En ny metod för åldersverifiering växer fram i kongressen

En tvärpolitisk grupp senatorer, däribland Andy Kim, Adam Schiff, Cynthia Lummis och John Barrasso, har lagt fram lagstiftning känd som Digital Age Assurance Act. Lagförslaget föreslår ett fundamentalt annorlunda tillvägagångssätt för hur appar och webbplatser bekräftar en användares ålder: istället för att varje plattform självständigt samlar in identitetshandlingar, selfies eller andra känsliga uppgifter skulle operativsystemen själva samla in användarens ålder en gång och sedan skicka en enkel ålderssignal till appar via ett API närhelst det behövs.

Detta markerar ett avsteg från det lapptäcke av delstatliga åldersverifieringslagar som har spridit sig under de senaste åren, av vilka många kräver att enskilda appar eller webbplatser verifierar identitet direkt, ofta genom uppladdning av dokument eller ansiktsskanning. Det federala förslaget centraliserar istället det ansvaret på enhets- eller kontonivå, där Apple, Google, Microsoft och andra operativsystemleverantörer blir de primära insamlarna av åldersdata.

Hur åldersgaranti på OS-nivå faktiskt skulle fungera

Enligt det ramverk som beskrivs i lagstiftningen skulle åldersinsamling ske under installationen av operativsystemets konto, samma process som användare redan går igenom när de ställer in en ny telefon, surfplatta eller dator. När åldern väl har fastställts skulle operativsystemet generera en ålderssignal, inte nödvändigtvis ett exakt födelsedatum eller statlig legitimation, utan en kategorisk markör (såsom ”över 18” eller ”under 13”) som överförs till appar och webbplatser som begär den.

Förespråkare hävdar att detta minskar antalet gånger känsliga identitetshandlingar byter händer. Istället för att ladda upp ett körkort till ett dussin olika appar, var och en med sina egna rutiner för datalagring och säkerhetsställning, skulle användare verifiera sin ålder en gång på OS-nivå. Appar skulle helt enkelt fråga efter den signalen via ett API istället för att bygga eller köpa sin egen infrastruktur för åldersverifiering.

Avvägningen är centralisering. Istället för att åldersdata sprids (och dupliceras) över många plattformar, koncentreras den hos ett litet antal operativsystemleverantörer som redan innehar enorma mängder information om sina användare. Kritiker av liknande delstatliga förslag, såsom ett som är under behandling i Kalifornien enligt offentlig diskussion av lagtexten, har uttryckt oro för att obligatoriska ålderskontroller på OS-nivå skulle kunna fungera som ett de facto-identitetslager för hela internet, eftersom operativsystemen inte bara skulle känna till användarens ålder utan potentiellt också vilka appar som begär den signalen och när.

Jämförelse med nuvarande app-baserad verifiering

Dagens landskap för åldersverifiering är fragmenterat. Vissa delstater kräver att plattformar verifierar ålder genom ID-uppladdningar, kontroll av kreditkort eller programvara för ansiktsåldersuppskattning. Varje metod har sina egna integritetsrisker: uppladdade ID-handlingar kan bli stulna, ansiktsskanningar kräver biometrisk behandling och kreditkortskontroller exkluderar användare utan finansiella konton. Eftersom verifiering sker separat på varje plattform, samlas ofta samma känsliga data in och lagras redundant över många tjänster.

Den OS-baserade modellen syftar till att minska denna redundans genom att ha en enda, standardiserad ålderssignal som följer med användaren. I teorin begränsar detta antalet parter som hanterar råa identitetshandlingar. I praktiken flyttar det betydande makt och ansvar till en handfull operativsystemstillverkare, vilket väcker frågor om hur länge åldersdata skulle sparas, vem som skulle kunna begära den och om den i framtiden skulle kunna kopplas till andra data som dessa företag redan samlar in, såsom platsinformation, appanvändning eller kontoaktivitet.

Dessa frågor återspeglar bredare debatter om övervakning och datainsamling som har utspelat sig i andra delar av federal politik. Oron för hur regelverk för statlig och kommersiell datainsamling faktiskt implementeras, och om tillsynen håller jämna steg med utlovade integritetsskydd, har dykt upp upprepade gånger, bland annat i Senator Wydens avslöjanden om brister i efterlevnaden av paragraf 702 i FISA, som visade hur goda avsikter i lagstiftning inte alltid leder till konsekvent verkställighet.

Vad detta betyder för dig

Om detta lagförslag eller något liknande blir lag kan sättet du bevisar din ålder online förändras avsevärt. Istället för att upprepade gånger ladda upp ID-handlingar till enskilda appar och webbplatser, skulle din enhet eller ditt operativsystemkonto hantera den verifieringen en gång och endast dela en begränsad ålderssignal när det behövs. För många användare kan detta innebära färre tillfällen där känsliga dokument lagras på tredjepartsservrar.

Men det innebär också att operativsystemleverantörer tar på sig en ny, mer centraliserad roll i identitetsverifiering, och i praktiken blir grindvakter för åldersbegränsat innehåll över hela internet. Hur den datan säkras, minimeras och styrs kommer att ha enorm betydelse. Lagförslaget är fortfarande i ett tidigt skede, och de tekniska och integritetsmässiga skyddsåtgärder som åtföljer en slutlig version kommer att avgöra om denna metod verkligen förbättrar integriteten eller helt enkelt flyttar risken.

Viktiga slutsatser

  • Digital Age Assurance Act skulle kräva att operativsystem, inte enskilda appar, verifierar användarens ålder och överför en integritetsbevarande signal via API.
  • Detta skulle kunna minska redundant insamling av ID-handlingar över flera plattformar, men koncentrerar åldersdata hos de stora OS-leverantörerna.
  • Håll utkik efter detaljer om datalagring, tillsyn och huruvida ålderssignaler skulle kunna kopplas till andra uppgifter som dessa företag redan innehar.
  • I takt med att denna lagstiftning rör sig genom kongressen, jämför den med delstatliga åldersverifieringslagar för att förstå hur dina personuppgifter kan hanteras olika beroende på var du bor.
  • Håll dig informerad: policys som denna kan omforma mobil integritet långt bortom åldersverifiering, och påverka hur mycket förtroende användare sätter till operativsystemleverantörer framöver.