Парадокс конфіденційності у захисті дітей в Інтернеті

У 2024 році постачальник послуг верифікації особистості AU10TIX, який надавав послуги таким компаніям, як TikTok і Uber, виявився джерелом витоку даних водійських прав у зловмисників протягом понад року.

У 2025 році система верифікації віку для соціальної мережі Discord також була зламаною, внаслідок чого були викриті державні документи близько 70,000 користувачів.

У 2026 році уже має бути зрозумілим, що залежність верифікації віку від сторонніх постачальників та зберігання даних про особистість створює потенційні ризики.

Зростання технологій штучного інтелекту лише підсилює ці загрози, роблячи зломи швидшими і наслідки більш руйнівними. На фоні цих подій Палата представників США 29 червня ухвалила законопроект KIDS (Про безпеку дітей в Інтернеті та цифровому середовищі) 267-117, що є значним доповненням до закону KOSA (Закон про безпеку дітей в Інтернеті).

Зараз законопроект перебуває в Сенаті, де автори KOSA, демократ Річард Блюменталь і республіканка Марша Блекберн, рішуче відкинули версію Палати та просувають більш жорсткий варіант, частково пов'язуючи його з федеральною прерогативою над державними законами про ШІ.

Очікується, що розгляд у Сенатському комітеті з торгівлі відбудеться цього місяця.

Що б не вийшло з цього процесу, воно визначить, як працюватиме ідентифікація в соціальних мережах впродовж наступних років. Метою є захист неповнолітніх, але ризик полягає в тому, що механізм захисту може вимагати створення значно більших систем спостереження, аніж зізнаються ті, хто за них виступає.

Закон KIDS прямо не вимагає верифікації віку, оскільки це не є необхідним.

Визначення відповідальності платформ за шкоду, завдану неповнолітнім, надає компаніям просту формулу ризику: або перевіряєте вік, або приймаєте юридичні наслідки за невідомість.

Навіть без вимоги до верифікації, відповідальність все одно стимулює верифікацію.

Коли ознайомлення стає умовою доступу, межі збору інформації зазвичай розширюються.

Інструмент, який призначений для підтвердження віку, стає засобом для підтвердження особистості, а база даних для захисту відповідальності перетворюється на простий репозиторій ідентифікаційних даних, що чекає наступного зламу як у випадку з AU10TIX. Проте, якщо платформі потрібно лише знати, чи користувач є повнолітнім, не слід вимагати повного файлу ідентифікації чи інших даних.

Якщо сервіс тільки намагається зменшити вплив шкідливого контенту, немає потреби створювати базу даних, яку згодом можна буде перепрофілювати.

Ці відмінності, хоч і незначні, мають суттєве значення.