Femte juli

Nätet till folket!

Säkerhet

Under denna kategori samlar vi nyheter och notiser som handlar om säkerhet för nätanvändare. Det kan till exempel gälla persondata, kryptering, säkerhetsbrister eller läckor och illasinnade hack som exponerar användare.

Är hybridkriget här nu?

av

De senaste dagarna har Frankrike, Nederländerna, Danmark och Tyskland drabbats av spektakulära cyberangrepp. Fallen visar på allt från usel digital hygien till misstankar om hybridangrepp från främmande makt.

• I Frankrike har livsmedelskedjorna Intermarché, Carrefour och Coopérative U drabbats av spektakulära cyberangrepp mot frysar som ställts om till avfrostning med temperaturer på upp till +50 grader C.

Angreppet riktar uppmärksamhet mot en del besvärande omständigheter. Många butiker använde till exempel föråldrade styrsystem med kända säkerhetsbrister, trots att tillverkaren hade tillhandahållit uppdateringar.

Eftersom hundratals livsmedelsbutiker hade kopplat dessa styrsystem direkt mot det öppna internet (för att kyltekniker lätt skulle kunna fjärrstyra dem) kunde vem som helst hitta dem via sökmotorer för sakernas internet (Internet of Things, IoT).

Systemen har en dold funktion för tekniker där en administratörskod genereras automatiskt. Denna kod baseras på aktuellt datum och är därmed enkel att lista ut.

När hackarna väl var inne behövde de inte göra något avancerat sabotage. De använde bara systemets egna inbyggda funktioner för att tvinga in kylarna i avfrostningsläge.

Säkerhetsforskare hade redan i augusti dokumenterat allvarliga svagheter i systemet.

Detta är med andra ord ett skolexempel på bristande digital hygien snarare än ett tekniskt genialt angrepp.

• I Nederländerna utsattes landets största livsmedelskedja Albert Heijn och moderbolaget Ahold Delhaize i helgen för ett centralt intrång mot sina nätverk.

It-experter och interna rapporter pekar på att nätverket förmodligen drabbades av ransomware som försökte kryptera centrala databaser. För att hindra att attacken spred sig tvingades man stänga sina system proaktivt under söndagen.

Denna nedstängning lamslog kommunikationen och driften vid flera av kedjans distributionscentraler. När it-systemen stängdes ned gick det inte längre att koordinera leveranser eller packa varor till de fysiska butikerna.

Det dröjde bara någon dag innan det blev tomt på hyllorna för frukt, grönsaker och andra färskvaror i städer som Amsterdam och Utrecht. Eftersom färskvaror har kort hållbarhet och kräver dagliga leveranser märks ett logistikstopp omedelbart.

Kedjans appar, hemsidor och systemet för hemleveranser slocknade helt. Även butikernas digitala prisskyltar och lojalitetsprogram påverkades.

Under tisdagen har man lyckats spåra att angreppet studsats via servrar i bland annat i USA, Polen och Turkiet – och ett intensivt arbete pågår för att rulla ut extra leveranser för att fylla på hyllorna igen.

• I Danmark och Tyskland skedde en cyberattack mot bygget av Fehmarnbält-tunneln mellan de två länderna i början av veckan. Ett angrepp mot byggkonsortiet FLC har orsakat allvarliga störningar i arbetet. Hur angriparna tog sig in i systemen är ännu inte klarlagt.

Enligt medieuppgifter har både passerkortssystem och specialutrustning på byggarbetsplatsen slutat fungera. Fartyg, kranar och plattformar uppges ha blivit stående och arbetet har delvis eller helt avstannat.

All personal fick strikta order om att omedelbart hålla sig borta från sina datorer och inte ansluta till byggplatsens trådlösa nätverk, för att hindra att skadlig kod sprider sig. Vissa nödvändiga rutiner fick skötas manuellt med papper och penna.

Henning Mortensen, ordförande för danska Rådet för Digital Säkerhet, utesluter inte att angreppet kan vara en del av hybridkrigföringen mot Europa. Danska säkerhetstjänsten höjde nyligen hotnivån för cyberattacker till »hög« efter explicita varningar om ökad rysk cyberaktivitet riktad mot kritisk europeisk infrastruktur.

• Att allt detta sker samtidigt kan naturligtvis vara ett sammanträffande. Ännu finns inga belägg för att angreppen är samordnade eller att de har koppling till främmande makt.

Men händelserna visar hur sårbart vårt digitaliserade samhälle har blivit. Och hur mycket skada någon kan ställa till med utan att avfyra ett enda skott.

Bli inte förvånad om folk snart börjar hamstra toalettpapper igen. Men viktigare är att ha konserver och kontanter hemma.

CC0

Mer övervakning. Men blir vi säkrare?

av

Så har ytterligare en valrörelse passerat utan att någon brytt sig om övervakningsfrågorna.

Det är inte bara politikerna som duckar ämnet. Den ständigt växande övervakningsstaten har brett folkligt stöd – eftersom människor är rädda.

Visst, det är nya tider nu – med en del påtagliga hot mot vår säkerhet. Men vi har inte ens stannat upp för att fundera över om mer övervakning fyller sitt syfte och vilket slags övervakning som i så fall är lämplig.

Alla torde vara överens om att människor som på konkreta grunder misstänks för allvarliga brott skall kunna övervakas. Den som begår brott kränker andras rätt till säkerhet och egendom och bryter mot lagen. Det tillhör statens kärnuppgifter att utreda brott, lagföra gärningsmän och skydda andra från deras framfart. Frågan är dock hur träffsäker denna övervakning är.

Enligt regeringens årliga redovisning hade hemlig avlyssning av elektronisk kommunikation bidragit till åtal i en tredjedel av de redovisade fallen. För hemlig rumsavlyssning var motsvarande siffra 42 procent. Det innebär inte att all övrig avlyssning är fel eller meningslös. Men siffrorna pekar på att man långt ifrån alltid kan utgå från att ens övervakning där man utreder ett konkret brott träffar rätt.

Man kan även fundera över kontrollmekanismerna. Inte en enda begäran om tillstånd för hemlig rumsavlyssning (över 500) har avslagits av domstol sedan 2022. Och då finns ändå allmänna ombud som skall bevaka den enskildes integritetsintresse i processen.

Dagens Juridiks chefredaktör William Eriksson skriver i en krönika…

»Antingen är åklagarnas bedömningar alltid perfekt avvägda. Eller så fungerar inte kontrollmekanismen och de rättssäkerhetsgarantier som vår justitieminister alltid framhåller när han pratar om utökade möjligheter till tvångsmedelsanvändning.«

Ett uppenbart problem med hemliga tvångsmedel är deras indirekta konsekvenser. Ta till exempel hemlig dataavläsning (spionprogram på misstänktas digitala enheter). En metod för att ta sig in i sådana enheter är att utnyttja säkerhetsluckor i mjuk- och hårdvara.

Om myndigheterna känner till en sådan sårbarhet uppstår ett dilemma: Rapporterar man den så att den kan åtgärdas, eller håller man den hemlig för att kunna fortsätta använda den? I det senare fallet kan samma säkerhetslucka även utnyttjas av kriminella, främmande makt eller andra angripare. Vilket i sin tur gör oss alla mindre säkra.

Det bredare problemet är massövervakningen. Det vill säga när man övervakar alla, utan brottsmisstanke. För att informationen kan vara bra att ha.

För att parafrasera EU-domstolen när den upphävde EU:s datalagringsdirektiv: Övervaka dem som misstänks för brott – inte alla andra, hela tiden.

Det är ett hinder EU:s institutioner nu försöker ta sig runt. EU-kommissionen arbetar med att ta fram ett nytt datalagringsdirektiv. Ett skarpt förslag sägs komma innan nästa sommar.

En svensk lagrådsremiss föreslår till och med att datalagring skall utökas från metadata till innehåll – och att detta innehåll skall kunna överlämnas till myndigheterna i läsbar (av-krypterad) form. Efter att tunga remissinstanser som försvarsmakten sågat förslaget har det dock lagts på is för tillfället. I vart fall till efter valet.

Även Chat Control hör hemma i denna diskussion. Förslaget öppnar för granskning av innehåll i privata elektroniska meddelanden hos människor som inte är misstänkta för brott. Ändå vill staten kontrollera din privata elektroniska korrespondens.

Övervakningsstaten sväller ständigt i något slags enkelriktat flöde. Nya befogenheter läggs till gamla, medan diskussionen om den samlade effekten på den personliga integriteten är så gott som obefintlig.

Frågan är hur mycket mer övervakning vårt samhälle tål innan det blir ett demokratiskt och praktiskt problem.

CC0

Med DSA tar EU kontroll över ChatGPT

av

Open AI:s ChatGPT tvingas in under EU:s Digital Services Act. Kommer vi i Europa att få en urvattnad AI-light på grund av politisk styrning och mer byråkrati?

EU-kommissionen meddelar:

»Today, the Commission has designated ChatGPT as a Very Large Online Search Engine (VLOSE), as well as Reddit and Roblox as Very Large Online Platforms (VLOPs), under the Digital Services Act (DSA). These services declared that they reach at least 45 million average monthly users in the EU and thus meet the threshold for designation.

Following the notification of the designations, these services have four months, i.e. by January 2027, to comply with the additional DSA obligations for VLOPs and VLOSEs, such as assessing and mitigating the systemic risks stemming from their service and algorithmic systems related to the dissemination of illegal content, the negative effects on minors, users’ physical and mental well-being, fundamental rights, electoral processes and public security.«

DSA vs. Reddit kan bli annorlunda och intressant. Men låt mig här fokusera på DSA vs. ChatGPT.

EU-kommissionen tänker alltså reglera ChatGPT med en lag som skrevs innan modellen ens existerade. Dessutom omfattas OpenAI redan av AI Act, som har ett delvis annat regelverk och en annan tillsynsstruktur.

Låt oss börja med att fråga oss hur detta är tänkt att gå till.

DSA föreskriver inte exakt hur ChatGPT skall förändras. Men dess breda och vaga krav på att begränsa systemrisker ger kommissionen och OpenAI starka incitament att välja försiktiga, restriktiva och byråkratiskt försvarbara lösningar.

För att motverka systemrisker, desinformation och olagligt innehåll kommer modellen att behöva tränas grundligt med mänsklig feedback. Så att den vägrar svara på skadliga instruktioner. I sammanhanget måste någon avgöra vad som skall anses vara sant respektive falskt, vilket inte alltid är helt uppenbart. Men det sker väl redan i någon mening.

Ett automatiserat system behöver skanna användarens fråga innan den når AI:n och skanna AI:ns svar innan det visas för användaren. Detta för att blockera till exempel skadligt eller olagligt innehåll och hatretorik.

När ChatGPT söker på webben kommer algoritmerna att behöva prioritera att hämta information från betrodda nyhetsmedier och officiella källor – för att förhindra spridning av rykten, speciellt i samband med val.

Risken är alltså att AI-modellen i högre grad kommer att prioritera regulatorisk riskminimering framför maximal nytta för användaren.

Detta kan även skapa tryck på OpenAI att införa ålderskontroller och särskilda begränsningar för minderåriga. I värsta fall kan sådana kontroller utvecklas till ett allmänt ID-krav för att få tillgång till vissa svar.

Compliance kommer att kräva ett helt nytt lager av byråkrati. Oberoende (men av EU godkända) externa revisorer kommer minst en gång om året att behöva granska OpenAI:s efterlevnad, riskbedömningar och riskbegränsande åtgärder. De skall ges tillgång till relevanta data och lokaler. Kommissionen kan dessutom kräva förklaringar av algoritmsystemens konstruktion, logik, funktion och testning.

Det är ännu oklart hur DSA:s traditionella system för anmälningar, motiveringar och överklaganden skall kunna överföras till en tjänst som genererar nya svar i realtid.

Det finns skäl att tro att detta blir tungrott.

Traditionella plattformar modererar genom att ta bort specifika inlägg eller blockera användare. En LLM genererar unikt innehåll i realtid baserat på sannolikheter.

Kritiker menar att det är tekniskt omöjligt för OpenAI att garantera att modellen aldrig genererar »skadligt innehåll«, eftersom ett unikt genererat svar inte kan modereras på samma sätt som ett redan publicerat foruminlägg.

DSA kan även tvinga OpenAI att lämna ut interna data till myndigheter och forskare. Vilka ChatGPT-data detta kan omfatta är ännu oklart. Eftersom tjänstens rådata kan bestå av privata konversationer väcker reglerna särskilt känsliga frågor om personuppgifter, anonymisering och företagshemligheter.

Man kan i sammanhanget notera att ChatGPT på grund av sin popularitet drabbas av fler regler och mer byråkrati än mindre konkurrenter som inte når DSA:s tröskelvärde.

Nu är frågan om ChatGPT kommer att räta in sig i EU-ledet. I så fall är nästa fråga om man kommer att göra de aktuella förändringarna globalt eller om vi i EU kommer att få något slags urvattnad, modererad och begränsad light-variant.

Ju mer styrning vi får, desto färre tankar, idéer och metoder kan prövas mot varandra. Vilket rimligen påverkar utvecklingen negativt.

Men politikernas kontrollbehov tycks vara oändligt.

»Det är viktigt att politiken tar kontroll över utvecklingen«, som Magdalena Andersson sa om internet.

• EU-kommissionen: Commission designates ChatGPT, Reddit, Roblox under Digital Services Act »

ChatGPT vill läsa dina meddelanden efter dekryptering

av

ChatGPT:s plugin för Apple Messages får även tillgång till vad andra – som inte samtyckt – skrivit till dig. Och annan känslig information.

Att släppa loss AI-agenter på egen hand på sin dator känns som en dålig idé. Vilket användare fått erfara till exempel då autonoma agenter med allt för breda behörigheter raderat hela produktionsdatabaser.

Frågan har aktualiserats då OpenAI/ChatGPT nu erbjuder en »plugin« till sin skrivbordsapp för Apples macOS. Den är speciellt inriktad på Apples meddelandetjänst.

Efter installation och godkända macOS-behörigheter kan ChatGPT Work och Codex läsa och söka i dina iMessage-, SMS- och RCS-konversationer; sammanfatta meddelanden och analysera vem du kommunicerar med samt formulera svar och sända meddelanden i ditt namn genom Apples Messages-app.

På så sätt får ChatGPT tillgång till meddelanden efter att de har dekrypterats på användarens Mac. iMessages totalsträckskryptering bryts alltså inte, men den skyddar inte innehållet mot en AI-agent när användaren har gett åtkomst till den dekrypterade meddelandedatabasen.

Funktionen är visserligen frivillig och måste godkännas. Men om du trycker OK drabbas även andra som du har kommunicerat med i Messages, trots att de inte har godkänt att deras meddelanden skall analyseras av ChatGPT och (beroende på hur tjänsten tekniskt behandlar uppgifterna och användarens datainställningar) möjligen överföras till eller lagras hos OpenAI.

Man kan inte heller utesluta att företaget lämnar ut uppgifter till amerikanska eller europeiska myndigheter.

När du låter ChatGPT analysera en konversation eller gruppchat lämnar du alltså inte bara ut vad du själv har skrivit. Till exempel kan din meddelandehistorik innehålla vänners och kollegors privata data; telefonnummer och andra kontaktuppgifter; medicinsk, juridisk eller ekonomisk information; lösenord, länkar och engångskoder; företagshemligheter eller källskyddat material.

Avsändarna kan rimligen ha trott att de kommunicerade med dig inom Messages krypterade miljö, inte att innehållet skulle behandlas av en extern AI-modell. Här finns därför både en integritetsfråga och möjliga sekretess- och dataskyddsproblem.

För att komma åt Messages-databasen behöver ChatGPT bland annat Full Disk Access i macOS. Men den behörigheten är inte begränsad till Messages utan kan tekniskt ge appen tillgång till andra skyddade lokala data som e-post, webbläsarhistorik och säkerhetskopior. Det betyder inte att ChatGPT automatiskt läser allt detta, men behörigheten ger ett betydligt större angrepps- och förtroendeområde än själva funktionen egentligen kräver.

Särskilt aktivister, journalister, advokater, läkare, politiker och människor som hanterar känsliga källor eller arbetsuppgifter bör låta bli att aktivera funktionen i dess nuvarande form. Om man ändå gör det bör man åtminstone behålla godkännande inför varje sändning och stänga av användning av innehållet för modellträning.

Man skall även vara medveten om den allmänna risken för en indirekt promptinjektion. Det vill säga att instruktioner som någon har placerat i ett meddelande kan få AI-agenten att behandla meddelandets innehåll som kommandon och försöka utföra andra åtgärder bortom din kontroll.

OpenAI betonar att allt kräver uttryckligt användarsamtycke, att det körs lokalt, att man måste be om specifika saker och att sända meddelanden som standard kräver godkännande. De har även dokumenterat riskerna och hur man återkallar behörigheter.

Not: Detta är inte samma sak som Apples inbyggda ChatGPT-integration i Apple Intelligence. Apples integration har särskilda dataskyddsregler, bland annat för användning utan ChatGPT-konto. ChatGPTs Messages-plugin är i stället en funktion i OpenAI-appens Work- och Codex-läge, som använder macOS-behörigheter för att arbeta med Messages. Namnet »Apple Messages plugin« betyder alltså inte att det är utvecklat, granskat eller godkänt av Apple.

CC0

Nu kan utländska myndigheter begära ut din persondata

av

Nu kan utländska myndigheter begära ut data direkt från svenska tjänsteleverantörer – även om de utreder något som inte är brottsligt här.

Förra veckan började EU:s e‑bevisförordning (2023/1543) tillämpas fullt ut. Den gör det möjligt för en behörig rättslig myndighet i ett EU-land att vända sig direkt till en tjänsteleverantör i ett annat medlemsland och kräva att elektroniska uppgifter lämnas ut eller bevaras.

Det kan till exempel handla om abonnentuppgifter, IP-adresser, trafikdata och i vissa fall innehåll i meddelanden.

Tidigare behövde en åklagare i ett EU-land vända sig till myndigheterna i det andra landet genom rättsbistånd eller en europeisk utredningsorder. Det gav myndigheterna i det verkställande landet möjlighet att pröva begäran. Med e‑bevisförordningen kan detta led i de flesta fall hoppas över.

På så sätt blir svenska leverantörer av IT-tjänster ansvariga för att verkställa utländska myndighetsbeslut genom bindande utlämnande- och bevarandeorder.

För vissa uppgifter gäller detta även om det som utreds inte bryter mot svensk lag. I många fall behöver svenska myndigheter inte ens underrättas.

En central fråga är om det går att lita på utländska myndigheter. Det saknas inte problem med korruption, politisering och bristande rättssäkerhet inom EU. E‑bevis kan med andra ord skapa nya möjligheter för missbruk, obehörig åtkomst och risk för att känsliga uppgifter hamnar i orätta händer.

Men den frågan är avskriven från dagordningen. E‑bevisförordningen bygger nämligen på principen om ömsesidigt förtroende mellan medlemsstaterna, det vill säga antagandet att samtliga EU-länder respekterar rättsstaten och de grundläggande rättigheterna. Detta ligger till grund för principen om ömsesidigt erkännande av varandras rättsliga beslut. Vilket möjligen är en smula naivt.

Detta är en del i ett bredare mönster. Europol har redan fått utökade befogenheter vad gäller att hantera persondata hos privata aktörer. Och EU:s Digital Services Act ger utländska myndigheter rätt att kräva att innehåll avlägsnas från svenska plattformar och servrar, även om det inte är olagligt här.

CC0

Allt om britternas 16-årsgräns för sociala medier

av

Den brittiska regeringen föreslår en åldersgräns för sociala medier – med potential för oväntade och oönskade konsekvenser.

På måndagen meddelade den brittiske premiärministern Keir Starmer att man tänker införa en åldersgräns på 16 år för sociala medier. Han säger att man tänker gå längre än något annat land.

Det blir lite förvirrande eftersom man redan tidigare har infört ett krav på åldersverifiering för webbplatser som kan tänkas innehålla något som kan vara olämpligt för minderåriga (Online Safety Act).

Men nu gäller det alltså uttryckligen sociala medier. Detaljerna dröjer dock. Starmer säger att man tänker återkomma med ett konkret förslag i sommar, att beslutet skall fattas innan jul och att reglerna börjar gälla våren 2027.

Så vilka plattformar handlar det om? Den brittiska regeringen pekar ut alla plattformar vars huvudsyfte är social interaktion, där användare kan publicera eget material och som styrs av algoritmer. Regeringen nämner bland annat Snapchat, TikTok, YouTube, Instagram, Facebook och X.

Vilket har väckt reaktioner av politisk natur. Till exempel att den yttrandefrihetsmaximalistiska plattformen X omfattas men inte den mer välkammade Bluesky.

Detta är möjligen en förhastad slutsats, då de uppräknade plattformarna snarare kan ses som exempel. Men närmare besked får vi inte förrän det konkreta förslaget läggs fram i juli.

Rena meddelandetjänster som WhatsApp och Signal omfattas inte. Regeringen kommer även att skapa en lista över undantag för utbildningstjänster, e-handel och musikstreaming.

Vad gäller gaming- och spelsiter förbjuds barn under 16 år att sända live. Funktioner på gamingsajter där okända användare kan kontakta minderåriga kommer att blockeras. (Det senare gäller även 16- och 17-åringar.)

Man utreder också ett nattligt utegångsförbud (»curfew«) på nätet och avbrott för scrollande nattetid för alla under 18 år.

AI-chatbottar som fungerar som »romantiska följeslagare« – utformade för att simulera sexuella relationer eller rollspel – får en 18-årsgräns. Liknande funktioner skall begränsas för personer under 18 år på AI-chattbotar i allmänhet.

På presskonferensen nämnde premiärminister Starmer att man kan tänka sig att upprätthålla åldersgränserna på enhetsnivå (»on-device«). Det vill säga att Google (Android), Apple (iPhone/iPad/Mac) och Microsoft (Windows) åläggs att fastställa användarnas födelseår när respektive telefon, platta eller dator konfigureras för första gången. Detta för att hindra att åldersgränserna kringgås med hjälp av VPN. (Hur man tänkt hantera Linux är än så länge oklart.)

Kritiken mot förslaget är omfattande. Och det är lätt att förutse oönskade (och för politikerna oväntade) konsekvenser. Inte minst då man ägnar sig åt politiskt styrd micromanagement av funktioner som kan få globala konsekvenser och som beslutsfattarna saknar tillräcklig kunskap om. Men mer om det framöver.

• Brittiska regeringen: Social media to be banned for under-16s in landmark government move to give kids their childhood back »
• BBC:s live-feed i ämnet »
• The Telegraph: Starmer’s social media ban branded ‘a rush job’ »

CC0

EU:s DMA stoppar Apples nya Siri AI

av

iPhone- och iPad-användare i EU kommer tills vidare inte att få tillgång till Apples nya Siri AI, som stoppas av unionens Digital Markets Act.

Apple har givit röstassistenten Siri ett lyft och integrerat externa AI-modeller från bland annat OpenAI och Google i sitt ekosystem för att synka uppgifter mellan olika enheter och göra livet lättare för sina användare.

Kärnan i systemet bygger på lokal bearbetning på enheten och på företagets krypterade Private Cloud Compute där inte ens Apple själva har tillgång till informationen.

Men EU (och Kina) kommer – tills vidare – inte att få tillgång till dessa nya AI-funktioner.

EU:s Digital Markets Act (DMA) kräver nämligen att dominerande aktörer måste öppna dörren för sina konkurrenter.

I detta fall skulle det innebära att Apple tvingas ge andra AI-assistenter tillgång till känslig användardata och möjlighet att utföra självständiga åtgärder i operativsystemet. Det gäller även assistenter som är utvecklade av aktörer som Apple inte kan kontrollera eller säkerhetsgranska.

Det hotar uppenbart användarnas personliga integritet och säkerhet. Vilket Apple inte tänker gå med på.

Därför har man erbjudit sig att sätta upp en »Trusted System Agent« som mellanhand, som tillåter konkurrerande virtuella assistenter att – på ett säkert sätt – få tillgång till samma funktioner som deras egen Siri AI.

Detta förslag har (enligt Apple) EU inte givit någon feedback på, trots att det har gått mer än sex månader sedan det lades fram.

Istället har kommissionen gjort klart att DMA måste följas och att överträdelser kan leda till mycket stora böter.

Så Apple väljer tills vidare att leverera ett operativsystem utan dessa funktioner till sina kunder i EU. Ur deras pressmeddelande…

»Siri AI är byggd för att vara privat och djupt integrerat i alla Apples plattformar med bearbetning lokalt på enheten och Privat molnbehandling. På så sätt utvidgas integritetsskyddet och säkerheten hos iPhone till molnet. EU:s tillsynsmyndigheters extrema tolkning av förordningen om digitala marknader skulle dock innebära att Apple behövde ge alla virtuella assistenter direkt åtkomst till användarnas privata data – och möjligheten att direktstyra andra installerade appar – så fort Siri AI blir tillgängligt i EU, utan de nödvändiga skyddsmekanismerna som håller användare och deras data skyddade.«

»Enligt EU:s tillsynsmyndigheter kräver förordningen om digitala marknader att Apple ger alla AI-system näst intill obegränsad åtkomst till användarens enheter samt möjlighet att agera helt självständigt utifrån denna åtkomst utan att användaren har överblick eller kontroll över det. Det betyder att de kan läsa och skicka meddelanden, genomföra köp, komma åt filer och göra saker i alla appar.«

EU-kommissionen lägger å sin sida allt ansvar på Apple och meddelar att DMA inte är förhandlingsbar.

Enligt EU:s talesperson Thomas Regnier finns det inget i DMA som förbjuder Apple att släppa nya produkter. Han menar att Apple helt enkelt har misslyckats med att bygga en laglig produkt som tillåter sund konkurrens.

• Apple: Lanseringen av Siri AI för iOS 27 och iPadOS 27 försenas i EU på grund av förordningen om digitala marknader »
• Computer Sweden: Apple blockerar Siri AI i EU – hänvisar till DMA-lagen »
• Omni: EU slår tillbaka: Bara Apples fel att Siri inte släpps »

CC0

Riksdagen ger grönt ljus för automatisk ansiktsigenkänning

av

Riksdagen har röstat ja till att låta polisen använda AI-teknik för automatiserad ansiktsigenkänning i realtid.

Som vanligt säger man att den här tekniken bara skall användas i allvarliga fall. Vi får väl se hur det blir med den saken. Övervakningslagar tenderar att utökas såväl vad gäller syfte som metod.

Detta är en teknik som EU:s AI-förordning egentligen förbjuder – men samtidigt tillåter genom undantag för brottsbekämpande myndigheter. Ett undantag som utnyttjas till fullo i den nu klubbade lagen.

Med detta beslut urholkas argumentet att den som har rent mjöl i påsen inte har något att frukta. Används denna teknik måste man skanna allas ansikten för att hitta den man söker.

Från Storbritannien vet vi att tekniken återkommande har identifierat fel personer, vilket har lett till att oskyldiga stoppats, visiterats eller frihetsberövats. Tekniken tycks ha särskilt stora problem med att identifiera etniska minoriteter och kvinnor korrekt.

Beslutet väcker frågor om hur tekniken kan komma att kopplas samman med andra databaser och analysplattformar, till exempel det ökända och kritiserade Palantir.

Detta är i praktiken en avgrening från det EU-finansierade INDECT-projektet (2009-14), vars syfte var att utveckla intelligenta system för att automatiskt upptäcka hot och brottslighet i urbana miljöer. Projektet knöt samman övervakningskameror, internet och databaser för att identifiera och flagga för »avvikande beteenden«. Därför blir frågan om hur den nya tekniken kopplas till andra analys- och övervakningssystem särskilt intressant.

(När jag arbetade för Piratpartiet i Europaparlamentet försökte vi stoppa EU:s finansiering av INDECT.)

• Riksdagen: Polisens användning av AI för ansiktsigenkänning i realtid »

CC0

Google svävar på målet om säkerhet i molnet

av

Kan man lita på att amerikanska molntjänster inte delar din data med myndigheterna? Svaret är nej. Använder du dem bör allt viktigt vara egenhändigt krypterat.

Ny Teknik rapporterar om ett panelsamtal hos Bahnhof om vem som har makten och kontrollen över data som lagras i molnet. Rekommenderad läsning.

Kärnfrågan är om svensk data som är lagrad hos till exempel Google kan lämnas ut till amerikanska myndigheter under CLOUD Act och liknande lagar.

»Lagen, som antogs i USA 2018, ger FBI och andra brottsbekämpande myndigheter rätten att begära ut data från tech- och molntjänstleverantörer – oavsett var dessa efterfrågade data är placerade i världen.«

Googles samhällspolitiska chef i Sverige, Irene Ek, säger att Google Cloud står fast vid sina kunder och bestrider den här typen av utlämningskrav så långt de kan juridiskt. Men sedan?

» – Det rör sig om rent hypotetiska fall. Men i så fall säger vi till kunden att vi vill ha tillgång till deras data, men samtidigt inte kan berätta varför (…). Kunden kan då vägra att lämna ut den till oss.«

Vilket då rimligen bygger på att datan är krypterad och att endast kunden har krypteringsnyckeln.

Men krypterad data kan de knappast vägra att lämna ut, även om myndigheterna kanske inte kommer åt innehållet i läsbar form.

Således bör slutsatsen vara: Lagra bara egenhändigt krypterad information i amerikanska molntjänster. Eller molntjänster i allmänhet.

• Ny Teknik: Frågan om USA-moln som Google inte vill svara på – ”Full transparens” »

CC0

EU:s åldersapp strider mot EU:s egna regler

av

EU:s egna regler om konkurrens och den inre marknaden kan sätta stopp för den app för åldersverifiering som nu lanseras. Den kan även strida mot unionens Digital Markets Act.

På veckans internationella konferens om säkerhet för minderåriga online upprepade EU-kommissionens ordförande Ursula von der Leyen sitt budskap från när hon lanserade unionens nya app för ålderskontroll…

»Finally, any age restriction model depends on reliable age verification. And here, we have good news: We have developed an age verification app that will soon be available, and it ticks all the boxes the highest privacy standards in the world, it works on any device, it is easy to use and it is fully open source. Here in Denmark, it will be rolled out by summer. It is built on the success of our European COVID App; you might recall that one.«

Det där är helt enkelt inte sant. EU:s nuvarande lösning för åldersverifikation (»mini-wallet«) fungerar i praktiken bara på Apples iOS och de distributioner av Android som finns inom Googles ekosystem. Det innebär att alternativa Android-distributioner som LineageOS, GrapheneOS och /e/OS riskerar att exkluderas i den nuvarande designen.

Att vissa OS stängs ute kan vara ett brott mot EU:s egna regler om den inre marknaden. Det kan bli väldigt intressant om någon driver saken i domstol. Bland annat har EU långtgående regler för teknikneutralitet.

Om vissa produkter eller operativsystem i praktiken inte kan använda centrala samhällsfunktioner eller får sämre tillgång till nätplattformar, då kan man argumentera för att marknaden snedvrids. Särskilt om dessa är lagliga i EU.

Konkurrensrätten kan därmed bli relevant, om en dominerande aktör gynnas genom att EU‑lösningen knyts till dess infrastruktur, speciellt om det tränger undan alternativa system.

Samtidigt som man nu lägger kontrollen över åldersverifieringen i Apples och Googles händer, vill EU:s Digital Markets Act motverka att stora IT-företag agerar grindvakter. Syftet är att stärka interoperabiliteten, stimulera öppna ekosystem och minska beroendet av Apple och Google. Hur detta är tänkt att gå ihop med den nya EU-appen är oklart.

Någon lösning för stationära datorer och laptops finns inte. Där kommer du förmodligen att få upp en QR-kod som du sedan måste skanna med appen i mobiltelefonen. Vilket alltså kräver att du har en kompatibel mobiltelefon för att kunna använda sociala medier med mera på din dator.

Här riskerar EU-kommissionen att snärja in sig i sina egna regelverk. Det är som att den ena handen inte vet vad den andra gör.

Sammanfattningsvis: Om lösningen i praktiken utestänger vissa operativsystem, ökar beroendet av två amerikanska gatekeepers, kräver vissa typer av mobiltelefon, försvårar anonymitet och påverkar öppen interoperabilitet – då kan proportionalitetsfrågan bli väldigt relevant.

Min bedömning är att EU:s modell för åldersverifiering — i sin nuvarande form — kommer att falla om den prövas av EU-domstolen.

Relaterat:
• EU lägger förslag om åldersgränser online i sommar »

CC0