En tværpolitisk gruppe senatorer har fremsat lovgivning, der grundlæggende vil ændre, hvordan aldersbekræftelse fungerer online i USA. Senatorerne Andy Kim (D-NJ), Adam Schiff (D-CA), Cynthia Lummis (R-WY) og John Barrasso (R-WY) præsenterede Digital Age Assurance Act, et lovforslag der kræver, at udbydere af operativsystemer – tænk Apple og Google – indsamler brugernes alder og deler disse oplysninger med individuelle apps efter anmodning.

Det erklærede mål er ligetil: at beskytte børn mod skadeligt indhold og manipulerende designfunktioner indbygget i mange apps og platforme. Men den mekanisme, lovforslaget bygger på – nemlig at lade enhedsproducenter fungere som centraliserede aldersbekræftere for hele app-økosystemet – rejser den slags databeskyttelsesspørgsmål, der har plaget lignende tiltag i andre lande.

Hvad Digital Age Assurance Act gør

Ifølge forslaget vil operativsystemer på smartphones og tablets være ansvarlige for at fastslå en brugers alderskategori og sende dette signal videre til apps, når de anmodes om det. I stedet for at hver enkelt app bygger sit eget aldersbekræftelsessystem (ofte med indgribende metoder som ID-uploads eller ansigtsscanninger), flytter byrden opstrøms til de få virksomheder, der kontrollerer mobile operativsystemer.

Lovforslagets sponsorer har fremhævet databeskyttelsesforanstaltninger som en del af pakken, herunder bestemmelser der forhindrer, at børns data sælges eller overføres til tredjeparter, samt begrænsninger af målrettet annoncering til mindreårige. Denne indramning betyder noget: lovgivningen præsenteres ikke blot som en børnesikkerhedsforanstaltning, men som et databeskyttelsesvenligt alternativ til den nuværende lappeløsning med app-for-app-bekræftelse. Senator Kims tidligere udkast til lovforslaget, der flytter alderskontrollen til app-butikker, lagde grunden til denne tilgang ved at flytte ansvaret for bekræftelse væk fra individuelle apps og over på platformniveauet.

Databeskyttelsens kompromis: Centralisering af aldersdata på OS-niveau

Her er den spænding, der er værd at dvæle ved. I dag, hvis én apps aldersbekræftelsessystem bliver kompromitteret eller misbrugt, er skaden stort set begrænset til den pågældende app. Under en model, hvor Apple eller Google bekræfter alderen for enhver app på en enhed, bliver det enkeltpunkt et langt mere attraktivt mål og et langt mere konsekvenstungt fejlpunkt.

Selv med stærk lovtekst, der forbyder datasalg, betyder centralisering af aldersbekræftelse på OS-niveau, at operativsystemudbydere har brug for mekanismer til at fastslå alderen i første omgang – hvad enten det sker via kontohistorik, betalingsoplysninger, offentligt ID eller biometrisk estimering. Hver af disse metoder har sit eget aftryk på privatlivets fred, og lovforslagets succes vil i høj grad afhænge af, hvor snævert "deling af alderssignal" defineres og håndhæves i praksis – ikke kun i teksten til en pressemeddelelse.

Der er også spørgsmålet om opgaveudvidelse. Systemer, der er bygget til at bekræfte alder af hensyn til børns sikkerhed, har historisk set udvidet sig langt ud over deres oprindelige mandat, når først infrastrukturen er på plads. En ramme, der kan fortælle en app "denne bruger er under 18", er teknisk i stand til at fortælle appen langt mere – afhængigt af hvilke beskyttelsesmekanismer der rent faktisk skrives ind i implementeringsbestemmelserne snarere end i lovforslagets resumé.

Erfaringer fra aldersbekræftelsesforsøgene i Storbritannien og EU

USA er ikke det første land, der forsøger sig med dette. Storbritanniens Online Safety Act og EU's Digital Services Act har begge presset platforme i retning af aldersbegrænsning og aldersbekræftelseskrav, og begge er stødt på modstand. Aldersbekræftelsesværktøjer i disse jurisdiktioner er blevet kritiseret for at presse brugere over mod tredjeparts ID-kontroltjenester med deres egne databehandlingspraksisser, for at producere falske positiver, der udelukker legitime voksne brugere, og for at skabe nye angrebsflader, der ikke var grundigt undersøgt inden udrulning.

Disse erfaringer behøver ikke nødvendigvis at dømme Digital Age Assurance Act til fiasko, men de er et nyttigt referencepunkt. En føderal tilgang på OS-niveau kunne undgå noget af den fragmentering, der ses i Europa, da den centraliserer funktionen hos et lille antal virksomheder i stedet for tusindvis af enkelte websteder. Hvorvidt denne centralisering reducerer den samlede databeskyttelsesrisiko eller blot koncentrerer den i færre, men mere værdifulde mål, er det åbne spørgsmål, som Kongressen skal tage stilling til, når lovforslaget behandles i udvalget.

Hvad dette betyder for dig

Hvis du bruger en smartphone, tablet eller en app, der i øjeblikket beder dig om selv at oplyse din fødselsdato, kan dette lovforslag på sigt ændre, hvordan den proces fungerer. Forældre kan opleve en mere ensartet håndhævelse af forældrekontrol på tværs af apps i stedet for at skulle stole på hver platforms egne indstillinger. Teenagere og unge voksne kan blive mødt med alderskontrol tidligere i tilmeldingsprocessen, selv for apps, der tidligere slet ikke krævede bekræftelse.

For brugere med fokus på privatlivets fred er den praktiske lære at være opmærksom på, hvordan "alderssikring" implementeres, hvis dette lovforslag skrider frem – og ikke blot om det vedtages. Forskellen mellem et alderssignal, der respekterer privatlivet, og en dataindsamlingspipeline afhænger ofte af tekniske implementeringsdetaljer, der først fastlægges længe efter et lovforslags fremsættelse.

Hovedpointer

Digital Age Assurance Act er stadig tidligt i lovgivningsprocessen, men den signalerer, hvor den føderale politik for børns sikkerhed er på vej hen: mod enhedsniveaubekræftelse frem for app-for-app-overholdelse. Læsere, der ønsker at være på forkant, bør holde sig et par ting for øje. Gennemgå de privatlivsindstillinger og forældrekontroller, der allerede findes på dine enheder, da disse værktøjer kan blive mere centrale for overholdelse under denne ramme. Hold øje med, hvordan implementeringsregler definerer, hvad "deling af alderssignal" rent faktisk omfatter, da den detalje vil afgøre, hvor meget data der faktisk flyttes mellem din enhed og de apps, du bruger. Og følg med, når lovforslaget behandles i udvalget, da offentlige høringsperioder og vidneudsagn i Kongressen typisk er dér, de tekniske beskyttelsesmekanismer – eller manglen på samme – bliver besluttet.