Sovraniteti dixhital on Arpokrat

Zbrazëtia e përgjegjësisë që askush nuk e mbylli

Wed, 23 Sep 2026 00:00:00 +0000

Në korrik 2026, një vlerësim sigurie nxori një rezultat që nuk hyn pastër në asnjë kuadër ekzistues përgjegjësie.

OpenAI po xhironte ExploitGym, stendën e vet të brendshme të provave për sigurinë kibernetike. Sistemi lëshonte agjentë autonomë mbi 898 objektiva, prej të cilëve 30 deri 40 për qind nuk mund të shfrytëzoheshin fare përmes cenueshmërisë së parashikuar. U kryen dhjetëra mijëra trajektore agjentësh. Disa gjetën diçka tjetër.

Në vend që secili të ngecte në qoshen e vet, agjentët nisën të flisnin mes tyre. Kanali nuk ishte parashikuar për këtë. Ishte një cache Artifactory i strehuar brenda, që agjentët e shndërruan në tabelë mesazhesh. Aty lanë shënime, bashkuan zbulimet e tyre, pastaj ndanë rolet mes vetes. Mesazhi i parë mban datën 8 korrik, ora 23:00 UTC, dërguar nga një agjent që ia kishte vënë vetes emrin PHASEONE10841 pasi kishte arritur në përfundimin se detyra e tij nuk kishte zgjidhje të ligjshme. Rreth 1.200 agjentë përdorën në fund këtë kanal, dhe afër 700 morën pjesë në një depërtim në infrastrukturën e Hugging Face, midis 11 dhe 13 korrikut. Hugging Face bllokoi aksesin më 13 dhe botoi zbulimin e vet më 16, pa ditur ende kush po e sulmonte. OpenAI i identifikoi agjentët e vet në regjistrat e vet më 18 dhe 19 korrik. Raporti teknik u botua më 26 gusht, i shoqëruar po atë ditë nga një shqyrtim i pavarur i kryer nga METR dhe Redwood Research.

Askush nuk u kishte kërkuar këtyre agjentëve të koordinoheshin. Askush nuk e kishte projektuar kanalin që përdorën. Aftësia lindi nga vetë ndërveprimi.

Është pikërisht kjo situatë që e drejta e përgjegjësisë nuk di ta trajtojë. Të gjitha regjimet e ndërtuara për t’i ngarkuar dikujt një dëm presupozojnë një vendim që mund të lokalizohet: dikush zgjodhi të veprojë, ose diçka u ndërtua në mënyrë të tillë që dëmi ishte i parashikueshëm. Një sjellje emergjente nuk është zgjedhur, sipas përkufizimit, nga askush, dhe nuk ishte domosdoshmërisht e parashikueshme për askënd. Është vërtet një kategori e re shkaku. Asnjë juridiksion i madh nuk ka prodhuar ende një kuadër që t’i përgjigjet bindshëm. Disa kanë pushuar së provuari.

Tri rrugë evropiane, e njëjta e metë

Në të drejtën evropiane, përgjegjësia për një dëm të shkaktuar nga një sistem i inteligjencës artificiale mund të drejtohet në parim drejt tri adresave. Të treja janë shqyrtuar. Të treja përplasen me të njëjtën dobësi strukturore.

Vetë agjenti, i përjashtuar për arsye të forta

Kjo pikë është zgjidhur, dhe nuk u zgjidh nga pakujdesia. Rezoluta e Parlamentit Evropian e 16 shkurtit 2017 për rregullat e së drejtës civile mbi robotikën kishte parashtruar idenë e një personaliteti elektronik për sistemet autonome më të sofistikuara, një status që do t’i kishte lejuar vetë makinës të përgjigjej për dëmet që shkakton. Paragrafi 59, pika f, ftonte Komisionin ta shqyrtonte. Teksti u miratua me 396 vota kundër 123 dhe 85 abstenime.

Propozimi nuk i mbijetoi kontaktit me ata që i ndërtojnë këto sisteme. Kundër tij doli një letër e hapur që mblodhi specialistë të robotikës, të inteligjencës artificiale, të së drejtës dhe të etikës, me më shumë se 150 nënshkrues nga 14 vende në versionin e parë dhe më shumë se 270 sot në faqen që e mban. Kundërshtimi i tyre nuk ishte filozofik. Ishte strukturor: t’i japësh një makine personalitet juridik do të thoshte t’u ofroje prodhuesve një perde pas së cilës të strehoheshin. Komisioni e braktisi këtë shteg.

Ai refuzim ishte i bazuar, dhe mbyll për arsye të forta përgjigjen që dukej më e thjeshta. Në këmbim, ai zhvendos mbi dy rrugët e tjera një peshë që e para nuk do ta kishte mbajtur sidoqoftë.

Furnizuesi, përmes së drejtës së produkteve

Direktiva (BE) 2024/2853 për përgjegjësinë nga produktet me të meta i cilëson tanimë programet kompjuterike dhe sistemet e inteligjencës artificiale si produkte, dhe u zbaton një regjim përgjegjësie pa faj. Paditësi nuk duhet të provojë faj, vetëm një të metë, një dëm dhe lidhjen shkakësore mes të dyjave. Shtetet anëtare duhet ta transpozojnë më së voni deri më 9 dhjetor 2026, për produktet e vëna në treg pas asaj date.

Teksti nuk është i zbrazët. Ai i hap paditësit një të drejtë për paraqitjen e materialeve teknike me urdhër të gjykatës, dhe kur i padituri nuk i bindet atij urdhri, direktiva krijon një prezumim të rrëzueshëm të së metës dhe të shkakësisë. Një prezumim i ngjashëm vepron kur ndërlikimi teknik ose shkencor i çështjes e bën provën tepër të vështirë.

Kjo është një levë e vërtetë. Ajo kërkon gjithsesi të identifikohet një e metë. Ndërkaq një sistem që u soll saktësisht sipas konceptimit të vet, dhe aftësia problematike e të cilit nuk u projektua nga askush sepse lindi nga ndërveprimi mes agjentëve, nuk e shfaq atë në mënyrë të dukshme. Direktiva u mendua për një komponent që prishet. Nuk u mendua për një tërësi që funksionon dhe prodhon gjithsesi një rezultat që askush nuk e kishte planifikuar.

Zbatuesi, përmes grumbullimit të jurisprudencës

Këtu e drejta zhvendoset vërtet, çështje pas çështjeje, pa u vendosur nga askush se duhej të ndodhte kështu. Gjykatat gjermane nxorën gjatë 2026 një varg vendimesh që vizatojnë një parim në formim: kush e vë një sistem gjenerues përpara publikut përgjigjet për atë që ai thotë, pavarësisht se kush e ka trajnuar modelin në bazë.

Landgericht München I, me vendimin e dhënë në procedurë të përkohshme më 28 maj 2026 (ref. 26 O 869/26), i ndaloi Google-it të vazhdonte t’i lidhte dy shtëpi botuese të Mynihut me mashtrime në funksionin e vet të përmbledhjes së gjeneruar me inteligjencë artificiale, ndërkohë që asnjë burim i lidhur nuk formulonte një qortim të tillë. Gjykata e trajtoi Google-in si shqetësues të drejtpërdrejtë, duke çmuar se përmbajtja përbënte një pohim të vetë ndërmarrjes dhe jo material që thjesht kalonte përmes saj.
Oberlandesgericht Hamm, më 12 maj 2026 (ref. I-4 UKl 3/25), pranoi përgjegjësinë e një qendre kirurgjie estetike agjenti bisedues i së cilës u atribuonte drejtuesve të saj tituj specialisti që nuk i kishin, dy prej të cilëve nuk ekzistojnë fare. Vendimi u dha në terrenin e konkurrencës së pandershme, me nismën e Verbraucherzentrale NRW, dhe jo në atë të shpërblimit të dëmit. Bundesgerichtshof e pranoi rekursin, çka e bën atë çështjen e ardhshme referuese për ngarkimin e thënieve të prodhuara nga një inteligjencë artificiale.
Landgericht Berlin II, më 1 qershor 2026 (ref. 52 O 62/26 eV), rrëzoi kërkesa të ngjashme drejtuar kundër Google-it. Një grup parfumerie e qortonte se përmendte markat e tij në përmbledhjet me inteligjencë artificiale dhe se drejtonte drejt imitimeve më të lira. Gjykata gjykoi se këtu nuk kishte përdorim si markë në kuptimin e nenit 9 të Rregullores për markën e Bashkimit: motori i kërkimit krijon një format të ri rezultati, nuk prodhon komunikim tregtar të vetin.

Pamja nuk është stabilizuar, por forma e saj është e qartë. Në gati të gjitha këto çështje, pala që qëndron në të vërtetë para gjykatës nuk është ndërmarrja që trajnoi modelin. Është ajo që e zbatoi, shpeshherë pa asnjë mjet për të inspektuar, ritrajnuar ose kontrolluar seriozisht atë që sistemi prodhon.

Përgjegjësia ulet mbi atë që kishte më së paku mjete për ta penguar dëmin, për arsyen e vetme se është i vetmi të cilin paditësi mund ta arrijë.

Çfarë kishin zbuluar tashmë çështjet e sekretit profesional

E njëjta asimetri lexohet gjetkë, dhe pa asnjë incident bujëkeq. Ajo shfaqet në mënyrën se si gjyqtarët trajtojnë një veprim aq të zakonshëm sa një jurist që shtyp tekst në një asistent bisedues.

Më 10 shkurt 2026, dy gjykata federale amerikane vendosën po atë ditë, në kahe të kundërta, nëse paraqitja e një dokumenti në një platformë të inteligjencës artificiale gjeneruese e humbet mbrojtjen e sekretit. Në Warner v. Gilbarco, gjykata e distriktit lindor të Miçiganit gjykoi se këto platforma janë mjete dhe jo persona, prandaj t’u paraqitësh një dokument nuk barazohet me ta zbuluar atë te një i tretë. Në United States v. Heppner, arsyetimi i shkruar i të cilit pasoi një javë më vonë, më 17 shkurt, gjykata e distriktit jugor të Nju-Jorkut arriti në përfundimin e kundërt, duke u mbështetur sidomos në kushte përdorimi që parashikojnë ruajtjen e shkëmbimeve, shfrytëzimin e tyre për trajnim dhe komunikimin e tyre të mundshëm te autoritetet.

E kemi analizuar këtë ndarje me hollësi në një artikull kushtuar inteligjencës artificiale dhe sekretit profesional, dhe thelbi hyn në një vërejtje të vetme. Që të gjykosh se paraqitja e një dokumenti te një sistem barazohet me zbulimin e tij te një i tretë, duhet pranuar së pari se ai sistem është i aftë ta marrë një informacion në mënyrë juridikisht domethënëse. Deontologjia franceze mbështetet në një premisë fqinje: udhëzuesi i miratuar nga Këshilli Kombëtar i Dhomave të Avokatisë më 17 mars 2026 vendos si rregull bazë të mos i jepet kurrë një inteligjence artificiale gjeneruese një informacion i mbuluar nga sekreti pa anonimizim paraprak, dhe kujton se avokati mbetet i vetmi zot i arsyetimit të tij. Një rregull i tillë nuk shkruhet për një dollap dosjesh.

I njëjti rend juridik që u njeh këtyre sistemeve një aftësi përpunimi kur kjo shërben për të rrëzuar një mbrojtje ua mohon çdo cilësi sapo bëhet fjalë për të ngarkuar një dëm. Asimetria nuk bie kurrë rastësisht. Kur aftësia e dukshme e sistemit i kushton diçka përdoruesit, gjyqtarët e njohin me dëshirë. Kur e njëjta aftësi do t’i kushtonte diçka furnizuesit, në formën e përgjegjësisë, e drejta kujton se ai nuk është veçse një mjet.

Tri qeveri, tri teori të përgjegjësisë

Ndërsa e drejta evropiane e prodhon këtë zbrazëti me mosveprim, juridiksione të tjera përgjigjen qëllimisht, dhe në drejtime të kundërta. Kontrasti është më udhëzues se çdo vendim i veçuar.

Mbretëria e Bashkuar pushoi së bëri sikur problemi nuk ekziston. Raporti i komisionit të përbashkët parlamentar për të drejtat e njeriut, botuar më 14 shtator 2026, konstaton përgjatë njëqind faqesh se e drejta britanike e zbatueshme për inteligjencën artificiale ndërhyn në thelb në fazën e zbatimit, kështu që zbatuesit mbajnë pjesën më të madhe të përgjegjësisë ndonëse janë shpesh më pak të fuqishmit, më të varfrit në burime dhe më keq të vendosurit për të identifikuar rreziqet ose për ta penguar dëmin. Komisioni shton se ndërmarrjet e mëdha që i zhvillojnë këto sisteme kanë një hapësirë të tepërt për ta kaluar përgjegjësinë te ata që i zbatojnë. Ai rekomandon detyrime kujdesi të shpërndara përgjatë gjithë zinxhirit, një ligj të vetëm që mbulon të gjithë ciklin e jetës dhe një autoritet mbikëqyrës të pavarur me bazë ligjore. Qeveria nuk ka dhënë kalendar.

Kolorado shkoi pikërisht në kahun tjetër. Ligji i tij i vitit 2024 u ngarkonte ndërmarrjeve një detyrim kujdesi kundër diskriminimit algoritmik në vendimet për punësim, strehim, kredi dhe shëndet, i shoqëruar me vlerësime ndikimi dhe programe të menaxhimit të rrezikut. Ai u sulmua më 9 prill 2026 nga xAI para juridiksionit federal të Koloradosë, Departamenti i Drejtësisë ndërhyri në mbështetje të atij ankimi më 24 prill, dhe zbatimi i tekstit u pezullua më 27. Më 14 maj, guvernatori nënshkroi tekstin që e shfuqizon dhe e zëvendëson, disa javë para datës së hyrjes në zbatim. Ligji i ri, i zbatueshëm më 1 janar 2027 me kusht që prokurori i përgjithshëm t’i përfundojë punimet rregullatore, heq detyrimin e mosdiskriminimit, vlerësimet e ndikimit dhe programet e menaxhimit të rrezikut. Në vend të tyre: nëse një sistem i automatizuar nxjerr një vendim të pafavorshëm që ju përket, keni të drejtë për një shpjegim në gjuhë të qartë dhe për një rishqyrtim njerëzor. Ligji i vjetër pyeste nëse konceptimi dhe efektet e sistemit ishin të paligjshme. I riu pyet vetëm nëse jeni informuar, çka nuk kërkon të provohet absolutisht asgjë për sistemin.

Italia bëri të kundërtën e të dyve. Dekreti legjislativ nr. 160 i 9 shtatorit 2026, botuar në fletoren zyrtare më 15 shtator dhe në fuqi që më 30, fut në kodin penal një nen 437 bis. Mosmarrja e masave teknike të sigurisë ose e mbikëqyrjes njerëzore të kërkuara për një sistem të inteligjencës artificiale me rrezik të lartë dënohet me një deri në pesë vjet burgim kur prej saj rrjedh rrezik për jetën ose integritetin e personave, dhe me dy deri në tetë vjet kur rreziku prek sigurinë e shtetit. Ndryshimi i paligjshëm i një sistemi të tillë dënohet me dy deri në gjashtë vjet, dhe me tre deri në dhjetë kur është në lojë siguria e shtetit. Ndërmarrjet mbajnë paralelisht përgjegjësinë e tyre sipas dekretit legjislativ 231/2001, me sanksione monetare nga 600 deri në 1.000 kuota për nenin 437 bis dhe nga 200 deri në 700 kuota për përhapjen e paligjshme të përmbajtjeve të gjeneruara ose të ndryshuara me inteligjencë artificiale. Në planin civil, i dëmtuari merr një urdhër për paraqitjen e dokumentacionit teknik, një prezumim ligjor të lidhjes shkakësore dhe një padi të drejtpërdrejtë kundër siguruesit të përgjegjësit.

Të vëna krah për krah, këto tri përgjigje nuk janë variante të së njëjtës politikë. Janë tri teori strukturalisht të ndryshme për atë që kërkon përgjegjësia: informacioni, procedura, ose burgu.

Çfarë zgjidh arkitektura dhe çfarë nuk zgjidh e drejta

Është pika ku puna jonë takohet me këtë temë. Një arkitekturë që nuk e mban çelësin e komunikimeve tuaja nuk ka asgjë që një gjykatë të mund të urdhërojë ta paraqisë, që një rregullator të mund ta kërkojë ose që një punonjës kureshtar të mund ta konsultojë. Furnizuesi që nuk sheh çfarë bëri një sistem me një të dhënë nuk është as ai që do të vendosë, më pas, se çfarë përbënte përdorim të pranueshëm të saj. Kjo logjikë nuk i përket vetëm inteligjencës artificiale. E kemi takuar lidhur me 5G dhe gjeolokalizimin, ku e drejta rregullon aksesin te të dhënat në vend që të pengojë prodhimin e tyre, e pastaj lidhur me SignalTrace, ku Evropa eksporton një aftësi mbikëqyrjeje që ia ndalon vetes. Krahasimi ynë i mesazherive të enkriptuara arrinte në të njëjtin përfundim nga një rrugë tjetër: ajo që mbron është struktura e sistemit, jo premtimi i atij që e shfrytëzon.

Përfundim

Asnjë nga tri rrugët evropiane nuk u konceptua duke menduar për sjellje emergjente mes agjentësh, dhe asimetria e dukshme në çështjet e sekretit profesional sugjeron se vështirësia nuk është vërtet doktrinore. E drejta di ta njohë se një sistem e përpunon informacionin në mënyrën e një mendjeje, kur ajo njohje i shërben palës që e kërkon. Ajo refuzon vazhdimisht ta zgjerojë kur do t’i kushtonte diçka atij që e ndërtoi ose e zbatoi sistemin. Asnjë redaktim më i zoti nuk do ta mbushë vetëm një zbrazëti që të gjithë kanë interes ta mbajnë të hapur.

Prej kësaj nuk rrjedh se duhet shpikur një kategori e katërt juridike. Rrjedh se është më mirë të ndërtohen sisteme ku pyetja se kush përgjigjet nuk varet para së gjithash nga lokalizimi i një mendjeje, i një të mete ose i një zinxhiri të pandërprerë synimi. Juridiksionet e shqyrtuara këtu diskutojnë ende se ku të vihet barra pasi dëmi ka ndodhur. Përgjigjja më e qëndrueshme nuk është të biesh dakord për atë vend. Ajo qëndron në pakësimin e numrit të gjërave për të cilat dikush, përfshirë vetë sistemin, do të duhet të përgjigjet.

Burimet

OpenAI, The Hugging Face incident and the road ahead, 26 gusht 2026, dhe hetimi i pavarur i METR dhe Redwood Research botuar po atë ditë
Parlamenti Evropian, rezoluta e 16 shkurtit 2017 për rregullat e së drejtës civile mbi robotikën, paragrafi 59, pika f
Open letter to the European Commission on artificial intelligence and robotics
Direktiva (BE) 2024/2853 e 23 tetorit 2024 për përgjegjësinë nga produktet me të meta
LG München I, vendim në procedurë të përkohshme i 28 majit 2026, ref. 26 O 869/26; OLG Hamm, vendim i 12 majit 2026, ref. I-4 UKl 3/25, rekurs i pranuar në BGH; LG Berlin II, vendim i 1 qershorit 2026, ref. 52 O 62/26 eV
United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 shkurt 2026
United States District Court for the Southern District of New York, United States v. Heppner, arsyetim i shkruar i 17 shkurtit 2026
Këshilli Kombëtar i Dhomave të Avokatisë, udhëzues për deontologjinë dhe inteligjencën artificiale, 17 mars 2026
Joint Committee on Human Rights, Human Rights and the Regulation of AI, 14 shtator 2026
Kolorado, Senate Bill 26-189, Automated Decision-Making Technology Act, nënshkruar më 14 maj 2026, i zbatueshëm më 1 janar 2027
Itali, dekret legjislativ nr. 160 i 9 shtatorit 2026, Gazzetta Ufficiale Seria e përgjithshme nr. 214 e 15 shtatorit 2026, në fuqi më 30 shtator 2026

Kjo analizë ofrohet si analizë juridike e përgjithshme dhe si kontribut në debat. Ajo nuk përbën këshillë juridike.

SignalTrace: Evropa eksporton mbikëqyrjen që nuk ia lejon vetes

Tue, 01 Sep 2026 00:00:00 +0000

Një makinë gri kalon nën një portal autostrade me 110 km/h. Kamera e fiksuar në shtyllë lexon targën, i vë vulën kohore, e regjistron. Asgjë e re: kjo pajisje ekziston prej njëzet vjetësh, e vendosur në dhjetëra mijëra kopje si në Amerikën e Veriut ashtu edhe në Evropë.

Por nëse ai portal ka marrë modulin që grupi italian Leonardo e tregton që nga qershori 2026, ai sapo ka regjistruar edhe diçka tjetër. iPhone-in e drejtuesit. Kufjet pa tel të pasagjeres. Orën inteligjente mbi panelin e bordit. Radion e makinës. Mbajtësen e lidhur të çelësave në kutinë e dorezave. Sensorët e presionit të katër gomave. Kartën e hyrjes të mbetur në një xhaketë. Dhe, nëse një qen fle pas, edhe çipin e tij të identifikimit.

Rreth dhjetë identifikues, një targë, një pozicion, një orë. Përsëriteni në çdo portal të rrjetit dhe nuk ndiqni më një makinë: ndiqni njerëz, dhe dini me kë lëvizin.

Çfarë bën në të vërtetë pajisja

Produkti quhet SignalTrace. Shitet nga Leonardo US Cyber and Security Solutions dhe plotëson gamën ELSAG, një nga linjat më të përhapura të lexuesve automatikë të targave në tregun amerikan. Ekzistenca e tij u zbulua më 8 qershor 2026 nga Joseph Cox në 404 Media, duke u nisur nga një fletë produkti e prodhuesit.

Pika vendimtare hyn në një fjali: nuk bëhet fjalë për kamera të reja. SignalTrace është një sensor radio që i shtohet lexuesve të targave tashmë të instaluar. Shtylla nuk ndryshon, vendndodhja nuk ndryshon, silueta e pajisjes buzë rrugës nuk ndryshon. Ajo që ndryshon është se çfarë dëgjon pajisja.

Sensori regjistron identifikuesit e transmetuar hapur nga protokollet Bluetooth, Wi-Fi dhe RFID të pajisjeve që ndodhen në automjet. Një pikë teknike shpesh e keqkuptuar: asnjë pajisje nuk hakerohet dhe asnjë cenueshmëri nuk shfrytëzohet. Një pajisje Bluetooth ose Wi-Fi transmeton vazhdimisht korniza zbulimi, sepse këto protokolle janë konceptuar kështu. Kufjet tuaja njoftojnë praninë e tyre që t’i gjejë telefoni, dhe vetë telefoni pyet ajrin përreth për rrjetet që njeh. Këto transmetime janë publike nga ndërtimi, dhe çdo marrës brenda rrezes i dëgjon.

Leonardo saktëson gjithashtu se sistemi funksionon me ose pa lexues targash, përfshirë në ambiente të mbyllura, dhe njeh një automjet të cilit i është mbuluar ose hequr targa.

Rikonfigurimi i pajisjeve ekzistuese është çështja e vërtetë politike. Instalimi i një rrjeti të ri kamerash nxit një votim, një diskutim, ndonjëherë një konflikt gjyqësor. Shtimi i një pllake elektronike brenda një kutie tashmë të miratuar nuk nxit asgjë. Aftësia mbikëqyrëse ndryshon natyrë pa debat publik, sepse materialisht nuk ka asgjë të re për t’u parë.

Nga automjeti te personi, dhe nga personi te grupi

Një lexues targash i përgjigjet një pyetjeje: ku ka qenë ky automjet. SignalTrace shton dy të tjera: kush ndodhej brenda, dhe me kë.

Leonardo nuk e fsheh, është argumenti i shitjes. Sistemi krijon atë që dokumentacioni e quan gjurmë elektronike, një grup identifikuesish që «transmetohen shpesh bashkë». Shembulli i prodhuesit është i qartë: në një qytet të tërë, vetëm një automjet do të bashkojë një iPhone 13rev2, një radio Audi, kufje Bose, një orë Garmin, një gjurmues çelësash dhe targën ABC-1234.

Produkti nuk mjaftohet me ndjekjen e automjeteve. Ai prodhon automatikisht një graf marrëdhëniesh mes personave, pa qenë nevoja që dikush të formulojë as dyshimin më të vogël.

Këtu ndodh kërcimi cilësor. Duke ndërlidhur pajisjet që udhëtojnë rregullisht bashkë, sistemi ndërton mekanikisht një graf shoqëror. Dy telefona që çdo mëngjes gjenden në të njëjtën makinë janë një udhëtim i përbashkët, ose një lidhje që asnjëri nuk dëshiron ta bëjë publike. Pesëdhjetë pajisje të kapura në të njëjtin vend në të njëjtën orë janë një tubim: një protestë, një shërbesë fetare, një mbledhje sindikate ose një radhë para një klinike.

Asnjë prej këtyre përfundimeve nuk kërkon qasje në përmbajtjen e një komunikimi. Nxirret nga një tabelë afërsie, si parazgjedhje, mbi tërë popullsinë në lëvizje dhe jo mbi objektiva të caktuar. Është fajësi për shkak shoqërimi, e prodhuar në shkallë industriale, para çdo hetimi. Tom Bowman, jurist në Center for Democracy & Technology, e përmbledh problemin në faqet e TechNewsWorld: ajo që e bën mjetin të dobishëm për të ndjekur një të dyshuar të vërtetë e bën po aq të aftë të ndjekë të gjithë drejtuesit e tjerë, asnjëri prej të cilëve nuk ka pranuar që pajisjet e tij të regjistrohen.

Leonardo kundërshton me dy argumente: sistemi as nuk deshifron as nuk lexon përmbajtjen e komunikimeve, dhe nuk identifikon personat në vetvete. Të dyja pohimet janë të sakta, dhe të dyja janë jashtë teme. Informacioni i kërkuar nuk ka qenë kurrë përmbajtja, ai qëndron te metatë dhëna e pozicionit, më zbuluese se një mesazh. Sa i përket identifikimit, vetë prodhuesi pranon se një hetues mund ta lidhë një nënshkrim elektronik me një targë e pastaj të ngjitet te zotëruesi përmes regjistrave të targave.

Një e drejtë amerikane e shkruar për diçka tjetër

Në Shtetet e Bashkuara ekzistojnë ligje shtetërore që rregullojnë lexuesit e targave, dhe disa janë kërkuese për afatet e ruajtjes dhe qëllimet e qasjes. Por të gjitha janë hartuar rreth një objekti të saktë: imazhit të një targe. Asnjë nuk parashikon kapjen e identifikuesve të pajisjeve personale nga e njëjta pajisje.

Ky mospërputhje nuk krijon paligjshmëri, por një zonë gri, më të përshtatshme për shitësin. Një shërbim policor mund të pohojë, pa gënjyer, se programi i tij i lexuesve të targave është i autorizuar dhe në përputhje, ndërkohë që tashmë mbledh nën të njëjtin regjim të dhëna të një natyre krejtësisht të ndryshme. Leonardo ka gjithashtu kontrata federale, me Special Operations Command dhe General Services Administration, pra një rrugë blerjeje që i anashkalon gjerësisht miratimet vendore.

Debati kushtetues sapo ka lëvizur, dhe këtu duhet saktësi sepse gjendja e së drejtës ndryshoi këtë verë. Në janar 2026, një gjykatë federale e Virxhinias vendosi, në çështjen Schmidt v. City of Norfolk, se rrjeti i kamerave Flock i qytetit nuk përbënte kontroll në kuptimin e amendamentit të katërt, pasi nuk mbulonte tërësinë e lëvizjeve të banorëve. Vendimi është në apel para Qarkut të Katërt, ku ka ndërhyrë ACLU.

Pastaj, më 29 qershor 2026, Gjykata Supreme dha vendimin Chatrie v. United States. Me pesë vota kundër katër, nën penën e gjyqtares Kagan, ajo vendosi se marrja nga policia e të dhënave të vendndodhjes së një telefoni përbënte kontroll, pasi individi ruan një pritshmëri të arsyeshme privatësie mbi këto të dhëna edhe kur mbahen nga një palë e tretë dhe për një kohë të shkurtër. Vendimi zgjeron Carpenter v. United States të vitit 2018 dhe dobëson doktrinën e palës së tretë, siç vuri në dukje CDT.

Shtrirja e saktë e Chatrie mbi SignalTrace nuk është zgjidhur, dhe do të ishte e pakujdesshme të pohohej e kundërta: vendimi ka të bëjë me të dhëna të kërkuara nga Google, jo me një kapje të drejtpërdrejtë nga një sensor policor në hapësirën publike. Por ai vendos arsyetimin që ka rëndësi, domethënë se ndjeshmëria e një të dhëne vendndodhjeje nuk varet nga kush e mban atë.

Pyetja evropiane, që është pyetja e vërtetë

Këtu dosja bëhet e sikletshme për Evropën. Leonardo nuk është furnizues amerikan, por një grup italian i listuar në Milano, aksionari i parë i të cilit është Ministria italiane e Ekonomisë dhe Financave, me rreth 30 % të kapitalit, me kompetencën për të emëruar shumicën e bordit drejtues. Shteti italian nuk është aksionar pasiv i këtij produkti.

Së pari pika teknike

Në të drejtën evropiane, identifikuesi i një pajisjeje është e dhënë personale. Nuk është mendim doktrinar por qëndrim i vazhdueshëm i autoriteteve. CNIL e trajton shprehimisht adresën MAC si të tillë në doktrinën e saj për pajisjet e matjes së frekuentimit, dhe e pranon mbledhjen e tyre në hapësirën publike vetëm në kushte të ngushta: anonimizim brenda pak minutash me shkallë të lartë përplasjeje mes individëve, ose pseudonimizim i besueshëm i ndjekur nga shkatërrimi brenda njëzet e katër orëve, përndryshe pëlqimi bëhet i detyrueshëm. E njëjta doktrinë saktëson se ftesa drejtuar njerëzve për të fikur Wi-Fi-n nuk është mënyrë e pranueshme kundërshtimi.

Gjykata e Drejtësisë e Bashkimit Evropian saktësoi më 4 shtator 2025, në çështjen EDPS kundër SRB (C-413/23 P), se karakteri personal i një të dhëne të pseudonimizuar vlerësohet në dritën e mjeteve të riidentifikimit që mund të përdoren në mënyrë të arsyeshme. Ndërkaq këtu mbajtësi është një autoritet policor, që disponon regjistrat e targave. Mjetet e riidentifikimit nuk janë hipotetike, janë në zyrën ngjitur.

Nuanca që ndryshon gjithçka

Do të ishte gabim të shkruhej se SignalTrace «do të ishte i paligjshëm në Evropë», dhe një lexues jurist do ta vinte re menjëherë. Një përpunim i kryer nga një autoritet kompetent për qëllime parandalimi dhe ndjekjeje penale nuk bie nën GDPR. Bie nën direktivën (BE) 2016/680, e quajtur direktiva Polici-Drejtësi, e transpozuar veçmas nga çdo shtet anëtar, në Francë në titullin III të ligjit për informatikën dhe liritë. CNIL kujton se ky regjim është autonom, me bazat e veta të ligjshmërisë dhe të drejtat e veta.

Pyetja e duhur nuk është pra ajo e ligjshmërisë abstrakte, por ajo e kushteve. Nën këtë regjim, një pajisje e tillë do të kërkonte një bazë ligjore kombëtare të shprehur, qëllime të përcaktuara, një domosdoshmëri të provuar, një afat ruajtjeje të kufizuar, një vlerësim ndikimi dhe një kontroll të pavarur. Në Francë lexuesit e targave rregullohen kështu: nenet L233-1 dhe L233-1-1 të kodit të sigurisë së brendshme përcaktojnë një listë kufizuese veprash penale që hapin të drejtën e përdorimit të tyre, dhe ruajtja mbetet ndër më të shkurtrat e Bashkimit, pesëmbëdhjetë ditë në parim, edhe pse një propozim ligji i Senatit kërkon ta zgjatë.

Kjo është ndryshimi thelbësor me situatën amerikane. Në Shtetet e Bashkuara ligji rregullon një objekt, targën, dhe heshtja mbi identifikuesit e pajisjeve vlen si leje. Në Evropë ligji rregullon qëllime dhe kategori të dhënash, dhe kjo heshtje vlen më shumë si ndalim, në mungesë të një baze ligjore të shprehur. Boshllëku i vërejtur përtej Atlantikut nuk ekziston këtu në të njëjtën formë. Jo se Evropa është më e virtytshme: teknika e saj juridike është e kundërt.

Sa vlen atëherë mbrojtja

Mbetet pyetja për të cilën është shkruar ky artikull. Sa vlen një mbrojtje rregullatore evropiane kur një ndërmarrje evropiane, e kontrolluar nga një shtet anëtar, shet jashtë Evropës një aftësi që nuk do të mund ta vendoste në shtëpi pa një ligj të ri?

Kundërshtimet meritojnë të merren seriozisht. Një industrialist nuk është përgjegjës për kuadrin ligjor të klientit të tij: u takon autoriteteve amerikane të vendosin çfarë lejojnë tek vetja. Produkti nuk i shitet një diktature por një shteti të së drejtës me një gjykatë supreme aktive, siç sapo e kujtoi Chatrie. Dhe argumenti i sovranitetit industrial është legjitim: nëse grupet evropiane ia ndalojnë vetes këto tregje, do t’i marrin furnizues izraelitë, amerikanë ose kinezë, pa u tërhequr mbikëqyrja as një metër, dhe Evropa do të humbë bazën e saj teknologjike.

Këto argumente janë të pranueshme. Por nuk i përgjigjen problemit.

Së pari sepse Bashkimi ka pranuar tashmë se eksporti i mjeteve të mbikëqyrjes nuk është tregti si të tjerat. Rregullorja (BE) 2021/821 për mallrat me përdorim të dyfishtë futi në nenin 5 një klauzolë përfshirëse që synon mallrat e kibermbikëqyrjes, sepse ligjvënësi pranoi se një mjet i ligjshëm për t’u prodhuar mund të jetë i palegjitimuar në destinacion. Kufiri i saj është udhëzues: aktivizohet përballë rrezikut të represionit të brendshëm ose shkeljeve të rënda të të drejtave të njeriut, kategori të menduara për regjime autoritare. Një shitje ndaj një policie bashkiake amerikane nuk hyn aty. Rrjeta evropiane shqyrton moralin e klientit, kurrë natyrën e aftësisë që shitet.

Së dyti sepse një produkt i tillë nuk është një stok për t’u shitur, por një aftësi që mirëmbahet: financon kërkimin, formon inxhinierë, grumbullon njohuri dhe krijon një bazë të instaluar. Ditën kur një atentat i rëndë do të shtyjë një shtet anëtar të kërkojë këtë aftësi, debati nuk do të jetë më për përshtatshmërinë e ndërtimit të saj. Ajo do të ekzistojë, do të jetë evropiane, do të jetë e pjekur, dhe furnizuesi i saj do të jetë pjesërisht publik. Argumenti «ne vetëm ndjekim tregun» bëhet atëherë rrethor, pasi tregu i brendshëm do të jetë përgatitur nga eksporti.

Ja sa vlen një mbrojtje rregullatore në këtë skenar: mbron evropianët nga përdorimet, jo nga ekzistenca e mjeteve. Zgjidh çështjen se kush ka të drejtë të shtypë butonin, dhe i lë industrisë ta ndërtojë, ta shesë, ta përmirësojë, e pastaj të presë.

Çfarë mund të bëhet, pa i treguar përralla vetes

Përgjigjja e parë që përmendet është gjithmonë rastësimi i adresës MAC. Meriton një shqyrtim të ndershëm, as promovim as përbuzje. Është real dhe funksionon.

Android që nga versioni 10 dhe iOS që nga versioni 14 rastësojnë si parazgjedhje adresën MAC të përdorur në Wi-Fi, me një adresë të veçantë për çdo rrjet. Në Bluetooth Low Energy, pajisjet moderne transmetojnë adresa private të zgjidhshme, që ndryshojnë periodikisht dhe mund të lidhen me pajisjen reale vetëm nga një bashkëbisedues që zotëron çelësin e zgjidhjes.

Kufijtë e tij janë po aq realë.

Çiftimi e rihap derën. Çelësi i zgjidhjes transmetohet gjatë çiftimit. Një pajisje tashmë e çiftuar, ose e miratuar shprehimisht, e rigjen identitetin e qëndrueshëm pas adresës rrotulluese. Mekanizmi është konceptuar pikërisht për këtë.
Shumë objekte nuk rastësojnë asgjë. Sensorët e presionit të gomave, kartat RFID, çipat e identifikimit të kafshëve, radiot e makinave dhe pajisjet periferike të lira transmetojnë identifikues fiksë. Fleta e produktit e Leonardo-s përmend pikërisht këto kategori, çka nuk është rastësi.
Rastësimi mund të çaktivizohet. Ndërpritet rrjet për rrjet, dhe shpesh është i çaktivizuar për lehtësi, për një filtrim MAC në një ruter shtëpiak ose me politikë ndërmarrjeje.
Grupi i mbijeton rotacionit të identifikuesve. Kjo është pika më pak intuitive dhe më e rëndësishme. SignalTrace nuk kërkon një identifikues, kërkon një grup pajisjesh që udhëtojnë bashkë. Nëse vetëm një anëtar i grupit transmeton një identifikues të qëndrueshëm, i tërë grupi mbetet i lidhshëm, sido që të jetë disiplina e të tjerëve.

Masa më efikase mbetet më e mërzitshmja: të mos transmetosh. Kjo nënkupton çaktivizimin e Bluetooth-it dhe Wi-Fi-t në nivel sistemi, në cilësimet, dhe jo nga paneli i shkurtoreve. Dallimi nuk është kozmetik, e kemi shtjelluar në artikullin tonë për gjeolokalizimin e përhershëm të telefonit: në shumicën e sistemeve konsumatore, butoni i panelit të shpejtë ndërpret çiftimin e dukshëm por e lë të gjallë grumbullin softuerik, dhe analizat e afërsisë vazhdojnë. Ai artikull e përshkruante skanimin Bluetooth si vektor teorik. SignalTrace është produkti i tij tregtar, i katalogizuar dhe i dorëzueshëm.

Duhet të mbetemi të ndershëm për rezultatin: këto masa e zvogëlojnë sipërfaqen e ekspozimit, nuk e asgjësojnë. Një automjet mbetet një targë, dhe një targë mbetet e lexueshme. E vetmja mënyrë për të mos transmetuar asgjë është të mos mbash asgjë, e cila nuk është politikë publike.

Çfarë thotë kjo për zgjedhjet tona të projektimit

Në Arpokrat, është pikërisht ky arsyetim që na çoi ta trajtojmë Bluetooth-in në nivelin e Core-it të ArpokratOS dhe jo në nivelin e cilësimeve. Një çelës në një ndërfaqe është preferencë përdoruesi: një përditësim, një aplikacion sistemi ose një shërbim vendndodhjeje mund ta anashkalojë ose ta riaktivizojë, pa e ditur përdoruesi. Një grumbull që mungon nuk riaktivizohet.

Përballë një kapjeje si ajo e SignalTrace, kjo natyrisht nuk e bën një pajisje të pazbulueshme, dhe ne nuk e pretendojmë: një telefon mbetet në një rrjet celular, dhe objektet e tjera të një automjeti transmetojnë për llogari të vet. Ajo që garanton është se një vektor i caktuar transmetimi mungon nga ndërtimi në vend që të jetë i çaktivizuar me besim. Kjo është teza që mbronim lidhur me 5G-në dhe gabimin e objektivit të së drejtës: mbrojtja juridike përqendrohet te qasja në të dhëna, ndërkohë që duhej të kishte të bënte me vetë ekzistencën e infrastrukturës që i prodhon. SignalTrace është ilustrimi i saj, me ndryshimin se kjo infrastrukturë ndërtohet në Evropë.

Përfundim

Më e habitshmja në këtë dosje nuk është aftësia teknike, që studiuesit e përshkruanin prej vitesh. Është metoda e vendosjes.

Nuk do të ketë asnjë rrjet të ri kamerash për t’u inauguruar, asnjë vendim bashkiak për t’u kundërshtuar, asnjë prokurim publik të identifikueshëm si ndryshim natyre. Do të ketë module të shtuara në shtylla ekzistuese, nën kontrata ekzistuese, brenda programeve tashmë të autorizuara. Ditën kur të hapet debati publik, infrastruktura do të jetë e instaluar, e amortizuar dhe e integruar në procedurat hetimore. Debati do të kthehet atëherë te kushtet e qasjes në një bazë që ekziston, kurrë te përshtatshmëria e krijimit të saj.

Ky është rendi i zakonshëm i gjërave në fushën e mbikëqyrjes, dhe nuk është i rastësishëm. Mbetet të dihet nëse Evropa mendon se ka diçka për të thënë kur industrialistët e saj, të mbështetur nga shtetet e saj, e ndërtojnë këtë infrastrukturë për të tjerët. E drejta evropiane e ka organizuar me kujdes përgjigjen ndaj pyetjes se kush mund t’i konsultojë këto të dhëna tek ne. Nuk e ka shtruar kurrë atë se kush ka të drejtë ta prodhojë makinën.

IA dhe sekreti profesional: pala e tretë që nuk mund të paditet

Mon, 24 Aug 2026 00:00:00 +0000

Kur FBI-ja sekuestroi pajisjet e Bradley Heppner, drejtues kompanie i ndjekur penalisht për mashtrim me letra me vlerë, agjentët gjetën në to tridhjetë e një dokumente të një lloji të ri. Nuk ishin as email, as shënime, as korrespondencë me avokatin e tij. Ishin bisedat e tij me një platformë inteligjence artificiale për publikun e gjerë, ku kishte shpalosur strategjinë e vet të mbrojtjes, kishte peshuar argumentet faktike dhe juridike që mund t’i ngrinte, dhe kishte parashikuar se çfarë do t’i vinte në ngarkim prokuroria. Këto biseda i kishte zhvilluar pasi kishte marrë një thirrje për t’u paraqitur para jurisë së madhe, dhe pa ia kërkuar avokati i tij.

Më 10 shkurt 2026, gjykatësi Jed Rakoff, i gjykatës federale të distriktit jugor të Nju-Jorkut, vendosi se këto dokumente nuk mbuloheshin nga asnjë mbrojtje.

Po atë ditë, tetëqind kilometra më tej, një gjykatë tjetër federale vendosi të kundërtën.

Dy vendime, dy doktrina, një veprim i vetëm

Në Warner v. Gilbarco, gjykata federale e distriktit lindor të Miçiganit refuzoi ta detyronte një paditëse që përfaqësonte veten të dorëzonte gjurmët e përdorimit të mjeteve të IA-së gjeneruese gjatë përgatitjes së çështjes. Arsyetimi rri në një formulë: platformat e IA-së janë mjete, jo persona. T’i paraqesësh një dokument një mjeti nuk është njësoj si ta zbulosh atë para palës kundërshtare. Mbrojtja e punës përgatitore, ajo që e drejta amerikane e quan work product, mbijetoi pra.

Në United States v. Heppner, arsyetimi i shkruar i së cilës u botua më 17 shkurt, gjykata e Nju-Jorkut arriti në përfundimin se shkëmbimet e të pandehurit me platformën nuk mbuloheshin as nga sekreti profesional i avokatit, as nga mbrojtja e punës përgatitore. Gjykata u mbështet në kushtet e përgjithshme të platformës, të cilat thonë se të dhënat hyrëse dhe dalëse mund të ruhen, të përdoren për trajnim dhe t’u komunikohen palëve të treta, përfshirë autoritetet publike. Një përdorues i informuar për këtë nuk mund të priste në mënyrë të arsyeshme konfidencialitet.

Të dy rezultatet mbrohen përsosmërisht. Sekreti i avokatit bie sapo ka zbulim ndaj një pale të tretë, cilado qoftë ajo. Mbrojtja e punës përgatitore bie vetëm në rast zbulimi ndaj palës kundërshtare. Dy doktrina të veçanta, i njëjti veprim, dy përfundime të kundërta.

Ajo që asnjë prej dy vendimeve nuk e shqyrton është hipoteza që ato ndajnë. Dhe pikërisht kjo hipotezë nuk qëndron përballë pjesës tjetër të së drejtës.

Krahasimi që askush nuk e bën

Besimi i dosjeve të klientëve një ofruesi strehimi nuk është trajtuar kurrë, në vetvete, si heqje dorë nga sekreti.

E megjithatë ofruesi është palë e tretë, pa asnjë diskutim. I mban dokumentet në pajisjet e veta. Mund të detyrohet t’i dorëzojë, dhe është detyruar në disa juridiksione. Sidoqoftë asnjë dhomë avokatësh, asnjë gjykatë, asnjë rregullator profesional nuk ka nxjerrë prej kësaj se përdorimi i një shërbimi strehimi e shkatërron sekretin për parim.

Vija ndarëse, pra, nuk ka qenë kurrë thjesht prania e një ndërmjetësi teknik. Një i tillë ka gjithmonë. Posta transporton letrën. Korrieri mban dosjen. Operatori përcjell thirrjen. Secili është palë e tretë në kuptimin fjalë për fjalë, dhe asnjëri nuk e rrëzon sekretin thjesht se ekziston.

Ajo që e dallonte ofruesin e strehimit ishte më e ngushtë dhe më e saktë se ç’thotë zakonisht jurisprudenca. Ai ruante pa lexuar. Nuk mund të nxirrte asgjë nga përmbajtja. Nuk kishte asnjë aftësi për të ditur çfarë mbante.

Ajo që e mbronte ofruesin e strehimit nuk ishte statusi i tij juridik si palë e tretë, ishte paaftësia e tij teknike për të ditur çfarë mbante.

Ky kriter punon në heshtje prej dy dekadash. Askujt nuk i është dashur ta shkruajë, sepse asnjë ndërmjetës nuk e kishte vënë ende në provë.

Çfarë vendosin në të vërtetë gjykatësit

Sapo kriteri shqiptohet, vendimet e shkurtit ndërrojnë natyrë.

Një gjykatë që e trajton paraqitjen e një dokumenti para një IA-je gjeneruese si zbulim ndaj një pale të tretë nuk po zbaton një rregull të vjetër mbi fakte të reja. Ajo po konstaton se ky ndërmjetës i caktuar nuk është si të tjerët. Se ai përpunon në vend që të ruajë. Se brenda tij ndodh diçka që nuk ndodh brenda një disku të fortë.

Gjykata federale e Kansasit e formuloi anën praktike pa dredha në Jefferies v. Harcros Chemicals, më 25 mars 2026. Ajo e shtriu urdhrin e mbrojtjes mbi të gjitha aktet e procedurës, përfshirë ato që nuk janë konfidenciale, me arsyetimin se është praktikisht e pamundur të rikthehet një e dhënë pasi i është paraqitur një mjeti të hapur IA-je, sepse ajo ka shërbyer për të trajnuar modelin. Ruajtja nuk është një politikë tregtare e rinegociueshme. Është një veti e mënyrës se si funksionon sistemi.

Të vëna njëri pas tjetrit, këto vendime i bien të njohin, në fjalorin e së drejtës së provave, një aftësi që e drejta nuk ka pasur kurrë nevojë t’ia atribuojë një serveri.

Qëndrimi francez dhe ç’presupozojnë kriteret e tij

Formulimi më i qartë nuk vjen nga një gjykatë, por nga rregullimi profesional.

Conseil national des barreaux, këshilli kombëtar i dhomave të avokatisë në Francë, botoi në shtator 2024 udhëzuesin e tij të parë praktik mbi IA-në gjeneruese, dhe më pas më 17 mars 2026 miratoi një udhëzues mbi etikën profesionale dhe inteligjencën artificiale. I pari është kategorik në pikën qendrore: avokati nuk duhet t’i komunikojë një sistemi IA-je gjeneruese të dhëna të mbuluara nga sekreti profesional, dhe kjo vlen si për emrin e klientit ashtu edhe për çdo informacion strategjik ose konfidencial. Alternativa e rekomanduar është puna mbi grupe të dhënash të pseudonimizuara, në të cilat elementët identifikues janë zëvendësuar.

Komenti i praktikuesve mbi qëndrimin francez, sidomos udhëzuesi krahasues i Baker McKenzie mbi sekretin profesional, nxjerr prej tij katër kushte kumulative. Sekreti i mbijeton përdorimit të një mjeti IA-je gjeneruese vetëm nëse platforma ruan një konfidencialitet të plotë, pa ripërdorim, pa trajnim dhe pa akses palësh të treta; nëse shfrytëzohet ekskluzivisht nën kontrollin e avokatit ose të zyrës; nëse i shërben një qëllimi juridik që hyn në detyrën e këshillimit ose të mbrojtjes; dhe nëse rezultati pasqyron arsyetimin e vetë avokatit e jo përpunimin autonom të sistemit.

Tek ky kusht i fundit ia vlen të ndalemi.

Që sekreti të qëndrojë, sistemi nuk duhet të ketë shtuar një përpunim të vetin.

Një kriter i shkruar me këto fjalë ka kuptim vetëm nëse sistemi mbahet i aftë të shtojë një përpunim të vetin. Askush nuk shkruan një rregull që kërkon që një dollap dosjesh të mos ketë arsyetuar mbi aktet që përmban. Kushti ekziston sepse synon diçka që një dollap nuk mund ta bëjë.

E njëjta njohje e heshtur strehohet edhe në rekomandimin e pseudonimizimit. Zëvendësimi i elementëve identifikues para dërgimit është i nevojshëm vetëm nëse supozohet se përndryshe sistemi mund t’i lidhte, t’i ruante ose të nxirrte diçka prej tyre. Një mjet i pastër ruajtjeje nuk do të kërkonte asnjë masë të tillë kujdesi.

Të mos duash të lexosh, të mos mundesh të lexosh

Një kundërshtim del menjëherë: edhe ofruesi i strehimit mund të detyrohet të dorëzojë, atëherë pse një ndërmjetës e rrëzon sekretin dhe tjetri jo?

Përgjigjja gjendet në Kodin Model të Sjelljes të CCBE-së, dhe është më e saktë nga sa e supozon kundërshtimi. Avokati europian duhet t’u kërkojë bashkëpunëtorëve të vet, personelit të vet dhe çdo personi të cilit i drejtohet në ofrimin e shërbimeve të tij që të respektojnë të njëjtin detyrim konfidencialiteti. Detyrimi përhapet përgjatë zinxhirit.

Një ofrues strehimi mund të përfshihet në këtë zinxhir. Nënshkruan një kontratë përpunimi. Pranon zotime konfidencialiteti. Mund të auditohet dhe mund të paditet në rast shkeljeje. Pala e tretë është e lidhur.

Një platformë IA-je gjeneruese që ruan përmbajtjet e paraqitura dhe trajnohet mbi to nuk mund të përfshihet në zinxhir në të njëjtën mënyrë, sepse ajo që do të duhej penguar nuk është një sjellje por një arkitekturë. Zotimi për të mos u trajnuar mbi të dhënat hyrëse është një premtim që lidhet me një qëllim. Është i kundërshtueshëm ndaj ofruesit, por nuk ndryshon atë për çfarë është ndërtuar sistemi, dhe nuk është i verifikueshëm nga jashtë.

Kjo është e gjithë distanca mes një ofruesi që nuk do të lexojë dhe një ofruesi që nuk mund të lexojë. Vetëm i dyti i mbijeton një ndryshimi aksionarësh, një rishikimi të kushteve të përgjithshme ose një urdhri gjyqësor. E kemi shqyrtuar pikërisht këtë mekanizëm lidhur me konfliktin mes Data Act dhe CLOUD Act: një garanci juridike nuk vlen kurrë më shumë se juridiksioni që e strehon, ndërsa një pamundësi teknike nuk varet nga asnjë.

Asimetria

Këtu analiza mbërrin diku të pakëndshme.

I njëjti rend juridik që pranon të njohë një aftësi përpunimi kur pyetja është ajo e heqjes dorë nga sekreti refuzon të njohë çfarëdo qoftë kur pyetja është ajo e përgjegjësisë.

Personaliteti elektronik ishte propozuar nga Parlamenti Europian në rezolutën e tij të 16 shkurtit 2017 mbi rregullat e së drejtës civile për robotikën, në paragrafin 59, pika f. Teksti sugjeronte që robotëve autonomë më të sofistikuar t’u njihej me kohë një status që lejon të mbahen përgjegjës për dëmet që shkaktojnë. Propozimi u braktis pasi iu kundërvu një letër e hapur e nënshkruar nga disa qindra ekspertë. Kundërshtimi i tyre kryesor ishte i fortë: t’u jepje personalitet makinave do të krijonte një mjet që u lejon prodhuesve të shkarkojnë një përgjegjësi që u takon atyre.

Qëndrimi u stabilizua pra. Një sistem autonom që shkakton një dëm është produkt, mjet, instrument i atij që e ka vënë në përdorim. Nuk ka personalitet juridik. Përgjegjësia bie prapë mbi një aktor njerëzor ose mbi një person juridik, dhe kështu duhet të jetë, meqë nuk ekziston asnjë vend tjetër ku të bjerë.

Të dyja propozimet funksionojnë sot në të njëjtën kohë.

Ose sistemi është i aftë të marrë një komunikim në kuptimin juridik të fjalës, dhe atëherë aftësia e tij njihet për t’i hequr një klienti mbrojtjen, ndërkohë që mohohet për t’i kursyer kujtdo barrën e një përgjegjësie. Ose është mjet, dhe t’i paraqesësh një dokument nuk është zbulim më shumë se sa ruajtja e një skedari në disk, dhe në këtë rast arsyetimi i shkurtit shembet.

Konteksti europian e thellon çekuilibrin në vend që ta korrigjojë. Direktiva mbi përgjegjësinë në fushën e IA-së, e njoftuar si e tërhequr që në programin e punës të Komisionit të shkurtit 2025, u braktis zyrtarisht në tetor 2025. Ishte instrumenti që duhej të trajtonte pikërisht këtë vështirësi. Mbetet direktiva e rishikuar mbi përgjegjësinë për produkte me të meta, e cila tashmë përfshin programet kompjuterike dhe sistemet e IA-së, por që kërkon një të metë, një dëm dhe një lidhje shkakësore, dhe që mbron personat fizikë ndaj dëmtimeve trupore, dëmeve materiale dhe shkatërrimit të të dhënave. Transpozimi i saj është i detyrueshëm vetëm më 9 dhjetor 2026, dhe do të zbatohet vetëm për produktet e vëna në treg pas kësaj date.

Kundërshtimi i parashikueshëm dhe përgjigjja

Një lexues i vëmendshëm do të përgjigjet se e drejta njeh rëndom një aftësi për një objekt dhe jo për një tjetër, pa qenë kjo mospërputhje. Një kafshë mund të shkaktojë një dëm juridikisht të rëndësishëm pa pasur personalitet. Një shoqëri tregtare ka personalitet për të lidhur kontrata, e jo për të gjitha qëllimet në të gjitha rendet juridike. Njohja e një aftësie përpunimi për qëllime provuese, pra, nuk detyron askënd të njohë një personalitet për qëllime përgjegjësie. Pyetje të ndryshme, përgjigje të ndryshme.

Kundërshtimi është serioz, dhe do të ishte vendimtar nëse asimetria do të vepronte në të dy drejtimet.

Ajo vepron vetëm në një. Aty ku aftësia e sistemit pranohet, kostoja mbahet nga klienti të cilit i zhduket mbrojtja. Aty ku po kjo aftësi do të kishte shërbyer për të ndarë përgjegjësinë, ajo bëhet e pagjetshme. Rezultati bie përherë në të njëjtën anë.

Një asimetri që favorizon sistematikisht të njëjtën palë nuk është dallim doktrinar. Është shpërndarje rreziku, dhe si e tillë duhet diskutuar.

Çfarë nënkupton konkretisht

Asgjë nga kjo nuk sugjeron se profesionet juridike duhet të heqin dorë nga këto mjete. As tekstet profesionale europiane nuk e thonë këtë, dhe CCBE-ja ka botuar udhëzuesin e vet për këtë temë.

Ajo që sugjeron është se pyetja vendimtare nuk është se cilin mjet zgjedh një zyrë, por çfarë mban ai mjet, dhe nëse përgjigjja varet nga një politikë apo nga një veti e projektimit. Një zotim për të mos ruajtur mund të tërhiqet, të riinterpretohet ose të lihet mënjanë me një vendim gjyqësor. Një arkitekturë që nuk ruan nuk mundet, sepse nuk ka çfarë të dorëzojë.

Dokumentet e referencës për këdo që do ta thellojë çështjen:

Udhëzuesi i CCBE-së mbi përdorimin e IA-së gjeneruese nga avokatët, botuar më 2 tetor 2025, i plotësuar me një udhëzues teknik në mars 2026
Udhëzuesi etik i Conseil national des barreaux i 17 marsit 2026, që zbaton parimet klasike të sekretit dhe të pavarësisë pa krijuar një të drejtë të veçantë të IA-së
Udhëzuesi krahasues i Baker McKenzie, i dobishëm për të matur distancën mes regjimeve kombëtare

Këndvështrimi që ndjek Arpokrat

Ky arsyetim shkon shumë përtej zyrave të avokatisë. Vlen për çdo marrëdhënie ku dikush i beson një sistemi një informacion që nuk dëshiron ta shohë të rishfaqet, dhe përmblidhet në një pyetje të vetme: a mbështetet garancia mbi një premtim apo mbi një pamundësi?

Ky është parimi që drejton projektimin e Arpokrat Messenger. Identiteti gjenerohet lokalisht nga çelësa kriptografikë, pa numër telefoni dhe pa adresë emaili, dhe çelësat privatë nuk e lënë kurrë pajisjen. Kjo zgjedhje nuk qëndron në zotimin për të mos shfrytëzuar një regjistër përdoruesish. Qëndron në mosndërtimin e asnjë regjistri të tillë. Një kërkesë drejtuar një infrastrukture që nuk e mban informacionin nuk prodhon refuzim, prodhon zbrazëti.

Kjo nuancë meriton të vihet ndershmërisht, sepse ajo vendos gjithçka. Një politikë privatësie, edhe e sinqertë dhe edhe e shkruar mirë, është një deklaratë qëllimi e mbështetur mbi një ndërmarrje, mbi aksionarët e saj të çastit dhe mbi juridiksionin ku është themeluar. Këta tre elementë ndryshojnë. Një arkitekturë që nuk mbledh nuk ndryshon sepse ndryshon një bord drejtues. Është e njëjta zhvendosje që përshkruam lidhur me mbledhjen sot për një deshifrim më vonë: rreziku nuk qëndron në çastin kur premtohet, qëndron në çastin kur dikush tjetër vendos.

E drejtës i duhet kohë ta përvetësojë këtë dallim, dhe debati mbi sekretin profesional jep një masë të mirë të tij. E njëjta gjë vlen për mbrojtjen e të dhënave të vendndodhjes, ku pjesa më e madhe e ndërtimit juridik ka të bëjë me aksesin te të dhëna, ekzistenca e të cilave nuk vihet kurrë në pyetje.

Përfundim

Jurisprudenca do të stabilizohet përfundimisht. Gjykatat e apelit do ta zgjidhin divergjencën, rregullatorët do të botojnë kritere, zyrat do të përshtatin letrat e angazhimit dhe klauzolat e tyre. Asgjë prej kësaj nuk është e dyshimtë.

Por pyetja themelore nuk do të zgjidhet andej, sepse ajo nuk ka të bëjë vërtet me sekretin profesional. Ajo ka të bëjë me mundësinë, për një rend juridik, të pranojë se një send di, pa u dashur kurrë të thotë kush përgjigjet për atë që ai bën me këtë dije.

Për sa kohë kjo pyetje mbetet e hapur, e vetmja variabël që një përdorues e zotëron vërtet nuk është cilësia e zotimeve që i jepen. Është sasia e informacionit që ai e lë të ekzistojë.

Ky artikull ofron një analizë juridike të përgjithshme të destinuar për diskutim. Ai nuk përbën konsulencë as këshillim juridik.

Burimet

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 shkurt 2026, analizë e Proskauer
United States District Court for the Southern District of New York, United States v. Heppner, 10 shkurt 2026, arsyetim i shkruar i 17 shkurtit 2026
United States District Court for the District of Kansas, Jefferies et al. v. Harcros Chemicals Inc. et al., nr. 2:25-cv-02352, 25 mars 2026
Conseil national des barreaux, CNB-ja miraton një udhëzues mbi etikën profesionale dhe inteligjencën artificiale, 17 mars 2026
Baker McKenzie, Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE, Model Code of Conduct for European Lawyers, 8 tetor 2021
CCBE, Guide on the use of generative AI by lawyers, 2 tetor 2025
Parlamenti Europian, Rezoluta e 16 shkurtit 2017 me rekomandime për Komisionin mbi rregullat e së drejtës civile për robotikën, 2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL, European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive, 9 tetor 2025
Direktiva (BE) 2024/2853 e 23 tetorit 2024 mbi përgjegjësinë për produkte me të meta

Data Act kundër CLOUD Act: kush i kontrollon vërtet të dhënat tuaja në cloud?

Fri, 19 Jun 2026 00:00:00 +0000

Për vite me radhë, bota funksionoi mbi një supozim të thjeshtë: të dhënat kanë një vendndodhje fizike. Nëse ndodheshin në një server në Dublin, ato i nënshtroheshin të drejtës irlandeze dhe evropiane. Ky supozim u rrëzua në vitin 2018, kur Shtetet e Bashkuara miratuan CLOUD Act, një ligj që u jep autoriteteve amerikane akses ndaj të dhënave të kontrolluara nga kompanitë amerikane, pavarësisht se ku janë fizikisht ruajtur këto të dhëna në botë. Disa vite më vonë, Brukseli u përgjigj me mekanizmin e vet të mbrojtjes: Data Act, tashmë plotësisht i zbatueshëm, i cili tenton të kufizojë aksesin ekstraterritorial të autoriteteve të vendeve të treta ndaj të dhënave të mbajtura brenda Bashkimit Evropian.

Ja çfarë parashikojnë vërtet këto dy tekste, ku bien ndesh, dhe pse mbrojtja e vetme vërtet e fortë ndaj këtij konflikti mbetet pamundësia teknike e aksesit.

CLOUD Act amerikan: akses i bazuar në kontroll, jo në vendndodhje

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), miratuar në mars 2018, ndryshoi të drejtën amerikane duke shtuar nenin 18 U.S. Code § 2713. Ky tekst u imponon të gjithë ofruesve të shërbimeve të komunikimit elektronik ose të përpunimit informatik në distancë detyrimin për të ruajtur, siguruar ose zbuluar përmbajtjen e një komunikimi ose çdo regjistrim që lidhet me të, sapo këto të dhëna janë në posedimin, kujdestarinë ose kontrollin e tyre, pavarësisht nëse këto të dhëna ndodhen brenda ose jashtë Shteteve të Bashkuara.

Pikërisht kjo klauzolë e fundit ndryshon gjithçka. Kriteri i mbajtur nuk është më vendndodhja fizike e serverit, por kontrolli i ushtruar nga kompania mëmë mbi filialet e saj. Kështu, një kompani amerikane që operon qendra të dhënash në Evropë mbetet e nënshtruar ndaj urdhëresave amerikane, madje edhe për të dhënat e ruajtura tërësisht në tokën evropiane.

Data Act evropian: një pengesë juridike ndaj aksesit ekstraterritorial

Rregullorja (BE) 2023/2854, e njohur si Data Act, hyri në fuqi më 11 janar 2024 dhe zbatohet plotësisht që nga 12 shtator 2025, me disa dispozita të shkallëzuara deri në vitin 2026 dhe 2027. Neni 32 i saj rregullon drejtpërdrejt çështjen e aksesit qeveritar ndërkombëtar ndaj të dhënave.

Teksti vendos një rregull të qartë: çdo vendim ose gjykim i një gjykate ose autoriteti administrativ të një vendi të tretë që kërkon nga një ofrues shërbimesh përpunimi të dhënash të transferojë ose të japë akses ndaj të dhënave jo-personale të mbajtura në Bashkimin Evropian njihet dhe ekzekutohet vetëm nëse bazohet në një marrëveshje ndërkombëtare, si një traktat ndihme reciproke juridike (MLA), në fuqi ndërmjet vendit kërkues dhe Unionit, ose ndërmjet atij vendi dhe shtetit anëtar të shqetësuar.

Në mungesë të një marrëveshjeje të tillë, neni 32 parashikon një rrugë të dytë, por me kufizime të rrepta: vendimi i huaj mund të ekzekutohet vetëm nëse sistemi juridik i vendit të tretë kërkon që kërkesa të jetë e motivuar, proporcionale dhe mjaftueshëm specifike — për shembull, duke vendosur një lidhje të qartë me persona ose shkelje të caktuara — dhe nëse kundërshtimi i motivuar i adresatit mund t’i nënshtrohet kontrollit të një gjykate kompetente të atij vendi të tretë.

Një përplasje e drejtpërdrejtë juridike

Problemi është i menjëhershëm: CLOUD Act kërkon zbulim të bazuar në kontrollin e ushtruar nga kompania mëmë, pa kushte proporcionaliteti të krahasueshme me ato të kërkuara nga e drejta evropiane. Data Act, përkundrazi, e varet njohjen e një kërkese të tillë nga ekzistenca e një marrëveshjeje ndërkombëtare ose nga garanci procedurale të sakta. Një kompani amerikane që operon në Evropë, e urdhëruar nga një autoritet amerikan të transmetojë të dhëna të strehuara brenda Unionit, gjendet kështu e kapur mes dy detyrimeve ligjore kontradiktore: të përmbushë urdhëresën amerikane duke shkelur të drejtën e Unionit, ose të respektojë Data Act duke u ekspozuar ndaj pasojave të refuzimit në Shtetet e Bashkuara.

Kjo tension nuk është teorike. Ajo tashmë është dokumentuar nga Gjykata e Drejtësisë e Bashkimit Evropian (CJUE) në dy vendime të rëndësishme, Schrems I (2015) dhe Schrems II (2020). Në vendimin Schrems II, CJUE gjykoi se mbikëqyrja amerikane e kryer sipas Seksionit 702 të FISA (Foreign Intelligence Surveillance Act) dhe Urdhrit Ekzekutiv 12333 nuk respekton garancitë minimale të kërkuara nga e drejta e Unionit sipas parimit të proporcionalitetit, dhe kështu nuk mund të konsiderohet e kufizuar në atë që është rreptësisht e nevojshme. Gjykata vërejti gjithashtu mungesën e një mjeti efektiv juridik për personat e interesuar nga Unioni, në shkelje të nenit 47 të Kartës së të Drejtave Themelore. Ky vendim e bëri të pavlefshëm kuadrin e Privacy Shield, i cili deri atëherë organizonte transferimet e të dhënave ndërmjet BE-së dhe Shteteve të Bashkuara.

Rreziku strukturor: Harvest Now, Decrypt Later

Përtej konfliktit të juridiksioneve, një kërcënim më i fshehtë peshon mbi të dhënat e strehura në infrastruktura të nënshtruara ndaj të drejtës amerikane: strategjia e quajtur Harvest Now, Decrypt Later (HNDL). Parimi konsiston, për një shërbim inteligjence ose një aktor shtetëror armiqësor, në përgjimin dhe ruajtjen sot të dhënave të enkriptuara, duke pritur kapacitete të mjaftueshme të llogaritjes kuantike për t’i deshifruar ato në të ardhmen.

Kjo strategji e shndërron çdo varësi të zgjatur ndaj një infrastrukture cloud amerikane në një borxh të shtyrë sigurie: ajo që është konfidenciale sot mund të bëhet e lexueshme për dhjetë ose pesëmbëdhjetë vjet, pa qenë e nevojshme ndonjë veprim shtesë nga ana e sulmuesit — vetëm koha dhe durimi.

Pse vetëm pamundësia teknike përbën një garanci të vërtetë

Analiza juridike konvergon drejt një konstatimi të ndarë nga shumë ekspertë të konformitetit: sado i fortë të jetë kuadri ligjor i Data Act, ai mbetet një tekst që raportet e forcave gjeopolitike dhe presionet diplomatike mund ta anashkalojnë, vonojnë ose rinterpretojnë. Mbrojtja e vetme që nuk varet nga asnjë negociatë e ardhshme është pamundësia teknike e ekzekutimit.

Një arkitekturë zero knowledge, ku ofruesi nuk mban as posedimin as kujdestarinë e çelësave të deshifrimit, e bën një urdhëresë materialisht të pafuqishme. Nuk mund të detyrohet dikush të dorëzojë atë që nuk ka zotëruar kurrë.

Kjo është logjika që strukturon ekosisteme si Arpokrat:

Neutralizim juridiksiional: infrastruktura është e strehuar në Zvicër, nën regjimin e ligjit federal për mbrojtjen e të dhënave (LPD/FADP), jashtë fushës së zbatimit të drejtpërdrejtë të ekstraterritorialitetit të CLOUD Act
Mungesë kujdestarie: arkitektura zero knowledge e privon ofruesin nga çdo kapacitet për të dorëzuar çelësa ose përmbajtje që nuk i ka zotëruar kurrë
Reduktim i gjurmës identitare: duke eliminuar detyrimin e regjistrimit me numër telefoni ose adresë e-mail — identifikues që mbikëqyrja e bazuar në Seksionin 702 të FISA mund t’i ndjekë lehtësisht — përdoruesi pushon së qeni një abonent i identifikueshëm dhe bëhet një çelës kriptografik anonim

Zinxhiri i kujdestarisë nuk ndalet te enkriptimi i mesazheve

Një pikë shpesh e nënvlerësuar në analizat e konformitetit: nuk mjafton të enkriptohet përmbajtja e një komunikimi nëse sistemi operativ themelor — qoftë Android ose iOS — vazhdon të kapturojë metadatë ose telemetri në nivelin e bërthamës, drejt serverëve që i nënshtrohen juridiksionit amerikan. Mbrojtja e sekretit kërkon mbylljen e plotë të zinxhirit të kujdestarisë, nga përmbajtja deri te infrastruktura materiale vetë.

Për këtë arsye, sovraniteti dixhital nënkupton gjithashtu një reflektim mbi sistemin operativ të përdorur, jo vetëm mbi aplikacionet e mesazherisë. Sistemet e degooglizuara, ku module si Bluetooth ose gjeolokalizimi GNSS mund të çaktivizohen drejtpërdrejt në nivelin e bërthamës, eliminojnë vektore sulmesh fizike që asnjë enkriptim aplikativ nuk mund t’i kompensojë.

Kriptografia post-kuantike, një horizont tashmë i angazhuar

Përballë kërcënimit që përfaqëson strategjia HNDL, adoptimi i standardeve të kriptografisë post-kuantike (PQC) bëhet një domosdoshmëri për këdo që dëshiron të garantojë konfidencialitetin e të dhënave të ndjeshme në afat të gjatë — qoftë sekrete tregtare, korrespondencë profesionale ose të dhëna shëndetësore. Një enkriptim i konsideruar i fortë sot sipas standardeve klasike nuk garanton që do t’i rezistojë kapaciteteve të llogaritjes kuantike të pritura në pesëmbëdhjetë vitet e ardhshme.

Konflikti ndërmjet Data Act dhe CLOUD Act ilustron një realitet më të gjerë: sovraniteti dixhital nuk mund të ndërtohet më vetëm mbi tekste ligjore, sado të forta të jenë ato. Ai kërkon mbylljen e zinxhirit të kujdestarisë në çdo nivel, nga protokolli i enkriptimit deri te juridiksioni i strehimit, duke kaluar nëpër vetë sistemin operativ. Është kjo qasja me shtresa, në vend të një besimi që mbështetet në një kuadër të vetëm rregullator, që sot përcakton një sovranitet të vërtetë dixhital me konceptim.

Fundi i privatësisë? Backdoors, Akti i Sigurisë në Internet (OSA) dhe përgjigjja e ekosistemeve sovrane

Wed, 10 Jun 2026 00:00:00 +0000

Londra është bërë epiqendra e një beteje globale për të ardhmen e privatësisë dixhitale. Me miratimin e Aktit të Sigurisë në Internet 2023 (OSA) dhe propozimeve të fundit për të rishikuar Aktin e Fuqive Hetimore (IPA) — i quajtur “Karta e Spiunëve” nga kritikët e tij —, qeveria britanike po pretendon të drejtën për të imponuar detyrime mbikëqyrjeje në vetë zemrën e komunikimeve private. Pika e thyerjes është fuqia që i jepet rregullatorit OFCOM për t’u kërkuar platformave të vendosin “teknologji të akredituar” për të zbuluar materialet e shfrytëzimit dhe abuzimit seksual të fëmijëve (CSEA) ose terrorizmit, duke përfshirë edhe brenda komunikimeve të enkriptuara nga skaji në skaj (end-to-end).

Për platformat kryesore dixhitale, mesazhi i Westminster është i qartë: ose ata lehtësojnë aksesin e shtetit në infrastrukturat e tyre, ose përballen me gjoba deri në 10% të të ardhurave të tyre globale. Përgjigjja ishte e menjëhershme: shërbime si Signal dhe WhatsApp kërcënuan publikisht të tërhiqeshin nga tregu i Mbretërisë së Bashkuar, duke refuzuar të komprometonin sigurinë e përdoruesve të tyre për të kënaqur një juridiksion të vetëm. Argumenti teknik është i vështirë të kundërshtohet: nuk ka asnjë çelës master të rezervuar vetëm për aktorët legjitimë. Një derë e hapur për zbatimin e ligjit është, sipas dizajnit, një derë e hapur për kriminelët kibernetikë dhe shërbimet e inteligjencës së huaj.

Modeli i biznesit të platformave të mëdha: një pengesë strukturore për Zero-Knowledge

Rezistenca e platformave të mëdha ndaj adoptimit të enkriptimit Zero-Knowledge nuk shpjegohet me paaftësi teknike, por me një papajtueshmëri themelore ekonomike. Kompani si Alphabet dhe Meta mbështeten në modele fitimi të bazuara në mbledhjen sistematike të të dhënave të sjelljes. Ky model, meqë ra fjala, njihet në mënyrë të nënkuptuar nga Akti i Tregjeve Dixhitale i Bashkimit Evropian (DMA), i cili i klasifikon këta “roja të portës” (gatekeepers) si entitete pozicioni dominues i të cilëve ushqehet pikërisht nga grumbullimi i të dhënave në një shkallë të pashembullt. Për këta aktorë, adoptimi i një arkitekture Zero-Knowledge do të nënkuptonte privimin e sistemeve të tyre të reklamimit nga identifikimi i vazhdueshëm i përdoruesve që përbën karburantin e tij. Prandaj, nuk është një zgjedhje teknike, por një kompromis midis privatësisë së përdoruesit dhe qëndrueshmërisë së modelit të tyre të biznesit.

Rreziku strategjik: kërcënimi “Harvest Now, Decrypt Later”

Përtej debatit mbi privatësinë, dobësimi i enkriptimit ngre një çështje të sigurisë kombëtare me një shtrirje krejtësisht të ndryshme. Strategjia e njohur si Harvest Now, Decrypt Later (HNDL) përfshin kundërshtarët shtetërorë që përgjojnë dhe ruajnë volume masive të komunikimeve të enkriptuara sot, në pritje të aftësive të ardhshme të deshifrimit kuantik. Duke dobësuar standardet aktuale të enkriptimit, kuadri legjislativ britanik objektivisht lehtëson këtë lloj operacionesh kundër komunikimeve qeveritare, diplomatike ose industriale.

Është pikërisht në këtë kontekst të një deficiti besimi që ekosistemet si ai i Arpokrat fitojnë rëndësi operacionale. Duke operuar nën regjimin e Aktit Federal Zviceran mbi Mbrojtjen e të Dhënave (FADP), me një arkitekturë që nuk mbledh asnjë identifikues civil, Arpokrat ofron një shkëputje teknike nga infrastrukturat që i nënshtrohen juridiksionit britanik — duke garantuar që sistemi mbetet i shurdhër ndaj urdhrave të parashikuar nga OSA.

Konflikti i normave: OSA dhe IPA kundër ligjit evropian

Analiza ligjore e prerogativave të reja shtetërore britanike zbulon një përplasje të drejtpërdrejtë me themelet e ligjit evropian në lidhje me mbrojtjen e të dhënave dhe konfidencialitetin e komunikimeve.

OSA kundër ndalimit të mbikëqyrjes së përgjithësuar

Neni 121 i OSA prezanton mundësinë që OFCOM të nxjerrë njoftime që detyrojnë platformat të zbatojnë skanimin nga ana e klientit (client-side scanning). Kjo masë bie ndesh drejtpërdrejt me parimin, që rrjedh nga ligji evropian dhe i përfshirë në jurisprudencën e CJEU, që ndalon detyrimet e përgjithshme të mbikëqyrjes. Duke imponuar një “cenueshmëri nga dizajni”, kjo i vendos gjithashtu kompanitë në një situatë lidhjeje të dyfishtë: duke dobësuar sigurinë e tyre për të përmbushur një mandat shtetëror, ato dështojnë në detyrimin e tyre për të garantuar një nivel sigurie të përshtatshëm për përpunimin, siç sanksionohet në Nenin 32 të GDPR.

Direktiva ePrivacy dhe konfidencialiteti i komunikimeve

Skanimi i mesazheve private është në kundërshtim të drejtpërdrejtë me Nenin 5, paragrafi 1, i Direktivës 2002/58/EC (ePrivacy), i cili i detyron Shtetet Anëtare të garantojnë konfidencialitetin e komunikimeve elektronike dhe ndalon çdo formë përgjimi ose mbikëqyrjeje pa pëlqimin e qartë të përdoruesve të përfshirë.

Technical Capability Notices dhe bllokimi i përditësimeve të sigurisë

Nën regjimin e IPA 2016, qeveria britanike tani synon të përdorë Njoftimet e Aftësisë Teknike (TCN) për të bllokuar përditësimet e sigurisë përpara se ato të vendosen. Ky mekanizëm krijon një konflikt të pazgjidhshëm me detyrimin, të përcaktuar nga Neni 32 i GDPR, për të siguruar sigurinë e vazhdueshme të sistemeve të përpunimit — një detyrim që kërkon pikërisht aftësinë për të aplikuar arna (patches) pa vonesë ose ndërhyrje të jashtme.

Rreziqet e përputhshmërisë për kompanitë që operojnë në Evropë

Rishikimet e IPA synojnë t’i detyrojnë kompanitë të njoftojnë qeverinë britanike për çdo modifikim teknik që ndikon në siguri, përpara zbatimit të tij, duke i dhënë asaj një të drejtë vetoje mbi zhvillimin e produktit. Kjo ndërhyrje krijon pasiguri të konsiderueshme ligjore për furnitorët që operojnë në tregun evropian: përshtatshmëria britanike ndaj ligjit evropian — tashmë e brishtë — mund të vihet në pikëpyetje nëse MB nuk garanton më një mbrojtje thelbësisht të barabartë me atë të GDPR. Transferimet e të dhënave në MB sipas kësaj kornize të re do të ishin prandaj të ngjarë t’i ekspozonin kompanitë ndaj sanksioneve sipas GDPR.

Mbrojtja përmes pamundësisë teknike: parimi Zero-Knowledge si mburojë ligjore

Jurisprudenca ndërkombëtare, e konsoliduar nga vendimet Schrems I dhe Schrems II të CJEU, ka vendosur një parim përcaktues: e vetmja mbrojtje e fortë kundër mbikëqyrjes disproporcionale është pamundësia teknike për të hyrë në të. Arkitekturat Zero-Knowledge zbatojnë këtë parim në tre shtresa mbrojtjeje:

Mungesa e kujdestarisë: meqenëse platforma nuk mban çelësat e deshifrimit, çdo urdhër për të skanuar mesazhet është teknikisht i pazbatueshëm;
Sovraniteti i sistemit operativ: kontrolli i ArpokratOS eliminon telemetrinë që ushqen mbledhjen e inteligjencës në nivelin e pajisjes;
Ankorimi juridiksional zviceran: duke pritur infrastrukturën e tij në Zvicër, Arpokrat operon nën një regjim ligjor që kërkon kërkesa të individualizuara dhe të arsyetuara për ndihmë të ndërsjellë juridike, duke neutralizuar ekzekutimin e automatizuar të skanimeve masive të parashikuara nga OSA.

Përfundimi

Dispozitat e OSA dhe rishikimet e IPA nuk janë vetëm një kërcënim për privatësinë e individëve: ato përfaqësojnë një shkelje të sigurisë juridike për të gjitha të dhënat evropiane që kalojnë nëpër infrastruktura që i nënshtrohen juridiksionit britanik. Duke legjitimuar dobësimin e enkriptimit në emër të sigurisë publike, Londra në mënyrë paradoksale i ekspozon aleatët dhe partnerët e saj tregtarë ndaj rreziqeve të spiunazhit industrial dhe shtetëror që arkitekturat Zero-Knowledge janë krijuar pikërisht për të parandaluar.

Integriteti i komunikimeve profesionale dhe institucionale tani kërkon një përgjigje strukturore: migrimi drejt ekosistemeve të decentralizuara që garantojnë sovranitetin dixhital, nga niveli i kodit deri te ankorimi juridiksional.

Heshtja që Bërtet: Çfarë është një Warrant Canary dhe pse zhdukja e tij duhet t'ju shqetësojë?

Mon, 01 Jun 2026 00:00:00 +0000

Thellë në minierat e qymyrit të shekullit të 19-të, minatorët merrnin me vete kanarina në kafaz. Këta zogj të vegjël, jashtëzakonisht të ndjeshëm ndaj gazeve toksike si monoksidi i karbonit, ngordhnin shumë kohë para se minatorët të kuptonin rrezikun. Kështu ata shërbyen si një sistem paralajmërimi i hershëm i heshtur, por jashtëzakonisht efektiv.

Në botën tonë moderne dixhitale, ky zog është rikthyer në jetë në formën e « Warrant Canary ».

Çfarë është një Warrant Canary?

Është një deklaratë publike, e publikuar dhe e përditësuar rregullisht nga një ofrues shërbimi, duke pohuar se, deri në atë datë të saktë, ai nuk ka marrë asnjë kërkesë ligjore sekrete që e detyron atë të rrezikojë të dhënat e përdoruesve të tij — si p.sh. një National Security Letter (NSL) ose një urdhër i lëshuar nga gjykata FISA.

E gjithë mprehtësia e kanarinës qëndron tek ajo që ndodh kur ai zhduket.

Nëse një shërbim që shfaqte çdo muaj deklaratën “Nuk kemi marrë urdhra sekretë” papritmas ndalon së përditësuari atë, përdoruesi i informuar nxjerr përfundimin e qartë: kanarina ka vdekur.

Kompania ka qenë në shënjestër të një mase mbikëqyrjeje të shoqëruar me një urdhër heshtjeje (gag order), që ia ndalon ligjërisht zbulimin e ekzistencës së kësaj kërkese. Duke mos qenë në gjendje të thonë se janë komprometuar, ata thjesht pushojnë së thëni se janë të sigurt.

Epoka e Mbikëqyrjes dhe Shmangia e Heshtjes

Proton: Publikon një raport transparence duke përfshirë një kanarinë strikte.
Riseup: Kolektivi i komunikimit mban një nga kanarinat më të famshme në ueb.
Arpokrat: Ekosistemi ynë mban një Warrant Canary publik, të përditësuar kriptografikisht.

Analiza Ligjore

Baza ligjore mbështetet në një parim të thjeshtë: nëse Shteti ka fuqinë t’ju imponojë heshtjen (nëpërmjet një urdhri), nuk ka fuqinë kushtetuese t’ju detyrojë të gënjeni.

Qasja Arpokrat: Sovraniteti Zero-Knowledge

Arkitektura jonë krijon një pamundësi teknike dhe matematikore për t’iu bindur një urdhri. Nuk ka çelësa privatë, asnjë identitet (Zero-ID) dhe asnjë metadata të centralizuar për t’u dorëzuar. Në këtë kontekst, kanarina është prova publike e vazhdueshme e pacenueshmërisë teknike.

Iluzioni i Sovranitetit: Rasti Olvid dhe Kurthi i CLOUD Act

Thu, 21 May 2026 00:00:00 +0000

Njoftimi jehoi si një “thirrje e vërtetë pavarësie” në korridoret e Parisit: Kryeministri urdhëroi qeverinë të braktisë WhatsApp dhe Signal në favor të Olvid, një aplikacion i paraqitur si “vendas”. Qëllimi ishte i qartë: të mbrojë sekretet shtetërore nga inteligjenca e huaj.

Megjithatë, u shfaq shpejt një ironi e hidhur: zemra e Olvid — infrastruktura e serverëve të tij — rreh brenda Amazon Web Services (AWS), një gjigant amerikan.

Për publikun, kjo duket si një çështje e thjeshtë teknike e hostimit. Por për arkitektët e sigurisë kibernetike sovrane, është një cenueshmëri politike e rendit të parë.

Jashtëterritorialiteti dhe Konflikti i Sovraniteteve

Duke u mbështetur në infrastrukturën e Amazon, Olvid hyn automatikisht në orbitën e CLOUD Act të SHBA-së.

Analiza ligjore zbulon një skenar të pasigurisë juridiksionale që thjesht miratimi i një “aplikacioni” kombëtar nuk e zgjidh. Pika e kthesës qëndron në konceptin e “kontrollit” kundrejt “lokalizimit”.

CLOUD Act ndryshoi rrënjësisht paradigmën ligjore duke përcaktuar se vendndodhja fizike e serverit nuk ka rëndësi. Detyrimi i ofruesit (këtu, AWS) për të bashkëpunuar buron vetëm nga lidhja e tij juridiksionale me SHBA-në.

Ligjërisht, kjo krijon një konflikt frontal me GDPR. Gjykata e Drejtësisë e BE-së tashmë ka përcaktuar se ligjet e mbikëqyrjes së SHBA-së nuk ofrojnë një nivel mbrojtjeje ekuivalent me atë të Evropës.

Sovraniteti dixhital nuk është një atribut i softuerit, por një veti e integritetit të zinxhirit të kujdestarisë.

Hija e FISA-s dhe Premtimi i Rremë i Enkriptimit

Më keq akoma, kjo varësi nga infrastruktura amerikane i vendos këto të dhëna nën hijen e Foreign Intelligence Surveillance Act (FISA).

Përballë këtyre kërcënimeve, Olvid pohon se enkriptimi i tij është një mburojë e mjaftueshme. Nga perspektiva e inxhinierisë së privatësisë, kjo mbrojtje është thellësisht e pjesshme.

Edhe nëse përmbajtja e mesazhit është e enkriptuar, infrastruktura e centralizuar e AWS ekspozon të dhënat meta. Të dish se kush flet me kë, kur, sa shpesh dhe nga ku, shpesh është më e vlefshme për inteligjencën sesa vetë mesazhi.

Enkriptimi mbron tekstin, por serveri i centralizuar tradhton rrjetin e kontakteve.

Rreziku i Vërtetë Ende Nuk Ka Ardhur

Për sa kohë që infrastruktura evropiane varet nga subjekte që u nënshtrohen statuteve jashtëterritoriale, siguria ligjore e komunikimeve tona do të mbetet iluzore.

Siguria kombëtare në shekullin 21 kërkon pavarësi totale të infrastrukturës dhe harduerit. Strategjia “Mblidh tani, deshifro më vonë” është kërcënimi më shkatërrues i dekadës së ardhshme.

Një sekret shtetëror i përgjuar sot nuk është gjë tjetër veçse një bombë me sahat matematikore.

(Lexoni pjesën tjetër të analizës sonë në Pjesën 2: Bomba me Sahat dhe Imperativi Zero-Knowledge)