RAND's waarschuwing over biometrische en digitale ID-systemen

Een nieuw rapport van RAND geeft nieuw gewicht aan een zorg die privacyvoorvechters al jaren uiten: identiteitssystemen die voor één doel zijn gebouwd, blijven zelden beperkt tot dat doel. Volgens het rapport zouden veiligheidsdiensten die biometrische identificatie, digitale identiteit en AI-systemen invoeren, verplicht moeten worden om de noodzaak van de technologie te rechtvaardigen voordat ze deze überhaupt aanschaffen.

Dat klinkt misschien als een basale bureaucratische waarborg, maar het ontbreken daarvan is precies het probleem dat RAND benadrukt. Zodra een dienst gezichtsherkenning, vingerafdrukdatabases of digitale-ID-infrastructuur heeft, worden die systemen vaak betrokken bij toepassingen die veel verder gaan dan hun oorspronkelijke rechtvaardiging. RAND's kernargument is dat de risico's van biometrische digitale-ID-surveillance geen hypothetische randgevallen zijn. Ze zijn een voorspelbare uitkomst van hoe deze tools worden aangenomen en uitgebreid zodra ze bestaan.

Van verificatietool naar targetingtool

Het patroon dat RAND beschrijft is eenvoudig. Een biometrisch of digitaal ID-systeem wordt geïntroduceerd om een smal probleem op te lossen: de identiteit van een reiziger verifiëren, de geschiktheid voor een dienst bevestigen of iemands leeftijd controleren. Maar de onderliggende infrastructuur, de databases, de matching-algoritmen, de verzamelpunten, verdwijnt niet zodra die smalle taak is voltooid. Het wordt een permanente capaciteit waar andere delen van de overheid, of heel andere diensten, gebruik van kunnen maken.

Zo worden identificatiesystemen targetingsystemen. Een database die is gebouwd om te bevestigen wie iemand is, kan net zo gemakkelijk worden gebruikt om te volgen waar iemand is geweest, met wie iemand omgaat, of of iemand overeenkomt met een watchlist. RAND's oproep aan diensten om noodzaak te rechtvaardigen vóór aanschaf is in essentie een poging om die afdrijving te vertragen voordat deze plaatsvindt, door een gesprek over scope en grenzen af te dwingen op het moment van adoptie in plaats van nadat het systeem al is verankerd en moeilijk terug te draaien.

Digitale ID en leeftijdsverificatie normaliseren deze infrastructuur al

Wat RAND's rapport opmerkelijk maakt, is niet alleen de waarschuwing over veiligheidsdiensten in het buitenland. Het verschijnt op een moment dat vergelijkbare infrastructuur in de Verenigde Staten wordt gebouwd, vaak onder een veel minder controversiële vlag: kinderen online beschermen.

Leeftijdsverificatiewetten en -voorstellen vereisen steeds vaker dat platforms of overheden de leeftijd van een gebruiker bevestigen, en leeftijd bevestigen betekent in de praktijk identiteit bevestigen. Een CGO-onderzoekspaper over leeftijdsverificatie heeft al de vraag opgeworpen wat er gebeurt met de identiteitsgegevens die deze systemen verzamelen zodra de onmiddellijke rechtvaardiging van kinderbescherming is vervuld. Het paper stelt dat de haast om deze wetten aan te nemen vaak precies het soort scrutinie overslaat dat volgens RAND verplicht zou moeten zijn voordat er überhaupt een identiteitssysteem wordt gebouwd.

Dezelfde dynamiek duikt op in wetsvoorstellen zoals de KIDS Act. Zoals een analyse uitlegt, wordt het wetsvoorstel gepresenteerd als een kinderbeschermingsmaatregel maar functioneert het als een surveillancesysteem dat op de hele bevolking van toepassing zou zijn, niet alleen op minderjarigen. Leeftijdscontroles vereisen dat iedereen wordt geverifieerd, wat betekent dat de infrastructuur uiteindelijk ook volwassenen dekt. Dat is het herbestemmingsprobleem dat RAND beschrijft, maar dan binnenslands via een kinderbeschermingskader in plaats van een nationale-veiligheidskader.

Wat dit voor jou betekent

De meeste mensen zullen nooit direct in aanraking komen met het soort veiligheidsdienstsystemen waarop RAND's rapport zich richt. Maar de onderliggende les geldt breed: elk systeem dat biometrische of identiteitsgegevens verzamelt voor één genoemd doel kan later naar een ander doel worden omgeleid, vaak zonder dat de persoon wiens gegevens het betreft ooit wordt geïnformeerd. Leeftijdsverificatiesystemen, digitale-ID-programma's en biometrische inlogtools dragen allemaal hetzelfde structurele risico, ongeacht hoe goedaardig de oorspronkelijke presentatie klinkt.

Dit betekent niet dat elk voorstel voor digitale ID of leeftijdsverificatie in het geheim een surveillanceprogramma is. Het betekent dat de bewijslast bij de dienst of het bedrijf moet liggen dat het systeem voorstelt, niet bij het publiek dat probeert te anticiperen op hoe de gegevens vijf jaar later gebruikt zouden kunnen worden.

Wat beleidsmakers en burgers zouden moeten eisen

RAND's aanbeveling, dat diensten noodzaak rechtvaardigen voordat ze biometrische of digitale-ID-technologie aanschaffen, is een redelijke ondergrens, niet een plafond. Beleidsmakers die een nieuw identiteitssysteem evalueren, of het nu wordt gepresenteerd rond veiligheid, kinderbescherming of gemak, zouden moeten vragen welk specifiek probleem het systeem oplost, wie nog meer toegang krijgt tot de gegevens die het verzamelt, en wat er met die gegevens gebeurt zodra de oorspronkelijke taak is voltooid. Privacybewuste burgers kunnen erop aandringen dat dezelfde vragen publiekelijk worden gesteld voordat deze systemen worden ingezet, niet nadat ze al permanente infrastructuur zijn geworden.

De rode draad die RAND's rapport verbindt met binnenlandse debatten over leeftijdsverificatie is eenvoudig: zodra een identiteitssysteem bestaat, breidt het gebruik zich doorgaans uit. Vooraf rechtvaardiging eisen, en duidelijke grenzen stellen aan secundair gebruik, is een van de weinige beschikbare instrumenten om te voorkomen dat de risico's van biometrische digitale-ID-surveillance werkelijkheid worden in plaats van waarschuwing.