Et lovforslag som presenteres som et tiltak for barns sikkerhet, møter skarpe advarsler fra personvernforkjempere som mener det vil gjøre noe langt mer omfattende: bygge en permanent overvåkingsinfrastruktur for hele internett. I et nylig debattinnlegg argumenterer India McKinney, policyanalytiker i Electronic Frontier Foundation, for at KIDS Act er «langt verre enn digital legitimasjonskontroll», og at det at lovgivere i det hele tatt vurderer forslaget, bør være en vekker for alle som setter pris på personvern og fri ytring på nett.

Kjerneproblemet, ifølge McKinney, er ikke at lovforslaget retter seg mot ondsinnede aktører eller skadelig innhold. Det er at mekanismene som kreves for å håndheve det – universelle alderskontroller, myndighetsstyrt innholdsmoderering og overvåking på plattformnivå – ikke forsvinner når de først er innført. De blir permanente trekk ved hvordan amerikanere får tilgang til internett, uavhengig av alder.

Hva KIDS Act faktisk ville kreve

I kjernen vil KIDS Act presse nettplattformer til å verifisere alderen til hver enkelt bruker, ikke bare dem som mistenkes for å være mindreårige. Det betyr at også voksne må bevise hvem de er, ofte via offentlig ID, ansiktsskanning eller tredjeparts verifiseringstjenester, bare for å få tilgang til vanlige nettsteder og apper. Lovforslaget inneholder også bestemmelser om myndighetsstyrt moderering, noe som i praksis gir regulatorer innflytelse over hvilket innhold plattformene tillater, selv for voksne brukere.

Dette er en vesentlig annerledes tilnærming enn en enkel aldersport på et bestemt produkt. Istedenfor en målrettet kontroll er det et strukturelt krav som bakes inn i hvordan nettbaserte tjenester fungerer. Når plattformene først har bygget systemer for å samle inn og verifisere identitetsdata i stor skala, eksisterer denne infrastrukturen på ubestemt tid. Den kan gjenbrukes, utvides eller begjæres utlevert lenge etter at den opprinnelige begrunnelsen om barns sikkerhet har falmet fra den offentlige samtalen.

Hvordan aldersverifisering blir til et overvåkingssystem

Overgangen fra «verifiser alder» til «masseovervåking» er ikke hypotetisk. Aldersverifiseringssystemer krever at plattformene samler inn sensitive identitetsdata – offentlige ID-numre, biometriske skanninger eller atferdsdata som brukes til å estimere alder – og lagrer eller overfører disse dataene et sted. Hvert ekstra datapunkt som samles inn, er en ny ressurs som kan rammes av sikkerhetsbrudd, begjæres utlevert eller misbrukes.

Denne bekymringen er ikke unik for KIDS Act. En forskningsartikkel fra Center for Growth and Opportunity, som advarer om at aldersverifisering utgjør en personvernrisiko, legger frem bevis for at aldersverifiseringssystemer konsekvent skaper personvernsårbarheter selv når de er utformet med gode hensikter. Artikkelens funn underbygger det McKinney argumenterer: når du først krever identitetskontroll for å få tilgang til internett, har du bygget et overvåkingsapparat, uansett om det var det uttalte målet eller ikke.

Omfanget er også viktig. En smal, produktspesifikk aldersport berører en liten flik av internett. Et føderalt pålegg som gjelder bredt for «omfattede plattformer», påvirker nesten alle som går på nett, inkludert voksne. Det er dette skillet McKinney trekker når hun sier at dette går utover digital legitimasjonskontroll: det er ikke en kontrollpost, det er et adgangskrav til selve internett.

Sammenhengen med Chat Control og krypteringsbakdører

KIDS Act eksisterer ikke i et vakuum. Den er del av et bredere mønster som utspiller seg på tvers av flere jurisdiksjoner, der lovgivning om barns sikkerhet blir et kjøretøy for utvidet myndighetsadgang til nettaktivitet. EUs forslag til Chat Control og Storbritannias Online Safety Act følger en lignende mal: pålegg skanning eller verifisering i barns sikkerhets navn, og bygg i samme prosess verktøy som svekker kryptering og utvider overvåkingskapasiteten for alle.

Som dekket i vår gjennomgang av Chat Control, Online Safety Act og KIDS Act, deler disse tre initiativene en felles tråd: kryptering i seg selv blir et mål. Krav om innholdsskanning kan ofte ikke fungere sammen med ekte ende-til-ende-kryptering, noe som betyr at plattformene presses til enten å svekke sine sikkerhetsmodeller eller bygge bakdører som undergraver personvernet for alle brukere, ikke bare mindreårige.

Storbritannias egen erfaring er opplysende her. Reguleringsmyndighetene der avviste til slutt VPN-restriksjoner under Online Safety Act etter å ha erkjent den praktiske og politiske vanskeligheten med å forby personverntøy direkte. Denne avgjørelsen kom parallelt med forskning som viste at barn primært bruker VPN av personvernhensyn, ikke for å omgå alderskontroller, noe som undergravde en av hovedbegrunnelsene regulatorene hadde brukt for å vurdere VPN-restriksjoner i utgangspunktet.

Hva dette betyr for deg

Hvis KIDS Act eller lignende lovgivning går videre, må du forvente at verifiseringskrav berører langt mer enn nettsteder med vokseninnhold. Sosiale medier, fora og generelle plattformer kan alle bli pålagt å bekrefte identiteten din før de gir tilgang. For vanlige brukere betyr det å utlevere sensitive personopplysninger bare for å bruke tjenester du allerede bruker i dag.

Dette vil trolig øke interessen for VPN, krypterte meldingsapper og andre personverntøy etter hvert som folk søker måter å redusere sin eksponering mot identitetsinnsamlingssystemer. Det er en rasjonell respons, men også et tegn på hvordan politikk på dette området har en tendens til å skape akkurat den typen omgåelsesatferd som regulatorene hevder å ville forhindre. Storbritannias erfaring tyder allerede på at tunge verifiseringspålegg skyver brukere mot personverntøy snarere enn bort fra dem.

Hovedpoeng

Debatten om KIDS Act er en påminnelse om at innramming som «barns sikkerhet» ikke automatisk fører til resultater for barns sikkerhet. Før dette eller lignende lovforslag beveger seg videre, er det verdt å forstå hva som faktisk blir bygget: en verifiseringsinfrastruktur med implikasjoner langt utover det uttalte formålet.

For lesere som ønsker det fulle regulatoriske bildet, går vår forklaring om Chat Control, Online Safety Act og KIDS Act gjennom hvordan disse tre initiativene krysser hverandre på kryptering. Og for alle som ønsker den evidensbaserte saken mot obligatorisk aldersverifisering, er CGOs forskningsartikkel om personvernrisiko ved aldersverifisering en nyttig ressurs for å forstå hva som faktisk står på spill før disse systemene blir permanente.