Euractiv: European Union squares the circle on the world’s first AI rulebook »

Från trilogförhandlingarna om EU:s nya AI Act.

Utredning: Grönt ljus för statliga spionprogram

av 1 kommentar

Försöket med hemlig dataavläsning blir permanent, trots klent resultat. Samtidigt lämnar det våra telefoner och datorer öppna för angrepp från kriminella och andra illasinnade aktörer.

På onsdagen presenterades en utredning (SOU 2023:78) om att göra hemlig dataavläsning permanent. (Än så länge har lagen varit tillfällig på grund av att detta är ett nytt verktyg som innebär ett stort intrång i rätten till privatliv.)

Rekommendationen är att hemlig datalagring skall göras permanent och att den i vissa delar även skall utökas.

Hemlig dataavläsning innebär att de brottsbekämpande myndigheterna kan installera spionprogram (”statstrojaner”) på människors telefoner, plattor, datorer, spelkonsoler m.m. i syfte att utreda brott.

Dessa spionprogram kan sedan få tillgång till i princip allt som finns på en telefon. Dessutom ger de möjlighet till realtidsövervakning och loggning.

På så sätt kan till exempel meddelanden som sänds via krypterade meddelandetjänster avläsas redan när de skrivs – innan de krypterats och sänts. Alternativt efter att de tagits emot, av-krypterats och öppnats för att läsas.

Genom att använda telefonens mikrofon och kamera kan man även avlyssna dess ägare. Och alla andra som råkar befinna sig i närheten. Även den som ringer till eller blir uppringd av en telefon med spionprogram blir övervakad.

Till detta kommer att spionprogrammen kan ges tillgång till bilder, filer och allt annat som finns på en telefon eller dator.

Ett uppenbart problem med detta är att det krävs säkerhetsluckor i mjuk- och/eller hårdvaran för att myndigheterna skall kunna installera sina spionprogram i hemlighet.

Vilket innebär att kända säkerhetsbrister lämnas utan åtgärd – för att kunna användas av myndigheterna. Vilket naturligtvis är en väldigt dålig sak. Dessa brister kan då även utnyttjas av nätbedragare, främmande makt och andra illvilliga aktörer.

Utredningen skriver:

»Det kan konstateras att informationssäkerhet har en central plats i samhället. Vikten av en fungerande informationssäkerhet måste därför vägas mot vikten av en effektiv brottsbekämpning. I förarbetena till lagen om hemlig dataavläsning konstaterades att hemlig dataavläsning medför större risker för informationssäkerheten än andra tvångsmedel. En viktig utgångspunkt för våra avvägningar i denna del är att det inte kan accepteras att hemlig dataavläsning leder till minskad informationssäkerhet i någon annan utrustning än den som åtgärden avser.«

Sedan väljer man att strunta i detta. Vilket, försiktigt uttryckt, är anmärkningsvärt.

Nu gör man oss alla mindre säkra och vår IT-infrastruktur mer sårbar. Helt medvetet.

Men detta är inte allt. Utredningen skriver:

»Av de årliga redovisningarna kan konstateras att den kvantitativt uppskattade nyttan av hemlig dataavläsning generellt sett har varit något lägre än för de permanenta hemliga tvångsmedlen.«

Vilket är ett understatement. Hemlig dataavläsning har bara lett till åtal i 20 procent av de fall som domstol har gett tillstånd till. Och då skall man komma ihåg att det i dessa fall som regel även fanns annan bevisning som till exempel vittnen, fysiska bevis och dokumentation.

Dessutom har detta verktyg kommit att användas mer och oftare än man från början angett.

Nu skall systemet med ”statstrojaner” alltså bli permanent. I en något utökad form. Med en förenklad ansöknings- och beslutsprocess.

Risken för att systemet kan missbrukas är uppenbar. Det finns redan exempel på hur regeringarna i Ungern, Polen och Spanien använt denna typ av spionprogram för att spana på sina politiska motståndare.

Och när verktyget väl finns på plats räcker det med ett klubbslag i riksdagen för att syftet och omfattningen skall utökas. Vilket i princip alltid sker när det gäller övervakningslagar.

• Regeringen: Hemlig dataavläsning – utvärdering och permanent lagstiftning »
• Hemlig dataavläsning – utvärdering och permanent lagstiftning, SOU 2023:78 »
• Oisín Cantwell, Aftonbladet: Hemlig dataavläsning är soundtracket till vår tid »

Patientjournaler: EU kräver centralt register

av 1 kommentar

Redan för fyra år sedan kunde man läsa i EU-kommissionens planer att den gärna vill se ett centralt system för patientjournaler i hela EU. Nu är vi där. Vad kan möjligen gå fel?

Naturligtvis kan det vara väldigt praktiskt med alla 450 miljoner EU-medborgares samtliga patientjournaler i en och samma datamaskin. När det fungerar.

Samtidigt finns risker. Alla system läcker och vi vill inte finna våra patientjournaler plötsligt dumpade på nätet eller i orätta händer. Med så mycket väldigt känslig information finns stort utrymme för allehanda oväntade och oönskade konsekvenser. Och man kan förvänta sig bråk om systemet till exempel kopplas till vaccinationer.

De ansvariga utskotten i Europaparlamentet har nu givit det nya registret sitt godkännande. Den piratpartistiske ledamoten i parlamentet, Patrick Breyer (DE) är skeptisk:

»The lead committees of the European Parliament, LIBE and ENVI, have today voted in favour of the creation of a “European Health Data Space” (EHDS), which will bring together information on all medical treatments received by citizens. Specifically, the bill will oblige doctors to upload a summary of each patient’s treatment to the new data space (Article 7). Exceptions or a right to object are not provided for, even when it comes to particularly sensitive diseases and therapies such as mental disorders, sexual diseases and disorders such as impotence or infertility, HIV or drug abuse therapies. Patients would be able to restrict access to their health records, but not their creation.«

Europaparlamentet röstar i plenum 11-14 december och ministerrådet ger sin välsignelse den 6:e december.

• MEP Patrick Breeyer (PP, DE): European Health Data Space: EU committees vote in favour of mandatory interconnected electronic patient records for all citizens »

• Europaparlamentet: Personal health data: better portability and safe sharing »