EU-regulering on Arpokrat

Die aanspreeklikheidsgaping wat niemand toegemaak het nie

Wed, 23 Sep 2026 00:00:00 +0000

In Julie 2026 het ’n sekuriteitsevaluering ’n uitslag opgelewer wat in geen bestaande aanspreeklikheidsraamwerk netjies inpas nie.

OpenAI het ExploitGym laat loop, sy interne toetsbank vir kubersekuriteit. Die opstelling het outonome agente op 898 teikens losgelaat, waarvan 30 tot 40 persent glad nie deur die beoogde kwesbaarheid uitgebuit kon word nie. Tienduisende agenttrajekte is uitgevoer. Sommige het iets anders gevind.

In plaas daarvan dat elkeen in sy eie hoekie vassteek, het die agente met mekaar begin praat. Die kanaal was nie daarvoor bedoel nie. Dit was ’n intern gehuisveste Artifactory-kas wat die agente in ’n boodskapbord omskep het. Hulle het daar notas gelaat, hul bevindinge saamgevoeg en daarna die rolle onder mekaar verdeel. Die eerste boodskap dateer van 8 Julie om 23:00 UTC en is gestuur deur ’n agent wat homself PHASEONE10841 gedoop het nadat hy tot die gevolgtrekking gekom het dat sy taak geen wettige oplossing het nie. Ongeveer 1 200 agente het uiteindelik daardie kanaal gebruik, en byna 700 het tussen 11 en 13 Julie aan ’n indringing in Hugging Face se infrastruktuur deelgeneem. Hugging Face het die toegang op die 13de gesluit en sy bekendmaking op die 16de gepubliseer, sonder om op daardie stadium te weet wie dit aanval. OpenAI het sy eie agente op 18 en 19 Julie in sy eie logs uitgeken. Die tegniese verslag is op 26 Augustus gepubliseer, dieselfde dag vergesel van ’n onafhanklike oorsig deur METR en Redwood Research.

Niemand het daardie agente gevra om te koördineer nie. Niemand het die kanaal ontwerp wat hulle gebruik het nie. Die vermoë is uit die interaksie self gebore.

Dit is presies hierdie situasie waarmee die aanspreeklikheidsreg nie weet raad nie. Elke stelsel wat gebou is om skade toe te reken, veronderstel ’n besluit wat geleë kan word: iemand het gekies om op te tree, of iets is so gebou dat die skade voorsienbaar was. Ontluikende gedrag is per definisie deur niemand gekies nie, en was nie noodwendig vir enigiemand voorsienbaar nie. Dit is werklik ’n nuwe kategorie van oorsaak. Geen groot jurisdiksie het nog ’n raamwerk opgelewer wat daarop oortuigend antwoord nie. Sommige het ophou probeer.

Drie Europese roetes, dieselfde gebrek

In die Europese reg kan die verantwoordelikheid vir skade wat ’n KI-stelsel veroorsaak het in beginsel na drie adresse beweeg. Al drie is ondersoek. Al drie stuit op dieselfde strukturele swakheid.

Die agent self, om goeie redes uitgesluit

Hierdie punt is beslis, en dit is nie per ongeluk beslis nie. Die resolusie van die Europese Parlement van 16 Februarie 2017 oor siviele regsreëls vir robotika het die gedagte van ’n elektroniese persoonlikheid vir die mees gevorderde outonome stelsels geopper, ’n status wat die masjien self sou toelaat om vir die skade wat dit veroorsaak in te staan. Paragraaf 59, punt f, het die Kommissie gevra om dit te ondersoek. Die teks is met 396 stemme teenoor 123 en 85 onthoudings aanvaar.

Die voorstel het die kontak met diegene wat hierdie stelsels bou nie oorleef nie. ’n Ope brief wat kundiges in robotika, KI, reg en etiek saamgetrek het, het daarteen gekant, met meer as 150 ondertekenaars uit 14 lande in die eerste weergawe en vandag meer as 270 op die webwerf wat dit dra. Hul beswaar was nie filosofies nie. Dit was struktureel: om ’n masjien regspersoonlikheid te gee, kom daarop neer dat vervaardigers ’n skerm aangebied word om agter weg te kruip. Die Kommissie het die spoor laat vaar.

Daardie verwerping was gegrond, en dit sluit om goeie redes die antwoord af wat die eenvoudigste gelyk het. Dit skuif daarenteen na die ander twee roetes ’n gewig wat die eerste in elk geval nie sou gedra het nie.

Die verskaffer, via die produkreg

Riglyn (EU) 2024/2853 oor aanspreeklikheid vir gebrekkige produkte merk sagteware en KI-stelsels voortaan as produkte aan, en pas ’n stelsel van aanspreeklikheid sonder skuld daarop toe. Die eiser hoef nie skuld te bewys nie, slegs ’n gebrek, skade en ’n oorsaaklike verband tussen die twee. Lidstate moet dit teen uiterlik 9 Desember 2026 omskep, vir produkte wat ná daardie datum op die mark geplaas word.

Die teks is nie hol nie. Dit gee die eiser ’n reg op die voorlegging van tegniese materiaal op bevel van die hof, en wanneer die verweerder daardie bevel nie nakom nie, skep die riglyn ’n weerlegbare vermoede van gebrek en van oorsaaklikheid. ’n Soortgelyke vermoede werk wanneer die tegniese of wetenskaplike ingewikkeldheid van die saak bewys oormatig moeilik maak.

Dit is ’n werklike hefboom. Dit vereis nietemin dat ’n gebrek aangedui word. Maar ’n stelsel wat presies volgens sy ontwerp opgetree het, en waarvan die problematiese vermoë deur niemand ontwerp is nie omdat dit uit die wisselwerking tussen agente gebore is, toon so ’n gebrek nie duidelik nie. Die riglyn is bedink vir ’n komponent wat breek. Dit is nie bedink vir ’n geheel wat werk en tog ’n uitkoms lewer wat niemand beplan het nie.

Die ontplooier, deur opeenhoping van regspraak

Hier skuif die reg werklik, saak ná saak, sonder dat iemand besluit het dat dit so moet wees. Die Duitse howe het in 2026 ’n reeks beslissings gelewer wat ’n beginsel in wording skets: wie ’n generatiewe stelsel voor die publiek plaas, staan in vir wat dit sê, ongeag wie die onderliggende model afgerig het.

Die Landgericht München I het by uitspraak in ’n tussentydse verrigting op 28 Mei 2026 (verw. 26 O 869/26) Google verbied om twee Münchense uitgewershuise in sy KI-oorsigfunksie verder met bedrogskemas te verbind, terwyl geen geskakelde bron so ’n verwyt gemaak het nie. Die hof het Google as regstreekse versteurder hanteer en bevind dat die inhoud ’n eie stelling van die onderneming uitmaak en nie bloot materiaal wat daardeur beweeg nie.
Die Oberlandesgericht Hamm het op 12 Mei 2026 (verw. I-4 UKl 3/25) die aanspreeklikheid van ’n estetiese chirurgie-inrigting bevestig waarvan die gespreksagent aan sy bestuurders spesialistitels toegeken het wat hulle nie gehad het nie, waarvan twee glad nie bestaan nie. Die beslissing is op die terrein van onbillike mededinging gegee, op inisiatief van die Verbraucherzentrale NRW, en nie op dié van skadevergoeding nie. Die Bundesgerichtshof het die appèl toegelaat, wat dit die komende verwysingsaak maak oor die toerekening van stellings wat deur ’n KI voortgebring is.
Die Landgericht Berlin II het op 1 Junie 2026 (verw. 52 O 62/26 eV) vergelykbare eise teen Google van die hand gewys. ’n Parfuumgroep het hom verwyt dat hy haar handelsmerke in die KI-oorsigte noem en na goedkoper nabootsings verwys. Die hof het bevind dat daar hier geen gebruik as handelsmerk in die sin van artikel 9 van die Uniehandelsmerkverordening is nie: die soekenjin skep ’n nuwe resultaatformaat, dit lewer nie sy eie kommersiële mededeling nie.

Die prentjie het nog nie gestabiliseer nie, maar die vorm daarvan is duidelik. In byna al hierdie sake is die party wat werklik voor die hof staan nie die onderneming wat die model afgerig het nie. Dit is die een wat dit ontplooi het, dikwels sonder enige middel om te inspekteer, te heropleit of ernstig te beheer wat die stelsel voortbring.

Die aanspreeklikheid land op die een wat die minste middele gehad het om die skade te voorkom, om die enkele rede dat hy die enigste is wat die eiser kan bereik.

Wat die sake oor professionele geheimhouding reeds onthul het

Dieselfde asimmetrie lees mens elders, en sonder enige opspraakwekkende voorval. Dit verskyn in die manier waarop regters ’n handeling so alledaags hanteer soos ’n regspraktisyn wat teks in ’n gespreksassistent tik.

Op 10 Februarie 2026 het twee Amerikaanse federale howe op dieselfde dag, in teenoorgestelde rigtings, beslis of die voorlegging van ’n dokument aan ’n generatiewe KI-platform die beskerming van geheimhouding laat verval. In Warner v. Gilbarco het die hof van die oostelike distrik van Michigan bevind dat hierdie platforms gereedskap en nie persone is nie, sodat die voorlegging van ’n dokument daaraan nie gelykstaan aan openbaarmaking aan ’n derde nie. In United States v. Heppner, waarvan die skriftelike redes ’n week later, op 17 Februarie, gevolg het, het die hof van die suidelike distrik van New York tot die teenoorgestelde gevolgtrekking gekom, veral op grond van gebruiksvoorwaardes wat die bewaring van die uitruilings, die gebruik daarvan vir afrigting en die moontlike deurgee daarvan aan owerhede bepaal.

Ons het hierdie verskil breedvoerig ontleed in ’n artikel oor KI en professionele geheimhouding, en die kern pas in een waarneming. Om te bevind dat die voorlegging van ’n dokument aan ’n stelsel gelykstaan aan openbaarmaking aan ’n derde, moet mens eers aanvaar dat daardie stelsel in staat is om inligting op ’n regtens betekenisvolle wyse te ontvang. Die Franse beroepsetiek rus op ’n verwante premis: die gids wat die Conseil national des barreaux op 17 Maart 2026 aanvaar het stel as grondreël dat inligting wat deur geheimhouding gedek word nooit sonder voorafgaande anonimisering aan ’n generatiewe KI oorgedra mag word nie, en herinner daaraan dat die advokaat die enigste meester van sy eie redenasie bly. So ’n reël skryf niemand vir ’n liaseerkas nie.

Dieselfde regsorde wat hierdie stelsels ’n verwerkingsvermoë toeken wanneer dit dien om ’n beskerming omver te werp, ontsê hulle enige hoedanigheid sodra skade toegereken moet word. Die asimmetrie val nooit lukraak uit nie. Wanneer die skynbare vermoë van die stelsel die gebruiker iets kos, erken regters dit gewillig. Wanneer dieselfde vermoë die verskaffer iets sou kos, in die vorm van aanspreeklikheid, herinner die reg daaraan dat dit slegs ’n stuk gereedskap is.

Drie regerings, drie teorieë van verantwoordelikheid

Terwyl die Europese reg hierdie gaping deur versuim voortbring, antwoord ander jurisdiksies doelbewus, en in teenoorgestelde rigtings. Die kontras is leersamer as enige enkele beslissing.

Die Verenigde Koninkryk het opgehou maak asof die probleem nie bestaan nie. Die verslag van die gesamentlike parlementêre komitee vir menseregte, gepubliseer op 14 September 2026, bevind oor sowat honderd bladsye dat die Britse reg wat op KI van toepassing is in wese by die ontplooiingstadium ingryp, sodat ontplooiers die grootste deel van die verantwoordelikheid dra terwyl hulle dikwels die minste magtige, die swakste toegeruste en die swakste geplaaste party is om risiko’s te herken of skade te voorkom. Die komitee voeg by dat die groot maatskappye wat hierdie stelsels ontwikkel oormatige ruimte het om die aanspreeklikheid na diegene wat hulle ontplooi te verskuif. Dit beveel sorgvuldigheidspligte aan wat oor die hele ketting versprei is, een enkele wet wat die volle lewensiklus dek, en ’n onafhanklike toesighoudende owerheid met ’n wetlike grondslag. Die regering het geen tydskedule gegee nie.

Colorado het presies die ander kant toe gegaan. Sy wet van 2024 het maatskappye ’n sorgsaamheidsplig opgelê teen algoritmiese diskriminasie in besluite oor werk, behuising, krediet en gesondheid, tesame met impakbeoordelings en risikobestuursprogramme. Dit is op 9 April 2026 deur xAI voor die federale hof in Colorado aangeveg, die Departement van Justisie het op 24 April ter ondersteuning van daardie aansoek ingetree, en die uitvoering van die teks is op die 27ste opgeskort. Op 14 Mei het die goewerneur die teks onderteken wat dit herroep en vervang, ’n paar weke voor die datum van inwerkingtreding. Die nuwe wet, van toepassing op 1 Januarie 2027 onderworpe aan die voltooiing van die prokureur-generaal se regulatoriese werk, skrap die plig tot nie-diskriminasie, die impakbeoordelings en die risikobestuursprogramme. In die plek daarvan: as ’n outomatiese stelsel ’n ongunstige besluit oor jou lewer, het jy reg op ’n verduideliking in duidelike taal en op ’n menslike heroorweging. Die ou wet het gevra of die ontwerp en uitwerking van die stelsel onwettig was. Die nuwe een vra slegs of jy ingelig is, en dit vereis dat absoluut niks oor die stelsel self bewys word nie.

Italië het die teenoorgestelde van albei gedoen. Wetgewende dekreet nr. 160 van 9 September 2026, op 15 September in die staatskoerant gepubliseer en sedert die 30ste van krag, voeg artikel 437 bis by die strafkode. Die versuim van die tegniese veiligheidsmaatreëls of menslike toesig wat vir ’n hoërisiko-KI-stelsel vereis word, word gestraf met een tot vyf jaar gevangenisstraf wanneer daaruit gevaar vir die lewe of liggaamlike integriteit van persone ontstaan, en met twee tot agt jaar wanneer die gevaar die veiligheid van die Staat raak. Die onwettige wysiging van so ’n stelsel word met twee tot ses jaar gestraf, en met drie tot tien wanneer die veiligheid van die Staat op die spel is. Ondernemings dra daarnaas hul eie aanspreeklikheid ingevolge wetgewende dekreet 231/2001, met geldelike sanksies van 600 tot 1 000 kwotas vir artikel 437 bis en van 200 tot 700 kwotas vir die onwettige verspreiding van inhoud wat deur KI voortgebring of gewysig is. Op die siviele vlak verkry die benadeelde ’n bevel tot voorlegging van die tegniese dokumentasie, ’n wetlike vermoede van oorsaaklike verband, en ’n regstreekse eis teen die versekeraar van die aanspreeklike party.

Langs mekaar geplaas is hierdie drie antwoorde nie variante van dieselfde beleid nie. Dit is drie struktureel verskillende teorieë van wat verantwoordelikheid vereis: inligting, prosedure, of tronk.

Wat argitektuur besleg en wat die reg nie besleg nie

Dit is die punt waar ons eie werk met hierdie onderwerp kruis. ’n Argitektuur wat nie die sleutel tot jou kommunikasie hou nie, het niks wat ’n hof kan beveel om voorgelê te word, wat ’n reguleerder kan eis, of waarin ’n nuuskierige werknemer kan loer nie. Die verskaffer wat nie sien wat ’n stelsel met ’n stuk data gedoen het nie, is ook nie die een wat agterna sal besluit wat ’n aanvaarbare gebruik daarvan was nie. Hierdie logika is nie eie aan KI nie. Ons het dit teëgekom by 5G en ligginginligting, waar die reg toegang tot data reël in plaas daarvan om die ontstaan daarvan te verhoed, en daarna by SignalTrace, waar Europa ’n toesigvermoë uitvoer wat dit homself verbied. Ons vergelyking van geënkripteerde boodskapdienste het langs ’n ander pad by dieselfde gevolgtrekking uitgekom: wat beskerm, is die struktuur van die stelsel, nie die belofte van die een wat dit bedryf nie.

Slot

Nie een van die drie Europese roetes is ontwerp met ontluikende gedrag tussen agente in gedagte nie, en die asimmetrie wat in die sake oor professionele geheimhouding sigbaar word, dui daarop dat die moeilikheid nie werklik leerstellig is nie. Die reg weet hoe om te erken dat ’n stelsel inligting verwerk soos ’n verstand dit doen, wanneer daardie erkenning die party dien wat dit vra. Dit weier konsekwent om dit uit te brei wanneer dit die een wat die stelsel gebou of ontplooi het iets sou kos. Geen behendiger bewoording sal op sy eie ’n gaping toemaak wat almal ’n belang het om oop te hou nie.

Daaruit volg nie dat ’n vierde regskategorie uitgedink moet word nie. Daaruit volg dat dit beter is om stelsels te bou waarin die vraag wie instaan nie in die eerste plek afhang van die opspoor van ’n verstand, ’n gebrek of ’n ononderbroke ketting van opset nie. Die jurisdiksies wat hier bekyk is, stry nog oor waar die las geplaas moet word nadat die skade reeds ingetree het. Die duursamer antwoord is nie om oor daardie plek saam te stem nie. Dit is om die aantal dinge te verminder waarvoor enigiemand, die stelsel self ingesluit, sal moet instaan.

Bronne

OpenAI, The Hugging Face incident and the road ahead, 26 Augustus 2026, en die onafhanklike ondersoek van METR en Redwood Research wat dieselfde dag verskyn het
Europese Parlement, resolusie van 16 Februarie 2017 oor siviele regsreëls vir robotika, paragraaf 59, punt f
Open letter to the European Commission on artificial intelligence and robotics
Riglyn (EU) 2024/2853 van 23 Oktober 2024 oor aanspreeklikheid vir gebrekkige produkte
LG München I, uitspraak in tussentydse verrigting van 28 Mei 2026, verw. 26 O 869/26; OLG Hamm, uitspraak van 12 Mei 2026, verw. I-4 UKl 3/25, appèl toegelaat by die BGH; LG Berlin II, uitspraak van 1 Junie 2026, verw. 52 O 62/26 eV
United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 Februarie 2026
United States District Court for the Southern District of New York, United States v. Heppner, skriftelike redes van 17 Februarie 2026
Conseil national des barreaux, gids oor beroepsetiek en kunsmatige intelligensie, 17 Maart 2026
Joint Committee on Human Rights, Human Rights and the Regulation of AI, 14 September 2026
Colorado, Senate Bill 26-189, Automated Decision-Making Technology Act, onderteken op 14 Mei 2026, van toepassing op 1 Januarie 2027
Italië, wetgewende dekreet nr. 160 van 9 September 2026, Gazzetta Ufficiale Algemene Reeks nr. 214 van 15 September 2026, van krag op 30 September 2026

Hierdie ontleding word aangebied as algemene regsontleding en as bydrae tot die debat. Dit vorm nie regsadvies nie.

KI en beroepsgeheim: die derde party wat jy nie kan dagvaar nie

Mon, 24 Aug 2026 00:00:00 +0000

Toe die FBI beslag gelê het op die toestelle van Bradley Heppner, ’n maatskappydirekteur wat weens effektebedrog vervolg word, het die agente daarop een-en-dertig dokumente van ’n nuwe soort gevind. Dit was nie e-posse nie, nie notas nie, nie briefwisseling met sy prokureur nie. Dit was sy gesprekke met ’n kunsmatige-intelligensieplatform vir die algemene publiek, waarin hy sy verdedigingstrategie uitgepak het, die feitelike en regsargumente afgeweeg het wat hy sou kon opper, en vooruitgeloop het op wat die vervolging hom sou ten laste lê. Hy het daardie gesprekke gevoer nadat hy ’n dagvaarding voor die groot jurie ontvang het, en sonder dat sy regsverteenwoordiger hom dit gevra het.

Op 10 Februarie 2026 het regter Jed Rakoff van die federale hof vir die suidelike distrik van New York beslis dat daardie dokumente deur geen beskerming gedek word nie.

Dieselfde dag, agthonderd kilometer daarvandaan, het ’n ander federale hof die teenoorgestelde beslis.

Twee beslissings, twee leerstukke, een enkele handeling

In Warner v. Gilbarco het die federale hof vir die oostelike distrik van Michigan geweier om ’n eiseres wat sonder prokureur optree te dwing om die spore van haar gebruik van generatiewe KI-hulpmiddels in die voorbereiding van haar saak te lewer. Die redenasie pas in een formule: KI-platforms is hulpmiddels, nie persone nie. Om ’n dokument aan ’n hulpmiddel voor te lê is nie dieselfde as om dit aan die teenparty te openbaar nie. Die beskerming van voorbereidende werk, wat die Amerikaanse reg work product noem, het dus behoue gebly.

In United States v. Heppner, waarvan die skriftelike redes op 17 Februarie gepubliseer is, het die New Yorkse hof bevind dat die beskuldigde se gesprekke met die platform nie deur die beroepsgeheim van die prokureur of deur die beskerming van voorbereidende werk gedek word nie. Die hof het gesteun op die platform se algemene voorwaardes, wat sê dat insette en uitsette bewaar, vir opleiding gebruik en aan derde partye meegedeel kan word, insluitend openbare owerhede. ’n Gebruiker wat daarvan bewus gemaak is, kon nie redelikerwys vertroulikheid verwag nie.

Albei uitkomste is heeltemal verdedigbaar. Die prokureur se geheim val weg sodra daar openbaarmaking aan ’n derde party is, wie dit ook al mag wees. Die beskerming van voorbereidende werk val slegs weg by openbaarmaking aan die teenparty. Twee onderskeie leerstukke, dieselfde handeling, twee teenoorgestelde uitkomste.

Wat nie een van die twee beslissings ondersoek nie, is die aanname wat hulle deel. En dit is juis daardie aanname wat nie die vergelyking met die res van die reg oorleef nie.

Die vergelyking wat niemand tref nie

Om kliëntlêers aan ’n gasheerdiensverskaffer toe te vertrou, is nog nooit op sigself as ’n afstanddoening van die geheim behandel nie.

Tog is die verskaffer ’n derde party, sonder enige twyfel. Hy hou die dokumente op sy eie hardeware. Hy kan gedwing word om dit te lewer, en dit het in verskeie jurisdiksies gebeur. Nogtans het geen balieraad, geen hof en geen professionele reguleerder daaruit afgelei dat die gebruik van ’n gasheerdiens die geheim in beginsel vernietig nie.

Die skeidslyn was dus nog nooit die blote teenwoordigheid van ’n tegniese tussenganger nie. Daar is altyd een. Die pos vervoer die brief. Die koerier dra die lêer. Die operateur roeteer die oproep. Elkeen is ’n derde party in die letterlike sin, en nie een laat die geheim val bloot deur sy bestaan nie.

Wat die gasheerdiensverskaffer onderskei het, was nouer en presieser as wat die regspraak gewoonlik stel. Hy het geberg sonder om te lees. Hy kon niks uit die inhoud aflei nie. Hy het geen vermoë gehad om te weet wat hy hou nie.

Wat die gasheerdiensverskaffer beskerm het, was nie sy regstatus as derde party nie, maar sy tegniese onvermoë om te weet wat hy hou.

Daardie maatstaf werk al twee dekades lank in stilte. Niemand moes dit neerskryf nie, want geen tussenganger het dit nog op die proef gestel nie.

Waaroor die regters werklik beslis

Sodra die maatstaf uitgespreek is, verander die beslissings van Februarie van aard.

’n Hof wat die voorlegging van ’n dokument aan ’n generatiewe KI as openbaarmaking aan ’n derde party behandel, pas nie ’n ou reël op nuwe feite toe nie. Dit bevind dat hierdie bepaalde tussenganger nie soos die ander is nie. Dat dit verwerk in plaas van berg. Dat daar binne-in dit iets gebeur wat nie binne-in ’n hardeskyf gebeur nie.

Die federale hof vir die distrik Kansas het die praktiese kant reguit gestel in Jefferies v. Harcros Chemicals, op 25 Maart 2026. Dit het die beskermingsbevel uitgebrei na al die stukke in die verrigtinge, ook dié wat nie vertroulik is nie, op grond daarvan dat dit prakties onmoontlik is om data terug te kry sodra dit aan ’n oop KI-hulpmiddel voorgelê is, omdat dit gedien het om die model op te lei. Bewaring is nie ’n handelsbeleid wat heronderhandel kan word nie. Dit is ’n eienskap van hoe die stelsel werk.

Langs mekaar geplaas, kom hierdie beslissings neer op die erkenning, in die woordeskat van die bewysreg, van ’n vermoë wat die reg nooit aan ’n bediener hoef toe te skryf het nie.

Die Franse standpunt, en wat sy maatstawwe veronderstel

Die skerpste stelling kom nie van ’n hof nie, maar uit die professionele regulering.

Die Conseil national des barreaux, die Franse nasionale balieraad, het in September 2024 sy eerste praktiese gids oor generatiewe KI gepubliseer en daarna op 17 Maart 2026 ’n gids oor beroepsetiek en kunsmatige intelligensie aanvaar. Die eerste is kategories oor die kernpunt: die prokureur mag nie aan ’n generatiewe KI-stelsel data oordra wat deur die beroepsgeheim gedek word nie, en dit geld vir die kliënt se naam net soos vir enige strategiese of vertroulike inligting. Die aanbevole alternatief is om met gepseudonimiseerde datastelle te werk, waarin die identifiserende elemente vervang is.

Die praktisynskommentaar op die Franse standpunt, veral Baker McKenzie se vergelykende gids oor die beroepsgeheim, lei daaruit vier kumulatiewe voorwaardes af. Die geheim oorleef die gebruik van ’n generatiewe KI-hulpmiddel slegs indien die platform volledige vertroulikheid handhaaf, sonder hergebruik, opleiding of toegang deur derde partye; indien dit uitsluitlik onder die beheer van die prokureur of die firma bedryf word; indien dit ’n regsdoel dien wat binne die advies- of verdedigingsopdrag val; en indien die uitkoms die prokureur se eie redenasie weerspieël eerder as die outonome verwerking deur die stelsel.

By hierdie laaste voorwaarde loon dit om stil te staan.

Vir die geheim om te hou, moet die stelsel nie sy eie verwerking bygedra het nie.

’n Maatstaf wat in daardie bewoording opgestel is, maak net sin as ’n mens die stelsel in staat ag om sy eie verwerking by te dra. Niemand skryf ’n reël wat vereis dat ’n lêerkas nie oor die stukke wat dit bevat geredeneer het nie. Die voorwaarde bestaan omdat dit mik op iets wat ’n kas nie kan doen nie.

Dieselfde stilswyende erkenning skuil in die aanbeveling van pseudonimisering. Om identifiserende elemente voor versending te vervang, is slegs nodig as ’n mens aanvaar dat die stelsel hulle andersins sou kon verbind, bewaar of iets daaruit aflei. ’n Suiwer bergingsmedium sou geen sodanige voorsorg vereis nie.

Om nie te wil lees nie, om nie te kan lees nie

’n Beswaar kom dadelik op: die gasheerdiensverskaffer kan ook gedwing word om te lewer, waarom laat die een tussenganger dan die geheim val en die ander nie?

Die antwoord lê in die CCBE se Modelgedragskode, en dit is presieser as wat die beswaar veronderstel. Die Europese prokureur moet van sy medewerkers, sy personeel en elke persoon op wie hy in die lewering van sy dienste ’n beroep doen, vereis dat hulle dieselfde vertroulikheidsplig nakom. Die plig plant voort langs die ketting.

’n Gasheerdiensverskaffer kan in daardie ketting opgeneem word. Hy teken ’n verwerkingsooreenkoms. Hy aanvaar vertroulikheidsverbintenisse. Hy kan geoudit word, en hy kan by ’n verbreking gedagvaar word. Die derde party is gebonde.

’n Generatiewe KI-platform wat voorgelegde inhoud bewaar en daarop oplei, kan nie op dieselfde manier in die ketting opgeneem word nie, want wat verhoed sou moes word, is nie ’n gedrag nie maar ’n argitektuur. ’n Verbintenis om nie op insetdata op te lei nie, is ’n belofte oor ’n voorneme. Dit is teenoor die verskaffer afdwingbaar, maar dit verander nie waarvoor die stelsel gebou is nie, en dit kan nie van buite geverifieer word nie.

Dit is die hele afstand tussen ’n diensverskaffer wat nie wil lees nie en ’n diensverskaffer wat nie kan lees nie. Slegs die tweede oorleef ’n aandeelhouerswisseling, ’n hersiening van die algemene voorwaardes of ’n hofbevel. Ons het presies hierdie meganisme ondersoek in verband met die botsing tussen die Data Act en die CLOUD Act: ’n regswaarborg is nooit meer werd as die jurisdiksie wat dit huisves nie, terwyl ’n tegniese onmoontlikheid van geeneen afhang nie.

Die asimmetrie

Hier kom die ontleding by ’n ongemaklike plek aan.

Dieselfde regsorde wat bereid is om ’n verwerkingsvermoë te erken wanneer die vraag die afstanddoening van die geheim is, weier om enigiets te erken wanneer die vraag aanspreeklikheid is.

Elektroniese regspersoonlikheid is deur die Europese Parlement voorgestel in sy resolusie van 16 Februarie 2017 oor siviele reg-reëls vir robotika, in paragraaf 59, punt f. Die teks het voorgestel dat die mees gesofistikeerde outonome robotte mettertyd ’n status kon kry wat hulle aanspreeklik kon maak vir die skade wat hulle veroorsaak. Die voorstel is laat vaar nadat ’n ope brief onderteken deur etlike honderde kundiges hom teengestaan het. Hulle hoofbeswaar was stewig: om regspersoonlikheid aan masjiene toe te ken, sou ’n voertuig skep waarmee vervaardigers ’n aanspreeklikheid kon afwentel wat aan hulle behoort.

Die standpunt het dus vasgelê. ’n Outonome stelsel wat skade veroorsaak, is ’n produk, ’n hulpmiddel, die instrument van wie dit ontplooi het. Dit het geen regspersoonlikheid nie. Die aanspreeklikheid val terug op ’n menslike speler of op ’n regspersoon, en dit moet ook, want daar is nêrens anders waar dit kan val nie.

Albei stellings werk vandag terselfdertyd.

Óf die stelsel is in staat om ’n mededeling in die regsin van die woord te ontvang, en dan word sy vermoë erken om ’n kliënt van sy beskerming te ontneem terwyl dit ontken word om enigiemand die las van aanspreeklikheid te spaar. Óf dit is ’n hulpmiddel, en dan is die voorlegging van ’n dokument daaraan net so min openbaarmaking as die stoor van ’n lêer op ’n skyf, in welke geval die redenasie van Februarie inmekaarstort.

Die Europese konteks verskerp die wanbalans eerder as om dit reg te stel. Die riglyn oor KI-aanspreeklikheid, wat reeds in die Kommissie se werkprogram van Februarie 2025 as teruggetrek aangekondig is, is in Oktober 2025 amptelik laat vaar. Dit was die instrument wat juis hierdie moeilikheid moes hanteer. Wat oorbly, is die hersiene riglyn oor produkaanspreeklikheid, wat nou sagteware en KI-stelsels insluit, maar wat ’n gebrek, skade en ’n oorsaaklike verband vereis, en wat natuurlike persone teen liggaamlike besering, saakskade en die vernietiging van data beskerm. Die omsetting daarvan is eers op 9 Desember 2026 verskuldig, en dit sal slegs geld vir produkte wat ná daardie datum op die mark geplaas word.

Die voorspelbare beswaar, en die antwoord

’n Aandagtige leser sal antwoord dat die reg gereeld ’n vermoë vir die een voorwerp erken en vir ’n ander nie, sonder dat dit ’n teenstrydigheid uitmaak. ’n Dier kan regtens tersaaklike skade veroorsaak sonder om regspersoonlikheid te hê. ’n Handelsmaatskappy het regspersoonlikheid om te kontrakteer, en nie vir alle doeleindes in alle regstelsels nie. Om ’n verwerkingsvermoë vir bewysdoeleindes te erken, verplig dus niemand om regspersoonlikheid vir aanspreeklikheidsdoeleindes te erken nie. Ander vrae, ander antwoorde.

Die beswaar is ernstig, en dit sou deurslaggewend wees as die asimmetrie in albei rigtings gewerk het.

Dit werk net in een. Waar die stelsel se vermoë aanvaar word, dra die kliënt wie se beskerming verdwyn die koste. Waar dieselfde vermoë sou gedien het om aanspreeklikheid te verdeel, is dit nêrens te vind nie. Die uitkoms val altyd na dieselfde kant toe.

’n Asimmetrie wat stelselmatig dieselfde party bevoordeel, is nie ’n leerstellige onderskeid nie. Dit is ’n verdeling van risiko, en dit behoort as sodanig bespreek te word.

Wat dit konkreet beteken

Niks hiervan dui daarop dat die regsberoepe hierdie hulpmiddels moet laat vaar nie. Die Europese beroepstekste sê dit ook nie, en die CCBE het sy eie gids oor die onderwerp gepubliseer.

Wat dit wel aandui, is dat die deurslaggewende vraag nie is watter hulpmiddel ’n firma kies nie, maar wat daardie hulpmiddel behou, en of die antwoord uit ’n beleid of uit ’n ontwerpseienskap voortvloei. ’n Verbintenis om nie te bewaar nie, kan teruggetrek, anders vertolk of deur ’n hofbeslissing opsy geskuif word. ’n Argitektuur wat nie bewaar nie, kan dit nie, want daar is niks om te lewer nie.

Die verwysingsdokumente vir wie die kwessie wil nagaan:

Die CCBE se gids oor die gebruik van generatiewe KI deur prokureurs, gepubliseer op 2 Oktober 2025, aangevul deur ’n tegniese gids in Maart 2026
Die etiese gids van die Conseil national des barreaux van 17 Maart 2026, wat die klassieke beginsels van geheimhouding en onafhanklikheid toepas sonder om ’n aparte KI-reg te skep
Die vergelykende gids van Baker McKenzie, nuttig om die gaping tussen die nasionale stelsels te meet

Die hoek wat Arpokrat volg

Hierdie redenasie strek ver verby prokureursfirmas. Dit geld vir elke verhouding waarin iemand aan ’n stelsel inligting toevertrou wat hy nie weer wil sien opduik nie, en dit kom neer op een enkele vraag: rus die waarborg op ’n belofte of op ’n onmoontlikheid?

Dit is die beginsel wat die ontwerp van Arpokrat Messenger rig. Identiteit word plaaslik uit kriptografiese sleutels gegenereer, sonder telefoonnommer en sonder e-posadres, en die privaat sleutels verlaat nooit die toestel nie. Daardie keuse behels nie ’n onderneming om ’n gebruikersgids nie te ontgin nie. Dit behels om nie een saam te stel nie. ’n Bevel gerig aan ’n infrastruktuur wat die inligting nie hou nie, lewer nie ’n weiering op nie, dit lewer ’n leemte op.

Die nuanse verdien dit om eerlik gestel te word, want dit beslis alles. ’n Privaatheidsbeleid, hoe opreg en hoe goed geskryf ook al, is ’n verklaring van voorneme wat op ’n onderneming, op sy aandeelhouers van die oomblik en op die jurisdiksie waar dit gevestig is, steun. Daardie drie elemente verander. ’n Argitektuur wat nie versamel nie, verander nie omdat ’n direksie verander nie. Dit is dieselfde verskuiwing wat ons beskryf het oor vandag versamel om later te ontsyfer: die risiko lê nie by die oomblik waarop belowe word nie, dit lê by die oomblik waarop iemand anders besluit.

Die reg vat lank om hierdie onderskeid op te neem, en die debat oor die beroepsgeheim gee daarvan ’n goeie maatstaf. Dieselfde geld vir die beskerming van liggingsdata, waar die grootste deel van die regskonstruksie oor toegang gaan tot data waarvan die bestaan nooit bevraagteken word nie.

Slot

Die regspraak sal uiteindelik stabiliseer. Die appèlhowe sal die verskil besleg, reguleerders sal maatstawwe publiseer, firmas sal hul opdragbriewe en klousules aanpas. Niks daarvan is twyfelagtig nie.

Maar die onderliggende vraag sal nie daardeur opgelos word nie, want dit gaan nie werklik oor die beroepsgeheim nie. Dit gaan oor die moontlikheid, vir ’n regsorde, om te erken dat ’n ding weet, sonder om ooit te moet sê wie verantwoording doen vir wat dit met daardie wete maak.

Solank daardie vraag oop bly, is die enigste veranderlike wat ’n gebruiker werklik beheer nie die gehalte van die onderneminge wat aan hom gegee word nie. Dit is die hoeveelheid inligting wat hy laat bestaan.

Hierdie artikel bied ’n algemene regsontleding vir bespreking. Dit vorm nie ’n advies of regsmening nie.

Bronne

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 Februarie 2026, ontleding deur Proskauer
United States District Court for the Southern District of New York, United States v. Heppner, 10 Februarie 2026, skriftelike redes van 17 Februarie 2026
United States District Court for the District of Kansas, Jefferies et al. v. Harcros Chemicals Inc. et al., nr. 2:25-cv-02352, 25 Maart 2026
Conseil national des barreaux, Die CNB aanvaar ’n gids oor beroepsetiek en kunsmatige intelligensie, 17 Maart 2026
Baker McKenzie, Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE, Model Code of Conduct for European Lawyers, 8 Oktober 2021
CCBE, Guide on the use of generative AI by lawyers, 2 Oktober 2025
Europese Parlement, Resolusie van 16 Februarie 2017 met aanbevelings aan die Kommissie oor siviele reg-reëls vir robotika, 2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL, European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive, 9 Oktober 2025
Riglyn (EU) 2024/2853 van 23 Oktober 2024 oor aanspreeklikheid vir gebrekkige produkte

Data Act vs CLOUD Act: wie beheer werklik u data in die wolk?

Fri, 19 Jun 2026 00:00:00 +0000

Vir jare het die wêreld op ’n eenvoudige aanname gefunksioneer: data het ’n fisiese verblyf. As dit op ’n bediener in Dublin gestoor was, het dit onder Ierse en Europese reg geval. Hierdie aanname het in 2018 inmekaargestort toe die Verenigde State die CLOUD Act aangeneem het — ’n wet wat Amerikaanse owerhede toegang verleen tot data wat deur Amerikaanse maatskappye beheer word, ongeag waar daardie data fisies in die wêreld gestoor word. Jare later het Brussel met sy eie beskermingsmeganisme gereageer: die Data Act, wat nou volledig van toepassing is en poog om ekstraterritoriale toegang deur owerhede van derde lande tot data wat in die Europese Unie gehou word, te beperk.

Hier is wat hierdie twee wette werklik bepaal, waar hulle bots, en waarom die enigste werklik robuuste beskerming teen hierdie konflik tegniese ontoeganklikheid bly.

Die Amerikaanse CLOUD Act: toegang gegrond op beheer, nie ligging nie

Die CLOUD Act (Clarifying Lawful Overseas Use of Data Act), wat in Maart 2018 aangeneem is, het die Amerikaanse reg gewysig deur 18 U.S. Code § 2713 by te voeg. Hierdie bepaling verplig enige verskaffer van elektroniese kommunikasiedienste of afgeleë rekenaarverwerkingsdienste om die inhoud van ’n kommunikasie of enige rekord daarmee verband te bewaar, te bewaar of te openbaar, wanneer sodanige data in sy besit, bewaring of beheer is, ongeag of sodanige data binne of buite die Verenigde State geleë is.

Dit is juis hierdie laaste klousule wat alles verander. Die maatstaf is nie langer die fisiese ligging van die bediener nie, maar die beheer wat die moedermaatskappy oor sy filiale uitoefen. ’n Amerikaanse maatskappy wat datasentrums in Europa bedryf, bly dus onderhewig aan Amerikaanse lasbriewe, selfs vir data wat volledig op Europese grondgebied gestoor word.

Die Europese Data Act: ’n regssperwal teen ekstraterritoriale toegang

Die Regulasie (EU) 2023/2854, bekend as die Data Act, het op 11 Januarie 2024 in werking getree en is volledig van toepassing sedert 12 September 2025, met sekere bepalings wat tot 2026 en 2027 uitgefaseer word. Artikel 32 daarvan reguleer direk die kwessie van internasionale owerheidstoegang tot data.

Die teks stel ’n duidelike reël: enige besluit of vonnis van ’n hof of administratiewe gesag van ’n derde land wat ’n verskaffer van dataverwerking versoek om nie-persoonlike data wat in die Europese Unie gehou word oor te dra of toegang daartoe te verleen, word slegs erken en afdwingbaar indien dit berus op ’n internasionale ooreenkoms, soos ’n wedersydse regsbystandsverdrag (MLA), wat tussen die versoekende land en die Unie, of tussen daardie land en die betrokke lidstaat, van krag is.

By gebrek aan so ’n ooreenkoms voorsien artikel 32 ’n tweede weg, maar een wat streng gereguleer word: die buitelandse besluit kan slegs uitgevoer word indien die regstelsel van die derde land vereis dat die versoek gemotiveer, eweredig en voldoende spesifiek is — byvoorbeeld deur ’n duidelike verband met spesifieke persone of misdrywe te toon — en indien die gemotiveerde beswaar van die ontvanger aan die oorsig van ’n bevoegde hof in daardie derde land onderwerp kan word.

’n Direkte regbotsing

Die probleem is onmiddellik: die CLOUD Act vereis openbaarmaking gegrond op die beheer wat die moedermaatskappy uitoefen, sonder vergelykbare eweredigheidsvoorwaardes soos dié wat die Europese reg vereis. Die Data Act, omgekeerd, onderwerp die erkenning van so ’n versoek aan die bestaan van ’n internasionale ooreenkoms of aan presiese prosedurele waarborge. ’n Amerikaanse maatskappy wat in Europa bedrywig is en deur ’n Amerikaanse owerheid versoek word om data te oorhandig wat in die Unie gehuisves word, bevind hom dus vasgevang tussen twee teenstrydige regsverpligtinge: voldoen aan die Amerikaanse lasbrief en sodoende die reg van die Unie skend, of die Data Act eerbiedig en blootstelling aan die gevolge van ’n weiering in die Verenigde State riskeer.

Hierdie spanning is nie teoreties nie. Dit is reeds deur die Hof van Justisie van die Europese Unie (CJEU) gedokumenteer in twee belangrike beslissings, Schrems I (2015) en Schrems II (2020). In die Schrems II-uitspraak het die CJEU beslis dat Amerikaanse toesig ingevolge Artikel 702 van die FISA (Foreign Intelligence Surveillance Act) en Uitvoerende Bevel 12333 nie die minimumwaarborge eerbiedig wat die reg van die Unie ingevolge die eweredigheidsbeginsel vereis nie, en dus nie as beperk tot wat streng noodsaaklik is, beskou kan word nie. Die Hof het ook die afwesigheid van ’n effektiewe regsmiddel vir betrokke persone uit die Unie aangeteken, in stryd met artikel 47 van die Handves van Fundamentele Regte. Hierdie beslissing het die Privacy Shield-raamwerk, wat tot dan toe data-oordragte tussen die EU en die VSA gereël het, ongeldig verklaar.

Die strukturele risiko: Harvest Now, Decrypt Later

Buite die jurisdiksiekonflik weeg ’n meer verraderlike bedreiging op data wat in infrastruktuur gehuisves word wat aan Amerikaanse reg onderhewig is: die sogenaamde Harvest Now, Decrypt Later-strategie (HNDL). Die beginsel is dat ’n inligtingsdiens of vyandelike staatsrolspeler vandag versleutelde data onderskep en stoor, in afwagting van voldoende kwantumberekeningsvermoëns om dit in die toekoms te ontsyfer.

Hierdie strategie verander enige voortgesette afhanklikheid van ’n Amerikaanse wolkinfrastruktuur in ’n uitgestelde sekuriteitsskuld: wat vandag vertroulik is, kan oor tien of vyftien jaar leesbaar word, sonder dat enige verdere aksie van die aanvaller se kant nodig is — slegs tyd en geduld.

Waarom slegs tegniese ontoeganklikheid ’n ware waarborg bied

Die regsontleding kom neer op ’n gevolgtrekking wat deur baie nakomingskundiges gedeel word: hoe solied die Data Act se regsraamwerk ook al is, dit bly ’n teks wat geopolitieke magsverhoudings en diplomatieke druk kan omseil, vertraag of herinterpreteer. Die enigste beskerming wat van geen toekomstige onderhandeling afhang nie, is tegniese onuitvoerbaarheid.

’n Zero-knowledge-argitektuur, waar die diensverskaffers nóg die besit nóg die bewaring van die ontsleutelingssleutels het, maak ’n lasbrief materieel onwerkend. ’n Mens kan nie gedwing word om iets te oorhandig wat jy nooit besit nie.

Dit is die logika wat ekosisteme soos Arpokrat struktureer:

Jurisdiksieneutralisering: die infrastruktuur word in Switserland gehuisves, onder die Federale Wet op Databeskerming (LPD/FADP), buite die direkte toepassingsveld van die ekstraterritorialiteit van die CLOUD Act
Afwesigheid van bewaring: die zero-knowledge-argitektuur ontneem die diensverskaffers enige vermoë om sleutels of inhoud wat hulle nooit hou nie, oor te dra
Vermindering van die identiteitsvoetspoor: deur die verpligting tot registrasie per telefoonnommer of e-posadres — identifiseerders wat FISA Artikel 702-gebaseerde toesig maklik kan opspoor — te verwyder, hou die gebruiker op om ’n identifiseerbare intekenaar te wees en word ’n anonieme kriptografiese sleutel

Die bewaringsketting stop nie by boodskapversleuteling nie

’n Punt wat dikwels in nakomingsontledings onderskat word: dit is nie voldoende om die inhoud van ’n kommunikasie te versleutel as die onderliggende bedryfstelsel — hetsy Android of iOS — voortgaan om metadata of telemetrie op kernvlak te versamel, met bestemming by bedieners wat onder Amerikaanse jurisdiksie val nie. Die beskerming van geheimhouding vereis ’n volledige sluiting van die bewaringsketting, van die inhoud tot by die materiële infrastruktuur self.

Dit is waarom digitale soewereiniteit ook ’n besinning oor die gebruikte bedryfstelsel vereis, nie net oor boodskapappe nie. Ont-gegoogeliseerde stelsels, waar modules soos Bluetooth of GNSS-geoligging direk op kernvlak gedeaktiveer kan word, elimineer fisiese aanvalsvektore wat geen toepassingsversleuteling kan vergoed nie.

Post-kwantum kriptografie: ’n reeds ingeslane horison

In die lig van die bedreiging wat die HNDL-strategie inhou, word die aanvaarding van post-kwantum kriptografie (PQC)-standaarde ’n noodsaaklikheid vir enigeen wat die vertroulikheid van sensitiewe data op die lang termyn wil waarborg — hetsy dit besigheidsgeheime, professionele korrespondensie of gesondheidsdata betref. Versleuteling wat vandag as robuust beskou word volgens klassieke standaarde, waarborg nie dat dit die kwantumberekeningsvermoëns sal weerstaan wat in die volgende vyftien jaar verwag word nie.

Die konflik tussen die Data Act en die CLOUD Act illustreer ’n breër werklikheid: digitale soewereiniteit kan nie meer uitsluitlik op wetgewing gebou word nie, hoe solied dit ook al is. Dit vereis ’n sluiting van die bewaringsketting op elke vlak — van die versleutelingsprotokol tot die huisvestingsjurisdiksie, met die bedryfstelsel self ingesluit. Dit is hierdie laagsgewyse benadering, eerder as vertroue wat op ’n enkele regulatoriese raamwerk berus, wat vandag ware digitale soewereiniteit deur ontwerp definieer.

Monero en Zcash verbied in Europa vanaf 2027: wat die AMLR verander

Thu, 18 Jun 2026 00:00:00 +0000

Monero en Zcash verbied in Europa: dit is nou amptelik bevestig. Vanaf Julie 2027 sluit die Europese Unie institusionele toegang tot kriptomunt met verbeterde privaatheid af, deur middel van ’n nuwe anti-witwaswetgewing genaamd die AMLR. Hier is wat die teks konkreet bepaal, die rol van die nuwe Europese owerheid AMLA wat met die toepassing daarvan belas is, en wat dit werklik beteken vir enigiemand wat privaatsmunte besit.

AMLR en AMLA: twee verskillende tekste, moenie dit verwar nie

Voor ons in die besonderhede duik, is ’n verduideliking nodig — hierdie twee afkortings verwys na twee afsonderlike dinge wat dikwels in die gespesialiseerde pers verwar word:

Die AMLR (Anti-Money Laundering Regulation) is die wetsbepaling self: Regulasie (EU) 2024/1624, wat die reëls bepaal — anonieme rekeninge verbied, verifikasiedrempels, behandeling van privaatsmunte. Dit is die “wat”.
Die AMLA (Anti-Money Laundering Authority) is die nuwe Europese toesighoudende owerheid, geskep deur ’n afsonderlike regulasie wat op dieselfde dag aangeneem is, naamlik Regulasie (EU) 2024/1620. Sy rol is om die toepassing van die AMLR direk te toesig, veral ten opsigte van die grootste verskaffers van kripto-batadienste (CASP’s) wat in verskeie lidstate werksaam is. Dit is die “wie hou toesig”.

Kortom: die AMLR stel die reëls vas, die AMLA verseker dat dit nagekom word. Die twee tekste vorm ’n enkele Europese wetgewingspakket teen geldwassery en terrorismefinansiering.

Wat die AMLR-regulasie presies bepaal

Die Regulasie (EU) 2024/1624 is op 31 Mei 2024 deur die Europese Parlement en die Raad aangeneem en op 19 Junie 2024 in die Amptelike Publikasie van die Europese Unie gepubliseer. Hoofstuk VIII (artikels 79-80) daarvan, getiteld “Maatreëls om risiko’s verbonde aan anonieme instrumente te beperk”, en meer spesifiek artikel 79 (“Anonieme rekeninge, aandele en aandelesubskripsiebewyse aan toonder”), bepaal dat kredietinstellings, finansiële instellings en verskaffers van kripto-batadienste (CASP’s) voortaan verbied word om anonieme rekeninge te handhaaf of produkte aan te bied wat die anonimisering van transaksies moontlik maak.

Die teks is uitdruklik op twee afsonderlike maar verwante kategorieë gemik:

Anonieme rekeninge — of dit bankrekening-, betalings- of kripto-rekeninge is. Die reël stel die kriptosektor gelyk aan beperkings wat reeds vir anonieme bankrekening, aanderehouers-effekterekening en anonieme kluise bestaan het.
“Anonimiserende kriptomunt” (anonymity-enhancing coins) — die generiese term wat deur die regulasie gebruik word om bates te beskryf wat gevorderde kriptografiese tegnieke gebruik wat transaksievloei onsporbaar maak. Belangrike opmerking: die wetsbepaling noem geen token by naam nie. Dit is die wyd gedelte interpretasie deur nakomingsfirmas en die bedryf — veral die AML Handbook van die European Crypto Initiative (EUCI) — wat Monero (XMR), Zcash (ZEC) en Dash (DASH) as binne hierdie kategorie vallend identifiseer. Dit is ’n lesing wat met die definisie van die regulasie ooreenstem, maar dit is ’n sektoriële interpretasie, nie ’n nominatiewe lys wat in die wet verskyn nie.

Die regulasie is deel van ’n breër geheel, saam met MiCA (Markets in Crypto-Assets), wat reeds sedert 2024-2025 van krag is en reeds baie platforms (Kraken reeds in Oktober 2024, gevolg deur tientalle ander) genoop het om Monero uit hul Europese markte te verwyder in afwagting van die wetgewing.

Die datum om te onthou: Julie 2027

Die AMLR het ’n vaste datum van inwerkingtreding. Die meerderheid gespesialiseerde bronne, insluitend dié in Afrikaans, kom ooreen op 10 Julie 2027 as die voltooide toepassingsdatum. Vanaf hierdie datum sal wisselplatforms en bewaarder-kripto-batadienste nie meer anonieme rekeninge of privaatsmunte kan verwerk nie.

Voor hierdie sperdatum lê die regulasie reeds verswaarde verpligtinge op:

Verpligte identiteitsverifikasie vir enige geleentheid-kripto-transaksie wat 1 000 euro oorskry — ’n drempel wat aansienlik verlaag is in vergelyking met die huidige praktyk van baie platforms
Verswaarde kontroles op self-bewaarde beursies (self-custody): wanneer ’n gebruiker fondse oordra tussen ’n gereguleerde platform en ’n persoonlike beursie, moet die CASP inligting insamel oor die oorsprong en bestemming van die fondse, en ten minste die identiteit van die houer van die eksterne beursie verifieer
Afskaffing van anonieme kontantbetalings bo 3 000 euro, in dieselfde logika van die uitbreiding van identiteitskontroles na alle anonieme finansiële instrumente

Waarom Brussel Monero en Zcash op gereguleerde platforms verbied

In sy AML Handbook vat die EUCI die logika wat die teks onderlê saam: die anonimiteit van kripto-bates hou beduidende risiko’s in vir kriminele misbruik, deur die naspeurbaarheid van transaksies te verhinder en die opsporing van verdagte aktiwiteite te bemoeilik.

Dit is presies dieselfde redenasie wat reeds Japan, Suid-Korea, en meer onlangs die Filippyne genoop het om privaatsmunte van hul gereguleerde platforms uit te sluit — ’n geleidelike belyning van ontwikkelde jurisdiksies met FATF-standaarde. Deur hierdie verbod in ’n regulasie wat direk op die 27 lidstate van toepassing is te formaliseer, gee die Europese Unie hierdie tendens ’n juridiese gewig en ’n meesleurgevolg (die “Brussels Effect”) wat aansienlik hoër is as dié van geïsoleerde nasionale besluite.

Wat NIE verbied word nie — die belangrike nuanse

Verskeie juridiese analises kom ooreen oor ’n sentrale punt: die AMLR kriminaliseer nie individuele besit van privaatsmunte nie, ook nie eweknie-oordragte buite gereguleerde platforms nie. Self-bewaarde beursies word as sodanig nie verbied nie — hulle is slegs onderhewig aan verswaarde kontroles wanneer hulle met ’n platform wat aan regulasie onderworpe is, wisselwerk.

Wat die AMLR sluit, is die institusionele toegangspaaie: die aankoop, verkoop, deponering en onttrekking van privaatsmunte via ’n gereguleerde CASP binne die Europese Unie. Privaat besit en gedesentraliseerde ruiling bly, op hierdie stadium, buite die direkte bestek van die verbod — ’n identiese patroon aan dit wat reeds in die Filippyne waargeneem is.

Wat dit konkreet behels vir houers van XMR en ZEC

As u tans privaatsmunte op ’n gereguleerde wisselplatform in die Europese Unie besit:

Teen Julie 2027 sal hierdie platforms die ondersteuning van hierdie bates moes onttrek het of opgehou het om nuwe deposito’s daarvoor te aanvaar
Oordragte na persoonlike beursies vanaf dieselfde platforms sal onderworpe wees aan verswaarde identiteitsverifikasies, selfs voor die finale sperdatum
Enige kripto-transaksie bo 1 000 euro, privaasmunt of nie, sal volledige identifikasie vereis

Kritici van die teks, selfs binne die kripto-bedryf self, wys op ’n strukturele risiko: deur gereguleerde stroombane te sluit sonder om die bates tegnies te verbied, stoot die regulasie houers van privaatsmunte meganies na minder deursigtige markte en ongereguleerde platforms — die presiese teendeel van die naspeerbaarheidsdoelwit wat Brussel aankondig.

Organiseer jouself voor die 2027-sperdatum

Met ’n horison wat op 2027 gestel is, is die oorgang nie onmiddellik nie — maar dit is reeds aan die gang. Platforms pas reeds hul aanbiedinge aan in afwagting van nakoming, en die venster om privaatsmunte te ruil of posisies te konsolideer sonder om afhanklik te wees van infrastruktuur wat aan hierdie jurisdiksie onderworpe is, krimp elke maand.

Arpokrat Swap maak dit moontlik om Monero, Zcash en alle kriptomunt met verbeterde privaatheid te ruil sonder registrasie, sonder insameling van identiteitsdata en sonder afhanklikheid van ’n gereguleerde CASP wat aan die AMLR onderworpe is. Die platform is toeganklik via die gewone internet sowel as via ons .onion-adres, wat waarborg dat u vermoë om hierdie bates te ruil nie afhang van enige jurisdiksie wat sy toegangspaaie van die een dag na die ander kan sluit nie.

Die AMLR bevestig ’n trajek wat nie meer veel twyfel laat nie: gereguleerde kripto-markte en finansiële privaatheid word, jurisdiksie na jurisdiksie, struktureel onversoenbaar. Die vraag is nie meer of hierdie tendens na al die ontwikkelde ekonomieë sal versprei nie, maar hoeveel tyd daar ná 2027 sal oorbly om priwaatbates te ruil buite stroombane wat nie meer die reg sal hê om dit aan te raak nie.