De nieuwe inlichtingenwet voor de geheime diensten is er - en Bits of Freedom zou Bits of Freedom niet zijn als we er niet zijn ingedoken. Vast ook geen verrassing: we maken ons ernstige zorgen over onze (digitale) mensenrechten. In dit artikel geven we je de belangrijkste punten, zodat ook jij weet wat er op je afkomt.

De AI-AIVD

Iets wat meteen opvalt aan het wetsvoorstel, is de vergaande mate waarin de diensten technologie mogen inzetten. De wet spreekt van 'automatisering', wat een beetje klinkt alsof er wordt overgestapt van papier naar digitaal. Die term is expres gekozen, omdat op deze manier alle bestaande en toekomstige technologie er in principe onder kan vallen. Het gaat dus ook over de inzet van AI en algoritmes. Daarmee mogen de diensten ook zogenaamde bulkdatasets analyseren, die enorme bergen aan data over miljoenen mensen die voor het overgrote deel bestaan uit data van mensen waar de geheime diensten geen onderzoek naar doen.

De waarborgen die worden voorgesteld om de risico's van de inzet van technologie in het werk van de geheime diensten te mitigeren zijn vrij matig. Zo geldt er alleen een plicht om de toepassing op betrouwbaarheid te onderzoeken. Dat betekent dat er niet op andere waarden hoeft te worden beoordeeld. En dat betekent ook dat er niets is geregeld ten aanzien van het gebruik van de technologie. Oftewel: Een LLM kan betrouwbaar worden bevonden, maar je kan er nog steeds vragen aan stellen waarmee je veel meer data dan nodig terugkrijgt en het gebruik ervan dus niet proportioneel is.

Uit rapportages van de toezichthouder blijkt dat de diensten nu al AI en geautomatiseerde data-analyse gebruiken zonder dat daarvoor (intern) voldoende kaders en waarborgen zijn ingericht. Dat dit voorstel de diensten bijna onbeperkte toestemming geeft om technologie te gebruiken draagt niet bij aan een veilige en verantwoorde inzet van technologische middelen en vergroot de risico's op onrechtmatigheden.

Waar het kan, wordt het sleepnet verder verruimd

De sleepnetbevoegdheid uit de huidige wet - de Wet op de inlichtingen- en veiligheidsdiensten 2017 - was de belangrijkste aanleiding waarom we het voorstel in 2017 met zijn allen via een referendum hebben weggestemd. Met deze bevoegdheid mogen de geheime diensten op grotere schaal ons internetverkeer tappen. Zoals jullie weten, kwam het er toch, maar werden er wel wat concessies op gedaan. Die concessies gaan er nu alsnog uit. Zo zal het criterium om bevoegdheden "zo gericht mogelijk" in te zetten niet langer gelden, mag straks de hele kabel verkennend getapt worden om te kijken of er iets verdachts langskomt, mogen zelfs deze data met buitenlandse diensten worden gedeeld, hoeft er minder duidelijk aangegeven te worden waar wordt getapt en waarop gefilterd, mogen de data worden geanalyseerd met AI en zijn ook je streamingsdata niet langer veilig.

Dat zijn een heleboel dingen. Maar het komt vooral neer op dat er minder aanleiding hoeft te zijn om gegevens te verzamelen, dat er grootschaliger gegevens worden verzameld, dat er minder verantwoording hoeft te worden afgelegd over het analyseren van deze data, en dat die analyse ook uitgevoerd mag worden door AI of buitenlandse diensten.

Function creep van bevoegdheden

Er wordt voorgesteld om de doelen uit te breiden waarvoor de geheime diensten de aan hen toevertrouwde, vergaande bevoegdheden mogen inzetten.

Het eerste nieuwe doel is het mogelijk maken om later bevoegdheden makkelijker of sneller te kunnen inzetten. Dat betekent dat de diensten alvast infrastructuur mogen hacken om een positie in te nemen voor wanneer daar in de toekomst mogelijk interessante inlichtingen te vergaren zijn. Oftewel: zonder dat daar nu al een heldere aanleiding voor is.

Het tweede nieuwe doel is het ontwikkelen van capaciteiten. Die capaciteiten kunnen menselijk zijn, denk aan: "mogen we dit gesprek opnemen voor opleidingsdoeleinden?". En ze kunnen ook technologisch zijn, om AI te trainen bijvoorbeeld. Zo trainen de geheime diensten straks hun AI ook met jouw data.

Opnieuw afbreuk van het toezicht

De toezichthouder wordt vrij letterlijk afgebroken: de capaciteit gaat afnemen met maar liefst 30%, en het aantal bevoegdheden waar een bindende toetsing of toezichtsbevoegdheid op zit, wordt verminderd. En ook voor de toetsen zelf worden beperkende maatregelen voorgesteld, zoals het moeten verantwoorden waarom het nodig zou zijn om in te grijpen en een beperking op wat de toezichthouder vooraf allemaal mag meewegen in het komen tot een oordeel.

Ook wordt de mogelijkheid geboden om in beroep te gaan tegen het oordeel van de toezichthouder. In de praktijk zal dit een tweede kans zijn voor de diensten om hun bevoegdheid in te zetten. De minister heeft immers al toestemming gegeven, en gaat in beroep tegen het oordeel van de toezichthouder op die toestemming. Dat betekent dat als de toezichthouder het oneens is met de minister en een 'nee' afgeeft er een beroepsmogelijkehid openstaat. Als de toezichthouder het eens is met de minister en een 'ja' afgeeft zal er geen beroep worden ingesteld en zal de bevoegdheid worden ingezet.

Kers op de taart: staatsnoodrecht

"Als buitengewone omstandigheden dit noodzakelijk maken" kunnen verschillende verplichtingen ten aanzien van toetsing, toezicht en verantwoording buiten werking worden gesteld. Dat kan dus niet zomaar, maar in welke gevallen dan wel precies wordt niet omschreven. Wat ook niet helder is, is hoe we weer uit deze noodsituatie komen. Er ontbreekt een heldere maatregel die ervoor moet zorgen dat de normale regels weer gaan gelden zodra het kan. Daarmee voorkomen we dat we blijven hangen in een noodtoestand.

'Evidente tegenstanders' worden vogelvrij verklaard

Het wetsvoorstel kent een apart regime voor zogenaamde 'evidente tegenstanders'; organisaties met offensieve doelen en activiteiten. Het aanwijzingsbesluit waarin een organisatie als 'evidente tegenstander' wordt aangewezen moet voor een bindend oordeel langs de toezichthouder, maar de wet beperkt wel heel erg waar de toezichthouder dit besluit aan mag toetsen. Wanneer een organisatie eenmaal is aangewezen als evidente tegenstander hoeft er voor een jaar lang niet langer voorafgaande toestemming gevraagd te worden om bevoegdheden jegens deze organisatie in te zetten.

Hack van de dam

Bij de bevoegdheid om te mogen hacken gebeurt er iets heel bijzonders. Deze wordt opgeknipt in drie stappen: het binnendringen, het rondkijken en zekerstellen van de positie [wat wordt hiermee bedoeld?] en als laatste het overnemen van de gegevens. Pas bij die laatste stap komt de voorafgaande toets in het spel. Dat is natuurlijk raar. Alsof de politie eerst bij je inbreekt, en dan pas het huiszoekingsbevel gaat halen op basis van wat zij in je huis hebben gevonden.

Dit is ook erg omdat de voorafgaande toets ook een veiligheidsfunctie heeft. Op dit moment moeten voorafgaand aan een hackoperatie de technische risico's worden beschreven in de toestemmingsaanvraag. Doordat de toestemmingsplicht in het nieuwe voorstel wordt geschrapt kijkt er dus ook niemand meer mee op de vraag of het wel een goed idee is om in te breken in een stukje digitale infrastructuur en de deur open te zetten. Bedenk hierbij dat de diensten ook al via derden mogen hacken. Dus het gaat hier niet alleen om de apparaten of infrastructuur van zogenaamde targets, maar ook om personen die daarmee in contact staan, providers of andere derden. Het gaat dus over de veiligheid van onze hele digitale infrastructuur.

De geheime dienst is overal

Het is opvallend hoe in dit voorstel de samenwerkingen van de diensten worden uitgebreid:

Er is een lijst aan overheidsorganisaties waar ambtenaren kunnen worden aangewezen die werkzaamheden zullen gaan verrichten voor de diensten. Hierop staan de Koninklijke Marechaussee, de Dienst Toeslagen, de Belastingdienst, de Immigratie- en Naturalisatiedienst, het Centraal Orgaan opvang asielzoekers en de Dienst Justitiële Inrichtingen. In contact met deze overheidsinstanties weet je dan dus niet meer of je ondertussen ook contact hebt met de AIVD.

Er kunnen publiek-private samenwerkingen worden opgericht waarbij gegevens worden uitgewisseld, gezamenlijk gegevens worden geanalyseerd en wederzijds technische en operationele ondersteuning geboden wordt. Er kan vergaand worden samengewerkt met buitenlandse bedrijven en buitenlandse inlichtingen- en veiligheidsdiensten. En er kan ondersteuning gezocht worden bij Nederlandse overheidsorganisaties, zoals de politie, de krijgsmacht en de Koninklijke Marechaussee.

Een groot risico wat komt kijken bij samenwerkingen is dat gegevens het gesloten geheimhoudingscircuit van de diensten verlaten, en dat de andere partijen buiten het toezicht van deze wet vallen. Er kunnen dus wel voorwaarden gesteld worden over wat er wel/niet met de data mag gebeuren, maar of daar ook aan wordt gehouden, is de vraag. Tot slot lijkt er een risico te ontstaan dat regels omzeild zouden kunnen worden door in een samenwerking taken die de diensten niet zelf zouden mogen doen uit te besteden aan de partijen die niet onder de wet vallen.

Conclusie

Dit voorstel zorgt ervoor dat de diensten met minder verantwoording meer gegevens mogen verzamelen, verwerken en met AI analyseren. Dat zorgt ervoor dat onze gegevens eerder op de servers van de geheime diensten belanden en daar minder toezicht op plaatsvindt. We vinden het voorstel hierom absoluut niet in balans en het heeft een groot tekort aan bescherming van fundamentele rechten.

Wil je het lezen in meer detail?

Wil je nog meer weten over de wet? Dan kun je hier verder lezen in onze uitgewerkte reactie op de internetconsultatie.

Je mening geven?

Heb je (na het lezen van dit stuk) zelf ook een mening over de wet? Laat dan van je horen! Dat kan in de internetconsultatie, die loopt tot 11 oktober 2026 en vind je via onderstaande knop, waar ook de wet en de toelichting te vinden zijn en de reacties van anderen.