En ny tilgang til aldersverifikation opstår i Kongressen

En tværpolitisk gruppe senatorer, herunder Andy Kim, Adam Schiff, Cynthia Lummis og John Barrasso, har fremsat lovgivning kendt som Digital Age Assurance Act. Lovforslaget foreslår en grundlæggende anderledes tilgang til, hvordan apps og websites bekræfter en brugers alder: I stedet for at hver platform uafhængigt indsamler identifikationsdokumenter, selfies eller andre følsomme data, vil operativsystemerne selv indsamle brugerens alder én gang og sende et simpelt alderssignal videre til apps via en API, når det er nødvendigt.

Dette markerer et brud med det lappeteppe af delstatslige aldersverifikationslove, der har spredt sig i de seneste år, hvoraf mange kræver, at individuelle apps eller websites verificerer identitet direkte, ofte gennem upload af dokumenter eller ansigtsscanninger. Det føderale forslag centraliserer i stedet dette ansvar på enheds- eller kontoniveau, så Apple, Google, Microsoft og andre operativsystemudbydere bliver de primære indsamlere af aldersdata.

Sådan ville aldersverifikation på operativsystemniveau fungere i praksis

Ifølge den ramme, der beskrives i lovgivningen, vil aldersindsamling finde sted under opsætning af operativsystemkontoen – den samme proces, som brugere allerede gennemgår, når de sætter en ny telefon, tablet eller computer op. Når alderen er fastslået, vil operativsystemet generere et alderssignal – ikke nødvendigvis en præcis fødselsdato eller offentligt ID, men en kategorisk markør (såsom "over 18" eller "under 13"), der sendes til apps og websites, som anmoder om det.

Tilhængere argumenterer for, at dette reducerer antallet af gange, følsomme identitetsdokumenter skifter hænder. I stedet for at uploade et kørekort til et dusin forskellige apps, hver med deres egne opbevaringspraksisser og sikkerhedsniveau, vil brugerne verificere deres alder én gang på operativsystemniveau. Apps vil blot forespørge dette signal via en API i stedet for at bygge eller købe deres egen aldersverifikationsinfrastruktur.

Afvejningen er centralisering. I stedet for at aldersdata er spredt (og duplikeret) på tværs af mange platforme, koncentreres de hos et lille antal operativsystemudbydere, som i forvejen sidder på enorme mængder information om deres brugere. Kritikere af lignende forslag på delstatsniveau, såsom et der verserer i Californien ifølge offentlig diskussion af lovteksten, har udtrykt bekymring for, at obligatoriske alderstjek på operativsystemniveau kunne fungere som et de facto identitetslag for hele internettet, eftersom operativsystemer ikke kun ville kende en brugers alder, men potentielt også hvilke apps der anmoder om dette signal og hvornår.

Sammenligning med den nuværende app-baserede verifikation

Dagens landskab for aldersverifikation er fragmenteret. Nogle delstater kræver, at platforme verificerer alder via upload af ID, kreditkorttjek eller software til ansigtsaldersestimering. Hver metode har sine egne privatlivsrisici: uploadede ID’er kan blive lækket, ansigtsscanninger kræver biometrisk behandling, og kreditkorttjek udelukker brugere uden finansielle konti. Fordi verifikation sker separat på hver platform, bliver de samme følsomme data ofte indsamlet og opbevaret redundant på tværs af mange tjenester.

Den operativsystembaserede model sigter mod at reducere denne redundans ved at have et enkelt, standardiseret alderssignal, der følger brugeren. I teorien begrænser dette antallet af parter, der håndterer rå identitetsdokumenter. I praksis flytter det væsentlig magt og ansvar til en håndfuld operativsystemproducenter, hvilket rejser spørgsmål om, hvor længe aldersdata opbevares, hvem der kan anmode om det, og om det senere kan kobles sammen med andre data, som disse virksomheder allerede indsamler, såsom placering, app-brug eller kontoaktivitet.

Disse spørgsmål genlyder bredere debatter om overvågning og dataindsamling, der har udspillet sig i andre hjørner af føderal politik. Bekymringer om, hvordan offentlige og kommercielle dataindsamlingsrammer rent faktisk implementeres, og om tilsynet holder trit med erklærede privatlivsbeskyttelser, er dukket op gentagne gange, herunder i Senator Wydens afsløringer om manglende overholdelse af FISA Section 702, som viste, hvordan gode intentioner i lovgivning ikke altid udmønter sig i konsekvent håndhævelse.

Hvad dette betyder for dig

Hvis dette lovforslag eller noget lignende bliver lov, kan måden, du beviser din alder på online, ændre sig markant. I stedet for gentagne gange at uploade ID-dokumenter til individuelle apps og websites, vil din enhed eller operativsystemkonto håndtere den verifikation én gang og kun dele et begrænset alderssignal efter behov. For mange brugere kan dette betyde færre tilfælde, hvor følsomme dokumenter opbevares på tredjepartsservere.

Men det betyder også, at operativsystemudbydere vil påtage sig en ny, mere central rolle i at verificere identitet og dermed i praksis blive portvogtere for aldersbegrænset indhold på hele internettet. Hvordan disse data sikres, minimeres og reguleres, vil have enorm betydning. Lovforslaget er stadig i en tidlig fase, og de tekniske og privatlivsmæssige beskyttelsesforanstaltninger, der ledsager en endelig version, vil afgøre, om denne tilgang reelt forbedrer privatlivet eller blot flytter risikoen.

Vigtigste pointer

  • Digital Age Assurance Act vil kræve, at operativsystemer – ikke individuelle apps – verificerer brugeres alder og sender et privatlivsbevarende signal via API.
  • Dette kan reducere redundant indsamling af ID-dokumenter på tværs af flere platforme, men koncentrerer aldersdata hos store operativsystemudbydere.
  • Hold øje med detaljer om dataopbevaring, tilsyn, og om alderssignaler kan kobles til andre data, disse virksomheder allerede ligger inde med.
  • Efterhånden som denne lovgivning bevæger sig gennem Kongressen, så sammenlign den med delstatslige aldersverifikationslove for at forstå, hvordan dine personlige data kan blive håndteret forskelligt afhængigt af, hvor du bor.
  • Hold dig informeret: Politikker som denne kan omforme mobil privatlivsbeskyttelse langt ud over aldersverifikation og påvirke, hvor meget tillid brugerne fremover placerer hos operativsystemudbydere.