„Bezpieczna” weryfikacja wieku? Prawda może zaskoczyć

Weryfikacja wieku użytkowników mediów społecznościowych nie jest niczym nowym. Facebook oraz inne platformy od lat wprowadzają ograniczenia wiekowe przy zakładaniu kont. W praktyce jednak zabezpieczenia te często okazywały się łatwe do obejścia i sprowadzały się do prostego zadeklarowania wieku przez użytkownika.

Na łamach naszego portalu opisywaliśmy przypadek Australii, która jako pierwsza zdecydowała się wprowadzić zakaz korzystania z mediów społecznościowych przez osoby poniżej 16. roku życia. Nowe przepisy nałożyły również na firmy technologiczne obowiązek skuteczniejszej weryfikacji wieku, a zatem nie tylko poprzez symboliczne kliknięcie w oświadczenie „mam 16 lat”, lecz z wykorzystaniem bardziej zaawansowanych mechanizmów potwierdzania tożsamości.

Działania platform w tym obszarze od dłuższego czasu analizują eksperci ds. cyberbezpieczeństwa. Wyzwaniem stało się znalezienie równowagi między realnym sprawdzaniem wieku a ochroną wrażliwych danych użytkowników i ich prywatności.

Wśród firm wdrażających nowe systemy weryfikacji wieku znalazło się także OpenAI, twórca ChatGPT. Spółka nawiązała współpracę z uznanym w branży partnerem, firmą Persona, z którego usług korzystają m.in. Discord oraz LinkedIn.

Nietrudno więc zrozumieć, dlaczego ta współpraca przyciągnęła uwagę badaczy cyberbezpieczeństwa. Analizując zakres i sposób działania mechanizmów weryfikacyjnych, eksperci wskazują na potencjalne ryzyko: narzędzia projektowane jako element zwiększający bezpieczeństwo mogą jednocześnie prowadzić do powstania rozbudowanych systemów monitorowania tożsamości użytkowników. Innymi słowy, granica między ochroną a nadzorem może okazać się cieńsza, niż początkowo zakładano.

Mechanizm weryfikacji

Firmy technologiczne, w tym OpenAI, wdrażają mechanizmy weryfikacji wieku przede wszystkim w celu ochrony młodszych użytkowników, a także dostosowania poziomu treści i doświadczenia użytkownika.

Standardowo proces ten jest realizowany przy pomocy dostawców zewnętrznych, takich jak Persona, który przeprowadza weryfikację za pomocą selfie, zdjęcia dokumentu tożsamości i innych danych osobowych.

Persona podkreśla, że same serwisy nie otrzymują zdjęć ani dokumentów tożsamości, a jedynie informację o tym, że użytkownik został zweryfikowany jako dorosły, a dane te mają być następnie usuwane z systemów dostawcy.

Krytyka architektury weryfikacyjnej

W praktyce architektura platformy Persona okazuje się znacznie bardziej rozbudowana. Analiza techniczna i odkrycie kodu źródłowego przez badaczy wykazały obecność mechanizmów znacznie wykraczających poza prostą weryfikację wieku.

Wśród nich znajdują się moduły odpowiadające za:

• rozbudowane sprawdzanie danych biometrycznych,
• możliwość generowania raportów o „podejrzanej aktywności" skierowanych do amerykańskich instytucji finansowych,
• integracje z bazami sankcji i watchlistami, zarówno amerykańskimi, jak i globalnymi,
• szeroki zakres testów i kontroli użytkownika w oparciu o wiele sygnałów ryzyka.

Choć elementy te nie są aktywne w każdym wdrożeniu, sama ich obecność w strukturze rozwiązania budzi uzasadnione pytania.

Eksperci podkreślają, że nawet jeśli dane moduły pozostają nieaktywowane domyślnie, mogą zostać uruchomione w zależności od konfiguracji konkretnego użytkownika. W praktyce oznacza to, że zakres przetwarzania danych może być szerszy, niż wynikałoby to z oficjalnych deklaracji. To z kolei rodzi wątpliwości dotyczące rzeczywistej skali analizowanych informacji oraz potencjalnych możliwości ich dalszego wykorzystania.

Zarzuty dotyczące współpracy z instytucjami rządowymi

Najbardziej kontrowersyjne zarzuty dotyczą potencjalnego połączenia systemu weryfikacji z mechanizmami nadzoru i zgłaszania informacji do rządu USA.

Szczególnie mocno podkreślane jest, że ten sam system wykorzystywany do weryfikacji użytkowników ChatGPT lub Discorda może teoretycznie przesyłać raporty o podejrzanej aktywności do rządowych agencji, klasyfikować użytkowników według różnych kategorii ryzyka, a także integrować dane biometryczne w skali, która przypomina raczej systemy nadzoru niż prostą ochronę przed dostępem nieletnich.

W odpowiedzi na te informacje w sieci wybuchła szeroka dyskusja. Część z osób interpretowała takie rozwiązania jako potencjalne naruszenie prywatności i zwiększenie nadzoru cyfrowego pod pretekstem bezpieczeństwa dzieci i młodzieży. Inni zwracali uwagę, że wiele tych kontrowersyjnych funkcji wynika z modułów klasycznej zgodności KYC/AML oraz regulacji prawnych obowiązujących w różnych jurysdykcjach, a sama obecność tych elementów w kodzie nie oznacza ich aktywnego wykorzystania dla każdej usługi.

Zdania są podzielone, jednak jedno nie ulega wątpliwości: dyskusja wokół weryfikacji wieku użytkowników dopiero się rozpędza. Zderzają się tu dwie fundamentalne wartości: potrzeba skutecznej ochrony nieletnich oraz prawo do prywatności i minimalizacji przetwarzania danych.