Interview cyber: de Socratische benadering van technologie

Mijn vorige keukentafelgesprek eindigde met de oproep van Christiaan Alberdingk Thijm om burgers te laten opstaan als moderators zodat er regulering van technologische ontwikkelingen komt. Als samenleving worstelen we met het stellen van kaders waarin we technologie optimaal kunnen benutten. Daardoor lopen we het gevaar dat mens en technologie niet in balans zijn en dat de mens de ontwikkelingen niet kan bijbenen. Hoe vind je die balans in regulering? Ik ga hier vandaag over in gesprek met Ton Wagemans, jurist, professioneel balanceerder en net als ik vrijdenker. Hij helpt organisaties bij het laten landen van technologie door na te denken over het beleid en communicatie en heeft onderzoek gedaan naar zelfregulering.

Dit artikel verscheen in 03-2021, in het magazine Data, Cybersecurity & Privacy. De interviewer is Roel van Rijsewijk, onze director Cyber Defence.

Gedragscodes voor het internet

Met een grote kop thee starten we het gesprek. Ik wil graag weten waar zijn passie voor dit onderwerp regulering vandaan komt. Ton begint: “Na mijn studie rechten, startte ik met wat vrienden een webshop in cadeauartikelen. De jurist in mij ging op zoek naar algemene voorwaarden voor zakendoen op het internet. Na een flinke zoektocht kwam ik erachter dat deze niet bestonden. Wel vond ik een gedragscode van het Electronic Commerce Platform (ECP). Ik benaderde hen met de vraag: ‘Waarom houden jullie je hiermee bezig?’ De directeur vond het een interessante vraag en nodigde me uit. Dit spontane gesprek leidde tot een baan als jurist bij ECP, ik was daar secretaris van de juridische werkgroep.” Met een glinstering in zijn ogen vertelt hij: “Ik prijs mezelf gelukkig met deze baan, want de webshop met cadeauartikelen heeft de dotcom bubble niet overleefd.”

“Het ECP was opgericht om Nederland snel te laten ontwikkelen op het gebied van digitaal zakendoen. Het platform heeft als doel gedragscodes en communicatie te ontwikkelen. In de ruim vier jaar bij ECP, heb ik Nederland vertegenwoordigd als deskundige bij de Verenigde Naties en de Europese Commissie. Hier heb ik veel gezien en ook nagedacht over de balans die nodig is om tot goede wetgeving te komen. Je wilt optimaal gebruik maken van technologie en misbruik voorkomen. Mijn huidige compagnon, Bart Schermers, heb ik ook in mijn tijd bij ECP leren kennen toen ik hem aannam als stagiair”, vervolgt Ton zijn achtergrondverhaal.
Lachend toont Ton zijn mobiele telefoon en voegt toe: ”Ik ken mijn vrouw langer, maar Bart staat in mijn telefoon qua favorieten op één. Ik spreek hem als compagnon en vriend heel vaak!”

Regulatory holiday op het internet

“Na enkele jaren was ik toe aan een nieuwe uitdaging. Jarenlang heb ik gewerkt aan regulering en beleid, maar niemand kon mij uitleggen wat zelfregulering van het internet precies inhield. Het internet begon als een soort ‘regulatory holiday’, het was klein, niemand snapte het. Inmiddels heeft het een grote impact op ons dagelijks leven. Als technologie zo vitaal wordt, moet je dat wel gaan borgen met regelgeving. Ik besloot daarom zelfregulering te onderzoeken bij de Universiteit van Oxford.”

De magie van Oxford

Met gezonde jaloezie denk ik aan Oxford, dat is een hele inspirerende omgeving! Ik vraag Ton dan ook naar zijn ervaringen.

Ton begint stralend aan zijn verhaal: “De drie maanden in deze academische omgeving met alleen maar slimme mensen waren magisch. De rijke historie, oude bibliotheken en interessante colleges dragen daar zeker aan bij. Als ik dit eerder had geweten, had ik nog harder mijn best gedaan om hier sneller te belanden. Ik woonde al jaren samen met mijn vrouw en hier werd ik op mezelf teruggeworpen. Het waren maanden van bezinning en nadenken over de volgende stap. Ik keerde terug met een extra koffer vol met gelezen boeken en nieuwe inzichten. Op Oxford realiseerde ik me dat technologie alleen maar belangrijker gaat worden. Het idee dat je nieuwe technologie op een goede manier moet begeleiden om er eerder profijt van te hebben, had ik al langer. Ik geloof er heilig in dat technologie ons vooruit kan helpen, maar erken ook dat technologie dingen kan veroorzaken die we niet willen. Daarom moeten we goed over regulering nadenken en randvoorwaarden creëren.”

“Na Oxford heb ik enkele bedrijven geholpen bij het ontwikkelen van hun eigen visie, beleid en communicatie. Toen ontstond het idee om een eigen onderneming te starten dat particuliere organisaties hierbij helpt. Ik belde Bart met de vraag of hij zich bij mij wilde aansluiten en toen brak de kredietcrisis in volle hevigheid uit. Doel was om bedrijven niet alleen te ondersteunen bij het beheren van de juridische aspecten van technologie, maar ook bij hun visie, beleid en communicatie daaromtrent. We hebben veel geluk gehad dat we meteen een aantal visionaire klanten hadden die geloofden in ons verhaal. Sindsdien zijn we continu blijven groeien”, vertelt hij met gepaste trots.

Technologie is overal

De technologische ontwikkeling gaat hard. Zo hard dat wij als mensen dat nauwelijks bij kunnen benen. Als je kijkt hoe essentieel technologie is geworden, ook in fundamentele kwesties in onze samenleving, dan moet je waarborgen dat mens en technologie in balans blijven. Ik ben benieuwd hoe Ton hier tegenaan kijkt.

“Er is nog niet eerder zoveel gebeurd op technologievlak als in de afgelopen 10 jaar. We begrijpen niet meer hoe het werkt en de absorptie van zoveel nieuwe dingen is lastig. Terwijl adaptie van technologie het succes van een samenleving bepaalt. Onderwerpen als milieu en migratie hebben een technische component in zich; oplossingen voor dit soort grote vraagstukken zijn niet eenvoudig, maar door slimme technologieën toe te passen komen ze wel een stuk dichterbij. Het is daarom cruciaal dat politici en beleidsmakers meer kennis over dit onderwerp opdoen en specialisten raadplegen. Als je bijvoorbeeld naar de huidige verkiezingsprogramma’s in Nederland kijkt, gaan ze nauwelijks over digitalisering. Het gaat over banen, gezondheidszorg en onderwijs. Dit zijn belangrijke thema’s, maar ook hier heeft digitalisering invloed op”, betuigt Ton bevlogen.

Over de grens

Wat Ton zegt triggert mij. Eerder hield Cees Verhoeven hetzelfde pleidooi aan mijn keukentafel. Ik ben het hier volledig mee eens. Als technologie overal in zit, kun je het ook niet afbakenen. “De regelgeving op technologie is nationaal, terwijl het geen grenzen kent. Net zoals cybercriminaliteit, om het maar even dicht bij huis te houden, houdt technologie geen rekening met landsgrenzen.”

Ton haakt hier op in: “Dit bemoeilijkt het opstellen en handhaven van beleid. De boeven zijn inderdaad moeilijker te vangen en er zijn wereldwijde principle based normen nodig. Daarbij moet je niet vergeten dat technologie continu in ontwikkeling is. Strakke wetgeving is daarom niet gewenst. De vooruitgang die technologie brengt, wil je niet belemmeren of zelfs in de kiem smoren. Op dit moment ontbreekt het aan een plek om normen voor technologie, zoals het gebruik van algoritmes, vast te stellen. De Verenigde Naties zijn bijvoorbeeld erg voorzichtig, maar hebben wel de slagkracht waar het andere partijen aan ontbreekt. Het is in ieder geval noodzakelijk om concreet te worden en de wereldwijde technologische ontwikkeling te reguleren op zowel ethisch als juridisch vlak.”

Eerlijk zullen we alles delen

We moeten wereldwijd samenwerken om een goed beleid op te stellen voor het faciliteren van technologie. Het thema samenwerken brengt mij op een idee waar ik al lange tijd mee speel en ik graag Ton zijn mening over hoor. Ik vertel hem in het kort mijn idee over een uitbreiding van de meldplicht datalekken binnen GDPR. Wat mij betreft moet de meldplicht breder getrokken worden en moet op securityvlak bijvoorbeeld kennis gedeeld worden zodat anderen zich beter kunnen beschermen. Nu wordt de meldplicht vooral gebruikt om boetes en waarschuwingen uit te delen, terwijl de kennis over waarom het fout is gegaan niet gedeeld wordt. Bedrijven moeten deze informatie juist met elkaar delen, om de veiligheid te verhogen. Ook securitybedrijven moeten hun kennis aanbieden en niet meer aan de hoogste bieder verkopen. Tot slot ligt er ook een rol voor de inlichtingendiensten in het delen van hun informatie. Zo kunnen bedrijven zich beter beschermen en dus beter profiteren van technologie.

“Ik denk dat dit heel goed zou zijn”, antwoord Ton terwijl hij instemmend knikt. “Maar het lastige is natuurlijk: wie gaat deze informatie verwerken? Het levert ontzettend veel werk op om alle bedrijven te waarschuwen. Hoe we dit precies handen en voeten moeten geven, is iets waar goed over nagedacht moet worden.”

Nederland als speeltuin

In mijn optiek is Nederland een goede omgeving om hiermee te experimenteren. “We zouden dit in kunnen richten met behulp van slimme encryptie en blockchainachtige concepten. Op die manier kan threat intelligence worden prijsgegeven zonder een machtig orgaan dat al het werk moet verzetten.”

Ton is nog niet overtuigd: “Het valt of staat wel echt met de uitvoering. Ik denk dat iedereen voorstander is van het delen van zulke kennis, maar hoe je het goed regelt zodat het werkt is de vraag. Je wilt niet dat iedereen moeite steekt in het melden en er vervolgens niets mee gedaan wordt. Daarnaast zijn niet alle datalekken het melden waard. Je moet er wel wat van kunnen leren.”

“Zoals de meldplicht kan er in Nederland nog veel verbeterd worden, maar ik vind ook dat we een pluim verdienen. We denken na over de inzet van technologie. Ondanks dat we klagen over het kennisniveau van ambtenaren met betrekking tot technologie is dat hier in vergelijking met andere landen hoog. Daarnaast zijn er goede overlegstructuren ingericht. We lopen echt voorop op dit gebied. Een instelling als ‘onze’ NCSC zouden veel andere landen bijvoorbeeld ook wel willen hebben en Justitie werkt al met AI. Het vakgebied blijft zich continu ontwikkelen”, vervolgt Ton.

De koude cyberoorlog

Dit brengt mij op het volgende onderwerp: de ontwikkeling van technologie. In de media wordt een aantal continenten bestempeld als grootmachten op technologiegebied. Je leest vaak over de uitdaging van Europa om bij te blijven en de koude cyberoorlog. Ik ben benieuwd of Ton Amerika, China en Europa ook als de leiders ziet.
Ton bevestigt het beeld dat ik schets: “Amerika heeft natuurlijk veel technologie voortgebracht en de wereld veroverd met Silicon Valley. China volgt op de voet met veel nieuwe ontwikkelingen. De snelheid waarmee je technologie implementeert, wordt steeds belangrijker. Om technologie te laten landen is regulering nodig. Daar laat Europa het vooral liggen, we staan niet bekend om onze snelheid. We praten te lang en missen tempo. Terwijl dat wel nodig is om onze positie te behouden ten opzichte van de andere wereldmachten. Als je te lang blijft nadenken, word je voorbijgestreefd. Een goed voorbeeld is de invoering van de digitale handtekening. Daar hebben we lang over nagedacht, 8 jaar heeft de invoering geduurd. In Singapore kostte het slechts 1,5 jaar om dit te implementeren. Als dat met iedere technologie gebeurt, loop je op een gegeven moment te veel achter. De landen die technologie sneller adopteren, gaan dan de discussie leiden.”

Facebook’s Supreme Court

We zijn het er beiden over eens dat we te langzaam gaan. Maar ik vind dat we ook dingen goed doen: “Ik zie ook dat het reguleren en daarmee implementeren van technologie te lang duurt. GDPR is een voorbeeld waarbij we het wel goed doen. Hiermee hebben we de norm gezet voor de rest van de wereld. Wat mij zorgen baart, is dat de meeste grote techbedrijven niet uit Europa komen en we hierin achterblijven. Zij zetten de kaders en bepalen welke technologie we gebruiken.”

Ik zie in Ton zijn blik enige frustratie. “Er wordt nu veel afgegeven op de grote techbedrijven, maar zij streven ook ethische waarden na. Ze worden nu bijvoorbeeld afgerekend voor het bepalen van het nieuws, maar hebben nooit de intentie gehad om de inhoud te bepalen. Zij moesten van overheden op gaan treden tegen fake news en de verspreiding terroristisch gedachtegoed. Ze hebben zich lang verzet tegen deze taak. Het brengt hen namelijk in een moeilijke positie. Hoe bepaal je de normen en waarden, wat is goed en wat is fout? Net zoals de techbedrijven ervaren we allemaal nieuwe dingen, waarvan niemand precies weet hoe het moet.”

“Volgens Mark Zuckerberg moet er een soort Supreme Court komen aangezien zij zelf niet willen bepalen wat wel of niet kan. Hoe bepaal je of de vrijheid van meningsuiting zwaarder weegt? Facebook is een community, bijna een land op zich waar regels gelden. Dat kun je ook als gebruikers zelf met elkaar gaan bepalen? De anarchist in mij wordt heel enthousiast van deze vorm van zelfregulering. Het internet is immers van niemand”, vul ik Ton aan.

Ton haakt hierop in: “Hier is veel discussie over onder academici. Het internet was ooit van niemand, maar die fase zijn we voorbij. Het is de vraag of gebruikers zichzelf moet gaan reguleren. Er moeten in ieder geval goede afspraken komen die houdbaar zijn en waar de belangen van iedereen in meegewogen worden. Vergeet niet dat je achtergrond vaak bepaalt hoe je naar regelgeving kijkt. Dit merk ik vooral in mijn gesprekken met buitenlandse studenten op de Universiteit van Leiden. Dit zijn allemaal slimme mensen, maar zij kijken vanuit het gedachtegoed van hun land naar technologie. Ze begrijpen ons individualisme, maar niet iedereen is daar een groot voorstander van. Consensus is dus lastig, alleen al binnen één land. Vervolgens moet je het dan ook nog in de praktijk te brengen.”

Policy prototyping

Er is jurisprudentie dat bedrijven moeten voldoen aan de regels van het land van de gebruiker. Dus als Facebook beschikbaar is in Nederland, moet het voldoen aan de Nederlandse wet. Er wordt dus een poging gedaan om met corporate binding rules de regels voor alle landen enigszins hetzelfde te krijgen. Bedrijven kunnen niet 180 interfaces maken om aan de regelgeving per land te voldoen. Bovendien zijn techbedrijven ingericht op de maximale user experience. “De cookiewet is een goed voorbeeld van leuk bedacht met de beste intenties, maar iedereen heeft er last van en het werkt niet zoals bedoeld. De user experience komt hiermee in het geding.”

“Klopt”, antwoord Ton, terwijl zijn ogen beginnen te glimmen. “We vinden het met elkaar uit en dus moet je wel testen en uitproberen. Als je alles gaat verbieden en niets durft, werkt het ook niet. Bij Considerati hebben we gebruik gemaakt van policy prototyping. Op basis van alle reguleringsinitiatieven uit verschillende landen, hebben we een ‘rode draad wet’ gemaakt. Deze hebben we getest in een productomgeving van Facebook. Dat leverde feedback op van mensen die er in de praktijk mee moeten werken. Er ontstonden hierdoor heel interessante inzichten waarmee je de regels kunt bijstellen en optimaliseren.”

Ik word hier enthousiast van. Dit is dé manier om het volk te laten beslissen. Technologie maakt deze feedback mogelijk. “Dat vind ik een mooi initiatief. Wetgeving testen, Hiermee kunnen we de manier waarop we al het beleid maken vernieuwen. Technologie biedt ons de handvatten om dit te realiseren. We stemmen nu eens in de vier jaar, maar ten tijde van de Griekse oudheid werden alle grote beslissingen door het volk genomen. Technologie maakt een dergelijke vorm weer mogelijk. Ik zie dat wel zitten.”

Geen zero sum game

Ton geeft aan dat hij ook bij de vrijdenkers hoort. “Ik vind het een mooi idee. Het is belangrijk dat iedereen gaat nadenken over technologie en regels die in de praktijk werken. Ik merk dat de keuzes vaak gesimplificeerd worden weergegeven. Het is geen zero sum game. Het gaat om technologie toepassen met de waarborging die je nodig hebt om er niemand mee te benadelen”, betoogt hij gepassioneerd.

Ik sluit me volledig bij Ton aan. Het gesprek gaat vervolgens over het referendum rondom de sleepwet in 2018. Hierbij vertel ik Ton: “Ja of nee is te eenvoudig, door het probleem op die manier voor te leggen kom je niet tot een goede uitkomst. Weinig mensen begrepen het volledig. Het is geen ja of nee keuze, maar gaat over het vinden van balans. Ik zie de parallellen met cybersecurity. Het is geen kwestie van 100 procent waterdichte beveiliging of gebruiksgemak. Je zoekt de balans. Dit geldt ook voor het beleid en de wetgeving rondom technologie. Hierbij wil je faciliteren en excessen voorkomen. Het vinden van de juiste balans is altijd een uitdaging. Hier moeten we vooral blijven leren. Door beleid sneller te implementeren of te testen kun je leren en blijven verbeteren.”

Ton knikt bevestigend: “We willen we de technologie optimaal benutten, maar dan moet er ruimte zijn voor het experimenteren qua beleid. Reguleren is niet eenvoudig. Je gaat op zoek naar de balans om de samenleving verder te helpen. Het beleid testen helpt ons hierbij. Je voorkomt hiermee eindeloos vergaderen over de juiste balans, waarmee je de adoptie van technologie versnelt.”

Filosoferen in het Twiske

Aan het einde van het gesprek spreken we af om tijdens een wandeling in het Twiske verder te filosoferen. Ton beweert niet alle antwoorden te hebben, maar roept vooral op voor veel dialoog en experimenten om de antwoorden te ontdekken.