Senaatscommissie Handel stuurt KOSA door naar de voltallige Kamer

De Amerikaanse Senaatscommissie voor Handel, Wetenschap en Transport heeft gestemd om de Kids Online Safety Act (KOSA), samen met een pakket aan AI-kinderveiligheidswetten, door te sturen naar de volledige Senaat ter behandeling. Deze commissiestemming markeert een nieuwe stap vooruit voor wetgeving die in meerdere congresperiodes is bediscussieerd, herzien en opnieuw ingediend, en brengt KOSA dichter bij een plenaire stemming dan in jaren het geval is geweest.

In de kern legt KOSA een 'zorgplicht' op aan sociale mediaplatforms en andere onlinediensten die waarschijnlijk door minderjarigen worden gebruikt. Deze verplicht hen redelijke maatregelen te nemen om bepaalde schade te voorkomen en te beperken, waaronder blootstelling aan inhoud gerelateerd aan zelfbeschadiging, eetstoornissen en verslavende ontwerpelementen. Het wetsvoorstel geeft ouders bovendien nieuwe instrumenten om de accountinstellingen van hun kinderen te controleren en te beperken, en verplicht platforms om jonge gebruikers standaard in te stellen op de strengste privacy- en veiligheidsinstellingen.

Deze commissiehandeling volgt kort op een eerdere zitting waarin KOSA's zorgplichtclausule unaniem door de commissie kwam, terwijl een gekoppeld wetsvoorstel strandde. Dit geeft aan dat wetgevers aan beide zijden van het politieke spectrum voldoende consensus zien om de wetgeving verder te duwen, ook al blijven er vragen over de uitvoering onbeantwoord.

Zorgplicht en leeftijdsverificatie: de vraagstukken rond gegevensverzameling

De centrale spanning binnen KOSA heeft nooit echt om de doelstellingen ervan gedraaid. Weinig wetgevers, belangengroepen of ouders betwisten dat kinderen bescherming verdienen tegen schadelijke online-inhoud en manipulatieve ontwerptechnieken. Het meningsverschil gaat over de uitvoering: hoe weten platforms eigenlijk welke gebruikers minderjarig zijn zonder méér persoonsgegevens te verzamelen dan ze nu al doen?

Om aan een zorgplichtnorm te voldoen, kunnen platforms de druk voelen om de leeftijd van gebruikers stringenter te verifiëren, of dat nu gebeurt via het uploaden van een overheidsidentificatiebewijs, biometrische schatting of externe verificatiediensten. Elk van deze benaderingen vereist het verzamelen en opslaan van gevoelige informatie — informatie die een doelwit wordt zodra deze op de servers van een bedrijf staat. Critici betogen al langer dat leeftijdsverificatieverplichtingen, zelfs wanneer ze worden voorgesteld als kinderveiligheidsmaatregelen, doorgaans de gegevensverzamelingspraktijken voor iedereen uitbreiden, niet alleen voor de minderjarigen die de wet beoogt te beschermen.

Dit is dezelfde dynamiek die speelde in de gerelateerde discussie over de SCREEN Act, waar de Senaatszitting over leeftijdsverificatie-eisen waarschuwingen van privacyvoorvechters opleverde over de bredere implicaties voor anonieme internettoegang. KOSA schrijft niet rechtstreeks een specifieke verificatiemethode voor, maar de nalevingsdruk die het wetsvoorstel creëert, zou platforms richting vergelijkbare instrumenten kunnen duwen, vooral als toezichthouders de zorgplichtnorm interpreteren als een vereiste voor meer zekerheid over de gebruikersleeftijd.

Waarom privacyvoorvechters terughoudend blijven

Privacyorganisaties hebben tijdens de behandeling van KOSA in de commissie twee terugkerende zorgen geuit. De eerste is reikwijdteverbreding: een zorgplichtnorm die is gekoppeld aan vage categorieën schadelijke inhoud zou de Federal Trade Commission, of de procureurs-generaal van de staten, aanzienlijke discretie kunnen geven over wat platforms moeten filteren of beperken. Voorstanders vrezen dat dit ongelijkmatig zou kunnen worden toegepast, waardoor legitieme meningsuiting of toegang tot informatie die sommige ambtsdragers onwelgevallig is, mogelijk wordt beknot, zelfs wanneer die geen reëel risico voor minderjarigen vormt.

Het tweede punt van zorg is technisch van aard. Sommige organisaties voor digitale rechten hebben gewaarschuwd dat strengere monitorings- en inhoudsscanverplichtingen druk kunnen uitoefenen op platforms om end-to-endversleuteling te verzwakken of scanmogelijkheden in te bouwen die de veiligheid van álle gebruikers ondermijnen, niet alleen die van minderjarigen. Versleutelingsexperts hebben consequent betoogd dat er geen manier is om een achterdeur of scanmechanisme te bouwen dat alleen kwaadwillenden níét kunnen misbruiken. Daarom wordt elk wetsvoorstel dat raakt aan inhoudsmoderatie voor minderjarigen nauwlettend onderzocht op de implicaties voor versleuteling.

Voorstanders van KOSA brengen hiertegen in dat het wetsvoorstel via onderhandelingen specifiek is versmald om juist géén leeftijdsverificatie of versleuteling-doorbrekende maatregelen verplicht te stellen, en dat de zorgplichtnorm gericht is op ontwerpkeuzes — zoals oneindig scrollen of algoritmische versterking van schadelijke inhoud — in plaats van op de inhoud zelf. Of dat onderscheid standhoudt zodra de FTC met handhaving begint, zal waarschijnlijk een van de bepalende vragen zijn als KOSA wet wordt.

Wat dit voor jou betekent

Als je ouder bent, verandert deze commissiestemming momenteel niets aan de online-ervaring van je kind. KOSA moet nog worden aangenomen door de volledige Senaat, worden afgestemd met een eventuele versie van het Huis van Afgevaardigden, en door de president worden ondertekend voordat platforms verplicht worden hun werkwijze aan te passen. Als je een privacybewuste internetgebruiker van welke leeftijd dan ook bent, is het grotere signaal hier dat het Congres gefocust blijft op wetgeving die opnieuw vorm kan geven aan de manier waarop platforms identiteit verifiëren en gebruikersgegevens beheren, en dat niet alleen voor minderjarigen.

De praktische conclusie is om in de gaten te houden hoe de tekst van het wetsvoorstel zich ontwikkelt voordat het een plenaire stemming bereikt. Amendementen in deze fase bepalen vaak of de privacy-afwegingen van een wetsvoorstel bescheiden dan wel substantieel zijn.

Waar je als volgende op moet letten

Nu KOSA en de bijbehorende AI-veiligheidswetten op weg zijn naar de volledige Senaatsbehandeling, zijn de details om te volgen onder meer of er taal over leeftijdsverificatie wordt toegevoegd of juist ingeperkt, hoe de handhavingsbevoegdheid van de FTC wordt gedefinieerd, en of bescherming van versleuteling expliciet blijft uitgezonderd. Voor lezers die de bredere wetgevende context willen kennen, zet onze eerdere berichtgeving over KOSA's zorgplichtbepaling die de commissie passeerde en de privacyrisico's van leeftijdsverificatie in de SCREEN Act uiteen hoe deze strijdpunten zich tot nu toe hebben ontvouwd.

De algehele online-privacy-impact van KOSA zal uiteindelijk afhangen van implementatiedetails die nog niet zijn vastgesteld. Op de hoogte blijven terwijl het wetsvoorstel door de Senaat beweegt, in plaats van alleen op krantenkoppen te reageren, blijft de beste manier om te begrijpen wat er daadwerkelijk verandert en wanneer dit jou mogelijk raakt.