Prawo UE wymaga od firm z sektora Big Tech, aby zwiększyły swoje wysiłki na rzecz walki z wykorzystywaniem seksualnym dzieci, ale pozostaje jedno zasadnicze pytanie: jak?
Wpis jest tłumaczeniem artykułu „EU law would require Big Tech to do more to combat child sexual abuse, but a key question remains: How?”, autorka: Laura Draper, The Conversation, 14-06-2022; na licencji Creative Commons, tłumaczenie Arkadiusz Polak, zdjęcie Alfonso Scarpa z Unsplash.
Komisja Europejska zaproponowała niedawno przepisy mające na celu ochronę dzieci poprzez nałożenie na firmy technologiczne obowiązku skanowania zawartości swoich systemów w poszukiwaniu materiałów przedstawiających seksualne wykorzystywanie dzieci. Jest to niezwykle szeroko zakrojone i ambitne działanie, które miałoby szerokie konsekwencje poza granicami Unii Europejskiej, w tym w Stanach Zjednoczonych.
Niestety, proponowane regulacje są w większości przypadków niewykonalne z technologicznego punktu widzenia. Jeżeli miałyby działać, to wymagałyby naruszenia szyfrowania end-to-end, co umożliwiłoby firmom technologicznym – a potencjalnie także rządowi i hakerom – wgląd w prywatną korespondencję.
Przepisy zaproponowane 11 maja 2022 r. nałożyłyby na firmy technologiczne, które udostępniają treści i świadczą usługi komunikacyjne, w tym platformy mediów społecznościowych, usługi tekstowe i aplikacje do bezpośredniego przesyłania wiadomości, szereg obowiązków dotyczących wykrywania pewnych kategorii obrazów i tekstów.
Zgodnie z propozycją, firmy te będą zobowiązane do wykrywania wcześniej zidentyfikowanych materiałów przedstawiających seksualne wykorzystywanie dzieci, nowych materiałów przedstawiających seksualne wykorzystywanie dzieci oraz nagabywania dzieci w celach seksualnych. Firmy byłyby zobowiązane do zgłaszania wykrytych treści do Centrum UE – scentralizowanego podmiotu koordynującego, który zostałby ustanowiony na mocy proponowanych przepisów.
Każda z tych kategorii wiąże się z innymi wyzwaniami, które w połączeniu sprawiają, że proponowane regulacje nie mogą być wdrożone jako pakiet. Kompromis między ochroną dzieci a ochroną prywatności użytkowników podkreśla, że walka z wykorzystywaniem seksualnym dzieci w Internecie jest „trudnym problemem„. Stawia to firmy technologiczne w trudnej sytuacji: muszą przestrzegać przepisów, które służą szczytnemu celowi, ale nie mają do tego odpowiednich środków.
Cyfrowe odciski palców
Naukowcy od ponad dziesięciu lat wiedzą, jak wykrywać wcześniej zidentyfikowane materiały przedstawiające wykorzystywanie seksualne dzieci. Metoda ta, opracowana po raz pierwszy przez Microsoft, polega na przypisaniu obrazowi „wartości hash” – swego rodzaju cyfrowego odcisku palca – który następnie można porównać z bazą danych wcześniej zidentyfikowanych i zaszyfrowanych materiałów przedstawiających wykorzystywanie seksualne dzieci. W Stanach Zjednoczonych Krajowe Centrum ds. Dzieci Zaginionych i Wykorzystywanych zarządza kilkoma bazami danych wartości hash, a niektóre firmy technologiczne prowadzą własne zestawy hash.
Wartości hash dla zdjęć przesłanych lub udostępnionych za pomocą usług danej firmy są porównywane z tymi bazami danych w celu wykrycia wcześniej zidentyfikowanych materiałów przedstawiających wykorzystywanie seksualne dzieci. Metoda ta okazała się niezwykle dokładna, niezawodna i szybka, co ma kluczowe znaczenie dla skalowalności każdego rozwiązania technicznego.
Problem polega na tym, że wielu obrońców prywatności uważa ją za niezgodną z szyfrowaniem typu „end-to-end”, które w ścisłym rozumieniu oznacza, że tylko nadawca i odbiorca mogą zapoznać się z treścią. Ponieważ proponowane przepisy UE nakładają na firmy technologiczne obowiązek zgłaszania do Centrum UE wszelkich wykrytych materiałów związanych z seksualnym wykorzystywaniem dzieci, naruszałoby to szyfrowanie typu end-to-end, co wymusiłoby kompromis między skutecznym wykrywaniem szkodliwych materiałów a prywatnością użytkowników.
Rozpoznawanie nowych szkodliwych materiałów
W przypadku nowych treści – czyli obrazów i filmów wideo nieuwzględnionych w bazach danych haszy – nie ma takiego wypróbowanego i sprawdzonego rozwiązania technicznego. Najlepsi inżynierowie pracują nad tym zagadnieniem, budując i szkoląc narzędzia sztucznej inteligencji, które są w stanie przetworzyć duże ilości danych. Google i pozarządowa organizacja Thorn, zajmująca się bezpieczeństwem dzieci, odniosły pewne sukcesy, stosując klasyfikatory uczenia maszynowego, aby pomóc firmom w identyfikacji potencjalnych nowych materiałów związanych z seksualnym wykorzystywaniem dzieci.
Jednak bez niezależnie zweryfikowanych danych na temat dokładności tych narzędzi nie można ocenić ich przydatności. Nawet jeśli dokładność i szybkość są porównywalne z technologią porównywania pasujących haszy, obowiązkowe raportowanie ponownie naruszy szyfrowanie typu end-to-end.
Nowe treści obejmują również transmisje na żywo, ale proponowane przepisy zdają się nie dostrzegać wyjątkowych wyzwań, jakie stwarza ta technologia. Technologia livestreaming stała się wszechobecna w czasie pandemii, a produkcja materiałów związanych z seksualnym wykorzystywaniem dzieci na podstawie materiałów transmitowanych na żywo dramatycznie wzrosła.
Coraz więcej dzieci jest nakłanianych lub zmuszanych do transmitowania na żywo aktów seksualnych, które widzowie mogą nagrywać lub przechwytywać na ekranie. Organizacje działające na rzecz bezpieczeństwa dzieci zauważyły, że w ciągu ostatnich kilku lat gwałtownie wzrosła produkcja „materiałów przedstawiających wykorzystywanie seksualne dzieci w pierwszej osobie”, czyli materiałów przedstawiających wykorzystywanie seksualne dzieci w formie zdjęć typu selfie. Ponadto handlarze mogą transmitować na żywo wykorzystywanie seksualne dzieci dla przestępców, którzy płacą za oglądanie.
Okoliczności, które prowadzą do nagrywania i przesyłania na żywo materiałów przedstawiających seksualne wykorzystywanie dzieci, są bardzo różne, ale technologia jest taka sama. Obecnie nie istnieje żadne rozwiązanie techniczne, które pozwoliłoby wykryć produkcję materiałów przedstawiających wykorzystywanie seksualne dzieci w trakcie jej trwania. Firma SafeToNet, zajmująca się bezpieczeństwem technicznym, opracowuje narzędzie do wykrywania w czasie rzeczywistym, ale nie jest ono jeszcze gotowe do wprowadzenia na rynek.
Wykrywanie nagabywania
Wykrywanie trzeciej kategorii – „języka nagabywania” – jest również trudne. Branża technologiczna podjęła specjalne wysiłki w celu określenia wskaźników niezbędnych do zidentyfikowania języka nagabywania i kuszenia, ale z różnym skutkiem. Firma Microsoft zainicjowała Projekt Artemis, który doprowadził do opracowania narzędzia Anti-Grooming Tool. Narzędzie to zostało zaprojektowane w celu wykrywania kuszenia i nagabywania dziecka w celach seksualnych.
Jak jednak zaznaczono w proponowanych przepisach, dokładność tego narzędzia wynosi 88%. W 2020 r. popularna aplikacja do przesyłania wiadomości WhatsApp dostarczała około 100 mld wiadomości dziennie. Jeśli narzędzie zidentyfikuje nawet 0,01% wiadomości jako „pozytywne” pod względem języka nagabywania, ludzcy recenzenci musieliby przeczytać 10 milionów wiadomości każdego dnia, aby zidentyfikować 12%, które są fałszywie pozytywne, co sprawia, że narzędzie jest po prostu niepraktyczne.
Podobnie jak w przypadku wszystkich wyżej wymienionych metod wykrywania, również ta naruszała by szyfrowanie typu end-to-end. Jednak podczas gdy inne metody mogą ograniczać się do sprawdzenia wartości hash obrazu, to narzędzie wymaga dostępu do całego przesyłanego tekstu.
Brak ścieżki
Możliwe, że Komisja Europejska przyjmuje tak ambitne podejście w nadziei na pobudzenie innowacji technicznych, które doprowadziłyby do powstania dokładniejszych i bardziej niezawodnych metod wykrywania. Jednak bez istniejących narzędzi, które mogłyby spełnić te wymagania, przepisy są nieskuteczne.
Gdy istnieje mandat do podjęcia działań, ale nie ma drogi, którą należy podążać, uważam, że rozdźwięk spowoduje, że branża po prostu pozostanie bez jasnych wytycznych i wskazówek, które te przepisy powinny zapewniać.
Laura Draper jest starszym dyrektorem projektu w Washington College of Law. Kieruje projektem badawczym mającym na celu zidentyfikowanie narzędzi, najlepszych praktyk oraz prawnych i politycznych opcji dostępnych dla firm technologicznych i organów ścigania w celu zwalczania wykorzystywania seksualnego dzieci w Internecie, w związku z rosnącą popularnością szyfrowania typu end-to-end. Przed rozpoczęciem pracy w TLS pracowała jako asystent radcy prawnego w Federalnym Biurze Śledczym oraz jako urzędnik sądowy w Południowym Dystrykcie Nowego Jorku. Przed podjęciem studiów prawniczych pracowała w Council of State Governments Justice Center, gdzie zajmowała się sprawami związanymi z egzekwowaniem prawa. Pani Draper uzyskała tytuł JD na NYU School of Law, MS na University of Pennsylvania, MPhil na Cambridge University oraz BA na Case Western Reserve University.
