Meta's schikking met 51 procureurs-generaal van Amerikaanse staten verplicht het bedrijf tot het betalen van minstens $12,1 miljard, een bedrag dat de krantenkoppen over de deal heeft gedomineerd. Maar volgens berichtgeving van Security Boulevard zou het geld wel eens het makkelijkste onderdeel kunnen zijn voor Meta om te leveren. Elke belofte over tienerveiligheid die in de overeenkomst is opgenomen, van het beperken van schadelijke content tot het beperken van wie minderjarigen kan contacteren, hangt af van het feit dat Meta betrouwbaar weet welke gebruikers onder de 18 zijn. Die mogelijkheid bestaat momenteel niet in een bewezen, privacyrespecterende vorm, waardoor deze schikking iets groters wordt dan een uitbetaling: het is een leeftijdsverificatieverplichting zonder bewezen technologie erachter.

Wat Meta's schikking daadwerkelijk vereist naast het geld

Het krantenkopnummer, of het nu wordt gepresenteerd als $12,1 miljard of het hogere bedrag van $18 miljard dat elders wordt gerapporteerd, overschaduwt vaak de operationele eisen die in de schikkingstekst verborgen zitten. Zoals eerder behandeld in berichtgeving over hoe Meta's $18 miljard schikking leeftijdsverificatie op de proef stelt, is de deal niet alleen een financiële straf. Het verplicht Meta om systemen te bouwen en te onderhouden die minderjarigen van volwassenen kunnen onderscheiden op haar platforms met voldoende vertrouwen om handhavingsmaatregelen zoals beperkte berichtenuitwisseling, aangepaste contentfeeds en beperkte advertentietargeting te rechtvaardigen.

Dat is een veel moeilijker technisch probleem dan het uitschrijven van een cheque. Financiële schikkingen hebben een duidelijk eindpunt. Leeftijdsverificatievereisten niet: ze vereisen dat Meta leeftijd continu op schaal verifieert, over miljarden accounts, op een manier die toezichthouders en rechtbanken kunnen controleren op naleving. Als de onderliggende detectiemethode onnauwkeurig of inconsistent is, riskeert het bedrijf opnieuw voor procureurs-generaal te verschijnen, dit keer voor het niet voldoen aan de voorwaarden van juist de schikking die bedoeld was om het geschil op te lossen.

Hoe leeftijdsverificatie werkt en welke gegevens het verzamelt

Leeftijdsverificatie is de overkoepelende term voor methoden die platforms gebruiken om de leeftijd van een gebruiker te schatten of te bevestigen. In de praktijk valt dit meestal in een paar categorieën: zelf opgegeven geboortedata, die gemakkelijk te vervalsen zijn en weinig echte bescherming bieden; uploads van overheids-ID's, waarvoor gebruikers een scan van hun rijbewijs of paspoort moeten overhandigen; betaalmethodecontroles, die een creditcard gebruiken als een ruwe indicatie van volwassenheid; en gezichtsleeftijdsschatting, die een foto of video van het gezicht van een gebruiker analyseert om een leeftijdscategorie te raden.

Meta is al begonnen met het experimenteren met onderdelen van deze technologiestapel. Het bedrijf publiceerde onlangs wat het zijn eerste nauwkeurigheidsbenchmark voor deze tools noemde, een poging om te kwantificeren hoe vaak leeftijdsschaftingssystemen het goed doen, uitvoerig behandeld in berichtgeving over Meta's eerste nauwkeurigheidsbenchmark voor leeftijdsverificatie. Daarnaast heeft het bedrijf leeftijdsbevestigingsfuncties in grote markten getest, waaronder een test rond WhatsApp's uitrol van leeftijdsbevestiging voor India's 600 miljoen gebruikers. Elk van deze pilots verzamelt een vorm van biometrische of identiteitsgegevens, of het nu gaat om een gezichtsscan, een ID-document of gedragssignalen die worden gebruikt om leeftijd af te leiden.

De privacy- en biometrische risico's van onbewezen leeftijdsdetectietechnologie

Hier komt de echte kostprijs van de schikking naar voren, niet in dollars maar in gegevens. Om procureurs-generaal ervan te overtuigen dat het minderjarigen echt beschermt, heeft Meta een sterke stimulans om meer identiteitsverificerende informatie te verzamelen van meer gebruikers, niet alleen tieners. Gezichtsleeftijdsschatting vereist een live of geüploade foto. ID-verificatie vereist het scannen van een overheidsdocument. Beide creëren gevoelige gegevens die voor de meeste sociale media-accounts voorheen niet hoefden te bestaan.

Het probleem is dat geen van deze methoden bewezen nauwkeurig of veilig is op de schaal waarop Meta opereert. Een gezichtsschaftingsmodel dat op één populatie is getraind, kan een andere verkeerd beoordelen. Een ID-uploadsysteem creëert een honeypot van overheidsdocumenten gekoppeld aan sociale media-accounts, een aantrekkelijk doelwit voor iedereen die identiteitsdiefstal of accountovername wil plegen. En omdat de schikking niet specificeert welke methode Meta moet gebruiken, alleen dat leeftijd kenbaar moet zijn, heeft het bedrijf een stimulans om meerdere imperfecte systemen op elkaar te stapelen in plaats van te kiezen voor de methode die de privacy van gebruikers het beste beschermt.

Kunnen tieners of privacybewuste gebruikers deze surveillancelaag vermijden?

Voorlopig is er geen indicatie dat gebruikers, tieners of volwassenen, zich kunnen afmelden voor leeftijdsverificatiecontroles zodra Meta ze op grote schaal uitrolt. De tienerveiligheidsvoorwaarden van de schikking zijn afhankelijk van het kennen van de leeftijd van een gebruiker, wat betekent dat het bedrijf weinig ruimte heeft om verificatie optioneel te maken als het de deal die het net heeft ondertekend niet wil schenden. Volwassenen die Meta's platforms gebruiken, moeten verwachten dat elke poging om gebruikers op leeftijd te segmenteren uiteindelijk accounts over de hele linie zal raken, niet alleen accounts waarvan wordt vermoed dat ze van minderjarigen zijn, omdat het bedrijf een verdedigbare manier nodig heeft om de leeftijdsstatus van iedereen te bewijzen.

Wat dit voor jou betekent

Als je Facebook, Instagram, WhatsApp of andere producten van Meta gebruikt, verwacht dan dat er de komende maanden prompts verschijnen waarin je wordt gevraagd je leeftijd op nieuwe manieren te bevestigen. Dit kunnen gezichtsscans, ID-uploads of betaalverificatie zijn. Controleer voordat je biometrische gegevens of identiteitsdocumenten indient wat Meta zegt dat het met die gegevens doet, hoe lang ze worden bewaard en of ze met derden worden gedeeld voor verificatiedoeleinden. Ouders van tieners moeten goed letten op hoe deze systemen interageren met bestaande ouderlijk toezicht, omdat onnauwkeurige leeftijdsdetectie een tieneraccount kan overbeperken of juist niet kan oppikken dat gemarkeerd zou moeten worden.

Belangrijkste punten

Meta's schikking wordt misschien herinnerd vanwege het prijskaartje, maar de blijvende impact zal worden gemeten aan de hand van hoeveel identiteits- en biometrische gegevens het bedrijf uiteindelijk verzamelt om naleving aan te tonen. Leeftijdsverificatietechnologie is nog steeds onbewezen op de schaal die deze deal vereist, wat betekent dat vroege uitrols waarschijnlijk onvolkomen zullen zijn en de privacyafwegingen aanzienlijk. Gebruikers die op de hoogte willen blijven, moeten letten op updates over Meta's nauwkeurigheidsbenchmarks en pilotprogramma's, omdat deze zullen aangeven hoe invasief het uiteindelijke systeem wordt. Behandel tot die tijd elk verzoek om een ID-scan of gezichtsverificatie van een Meta-app met dezelfde scrutiny die je zou toepassen bij elk bedrijf dat om gevoelige persoonlijke documenten vraagt, omdat de schikking garandeert dat het verzoek eraan komt, niet dat de technologie erachter klaar is.