11/05/'21- Onlangs kwam in het nieuws dat Tweede Kamerleden in gesprek waren met een deepfake-imitatie van een naaste medewerker van Navalny. Achteraf blijkt dat het geen deepfake was, maar een grap, waarbij een man met schmink zich voordeed als de medewerker van Navalny. Uit deze casus blijkt dat ‘echt’ niet altijd meer van ‘nep’ te onderscheiden valt. Deepfakes zorgen daarmee voor reële gevaren voor de maatschappij. Hierdoor kan bijvoorbeeld desinformatie worden verspreid, waardoor manipulatie op de loer ligt en neemt het vertrouwen in instituties af. Het is dan ook niet gek dat Europa pleit voor meer regulatie van deepfake om misbruik te voorkomen. Regulering van deepfake is onder andere opgenomen in het voorstel van de Europese Commissie voor aankomende regelgeving voor Artificiële Intelligentie (“AI”). De inwerkingtreding van de AI-regelgeving zal vermoedelijk nog even op zich laten wachten. Tot die tijd dient gekeken te worden naar het huidige juridische kader. De Algemene verordening gegevensbescherming (“AVG”) kan onder andere van toepassing zijn op het creëren, gebruiken, verspreiden en detecteren van deepfakes. In deze blog leg ik aan de hand van de detectie van deepfakevideo’s uit waarom de AVG van toepassing is en welke aandachtspunten er vanuit de AVG zijn.
Een van de manieren om een deepfakevideo te detecteren is door de gezichtsuitdrukkingen van een persoon te analyseren. Aan de hand van bijvoorbeeld de manier waarop iemand zijn wenkbrauwen of kin beweegt, kan de authenticiteit van een video worden vastgesteld.
Bij het analyseren van foto’s, video’s en stemgeluiden met als doel om deepfakes te detecteren, is vaak de Algemene verordening gegevensbescherming (“AVG”) van toepassing (zie voor de uitzonderingen de laatste paragraaf). Bij deze analyses verwerkt een organisatie namelijk beeld- en/of geluidsmateriaal van een persoon. Bij het analyseren van de gezichtsuitdrukkingen van een persoon worden niet alleen ‘normale’ persoonsgegevens verwerkt, maar ook biometrische gegevens. Biometrische gegevens zijn de unieke fysieke, fysiologische en/of gedragsgerelateerde kenmerken van een persoon die met behulp van technische middelen worden verwerkt, waardoor de identificatie of authenticatie van een persoon mogelijk is. Voor de verwerking van biometrische gegevens geldt een verwerkingsverbod onder de AVG. Dit betekent dat biometrische gegevens in beginsel niet mogen worden verwerkt. Dit verwerkingsverbod kan alleen worden opgeheven indien een zogeheten uitzonderingsgrond van toepassing is. In de AVG en de Nederlandse Uitvoeringswet van de AVG staan de uitzonderingsgronden omschreven waardoor verwerking van biometrische gegevens is toegestaan.
Voor de verwerkingen van persoonsgegevens die mogelijk een hoog risico zijn voor betrokkenen, is de uitvoering van een DPIA verplicht. In een DPIA worden onder andere de risico’s voor de betrokkenen in kaart gebracht en wordt beoordeeld welke maatregelen moeten worden getroffen om de risico’s te beperken. De Nederlandse toezichthouder – de Autoriteit Persoonsgegevens (AP) – heeft de verwerking van biometrische gegevens toegevoegd aan de lijst van gegevensverwerkingen waarvoor een DPIA verplicht is.
De AVG is niet altijd van toepassing op deepfakes. De AVG is bijvoorbeeld niet van toepassing wanneer een deepfake wordt gecreëerd voor enkel persoonlijk of huishoudelijk gebruik en deze niet wordt verspreid. De AVG is ook niet van toepassing wanneer een volledig fictief persoon wordt gecreëerd; er worden dan immers geen persoonsgegevens van een individu verwerkt. Ook zal een kwaadwillende zich niet aan de vereisten uit de AVG houden. In veel van deze gevallen zal het strafrecht van toepassing zijn.
In de aankomende AI-regelgeving zullen specifieke regels omtrent AI worden opgenomen. Ik ben erg benieuwd hoe deze verdere regulering van AI, waaronder deepfakes, handen en voeten gaat krijgen. Desalniettemin is naleving van de huidige juridische vereisten belangrijk, zodat nu al zoveel mogelijk rekening kan worden gehouden met de risico’s van deepfake. Daar waar de wet (nog) niet voorziet in regelgeving dienen we voorlopig ons gezonde verstand te gebruiken.
Wilt u meer weten over de detectie van deepfakevideo's en de toepassing van de AVG? Neem dan contact op met Romy ter Beek via terbeek@considerati.com of onderstaand contactformulier.