Mogao bi ugušiti hrvatske startupe, ali Chat Control još uvijek je na tankom ledu

U utorak, 14. listopada se na sastanku ministara unutarnjih poslova EU trebalo održati glasanje o prijedlogu Chat Controla. No, na dnevnom ga redu nema. Neki su mediji već najavljivali kako će glasanje biti odgođeno zbog “dubokih podjela unutar država članica EU”.

Podsjetimo, danski prijedlog je podržalo 13 članica, među kojima je i Hrvatska, dok se kao glavna kočnica navodi Njemačka. Kontrola sadržaja koji se razmjenjuju preko platformi s end-to-end enkripcijom protumačena je kao uvođenje masovnog nadzora građana. No, prihvaćanje tog prijedloga moglo bi imati dalekosežnije posljedice, između ostalog i na poslovanje malih IT tvrtki i startupova.

Ako bi takav zakon stupio na snagu, mali timovi mogli bi se suočiti s golemim dodatnim troškovima, mjesecima razvoja i zahtjevima za specijaliziranim sigurnosnim kadrom. Budući da su mali i nemaju viška resursa, to bi moglo biti presudno za njihov opstanak.

O tome što Chat Control znači za njih razgovarali smo s Dominikom Cvetkovskim, suosnivačem i developerom u gaming startupu Aniq, a profesor Stjepan Groš sa specijalističkog studija Informacijska sigurnost na FER-u objasnio je tehničke detalje koje bi taj zakon mogao promijeniti.

Zašto EU želi čitati naše poruke?

Na što se dakle odnosi Zakon o kojem bruji cijeli internet posljednjih mjeseci. Riječ je o prijedlogu Europske komisije iz svibnja 2022. o uredbi za sprječavanje i suzbijanje seksualnog zlostavljanja djece.

Službeni cilj Zakona je sprječavanje seksualnog zlostavljanja djece na internetu otkrivanjem pornografije ili groominga – komunikacije s namjerom pridobivanja povjerenja i zavođenja djece.

Budući da predviđa skeniranje fotografija, videa i poruka na platformama poput WhatsAppa, Messengera, Signala, i e-maila, ubrzo se o njemu počelo govoriti kao o Chat Controlu.

Kad bi slijedile slovo tog zakona, trgovine aplikacijama App Store i Google Play morale bi blokirati aplikacije koje ne ispunjavaju kriterije, čime bi mnoge privatne ili open-source aplikacije bile isključene iz tržišta.

Kraj enkripcije kakvu danas poznajemo

Sporan je dio zakonskog prijedloga koji bi nadzor proširio i na end-to-end enkripciju koja trenutno jamči da sadržaj poruke mogu vidjeti samo pošiljatelj i primatelj. Profesor Groš upozorava kako bi taj potez značio kraj enkripcije kakvu danas poznajemo te otvorio pitanja zlouporabe:

Tehnologija namijenjena otkrivanju dječje pornografije mogla bi se jednako koristiti i za uvid u poruke koje s tim nemaju veze.

Dakle, jednom kad se uspostavi mehanizam nadzora, granice njegove primjene postaju rastezljive. Također, obzirom da bi nadzor provodila umjetna inteligencija koja nije nepogrešiva, ljudi bi mogli trpjeti ozbiljne posljedice uzrokovane pogrešnim procjenama.

Cijena ovakve kontrole mogla bi biti velika, kako za privatnost svih korisnika tako i za poslovanje domaćih IT timova.

Dodatna ulaganja

Jedan od pripadnika te zajednice, Cvetkovski je u viralnoj Reddit objavi koju je pogledalo preko 140 tisuća ljudi to objasnio ovako:

Zamisli da svaka poruka koju pošalješ frendu, sve chat grupe, slike i memeovi prolaze kroz “automatizirani pregled” prije nego što uopće budu poslane s tvog mobitela ili kompa.

Zamisli da moraš skenirati osobnu kako bi otvorio profil na Facebooku, WhatsAppu ili Redditu i povezati ga sa svojim imenom i prezimenom. Ovo nije Orwellova 1984., već novi prijedlog zakona Europske unije.

Osim invazije na privatnost i kršenja digitalnih prava, uvođenje Chat Controla značilo bi i dodatna ulaganja u aplikacije i igre koje omogućuju privatne poruke. Moralo bi se u njih implementirati sustave za skeniranje sadržaja.

Kako bi to točno izgledalo, Cvetkovski sliježe ramenima:

To je nama kao sustav za izdavanje e-računa – potpuna nepoznanica. Vjerujem da će se ići ka implementaciji gotovih rješenja, ali neće to biti plug-and-play, pogotovo za videoigre koje imaju vlastite chat sustave.

Mjeseci razvoja

Za manje startupe to bi, kaže, moglo značiti mjesece dodatnog razvoja koji se ne odnosi na proizvod, nego na ispunjavanje birokratskog uvjeta. Neki bi timovi, dodaje, možda potpuno odustali od razvijanja aplikacija s privatnim chatom jer rizik i trošak jednostavno ne bi bili isplativi.

Startupima koji se tek bore za product-market fit, dodatni troškovi i ovisnost o vanjskim alatima mogli bi biti posljednji čavao u lijes, navodi osnivač gaming startupa.

Profesor Groš u tome ipak vidi priliku te napominje kako sve ovisi o stručnjacima koje timovi već imaju:

Regulativa bi sigurno potaknula tvrtke da nude gotova ili polugotova rješenja koja bi mogla značajno skratiti trajanje implementacije i smanjiti potrebu za kadrom. 

No upravo takva gotova rješenja otvaraju novu kontroverzu iza prijedloga tog zakona.

Holivudske zvijezde kao glavni lobisti

Nije novost kako zakoni ove vrste ne dolaze isključivo iz birokratskih ureda Bruxellesa. U svakom prijedlogu zakona, stoji niz raznih lobističkih aktera, a ovog puta u priči se našao i holivudski glumac Ashton Kutcher.

Uz svoju holivudsku karijeru, Kutcher se već godinama ulaže u tehnologiju. Tako se kroz svoju organizaciju Thorn zalagao i za uvođenje Chat Controla.

Thorn, naime, razvija softver za detekciju sadržaja seksualnog zlostavljanja djece i već ima implementirana rješenja koja bi mogla poslužiti kao plug and play alat u slučaju da Chat Control stupi na snagu.

Nije sve filmski savršeno kao što se čini. Implementacija Thornovog sustava ne bi bila jednostavna.

U slučaju da se startup odluči na implementaciju gotovog rješenja poput Thornovog, prvo bi bila potrebna certifikacija EU tijela, integracija postojećeg koda, dodatna testiranja, dugoročna održavanja i još mnoštvo dodatnih troškova koji male timove ponovno dovode u probleme.

Skriveni troškovi za tvrtke

Osim vremena i novca, Chat Control otvara i pitanje kompetencija. Može li prosječan tim implementirati ili sam stvoriti ovako kompleksan sustav? Realno gledajući većina timova nema znanje ni kvalifikacije po tim pitanjima što bi vjerojatno zahtijevalo dodatne edukacije i certifikacije, kaže Dominik.

Dodaje kako u praksi to znači da bi mali startup s tri developera morao zaposliti security inženjera, osobu koja je na tržištu već deficitarna i skupa. Startupima koji tek traže product-market fit, to je jednostavno nemoguća misija.

Većim timovima to bi bio manji problem s obzirom na strukturu i broj zaposlenih tako da bi se u njihovim redovima stručnjaci za ova pitanja vjerojatno brže pronašli. Za male timove, gdje je budžet od par stotina tisuća eura godišnje već luksuz, dodatni compliance od 50 ili 100 tisuća eura može biti ‘smrtonosan’, nadodaje Dominik.

Odljev talenata

Europska startup scena ionako je u stalnom problemu s odljevom talenata. Birokracija, spori procesi i nedostatak pristupima kasnijim fazama financiranja već tjeraju timove prema SAD-u ili Aziji.

Nove komplikacije i zapreke neometanog razvoja poslovanja nikako ne utječu pozitivno na inovativnost, istraživanje i razvoj, ali ni na volju za ostanak u europskom bazenu gdje svako malo isplivaju neka nova zakonska ograničenja. Dominik komentira:

Volim život u Hrvatskoj, ali ovo je još jedna birokratska glupost koje na vanjskim tržištima nema.

I zaista, kako konkurirati američkom startupu koji ne mora razvijati sustave za skeniranje privatnih poruka. Dok europski tim gubi mjesece na compliance, američki ulaže u funkcionalnosti, user experience i skaliranje, a time europsko tržište postaje sve manje privlačno. Globalno gledano, EU je već iza SAD-a i Kine po tehnološkoj konkurentnosti. Ako se Chat Control uvede, situacija bi se mogla dodatno pogoršati.

Koji je onda smisao?

Pitanje koje lebdi nad cijelom pričom je ima li ovakva regulativa uopće smisla? Veće platforme ionako već imaju sustave za filtriranje sadržaja i prijavu neprikladnih sadržaja. Uvođenje obaveze nadziranja privatnih poruka je, kaže Dominik, “korak previše”:

To je kao da netko kaže “ja nemam što skrivati”, pa ti stavi kameru u WC jer mali postotak ljudi tamo radi nešto ilegalno. To je logika koja vodi masovnoj kontroli i krši temeljna prava.

Jedina varijanta pod kojom bi zakon bio “podnošljiv”, tumači on, bila bi da se uvede prag po broju korisnika, odnosno da obaveza vrijedi samo za velike platforme.

No pasarán?

Ipak, prijedlog je na klimavim nogama. Kako bi prošao u Vijeću Europske unije treba ga podržati kvalificirana većina, što znači najmanje 15 od 27 članica, a one moraju predstavljati najmanje 65% ukupnog stanovništva EU.

S Njemačkom u kojoj je 18% populacije Unije, to je teško postići. Ipak, situacija nije crno-bijela. Njemačka vlada je podijeljena treba li podržati ovaj zakon, piše Politico.

No, čak i kada bi se sve velike zemlje ujedinile oko prijedloga, u Europskom parlamentu gdje prije odluke riječ imaju razni odbori za građanske slobode, čekala bi ga nova prepreka.

Da ne spominjemo otpor javnosti, pravnih stručnjaka i IT sektora. Signal, ProtonMail i Threema su otišli i korak dalje te najavili povlačenje s EU tržišta ako uredba prođe.

No, sve je moguće. Nastavak političkih razgovora o ovoj temi očekuje se u prosincu.