AI ile gözetim çocuklarınızı kurtarmayacak: Sohbet denetimi yeniden gündeme geldi

Kitlesel gözetim hayaletinin gölgesi Avrupa üzerinde hâlâ dolaşmaya devam ediyor. Genel Veri Koruma Tüzüğü (GDPR)’nin getirdiği tüm gelişmelere rağmen, veri şifrelemesini aşmak hâlâ bir hedef olarak görülüyor.

Ne yazık ki, sivil özgürlüklerimize yönelik ihlallerin, bizi canavarlardan koruyacağına dair vaatler arkasına saklanması son derece yaygın bir durumdur. AB’nin “Çocuklara yönelik cinsel istismarı önlemek ve bununla mücadeleye yönelik kuralları belirleyen Yönetmelik” (CSA Yönetmeliği veya CSAR) için sunduğu öneri, bu konuda çarpıcı bir örnektir. Yönetmelik, bu hafta Avrupa Parlamentosu’nda bir kez daha oylamaya sunuldu. Neyse ki, gizlilik savunucuları tarafından “tüm zamanların en çok eleştirilen AB yasa tasarısı” olarak nitelendirilen tasarı etrafındaki tartışmalar nedeniyle, bu karar dün nihayet ertelendi.

21 Haziran 2024 tarihinde çekilmiş ekran görüntüsü

CSAR, temel olarak web kullanıcılarına, herkesin kişisel dosyalarını ve iletişimlerini koruyan şifrelemeyi aşmak için yapay zeka destekli gözetim teknolojisi sunmaktadır. Tüm bunlar çocuklara yönelik cinsel istismarla mücadele adına yapılıyor, ancak bu kuzu kılığına girmiş kurt tarafından aldatılmayın. AB vatandaşlarına sahte bir seçim dayatılıyor: özel iletişim mi, yoksa cinsel tacizciler mi? Neyse ki, Nym çekirdek ekibi ve topluluğundaki kişiler de dahil olmak üzere pek çok kişi, bu duruma karşı acilen seslerini yükseltiyor.

Nym ekibi, “Sohbet kontrolü”nün 2022’deki lansmanından bu yana 1.0 ve 2.0 sürümlerinin yavaş yavaş ilerleyen gelişimini yakından takip etmektedir. Yine, aldatıcı bir şekilde değiştirilmiş ifadelerle bir tartışma ve olası bir oylama yapılmasını talep ediyor. Ancak bu değişiklikler, kitlesel gözetim stratejisinin sertliğini sadece biraz yumuşatmaktadır. Bunların hepsi, uçtan uca veri şifrelemesini koruma konusundaki GDPR yükümlülüklerini atlatmaya yönelik bir hile. Şifreleme, CSAR kapsamında ele alınmasa da, şifreleme üzerinde cihazların toplu olarak daha da kapsamlı bir şekilde izlenmesini sağlayacak, daha da endişe verici bir arka kapı önerilmektedir.

Aşağıda, CSAR önerisinde nelerin söz konusu olduğu ve bunun neden AB’deki ve dünyadaki herkesin çevrimiçi mahremiyeti için bu kadar büyük bir tehdit oluşturduğu açıklanmaktadır.

Sohbet kontrolü nedir?

Eleştirmenler tarafından “sohbet denetimi” olarak anılmaya başlanan CSAR yasası, çocuk pornografisi ve istismarına ilişkin trafiği “iletilmeden önce” tespit edip engellemeye yönelik bir düzenleme girişimidir. Bu hedefe karşı çıkan pek kimse olmasa da, uzmanlar önerilen düzenlemenin kesinlikle etkili olmayacağını herkese duyuruyorlar. Daha da kötüsü, bu yasa, koca bir kıtadaki kullanıcıların cihazlarına yönelik bir gözetim arka kapısını meşrulaştırıyor ve uyguluyor.

İstemci Tarafında Tarama (CSS)

CSAR’ın çocuk cinsel istismarı materyali (diğer adıyla CSAM) sorununa önerdiği çözüm, İstemci Tarafında Tarama (CSS) yoluyla gerçekleştirilen kitlesel gözetimdir. Şifrelenmiş iletimleri tehlikeye atmak yerine, esasen şifreleme işlemi gerçekleşmeden önce cihazlardaki veya sunuculardaki verileri tarar. Bu durum, herkesin iletişim güvenliğini ve uçtan uca şifreleme ilkelerini tehlikeye atacaktır.

Şifreleme güvenli iletişimin temel taşıdır. Şifreli bir bağlantı üzerinden çevrimiçi olarak bir işlem yaptığınızda — arkadaşlarınıza veya ailenize kişisel fotoğraflar gönderdiğinizde ya da kredi kartınızı çevrimiçi olarak kullandığınızda — üçüncü şahısların verilerinize erişemeyeceğinden veya bunları kötüye kullanamayacağından makul ölçüde emin olabilirsiniz. İlk CSAR girişimlerinin amacı, web hizmetlerini, müşterilerin iletişimlerinin içeriğini koruyan şifrelemeyi kırmaya zorlamaktı. Şifreleme kırıldığında, tüm mesajlar hedef alınan içerik açısından taranabilir. Neyse ki bu durum, sivil toplum ve gizlilik savunucuları tarafından büyük bir tepkiyle karşılandı.

Şu anda önerilenler, web hizmetlerinin şifreleme uygulanmadan önce cihazınızdaki dosyaları ve iletişimleri taramasına veya “izlemesine” yasal olarak izin verecek ve bunu mümkün kılacak CSS teknolojileridir. Apple’ın, iPhoto veya iMessenger uygulamalarınızı, tehdit olarak değerlendirilen önceden programlanmış veri noktaları açısından düzenli olarak tarayabildiğini bir düşünün. Ya da özel bir iletişim hizmetine bunu yapması için yasal emir verilmesi. Hatta Signal’in başkanı, kullanıcılarının güvenliği konusunda böyle bir taviz vermektense, AB yargı alanlarından hizmetlerini geri çekeceklerini kamuoyuna açıkladı.

21 Haziran 2024 tarihinde çekilmiş ekran görüntüsü

Bilim insanları, CSS teknolojisinin “ciddi kusurlar içerdiğini” söylüyor

Herhangi bir gözetim tarama programı, belirli bir şeyi aramalıdır. Asıl soru şudur: İlgisiz verileri de toplamadan hedeflerini belirgin bir şekilde tespit edebiliyor mu? CSAR söz konusu olduğunda, belirtilen amaç, kullanıcıların cihazlarını potansiyel CSAM örnekleri açısından taramaktır. Bu, örneğin, çocukların çıplak veya cinsel içerikli şekilde tasvir edildiği fotoğraflar ya da bu tür eylemleri anlatan mesajlar anlamına gelir. Peki bu tam olarak nasıl işler ki?

Esasen, muhtemelen yapay zeka ile çalışan bir veri analiz programına, bir cihazda veya sunucuda bulunan herkesin şifrelenmemiş içeriğine erişim izni verilecektir. Sistem, tüm vakaları doğrulama amacıyla bir insan ekibine göndermeden önce, veri noktalarına dayanarak çok sayıda potansiyel tehdidi işaretleyecektir. Bu ekip, daha sonra herhangi bir yanlışlık yapıp yapmadığınızı belirlemek üzere kişisel dosyalarınıza ve yazışmalarınıza erişebilecektir. Şüpheli içerik veya faaliyetler, daha ayrıntılı bir soruşturma için kolluk kuvvetlerine iletilecektir.

Araştırmacılar, bu teknolojinin hem teknik açıdan hem de sivil özgürlükler açısından ne kadar hataya açık olabileceği konusunda oldukça açık sözlü uyarılar getirmişlerdir. Bir yanlış pozitif durumu hayal edin: Bir ebeveynin çocuklarına ait kişisel fotoğrafları bir algoritma tarafından işaretleniyor ve daha sonra kolluk kuvvetlerine iletilmeden önce analistler tarafından incelenip değerlendiriliyor. Veri bilimcileri, bu tür “tarama işlemlerinin etkisiz kalmaya mahkum olduğu” konusunda uyarıda bulundular ve bunun geniş ölçekte uygulanmasının “çevrimiçi ortamdaki herkes için son derece zararlı olabilecek ve İnternet ile dijital toplumu herkes için daha az güvenli hale getirebilecek yan etkiler” yaratacağını belirttiler.

Zaman çizelgesi

CSAR, 2022’de gündeme getirildiğinden bu yana AB Parlamentosu’nda zorlu bir süreçten geçmektedir. Bu hafta, son parlamento seçimlerinin gölgesinde stratejik olarak planlanmış bir tartışma ile geri dönüyor. İşte projenin ilerleyişini, değişikliklerini ve mevcut durumunu gösteren önemli zaman çizelgesi.

• 11 Mayıs 2022: Orijinal CSAR önerisi tanıtıldı.
• Haziran 2022: Hollywood oyuncusu Ashton Kutcher’ın, kurucu ortağı olduğu Thorn kuruluşunun yararına, o dönemde CSAR olarak adlandırılan düzenleme için İçişleri Komiseri Ylva Johansson ile birlikte lobi faaliyetlerinde bulunduğu ortaya çıktı (https://netzpolitik.org/2022/dude-wheres-my-privacy-how-a-hollywood-star-lobbies-the-eu-for-more-surveillance/). Thorn insanların cihazlarını taramak için kullanılacak AI araçlarını satıyor. (Kutchner, hüküm giymiş bir tecavüzcüyü savunmasının ardından Thorn'un başkanlığından istifa etti.)
• 13 Nisan 2023: CSAR önerisinin etkisine ilişkin Avrupa Parlamentosu tarafından hazırlatılan bir rapor, AB Parlamentosu’nun Sivil Özgürlükler, Adalet ve İç İşler Komitesi’ne sunuldu.
• Temmuz 2023: 465 bilim insanı ve araştırmacının imzaladığı açık mektup AB Komisyonu’na gönderildi. Bilim insanları, önerilen teknolojilerin muhtemel verimsizlikleri ve bunların “toplumumuz için güvenli bir dijital gelecek” ile “Avrupa ve ötesindeki demokratik süreçleri” baltalamasına karşı açıkça uyarıyorlar.
• 2 Mayıs 2024: 32 ülkeden 312 bilim insanı ve araştırmacı tarafından kaleme alınan yeni açık mektup AB'ye gönderildi. CSAR önerisine yönelik dil değişikliklerinin, “ciddi kusurlu” ve tehlikeli teknolojiyi değiştirmeyeceğini yineliyorlar. Bu mektup, gizlilik savunucusu, profesör ve Nym Tech danışmanı Bart Praneel tarafından ortaklaşa yazılmıştır.
• 13 Şubat 2024: Avrupa İnsan Hakları Mahkemesi’nin Podchasov v. Rusya davasındaki kararı, “elektronik iletişimin gizliliğini güvence altına almak ve korumak” ve “ifade özgürlüğü gibi diğer temel hakların kullanılmasını sağlamak” için uçtan uca şifrelemenin rolünü vurgulamaktadır.
• 20 Haziran 2024: Ertelenmesinin ardından, revize edilmiş CSAR hakkında tartışma ve oylama planlanmıştır (“Adalet ve İç İşler” başlığı altındaki 28. maddeye bakınız). Oylama nihayet iptal edildi!

CSAR belgesinin bir yasama önerisi olduğunu ve parlamento organı tarafından onaylanmadıkça hiçbir hukuki geçerliliği olmadığını belirtmek önemlidir. Bununla birlikte, AB vatandaşlarının temsilcileriyle iletişime geçmeleri ve sivil özgürlükleri ihlal etmeye yönelik bu girişimlere karşı protesto etmeleri önemlidir.

Yasama dil oyunları

Dil ile ifade edilen şeyler üzerimizde önemli etkiler yaratabilir: Cazip bir ifade, muhtemelen istemediğimiz bir şeyi istememize neden olabilir ya da aslında o kadar da kötü olmayan bir şeyden uzaklaşmamıza yol açabilir. Bazen ifadeler o kadar monoton ve soyut olabilir ki, aslında bir zehirli hapı yuttuğumuzun farkına bile varmayız.

CSAR’ın “yükleme denetimi teknolojileri” konulu en son önerisini inceleyin. Yüzlerce sayfalık parlamento yönetmeliklerini okurken, bu tür ifadeler kolayca gözden kaçabilir; ki tam da bunun için tasarlanmışlardır. Peki bu tam olarak ne anlama geliyor?

21 Haziran 2024 tarihinde çekilmiş ekran görüntüsü

Bunu biraz daha ayrıntılı inceleyelim.

[1] “Kişilerarası iletişim hizmetleri sağlayıcıları”, diğer kişilerle olan dijital iletişiminizi yöneten herhangi bir web hizmeti anlamına gelir. Bu oldukça geniş bir kapsam. Bu durum, WhatsApp gibi mesajlaşma uygulamaları için, hatta Signal gibi gizlilik odaklı ve şifreli olanlar için bile açıkça geçerlidir. Ancak bu, işletim sistemleri bir yana, fotoğraf ve mesajlaşma hizmetleri sunan Apple gibi daha büyük şirketler için de geçerlidir.

[2] Bu CSS teknolojilerini “kurmak ve işletmek” şeklindeki yasal emir, iletişim hizmetlerinin bunu sadece yapabileceğini değil, aynı zamanda yapmak zorunda olduğunu (veya “yapması gerektiğini”) ima etmektedir.

[3] Meselenin özü budur: gözetleme nesnesini tespit etmek [4] “iletimden önce”, şifrelemeden önce anlamına gelir. Şifreleme bir kez uygulandığında, aranan herhangi bir dijital materyalin tespit edilmesi için şifrelemeyi kırmak gerekir ki bu söz konusu değildir. Dolayısıyla bu teknoloji, yalnızca cihaz sağlayıcılarının veya uygulama ve web hizmeti operatörlerinin yetkililer adına gerçekleştirebileceği kitlesel cihaz taramasına denk geliyor. Şifrelenmiş verilerin amacı üçüncü taraf erişimine karşı koruma sağlamak olduğundan, bu teknoloji esasen şifrelemeye bir arka kapı oluşturmaktadır.

[4] Bu taramanın amacı CSAM'yi tespit etmek olsa da, bunu bulabilmek için AI programlarının öncelikle tüm verilerimize veya iletişimlerimize erişimi olması gerekir. İlk olarak, “bilinen çocuk cinsel istismarı materyali” (örneğin, yetkililer tarafından zaten tespit edilmiş bir fotoğraf veya video) ile “yeni çocuk cinsel istismarı materyali” arasında büyük bir fark vardır. İkincisi ile, herhangi bir yapay zeka programının yetenekleri, cinsel niyet içermeyen özel aile fotoğrafları ile çocuk pornografisini ayırt ederken muazzam hatalar yapabilmektedir.

Yani, “yükleme denetimi” —ki bu, “insanların çevrimiçi ortamda yalnızca makul miktarda içerik paylaşmasını sağlamak” kadar zararsız gibi görünse de— aslında “kolluk kuvvetleri amacıyla şifreleme öncesinde tüm kullanıcıların cihazlarında yapay zeka destekli veri gözetimi” anlamına geliyor. Bu “teknolojiye” “test edilmemiş” ve “bilimsel olarak olasılık dışı ve hataya açık” ifadelerini ekleyin, işte o zaman gerçeğe daha da yaklaşırız.

Şifrelemeyi kırmak mı, yoksa arkasından ele geçirmek mi?

CSAR’a yönelik tepkilerin çoğu, veri aktarımlarında uçtan uca şifrelemeyi “bozup bozmadığı” konusuna odaklanmıştır. Veri şifreleme, GDPR tarafından korunmaktaydı ve yakın zamanda Avrupa İnsan Hakları Mahkemesi’nin Podchasov v. Rusya (2024) davasındaki kararıyla daha da güçlendirildi. Signal'in Başkanı Meredith Whittaker'ın belirttiği gibi, bu durum bir dil oyunundan veya “marka yenilemesinden” başka bir şey değildir:

“Özel iletişimin toplu olarak taranmasını zorunlu kılmak, şifrelemeyi temelden zayıflatır.” Nokta. […] Buna arka kapı, ön kapı ya da ‘yükleme denetimi’ diyebiliriz. Ancak buna ne ad verirsek verelim, bu yaklaşımların her biri, hackerlar ve düşmanca niyetli devletler tarafından istismar edilebilecek bir güvenlik açığı yaratarak, kırılmaz matematiğin sağladığı korumayı ortadan kaldırıp yerine yüksek değerli bir güvenlik açığı koyuyor.”

İletim sırasında herhangi bir şifreleme uygulanmadan önce, verilerimizin cihazlarımızda veya sunucularında taranmasını kolaylaştıran web hizmetlerini etkinleştirmek, teknik olarak “şifrelemeyi kırmak” anlamına gelmez. Aslında durum çok daha kötü: otomatik AI algoritmalarının, kişisel verilerimizi yetkililerle ilişkilendirmede aracılık eden bir gözetim rolü üstlenmesine olanak tanıyan bir arka kapı.

CSAR önerisi, uçtan uca şifrelemenin değeri konusunda oldukça çelişkili övgüler içeriyor:

CSAR, “[U]çtan uca şifreleme,” diye kabul ediyor, “temel hakları ve hükümetlerin, endüstrinin ve toplumun dijital güvenliğini korumak için gerekli bir araçtır.”

Oysa yaratmaya çalıştığı şey, veri şifrelemenin korumayı amaçladığı veri gizliliğini açıkça baltalayacaktır. Gözetim veya “izleme” teknolojisi, önermede açıkça belirtildiği üzere (26a),

“veriler iletildikten sonra uçtan uca şifrelemenin sağladığı korumayı tehlikeye atmadan, algılama mekanizmasının etkili analiz ve eylem için verilere şifrelenmemiş haliyle erişebilmesini sağlar.”

Gözetim, “verilere şifrelenmemiş haliyle nasıl erişebilir […] "güvenliği tehlikeye atmadan" uçtan uca şifreleme, yüzsüz bir saçmalıktır.

Kullanıcı onayı

CSAR önerisindeki bir diğer büyük değişiklik ise, kullanıcılardan bu gözetim teknolojilerinin kullanılmasına rıza göstermelerinin istenmesi gerekliliğidir:

“Çocuk cinsel istismarı içerikleri, sağlayıcının şart ve koşulları çerçevesinde kullanıcıların açık rızasını vermesi koşuluyla, yüklendiğinde, onaylanmış teknolojilerin uygulanması yoluyla tüm kişilerarası iletişim hizmetlerinde tespit edilebilir durumda kalmalıdır.”

Bu tam olarak ne anlama geliyor? Verilerinin taranmasına rıza göstermeyen herhangi bir kullanıcı, “görsel içerik ve URL’lerin gönderilmesini içermediği” sürece web hizmetini kullanmaya devam edebilir. Bu durum, birçok iletişim hizmetinin fiilen çalışmaz hale gelmesine neden olabilir. Öyleyse, özel bir mesajlaşma uygulaması istediğinizi, ancak AB'nin verilerinizi önceden taramasını zorunlu kıldığını ve sizin de haklı bir nedenle bunu reddettiğinizi hayal edin. Uygulama aynı zamanda fotoğraf ve bağlantı göndermeye de izin verdiği için, bu hizmeti kullanamazsınız.

Sonuç

CSAR oylaması ertelendi, ancak bu kesinlikle sona erdiği anlamına gelmiyor. Tasarı, belki de Avrupa’da kitlesel dijital gözetlemeyi dayatmak için ortalığı yatıştırmaya çalışacak yeni dil değişiklikleriyle birlikte, bir kez daha çirkin yüzünü gösterecek.

Ancak, birçok kişi için açık olan şey, bu tür bir kitlesel gözetimin, teknik olmaktan çok sosyal bir sorun olan bu sorunu çözmeyeceği gerçeğidir. Nym’in yakın danışmanlarından Bart Praneel’in belirttiği gibi:

"[Bazı hükümetlerin, çocuklara yönelik cinsel istismarın önlenmesine odaklanmak yerine neden bu kitlesel gözetim yaklaşımını ısrarla sürdürdükleri belirsizdir."

Çocuklara yönelik şiddet, sosyal hizmetlere finansman sağlanması ve diğer önleyici tedbirler yoluyla önlenmelidir. Ella Jukubowska ve EDri, çevrimiçi ve çevrimdışı ortamlarda CSAM ve çocuk istismarı sorununa yönelik gerçek alternatifler üzerine araştırmalar yürütüyorlar. Kötüye kullanım, şifrelemeyi kırmak ve bu süreçte tüm Avrupa nüfusunun mahremiyetini ve güvenliğini tehlikeye atmak için alaycı bir halkla ilişkiler hilesi olarak kullanılmamalıdır. Ve canavarlardan korktuğumuz için hükümetlerin gizlilik haklarımızı ihlal etmesine isteyerek izin vermemeliyiz.

Umarım oylamadaki bu son gecikme, düzenleyicilerin bu gerçeğin farkına varmaya başladığının bir işaretidir.

Nym Dispatch

The Nym Dispatch serisi, çevrimiçi ve sosyal gizlilik ekosistemini derinlemesine inceliyor. Ücretsiz VPN pazarından başlayarak, çevrimiçi gözetim ekonomisinin riskleri ve para kazanma taktikleri hakkında daha fazla bilgi edinmek için bizi takip edin. Bu dizi yakında ücretsiz VPN'lerin kayıt tutma uygulamalarını; kasıtlı olarak belirsiz tutulan rıza sözleşmelerini; verilerimizi nasıl, neden ve kime sattıklarını; ve müdahaleci reklam uygulamalarını ele alacak.