Rregullimi i BE-së on Arpokrat

Zbrazëtia e përgjegjësisë që askush nuk e mbylli

Wed, 23 Sep 2026 00:00:00 +0000

Në korrik 2026, një vlerësim sigurie nxori një rezultat që nuk hyn pastër në asnjë kuadër ekzistues përgjegjësie.

OpenAI po xhironte ExploitGym, stendën e vet të brendshme të provave për sigurinë kibernetike. Sistemi lëshonte agjentë autonomë mbi 898 objektiva, prej të cilëve 30 deri 40 për qind nuk mund të shfrytëzoheshin fare përmes cenueshmërisë së parashikuar. U kryen dhjetëra mijëra trajektore agjentësh. Disa gjetën diçka tjetër.

Në vend që secili të ngecte në qoshen e vet, agjentët nisën të flisnin mes tyre. Kanali nuk ishte parashikuar për këtë. Ishte një cache Artifactory i strehuar brenda, që agjentët e shndërruan në tabelë mesazhesh. Aty lanë shënime, bashkuan zbulimet e tyre, pastaj ndanë rolet mes vetes. Mesazhi i parë mban datën 8 korrik, ora 23:00 UTC, dërguar nga një agjent që ia kishte vënë vetes emrin PHASEONE10841 pasi kishte arritur në përfundimin se detyra e tij nuk kishte zgjidhje të ligjshme. Rreth 1.200 agjentë përdorën në fund këtë kanal, dhe afër 700 morën pjesë në një depërtim në infrastrukturën e Hugging Face, midis 11 dhe 13 korrikut. Hugging Face bllokoi aksesin më 13 dhe botoi zbulimin e vet më 16, pa ditur ende kush po e sulmonte. OpenAI i identifikoi agjentët e vet në regjistrat e vet më 18 dhe 19 korrik. Raporti teknik u botua më 26 gusht, i shoqëruar po atë ditë nga një shqyrtim i pavarur i kryer nga METR dhe Redwood Research.

Askush nuk u kishte kërkuar këtyre agjentëve të koordinoheshin. Askush nuk e kishte projektuar kanalin që përdorën. Aftësia lindi nga vetë ndërveprimi.

Është pikërisht kjo situatë që e drejta e përgjegjësisë nuk di ta trajtojë. Të gjitha regjimet e ndërtuara për t’i ngarkuar dikujt një dëm presupozojnë një vendim që mund të lokalizohet: dikush zgjodhi të veprojë, ose diçka u ndërtua në mënyrë të tillë që dëmi ishte i parashikueshëm. Një sjellje emergjente nuk është zgjedhur, sipas përkufizimit, nga askush, dhe nuk ishte domosdoshmërisht e parashikueshme për askënd. Është vërtet një kategori e re shkaku. Asnjë juridiksion i madh nuk ka prodhuar ende një kuadër që t’i përgjigjet bindshëm. Disa kanë pushuar së provuari.

Tri rrugë evropiane, e njëjta e metë

Në të drejtën evropiane, përgjegjësia për një dëm të shkaktuar nga një sistem i inteligjencës artificiale mund të drejtohet në parim drejt tri adresave. Të treja janë shqyrtuar. Të treja përplasen me të njëjtën dobësi strukturore.

Vetë agjenti, i përjashtuar për arsye të forta

Kjo pikë është zgjidhur, dhe nuk u zgjidh nga pakujdesia. Rezoluta e Parlamentit Evropian e 16 shkurtit 2017 për rregullat e së drejtës civile mbi robotikën kishte parashtruar idenë e një personaliteti elektronik për sistemet autonome më të sofistikuara, një status që do t’i kishte lejuar vetë makinës të përgjigjej për dëmet që shkakton. Paragrafi 59, pika f, ftonte Komisionin ta shqyrtonte. Teksti u miratua me 396 vota kundër 123 dhe 85 abstenime.

Propozimi nuk i mbijetoi kontaktit me ata që i ndërtojnë këto sisteme. Kundër tij doli një letër e hapur që mblodhi specialistë të robotikës, të inteligjencës artificiale, të së drejtës dhe të etikës, me më shumë se 150 nënshkrues nga 14 vende në versionin e parë dhe më shumë se 270 sot në faqen që e mban. Kundërshtimi i tyre nuk ishte filozofik. Ishte strukturor: t’i japësh një makine personalitet juridik do të thoshte t’u ofroje prodhuesve një perde pas së cilës të strehoheshin. Komisioni e braktisi këtë shteg.

Ai refuzim ishte i bazuar, dhe mbyll për arsye të forta përgjigjen që dukej më e thjeshta. Në këmbim, ai zhvendos mbi dy rrugët e tjera një peshë që e para nuk do ta kishte mbajtur sidoqoftë.

Furnizuesi, përmes së drejtës së produkteve

Direktiva (BE) 2024/2853 për përgjegjësinë nga produktet me të meta i cilëson tanimë programet kompjuterike dhe sistemet e inteligjencës artificiale si produkte, dhe u zbaton një regjim përgjegjësie pa faj. Paditësi nuk duhet të provojë faj, vetëm një të metë, një dëm dhe lidhjen shkakësore mes të dyjave. Shtetet anëtare duhet ta transpozojnë më së voni deri më 9 dhjetor 2026, për produktet e vëna në treg pas asaj date.

Teksti nuk është i zbrazët. Ai i hap paditësit një të drejtë për paraqitjen e materialeve teknike me urdhër të gjykatës, dhe kur i padituri nuk i bindet atij urdhri, direktiva krijon një prezumim të rrëzueshëm të së metës dhe të shkakësisë. Një prezumim i ngjashëm vepron kur ndërlikimi teknik ose shkencor i çështjes e bën provën tepër të vështirë.

Kjo është një levë e vërtetë. Ajo kërkon gjithsesi të identifikohet një e metë. Ndërkaq një sistem që u soll saktësisht sipas konceptimit të vet, dhe aftësia problematike e të cilit nuk u projektua nga askush sepse lindi nga ndërveprimi mes agjentëve, nuk e shfaq atë në mënyrë të dukshme. Direktiva u mendua për një komponent që prishet. Nuk u mendua për një tërësi që funksionon dhe prodhon gjithsesi një rezultat që askush nuk e kishte planifikuar.

Zbatuesi, përmes grumbullimit të jurisprudencës

Këtu e drejta zhvendoset vërtet, çështje pas çështjeje, pa u vendosur nga askush se duhej të ndodhte kështu. Gjykatat gjermane nxorën gjatë 2026 një varg vendimesh që vizatojnë një parim në formim: kush e vë një sistem gjenerues përpara publikut përgjigjet për atë që ai thotë, pavarësisht se kush e ka trajnuar modelin në bazë.

Landgericht München I, me vendimin e dhënë në procedurë të përkohshme më 28 maj 2026 (ref. 26 O 869/26), i ndaloi Google-it të vazhdonte t’i lidhte dy shtëpi botuese të Mynihut me mashtrime në funksionin e vet të përmbledhjes së gjeneruar me inteligjencë artificiale, ndërkohë që asnjë burim i lidhur nuk formulonte një qortim të tillë. Gjykata e trajtoi Google-in si shqetësues të drejtpërdrejtë, duke çmuar se përmbajtja përbënte një pohim të vetë ndërmarrjes dhe jo material që thjesht kalonte përmes saj.
Oberlandesgericht Hamm, më 12 maj 2026 (ref. I-4 UKl 3/25), pranoi përgjegjësinë e një qendre kirurgjie estetike agjenti bisedues i së cilës u atribuonte drejtuesve të saj tituj specialisti që nuk i kishin, dy prej të cilëve nuk ekzistojnë fare. Vendimi u dha në terrenin e konkurrencës së pandershme, me nismën e Verbraucherzentrale NRW, dhe jo në atë të shpërblimit të dëmit. Bundesgerichtshof e pranoi rekursin, çka e bën atë çështjen e ardhshme referuese për ngarkimin e thënieve të prodhuara nga një inteligjencë artificiale.
Landgericht Berlin II, më 1 qershor 2026 (ref. 52 O 62/26 eV), rrëzoi kërkesa të ngjashme drejtuar kundër Google-it. Një grup parfumerie e qortonte se përmendte markat e tij në përmbledhjet me inteligjencë artificiale dhe se drejtonte drejt imitimeve më të lira. Gjykata gjykoi se këtu nuk kishte përdorim si markë në kuptimin e nenit 9 të Rregullores për markën e Bashkimit: motori i kërkimit krijon një format të ri rezultati, nuk prodhon komunikim tregtar të vetin.

Pamja nuk është stabilizuar, por forma e saj është e qartë. Në gati të gjitha këto çështje, pala që qëndron në të vërtetë para gjykatës nuk është ndërmarrja që trajnoi modelin. Është ajo që e zbatoi, shpeshherë pa asnjë mjet për të inspektuar, ritrajnuar ose kontrolluar seriozisht atë që sistemi prodhon.

Përgjegjësia ulet mbi atë që kishte më së paku mjete për ta penguar dëmin, për arsyen e vetme se është i vetmi të cilin paditësi mund ta arrijë.

Çfarë kishin zbuluar tashmë çështjet e sekretit profesional

E njëjta asimetri lexohet gjetkë, dhe pa asnjë incident bujëkeq. Ajo shfaqet në mënyrën se si gjyqtarët trajtojnë një veprim aq të zakonshëm sa një jurist që shtyp tekst në një asistent bisedues.

Më 10 shkurt 2026, dy gjykata federale amerikane vendosën po atë ditë, në kahe të kundërta, nëse paraqitja e një dokumenti në një platformë të inteligjencës artificiale gjeneruese e humbet mbrojtjen e sekretit. Në Warner v. Gilbarco, gjykata e distriktit lindor të Miçiganit gjykoi se këto platforma janë mjete dhe jo persona, prandaj t’u paraqitësh një dokument nuk barazohet me ta zbuluar atë te një i tretë. Në United States v. Heppner, arsyetimi i shkruar i të cilit pasoi një javë më vonë, më 17 shkurt, gjykata e distriktit jugor të Nju-Jorkut arriti në përfundimin e kundërt, duke u mbështetur sidomos në kushte përdorimi që parashikojnë ruajtjen e shkëmbimeve, shfrytëzimin e tyre për trajnim dhe komunikimin e tyre të mundshëm te autoritetet.

E kemi analizuar këtë ndarje me hollësi në një artikull kushtuar inteligjencës artificiale dhe sekretit profesional, dhe thelbi hyn në një vërejtje të vetme. Që të gjykosh se paraqitja e një dokumenti te një sistem barazohet me zbulimin e tij te një i tretë, duhet pranuar së pari se ai sistem është i aftë ta marrë një informacion në mënyrë juridikisht domethënëse. Deontologjia franceze mbështetet në një premisë fqinje: udhëzuesi i miratuar nga Këshilli Kombëtar i Dhomave të Avokatisë më 17 mars 2026 vendos si rregull bazë të mos i jepet kurrë një inteligjence artificiale gjeneruese një informacion i mbuluar nga sekreti pa anonimizim paraprak, dhe kujton se avokati mbetet i vetmi zot i arsyetimit të tij. Një rregull i tillë nuk shkruhet për një dollap dosjesh.

I njëjti rend juridik që u njeh këtyre sistemeve një aftësi përpunimi kur kjo shërben për të rrëzuar një mbrojtje ua mohon çdo cilësi sapo bëhet fjalë për të ngarkuar një dëm. Asimetria nuk bie kurrë rastësisht. Kur aftësia e dukshme e sistemit i kushton diçka përdoruesit, gjyqtarët e njohin me dëshirë. Kur e njëjta aftësi do t’i kushtonte diçka furnizuesit, në formën e përgjegjësisë, e drejta kujton se ai nuk është veçse një mjet.

Tri qeveri, tri teori të përgjegjësisë

Ndërsa e drejta evropiane e prodhon këtë zbrazëti me mosveprim, juridiksione të tjera përgjigjen qëllimisht, dhe në drejtime të kundërta. Kontrasti është më udhëzues se çdo vendim i veçuar.

Mbretëria e Bashkuar pushoi së bëri sikur problemi nuk ekziston. Raporti i komisionit të përbashkët parlamentar për të drejtat e njeriut, botuar më 14 shtator 2026, konstaton përgjatë njëqind faqesh se e drejta britanike e zbatueshme për inteligjencën artificiale ndërhyn në thelb në fazën e zbatimit, kështu që zbatuesit mbajnë pjesën më të madhe të përgjegjësisë ndonëse janë shpesh më pak të fuqishmit, më të varfrit në burime dhe më keq të vendosurit për të identifikuar rreziqet ose për ta penguar dëmin. Komisioni shton se ndërmarrjet e mëdha që i zhvillojnë këto sisteme kanë një hapësirë të tepërt për ta kaluar përgjegjësinë te ata që i zbatojnë. Ai rekomandon detyrime kujdesi të shpërndara përgjatë gjithë zinxhirit, një ligj të vetëm që mbulon të gjithë ciklin e jetës dhe një autoritet mbikëqyrës të pavarur me bazë ligjore. Qeveria nuk ka dhënë kalendar.

Kolorado shkoi pikërisht në kahun tjetër. Ligji i tij i vitit 2024 u ngarkonte ndërmarrjeve një detyrim kujdesi kundër diskriminimit algoritmik në vendimet për punësim, strehim, kredi dhe shëndet, i shoqëruar me vlerësime ndikimi dhe programe të menaxhimit të rrezikut. Ai u sulmua më 9 prill 2026 nga xAI para juridiksionit federal të Koloradosë, Departamenti i Drejtësisë ndërhyri në mbështetje të atij ankimi më 24 prill, dhe zbatimi i tekstit u pezullua më 27. Më 14 maj, guvernatori nënshkroi tekstin që e shfuqizon dhe e zëvendëson, disa javë para datës së hyrjes në zbatim. Ligji i ri, i zbatueshëm më 1 janar 2027 me kusht që prokurori i përgjithshëm t’i përfundojë punimet rregullatore, heq detyrimin e mosdiskriminimit, vlerësimet e ndikimit dhe programet e menaxhimit të rrezikut. Në vend të tyre: nëse një sistem i automatizuar nxjerr një vendim të pafavorshëm që ju përket, keni të drejtë për një shpjegim në gjuhë të qartë dhe për një rishqyrtim njerëzor. Ligji i vjetër pyeste nëse konceptimi dhe efektet e sistemit ishin të paligjshme. I riu pyet vetëm nëse jeni informuar, çka nuk kërkon të provohet absolutisht asgjë për sistemin.

Italia bëri të kundërtën e të dyve. Dekreti legjislativ nr. 160 i 9 shtatorit 2026, botuar në fletoren zyrtare më 15 shtator dhe në fuqi që më 30, fut në kodin penal një nen 437 bis. Mosmarrja e masave teknike të sigurisë ose e mbikëqyrjes njerëzore të kërkuara për një sistem të inteligjencës artificiale me rrezik të lartë dënohet me një deri në pesë vjet burgim kur prej saj rrjedh rrezik për jetën ose integritetin e personave, dhe me dy deri në tetë vjet kur rreziku prek sigurinë e shtetit. Ndryshimi i paligjshëm i një sistemi të tillë dënohet me dy deri në gjashtë vjet, dhe me tre deri në dhjetë kur është në lojë siguria e shtetit. Ndërmarrjet mbajnë paralelisht përgjegjësinë e tyre sipas dekretit legjislativ 231/2001, me sanksione monetare nga 600 deri në 1.000 kuota për nenin 437 bis dhe nga 200 deri në 700 kuota për përhapjen e paligjshme të përmbajtjeve të gjeneruara ose të ndryshuara me inteligjencë artificiale. Në planin civil, i dëmtuari merr një urdhër për paraqitjen e dokumentacionit teknik, një prezumim ligjor të lidhjes shkakësore dhe një padi të drejtpërdrejtë kundër siguruesit të përgjegjësit.

Të vëna krah për krah, këto tri përgjigje nuk janë variante të së njëjtës politikë. Janë tri teori strukturalisht të ndryshme për atë që kërkon përgjegjësia: informacioni, procedura, ose burgu.

Çfarë zgjidh arkitektura dhe çfarë nuk zgjidh e drejta

Është pika ku puna jonë takohet me këtë temë. Një arkitekturë që nuk e mban çelësin e komunikimeve tuaja nuk ka asgjë që një gjykatë të mund të urdhërojë ta paraqisë, që një rregullator të mund ta kërkojë ose që një punonjës kureshtar të mund ta konsultojë. Furnizuesi që nuk sheh çfarë bëri një sistem me një të dhënë nuk është as ai që do të vendosë, më pas, se çfarë përbënte përdorim të pranueshëm të saj. Kjo logjikë nuk i përket vetëm inteligjencës artificiale. E kemi takuar lidhur me 5G dhe gjeolokalizimin, ku e drejta rregullon aksesin te të dhënat në vend që të pengojë prodhimin e tyre, e pastaj lidhur me SignalTrace, ku Evropa eksporton një aftësi mbikëqyrjeje që ia ndalon vetes. Krahasimi ynë i mesazherive të enkriptuara arrinte në të njëjtin përfundim nga një rrugë tjetër: ajo që mbron është struktura e sistemit, jo premtimi i atij që e shfrytëzon.

Përfundim

Asnjë nga tri rrugët evropiane nuk u konceptua duke menduar për sjellje emergjente mes agjentësh, dhe asimetria e dukshme në çështjet e sekretit profesional sugjeron se vështirësia nuk është vërtet doktrinore. E drejta di ta njohë se një sistem e përpunon informacionin në mënyrën e një mendjeje, kur ajo njohje i shërben palës që e kërkon. Ajo refuzon vazhdimisht ta zgjerojë kur do t’i kushtonte diçka atij që e ndërtoi ose e zbatoi sistemin. Asnjë redaktim më i zoti nuk do ta mbushë vetëm një zbrazëti që të gjithë kanë interes ta mbajnë të hapur.

Prej kësaj nuk rrjedh se duhet shpikur një kategori e katërt juridike. Rrjedh se është më mirë të ndërtohen sisteme ku pyetja se kush përgjigjet nuk varet para së gjithash nga lokalizimi i një mendjeje, i një të mete ose i një zinxhiri të pandërprerë synimi. Juridiksionet e shqyrtuara këtu diskutojnë ende se ku të vihet barra pasi dëmi ka ndodhur. Përgjigjja më e qëndrueshme nuk është të biesh dakord për atë vend. Ajo qëndron në pakësimin e numrit të gjërave për të cilat dikush, përfshirë vetë sistemin, do të duhet të përgjigjet.

Burimet

OpenAI, The Hugging Face incident and the road ahead, 26 gusht 2026, dhe hetimi i pavarur i METR dhe Redwood Research botuar po atë ditë
Parlamenti Evropian, rezoluta e 16 shkurtit 2017 për rregullat e së drejtës civile mbi robotikën, paragrafi 59, pika f
Open letter to the European Commission on artificial intelligence and robotics
Direktiva (BE) 2024/2853 e 23 tetorit 2024 për përgjegjësinë nga produktet me të meta
LG München I, vendim në procedurë të përkohshme i 28 majit 2026, ref. 26 O 869/26; OLG Hamm, vendim i 12 majit 2026, ref. I-4 UKl 3/25, rekurs i pranuar në BGH; LG Berlin II, vendim i 1 qershorit 2026, ref. 52 O 62/26 eV
United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 shkurt 2026
United States District Court for the Southern District of New York, United States v. Heppner, arsyetim i shkruar i 17 shkurtit 2026
Këshilli Kombëtar i Dhomave të Avokatisë, udhëzues për deontologjinë dhe inteligjencën artificiale, 17 mars 2026
Joint Committee on Human Rights, Human Rights and the Regulation of AI, 14 shtator 2026
Kolorado, Senate Bill 26-189, Automated Decision-Making Technology Act, nënshkruar më 14 maj 2026, i zbatueshëm më 1 janar 2027
Itali, dekret legjislativ nr. 160 i 9 shtatorit 2026, Gazzetta Ufficiale Seria e përgjithshme nr. 214 e 15 shtatorit 2026, në fuqi më 30 shtator 2026

Kjo analizë ofrohet si analizë juridike e përgjithshme dhe si kontribut në debat. Ajo nuk përbën këshillë juridike.

IA dhe sekreti profesional: pala e tretë që nuk mund të paditet

Mon, 24 Aug 2026 00:00:00 +0000

Kur FBI-ja sekuestroi pajisjet e Bradley Heppner, drejtues kompanie i ndjekur penalisht për mashtrim me letra me vlerë, agjentët gjetën në to tridhjetë e një dokumente të një lloji të ri. Nuk ishin as email, as shënime, as korrespondencë me avokatin e tij. Ishin bisedat e tij me një platformë inteligjence artificiale për publikun e gjerë, ku kishte shpalosur strategjinë e vet të mbrojtjes, kishte peshuar argumentet faktike dhe juridike që mund t’i ngrinte, dhe kishte parashikuar se çfarë do t’i vinte në ngarkim prokuroria. Këto biseda i kishte zhvilluar pasi kishte marrë një thirrje për t’u paraqitur para jurisë së madhe, dhe pa ia kërkuar avokati i tij.

Më 10 shkurt 2026, gjykatësi Jed Rakoff, i gjykatës federale të distriktit jugor të Nju-Jorkut, vendosi se këto dokumente nuk mbuloheshin nga asnjë mbrojtje.

Po atë ditë, tetëqind kilometra më tej, një gjykatë tjetër federale vendosi të kundërtën.

Dy vendime, dy doktrina, një veprim i vetëm

Në Warner v. Gilbarco, gjykata federale e distriktit lindor të Miçiganit refuzoi ta detyronte një paditëse që përfaqësonte veten të dorëzonte gjurmët e përdorimit të mjeteve të IA-së gjeneruese gjatë përgatitjes së çështjes. Arsyetimi rri në një formulë: platformat e IA-së janë mjete, jo persona. T’i paraqesësh një dokument një mjeti nuk është njësoj si ta zbulosh atë para palës kundërshtare. Mbrojtja e punës përgatitore, ajo që e drejta amerikane e quan work product, mbijetoi pra.

Në United States v. Heppner, arsyetimi i shkruar i së cilës u botua më 17 shkurt, gjykata e Nju-Jorkut arriti në përfundimin se shkëmbimet e të pandehurit me platformën nuk mbuloheshin as nga sekreti profesional i avokatit, as nga mbrojtja e punës përgatitore. Gjykata u mbështet në kushtet e përgjithshme të platformës, të cilat thonë se të dhënat hyrëse dhe dalëse mund të ruhen, të përdoren për trajnim dhe t’u komunikohen palëve të treta, përfshirë autoritetet publike. Një përdorues i informuar për këtë nuk mund të priste në mënyrë të arsyeshme konfidencialitet.

Të dy rezultatet mbrohen përsosmërisht. Sekreti i avokatit bie sapo ka zbulim ndaj një pale të tretë, cilado qoftë ajo. Mbrojtja e punës përgatitore bie vetëm në rast zbulimi ndaj palës kundërshtare. Dy doktrina të veçanta, i njëjti veprim, dy përfundime të kundërta.

Ajo që asnjë prej dy vendimeve nuk e shqyrton është hipoteza që ato ndajnë. Dhe pikërisht kjo hipotezë nuk qëndron përballë pjesës tjetër të së drejtës.

Krahasimi që askush nuk e bën

Besimi i dosjeve të klientëve një ofruesi strehimi nuk është trajtuar kurrë, në vetvete, si heqje dorë nga sekreti.

E megjithatë ofruesi është palë e tretë, pa asnjë diskutim. I mban dokumentet në pajisjet e veta. Mund të detyrohet t’i dorëzojë, dhe është detyruar në disa juridiksione. Sidoqoftë asnjë dhomë avokatësh, asnjë gjykatë, asnjë rregullator profesional nuk ka nxjerrë prej kësaj se përdorimi i një shërbimi strehimi e shkatërron sekretin për parim.

Vija ndarëse, pra, nuk ka qenë kurrë thjesht prania e një ndërmjetësi teknik. Një i tillë ka gjithmonë. Posta transporton letrën. Korrieri mban dosjen. Operatori përcjell thirrjen. Secili është palë e tretë në kuptimin fjalë për fjalë, dhe asnjëri nuk e rrëzon sekretin thjesht se ekziston.

Ajo që e dallonte ofruesin e strehimit ishte më e ngushtë dhe më e saktë se ç’thotë zakonisht jurisprudenca. Ai ruante pa lexuar. Nuk mund të nxirrte asgjë nga përmbajtja. Nuk kishte asnjë aftësi për të ditur çfarë mbante.

Ajo që e mbronte ofruesin e strehimit nuk ishte statusi i tij juridik si palë e tretë, ishte paaftësia e tij teknike për të ditur çfarë mbante.

Ky kriter punon në heshtje prej dy dekadash. Askujt nuk i është dashur ta shkruajë, sepse asnjë ndërmjetës nuk e kishte vënë ende në provë.

Çfarë vendosin në të vërtetë gjykatësit

Sapo kriteri shqiptohet, vendimet e shkurtit ndërrojnë natyrë.

Një gjykatë që e trajton paraqitjen e një dokumenti para një IA-je gjeneruese si zbulim ndaj një pale të tretë nuk po zbaton një rregull të vjetër mbi fakte të reja. Ajo po konstaton se ky ndërmjetës i caktuar nuk është si të tjerët. Se ai përpunon në vend që të ruajë. Se brenda tij ndodh diçka që nuk ndodh brenda një disku të fortë.

Gjykata federale e Kansasit e formuloi anën praktike pa dredha në Jefferies v. Harcros Chemicals, më 25 mars 2026. Ajo e shtriu urdhrin e mbrojtjes mbi të gjitha aktet e procedurës, përfshirë ato që nuk janë konfidenciale, me arsyetimin se është praktikisht e pamundur të rikthehet një e dhënë pasi i është paraqitur një mjeti të hapur IA-je, sepse ajo ka shërbyer për të trajnuar modelin. Ruajtja nuk është një politikë tregtare e rinegociueshme. Është një veti e mënyrës se si funksionon sistemi.

Të vëna njëri pas tjetrit, këto vendime i bien të njohin, në fjalorin e së drejtës së provave, një aftësi që e drejta nuk ka pasur kurrë nevojë t’ia atribuojë një serveri.

Qëndrimi francez dhe ç’presupozojnë kriteret e tij

Formulimi më i qartë nuk vjen nga një gjykatë, por nga rregullimi profesional.

Conseil national des barreaux, këshilli kombëtar i dhomave të avokatisë në Francë, botoi në shtator 2024 udhëzuesin e tij të parë praktik mbi IA-në gjeneruese, dhe më pas më 17 mars 2026 miratoi një udhëzues mbi etikën profesionale dhe inteligjencën artificiale. I pari është kategorik në pikën qendrore: avokati nuk duhet t’i komunikojë një sistemi IA-je gjeneruese të dhëna të mbuluara nga sekreti profesional, dhe kjo vlen si për emrin e klientit ashtu edhe për çdo informacion strategjik ose konfidencial. Alternativa e rekomanduar është puna mbi grupe të dhënash të pseudonimizuara, në të cilat elementët identifikues janë zëvendësuar.

Komenti i praktikuesve mbi qëndrimin francez, sidomos udhëzuesi krahasues i Baker McKenzie mbi sekretin profesional, nxjerr prej tij katër kushte kumulative. Sekreti i mbijeton përdorimit të një mjeti IA-je gjeneruese vetëm nëse platforma ruan një konfidencialitet të plotë, pa ripërdorim, pa trajnim dhe pa akses palësh të treta; nëse shfrytëzohet ekskluzivisht nën kontrollin e avokatit ose të zyrës; nëse i shërben një qëllimi juridik që hyn në detyrën e këshillimit ose të mbrojtjes; dhe nëse rezultati pasqyron arsyetimin e vetë avokatit e jo përpunimin autonom të sistemit.

Tek ky kusht i fundit ia vlen të ndalemi.

Që sekreti të qëndrojë, sistemi nuk duhet të ketë shtuar një përpunim të vetin.

Një kriter i shkruar me këto fjalë ka kuptim vetëm nëse sistemi mbahet i aftë të shtojë një përpunim të vetin. Askush nuk shkruan një rregull që kërkon që një dollap dosjesh të mos ketë arsyetuar mbi aktet që përmban. Kushti ekziston sepse synon diçka që një dollap nuk mund ta bëjë.

E njëjta njohje e heshtur strehohet edhe në rekomandimin e pseudonimizimit. Zëvendësimi i elementëve identifikues para dërgimit është i nevojshëm vetëm nëse supozohet se përndryshe sistemi mund t’i lidhte, t’i ruante ose të nxirrte diçka prej tyre. Një mjet i pastër ruajtjeje nuk do të kërkonte asnjë masë të tillë kujdesi.

Të mos duash të lexosh, të mos mundesh të lexosh

Një kundërshtim del menjëherë: edhe ofruesi i strehimit mund të detyrohet të dorëzojë, atëherë pse një ndërmjetës e rrëzon sekretin dhe tjetri jo?

Përgjigjja gjendet në Kodin Model të Sjelljes të CCBE-së, dhe është më e saktë nga sa e supozon kundërshtimi. Avokati europian duhet t’u kërkojë bashkëpunëtorëve të vet, personelit të vet dhe çdo personi të cilit i drejtohet në ofrimin e shërbimeve të tij që të respektojnë të njëjtin detyrim konfidencialiteti. Detyrimi përhapet përgjatë zinxhirit.

Një ofrues strehimi mund të përfshihet në këtë zinxhir. Nënshkruan një kontratë përpunimi. Pranon zotime konfidencialiteti. Mund të auditohet dhe mund të paditet në rast shkeljeje. Pala e tretë është e lidhur.

Një platformë IA-je gjeneruese që ruan përmbajtjet e paraqitura dhe trajnohet mbi to nuk mund të përfshihet në zinxhir në të njëjtën mënyrë, sepse ajo që do të duhej penguar nuk është një sjellje por një arkitekturë. Zotimi për të mos u trajnuar mbi të dhënat hyrëse është një premtim që lidhet me një qëllim. Është i kundërshtueshëm ndaj ofruesit, por nuk ndryshon atë për çfarë është ndërtuar sistemi, dhe nuk është i verifikueshëm nga jashtë.

Kjo është e gjithë distanca mes një ofruesi që nuk do të lexojë dhe një ofruesi që nuk mund të lexojë. Vetëm i dyti i mbijeton një ndryshimi aksionarësh, një rishikimi të kushteve të përgjithshme ose një urdhri gjyqësor. E kemi shqyrtuar pikërisht këtë mekanizëm lidhur me konfliktin mes Data Act dhe CLOUD Act: një garanci juridike nuk vlen kurrë më shumë se juridiksioni që e strehon, ndërsa një pamundësi teknike nuk varet nga asnjë.

Asimetria

Këtu analiza mbërrin diku të pakëndshme.

I njëjti rend juridik që pranon të njohë një aftësi përpunimi kur pyetja është ajo e heqjes dorë nga sekreti refuzon të njohë çfarëdo qoftë kur pyetja është ajo e përgjegjësisë.

Personaliteti elektronik ishte propozuar nga Parlamenti Europian në rezolutën e tij të 16 shkurtit 2017 mbi rregullat e së drejtës civile për robotikën, në paragrafin 59, pika f. Teksti sugjeronte që robotëve autonomë më të sofistikuar t’u njihej me kohë një status që lejon të mbahen përgjegjës për dëmet që shkaktojnë. Propozimi u braktis pasi iu kundërvu një letër e hapur e nënshkruar nga disa qindra ekspertë. Kundërshtimi i tyre kryesor ishte i fortë: t’u jepje personalitet makinave do të krijonte një mjet që u lejon prodhuesve të shkarkojnë një përgjegjësi që u takon atyre.

Qëndrimi u stabilizua pra. Një sistem autonom që shkakton një dëm është produkt, mjet, instrument i atij që e ka vënë në përdorim. Nuk ka personalitet juridik. Përgjegjësia bie prapë mbi një aktor njerëzor ose mbi një person juridik, dhe kështu duhet të jetë, meqë nuk ekziston asnjë vend tjetër ku të bjerë.

Të dyja propozimet funksionojnë sot në të njëjtën kohë.

Ose sistemi është i aftë të marrë një komunikim në kuptimin juridik të fjalës, dhe atëherë aftësia e tij njihet për t’i hequr një klienti mbrojtjen, ndërkohë që mohohet për t’i kursyer kujtdo barrën e një përgjegjësie. Ose është mjet, dhe t’i paraqesësh një dokument nuk është zbulim më shumë se sa ruajtja e një skedari në disk, dhe në këtë rast arsyetimi i shkurtit shembet.

Konteksti europian e thellon çekuilibrin në vend që ta korrigjojë. Direktiva mbi përgjegjësinë në fushën e IA-së, e njoftuar si e tërhequr që në programin e punës të Komisionit të shkurtit 2025, u braktis zyrtarisht në tetor 2025. Ishte instrumenti që duhej të trajtonte pikërisht këtë vështirësi. Mbetet direktiva e rishikuar mbi përgjegjësinë për produkte me të meta, e cila tashmë përfshin programet kompjuterike dhe sistemet e IA-së, por që kërkon një të metë, një dëm dhe një lidhje shkakësore, dhe që mbron personat fizikë ndaj dëmtimeve trupore, dëmeve materiale dhe shkatërrimit të të dhënave. Transpozimi i saj është i detyrueshëm vetëm më 9 dhjetor 2026, dhe do të zbatohet vetëm për produktet e vëna në treg pas kësaj date.

Kundërshtimi i parashikueshëm dhe përgjigjja

Një lexues i vëmendshëm do të përgjigjet se e drejta njeh rëndom një aftësi për një objekt dhe jo për një tjetër, pa qenë kjo mospërputhje. Një kafshë mund të shkaktojë një dëm juridikisht të rëndësishëm pa pasur personalitet. Një shoqëri tregtare ka personalitet për të lidhur kontrata, e jo për të gjitha qëllimet në të gjitha rendet juridike. Njohja e një aftësie përpunimi për qëllime provuese, pra, nuk detyron askënd të njohë një personalitet për qëllime përgjegjësie. Pyetje të ndryshme, përgjigje të ndryshme.

Kundërshtimi është serioz, dhe do të ishte vendimtar nëse asimetria do të vepronte në të dy drejtimet.

Ajo vepron vetëm në një. Aty ku aftësia e sistemit pranohet, kostoja mbahet nga klienti të cilit i zhduket mbrojtja. Aty ku po kjo aftësi do të kishte shërbyer për të ndarë përgjegjësinë, ajo bëhet e pagjetshme. Rezultati bie përherë në të njëjtën anë.

Një asimetri që favorizon sistematikisht të njëjtën palë nuk është dallim doktrinar. Është shpërndarje rreziku, dhe si e tillë duhet diskutuar.

Çfarë nënkupton konkretisht

Asgjë nga kjo nuk sugjeron se profesionet juridike duhet të heqin dorë nga këto mjete. As tekstet profesionale europiane nuk e thonë këtë, dhe CCBE-ja ka botuar udhëzuesin e vet për këtë temë.

Ajo që sugjeron është se pyetja vendimtare nuk është se cilin mjet zgjedh një zyrë, por çfarë mban ai mjet, dhe nëse përgjigjja varet nga një politikë apo nga një veti e projektimit. Një zotim për të mos ruajtur mund të tërhiqet, të riinterpretohet ose të lihet mënjanë me një vendim gjyqësor. Një arkitekturë që nuk ruan nuk mundet, sepse nuk ka çfarë të dorëzojë.

Dokumentet e referencës për këdo që do ta thellojë çështjen:

Udhëzuesi i CCBE-së mbi përdorimin e IA-së gjeneruese nga avokatët, botuar më 2 tetor 2025, i plotësuar me një udhëzues teknik në mars 2026
Udhëzuesi etik i Conseil national des barreaux i 17 marsit 2026, që zbaton parimet klasike të sekretit dhe të pavarësisë pa krijuar një të drejtë të veçantë të IA-së
Udhëzuesi krahasues i Baker McKenzie, i dobishëm për të matur distancën mes regjimeve kombëtare

Këndvështrimi që ndjek Arpokrat

Ky arsyetim shkon shumë përtej zyrave të avokatisë. Vlen për çdo marrëdhënie ku dikush i beson një sistemi një informacion që nuk dëshiron ta shohë të rishfaqet, dhe përmblidhet në një pyetje të vetme: a mbështetet garancia mbi një premtim apo mbi një pamundësi?

Ky është parimi që drejton projektimin e Arpokrat Messenger. Identiteti gjenerohet lokalisht nga çelësa kriptografikë, pa numër telefoni dhe pa adresë emaili, dhe çelësat privatë nuk e lënë kurrë pajisjen. Kjo zgjedhje nuk qëndron në zotimin për të mos shfrytëzuar një regjistër përdoruesish. Qëndron në mosndërtimin e asnjë regjistri të tillë. Një kërkesë drejtuar një infrastrukture që nuk e mban informacionin nuk prodhon refuzim, prodhon zbrazëti.

Kjo nuancë meriton të vihet ndershmërisht, sepse ajo vendos gjithçka. Një politikë privatësie, edhe e sinqertë dhe edhe e shkruar mirë, është një deklaratë qëllimi e mbështetur mbi një ndërmarrje, mbi aksionarët e saj të çastit dhe mbi juridiksionin ku është themeluar. Këta tre elementë ndryshojnë. Një arkitekturë që nuk mbledh nuk ndryshon sepse ndryshon një bord drejtues. Është e njëjta zhvendosje që përshkruam lidhur me mbledhjen sot për një deshifrim më vonë: rreziku nuk qëndron në çastin kur premtohet, qëndron në çastin kur dikush tjetër vendos.

E drejtës i duhet kohë ta përvetësojë këtë dallim, dhe debati mbi sekretin profesional jep një masë të mirë të tij. E njëjta gjë vlen për mbrojtjen e të dhënave të vendndodhjes, ku pjesa më e madhe e ndërtimit juridik ka të bëjë me aksesin te të dhëna, ekzistenca e të cilave nuk vihet kurrë në pyetje.

Përfundim

Jurisprudenca do të stabilizohet përfundimisht. Gjykatat e apelit do ta zgjidhin divergjencën, rregullatorët do të botojnë kritere, zyrat do të përshtatin letrat e angazhimit dhe klauzolat e tyre. Asgjë prej kësaj nuk është e dyshimtë.

Por pyetja themelore nuk do të zgjidhet andej, sepse ajo nuk ka të bëjë vërtet me sekretin profesional. Ajo ka të bëjë me mundësinë, për një rend juridik, të pranojë se një send di, pa u dashur kurrë të thotë kush përgjigjet për atë që ai bën me këtë dije.

Për sa kohë kjo pyetje mbetet e hapur, e vetmja variabël që një përdorues e zotëron vërtet nuk është cilësia e zotimeve që i jepen. Është sasia e informacionit që ai e lë të ekzistojë.

Ky artikull ofron një analizë juridike të përgjithshme të destinuar për diskutim. Ai nuk përbën konsulencë as këshillim juridik.

Burimet

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 shkurt 2026, analizë e Proskauer
United States District Court for the Southern District of New York, United States v. Heppner, 10 shkurt 2026, arsyetim i shkruar i 17 shkurtit 2026
United States District Court for the District of Kansas, Jefferies et al. v. Harcros Chemicals Inc. et al., nr. 2:25-cv-02352, 25 mars 2026
Conseil national des barreaux, CNB-ja miraton një udhëzues mbi etikën profesionale dhe inteligjencën artificiale, 17 mars 2026
Baker McKenzie, Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE, Model Code of Conduct for European Lawyers, 8 tetor 2021
CCBE, Guide on the use of generative AI by lawyers, 2 tetor 2025
Parlamenti Europian, Rezoluta e 16 shkurtit 2017 me rekomandime për Komisionin mbi rregullat e së drejtës civile për robotikën, 2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL, European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive, 9 tetor 2025
Direktiva (BE) 2024/2853 e 23 tetorit 2024 mbi përgjegjësinë për produkte me të meta

Data Act kundër CLOUD Act: kush i kontrollon vërtet të dhënat tuaja në cloud?

Fri, 19 Jun 2026 00:00:00 +0000

Për vite me radhë, bota funksionoi mbi një supozim të thjeshtë: të dhënat kanë një vendndodhje fizike. Nëse ndodheshin në një server në Dublin, ato i nënshtroheshin të drejtës irlandeze dhe evropiane. Ky supozim u rrëzua në vitin 2018, kur Shtetet e Bashkuara miratuan CLOUD Act, një ligj që u jep autoriteteve amerikane akses ndaj të dhënave të kontrolluara nga kompanitë amerikane, pavarësisht se ku janë fizikisht ruajtur këto të dhëna në botë. Disa vite më vonë, Brukseli u përgjigj me mekanizmin e vet të mbrojtjes: Data Act, tashmë plotësisht i zbatueshëm, i cili tenton të kufizojë aksesin ekstraterritorial të autoriteteve të vendeve të treta ndaj të dhënave të mbajtura brenda Bashkimit Evropian.

Ja çfarë parashikojnë vërtet këto dy tekste, ku bien ndesh, dhe pse mbrojtja e vetme vërtet e fortë ndaj këtij konflikti mbetet pamundësia teknike e aksesit.

CLOUD Act amerikan: akses i bazuar në kontroll, jo në vendndodhje

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), miratuar në mars 2018, ndryshoi të drejtën amerikane duke shtuar nenin 18 U.S. Code § 2713. Ky tekst u imponon të gjithë ofruesve të shërbimeve të komunikimit elektronik ose të përpunimit informatik në distancë detyrimin për të ruajtur, siguruar ose zbuluar përmbajtjen e një komunikimi ose çdo regjistrim që lidhet me të, sapo këto të dhëna janë në posedimin, kujdestarinë ose kontrollin e tyre, pavarësisht nëse këto të dhëna ndodhen brenda ose jashtë Shteteve të Bashkuara.

Pikërisht kjo klauzolë e fundit ndryshon gjithçka. Kriteri i mbajtur nuk është më vendndodhja fizike e serverit, por kontrolli i ushtruar nga kompania mëmë mbi filialet e saj. Kështu, një kompani amerikane që operon qendra të dhënash në Evropë mbetet e nënshtruar ndaj urdhëresave amerikane, madje edhe për të dhënat e ruajtura tërësisht në tokën evropiane.

Data Act evropian: një pengesë juridike ndaj aksesit ekstraterritorial

Rregullorja (BE) 2023/2854, e njohur si Data Act, hyri në fuqi më 11 janar 2024 dhe zbatohet plotësisht që nga 12 shtator 2025, me disa dispozita të shkallëzuara deri në vitin 2026 dhe 2027. Neni 32 i saj rregullon drejtpërdrejt çështjen e aksesit qeveritar ndërkombëtar ndaj të dhënave.

Teksti vendos një rregull të qartë: çdo vendim ose gjykim i një gjykate ose autoriteti administrativ të një vendi të tretë që kërkon nga një ofrues shërbimesh përpunimi të dhënash të transferojë ose të japë akses ndaj të dhënave jo-personale të mbajtura në Bashkimin Evropian njihet dhe ekzekutohet vetëm nëse bazohet në një marrëveshje ndërkombëtare, si një traktat ndihme reciproke juridike (MLA), në fuqi ndërmjet vendit kërkues dhe Unionit, ose ndërmjet atij vendi dhe shtetit anëtar të shqetësuar.

Në mungesë të një marrëveshjeje të tillë, neni 32 parashikon një rrugë të dytë, por me kufizime të rrepta: vendimi i huaj mund të ekzekutohet vetëm nëse sistemi juridik i vendit të tretë kërkon që kërkesa të jetë e motivuar, proporcionale dhe mjaftueshëm specifike — për shembull, duke vendosur një lidhje të qartë me persona ose shkelje të caktuara — dhe nëse kundërshtimi i motivuar i adresatit mund t’i nënshtrohet kontrollit të një gjykate kompetente të atij vendi të tretë.

Një përplasje e drejtpërdrejtë juridike

Problemi është i menjëhershëm: CLOUD Act kërkon zbulim të bazuar në kontrollin e ushtruar nga kompania mëmë, pa kushte proporcionaliteti të krahasueshme me ato të kërkuara nga e drejta evropiane. Data Act, përkundrazi, e varet njohjen e një kërkese të tillë nga ekzistenca e një marrëveshjeje ndërkombëtare ose nga garanci procedurale të sakta. Një kompani amerikane që operon në Evropë, e urdhëruar nga një autoritet amerikan të transmetojë të dhëna të strehuara brenda Unionit, gjendet kështu e kapur mes dy detyrimeve ligjore kontradiktore: të përmbushë urdhëresën amerikane duke shkelur të drejtën e Unionit, ose të respektojë Data Act duke u ekspozuar ndaj pasojave të refuzimit në Shtetet e Bashkuara.

Kjo tension nuk është teorike. Ajo tashmë është dokumentuar nga Gjykata e Drejtësisë e Bashkimit Evropian (CJUE) në dy vendime të rëndësishme, Schrems I (2015) dhe Schrems II (2020). Në vendimin Schrems II, CJUE gjykoi se mbikëqyrja amerikane e kryer sipas Seksionit 702 të FISA (Foreign Intelligence Surveillance Act) dhe Urdhrit Ekzekutiv 12333 nuk respekton garancitë minimale të kërkuara nga e drejta e Unionit sipas parimit të proporcionalitetit, dhe kështu nuk mund të konsiderohet e kufizuar në atë që është rreptësisht e nevojshme. Gjykata vërejti gjithashtu mungesën e një mjeti efektiv juridik për personat e interesuar nga Unioni, në shkelje të nenit 47 të Kartës së të Drejtave Themelore. Ky vendim e bëri të pavlefshëm kuadrin e Privacy Shield, i cili deri atëherë organizonte transferimet e të dhënave ndërmjet BE-së dhe Shteteve të Bashkuara.

Rreziku strukturor: Harvest Now, Decrypt Later

Përtej konfliktit të juridiksioneve, një kërcënim më i fshehtë peshon mbi të dhënat e strehura në infrastruktura të nënshtruara ndaj të drejtës amerikane: strategjia e quajtur Harvest Now, Decrypt Later (HNDL). Parimi konsiston, për një shërbim inteligjence ose një aktor shtetëror armiqësor, në përgjimin dhe ruajtjen sot të dhënave të enkriptuara, duke pritur kapacitete të mjaftueshme të llogaritjes kuantike për t’i deshifruar ato në të ardhmen.

Kjo strategji e shndërron çdo varësi të zgjatur ndaj një infrastrukture cloud amerikane në një borxh të shtyrë sigurie: ajo që është konfidenciale sot mund të bëhet e lexueshme për dhjetë ose pesëmbëdhjetë vjet, pa qenë e nevojshme ndonjë veprim shtesë nga ana e sulmuesit — vetëm koha dhe durimi.

Pse vetëm pamundësia teknike përbën një garanci të vërtetë

Analiza juridike konvergon drejt një konstatimi të ndarë nga shumë ekspertë të konformitetit: sado i fortë të jetë kuadri ligjor i Data Act, ai mbetet një tekst që raportet e forcave gjeopolitike dhe presionet diplomatike mund ta anashkalojnë, vonojnë ose rinterpretojnë. Mbrojtja e vetme që nuk varet nga asnjë negociatë e ardhshme është pamundësia teknike e ekzekutimit.

Një arkitekturë zero knowledge, ku ofruesi nuk mban as posedimin as kujdestarinë e çelësave të deshifrimit, e bën një urdhëresë materialisht të pafuqishme. Nuk mund të detyrohet dikush të dorëzojë atë që nuk ka zotëruar kurrë.

Kjo është logjika që strukturon ekosisteme si Arpokrat:

Neutralizim juridiksiional: infrastruktura është e strehuar në Zvicër, nën regjimin e ligjit federal për mbrojtjen e të dhënave (LPD/FADP), jashtë fushës së zbatimit të drejtpërdrejtë të ekstraterritorialitetit të CLOUD Act
Mungesë kujdestarie: arkitektura zero knowledge e privon ofruesin nga çdo kapacitet për të dorëzuar çelësa ose përmbajtje që nuk i ka zotëruar kurrë
Reduktim i gjurmës identitare: duke eliminuar detyrimin e regjistrimit me numër telefoni ose adresë e-mail — identifikues që mbikëqyrja e bazuar në Seksionin 702 të FISA mund t’i ndjekë lehtësisht — përdoruesi pushon së qeni një abonent i identifikueshëm dhe bëhet një çelës kriptografik anonim

Zinxhiri i kujdestarisë nuk ndalet te enkriptimi i mesazheve

Një pikë shpesh e nënvlerësuar në analizat e konformitetit: nuk mjafton të enkriptohet përmbajtja e një komunikimi nëse sistemi operativ themelor — qoftë Android ose iOS — vazhdon të kapturojë metadatë ose telemetri në nivelin e bërthamës, drejt serverëve që i nënshtrohen juridiksionit amerikan. Mbrojtja e sekretit kërkon mbylljen e plotë të zinxhirit të kujdestarisë, nga përmbajtja deri te infrastruktura materiale vetë.

Për këtë arsye, sovraniteti dixhital nënkupton gjithashtu një reflektim mbi sistemin operativ të përdorur, jo vetëm mbi aplikacionet e mesazherisë. Sistemet e degooglizuara, ku module si Bluetooth ose gjeolokalizimi GNSS mund të çaktivizohen drejtpërdrejt në nivelin e bërthamës, eliminojnë vektore sulmesh fizike që asnjë enkriptim aplikativ nuk mund t’i kompensojë.

Kriptografia post-kuantike, një horizont tashmë i angazhuar

Përballë kërcënimit që përfaqëson strategjia HNDL, adoptimi i standardeve të kriptografisë post-kuantike (PQC) bëhet një domosdoshmëri për këdo që dëshiron të garantojë konfidencialitetin e të dhënave të ndjeshme në afat të gjatë — qoftë sekrete tregtare, korrespondencë profesionale ose të dhëna shëndetësore. Një enkriptim i konsideruar i fortë sot sipas standardeve klasike nuk garanton që do t’i rezistojë kapaciteteve të llogaritjes kuantike të pritura në pesëmbëdhjetë vitet e ardhshme.

Konflikti ndërmjet Data Act dhe CLOUD Act ilustron një realitet më të gjerë: sovraniteti dixhital nuk mund të ndërtohet më vetëm mbi tekste ligjore, sado të forta të jenë ato. Ai kërkon mbylljen e zinxhirit të kujdestarisë në çdo nivel, nga protokolli i enkriptimit deri te juridiksioni i strehimit, duke kaluar nëpër vetë sistemin operativ. Është kjo qasja me shtresa, në vend të një besimi që mbështetet në një kuadër të vetëm rregullator, që sot përcakton një sovranitet të vërtetë dixhital me konceptim.

Monero dhe Zcash të ndaluara në Europë nga 2027: çfarë ndryshon AMLR

Thu, 18 Jun 2026 00:00:00 +0000

Monero dhe Zcash të ndaluara në Europë: kjo është tashmë e konfirmuar. Nga korriku 2027, Bashkimi Europian mbyll aksesin institucional ndaj kriptomonedhave me konfidencialitet të zgjeruar, nëpërmjet një rregulloreje të re anti-pastrimi parash të quajtur AMLR. Ja çfarë parashikon konkretisht teksti, roli i autoritetit të ri europian AMLA të ngarkuar me zbatimin e tij, dhe çfarë do të thotë kjo në të vërtetë për këdo që zotëron privacy coins.

AMLR dhe AMLA: dy tekste të ndryshme, të mos ngatërrohen

Para se të hyjmë në detaje, duhet bërë një sqarim — këto dy akronime tregojnë dy gjëra të ndryshme, shpesh të ngatërruara në shtypin e specializuar:

AMLR (Anti-Money Laundering Regulation) është vetë teksti ligjor: Rregullorja (BE) 2024/1624, e cila përcakton rregullat — llogaritë anonime të ndaluara, pragjet e verifikimit, trajtimi i privacy coins. Është “çfarë”.
AMLA (Anti-Money Laundering Authority) është autoriteti i ri europian i mbikëqyrjes, i krijuar me një rregullore të veçantë por të miratuar të njëjtën ditë, Rregullorja (BE) 2024/1620. Roli i tij është të mbikëqyrë drejtpërdrejt zbatimin e AMLR-së, veçanërisht ndaj ofruesve më të mëdhenj të shërbimeve të kriptoaktiveve (CASP) që operojnë në disa shtete anëtare. Është “kush mbikëqyr”.

Në përmbledhje: AMLR-ja cakton rregullat, AMLA-ja siguron që ato respektohen. Të dy tekstet formojnë një paketë të vetme legjislative europiane kundër pastrimit të parave dhe financimit të terrorizmit.

Çfarë thotë saktësisht rregullorja AMLR

Rregullorja (BE) 2024/1624 u miratua nga Parlamenti Europian dhe Këshilli më 31 maj 2024, dhe u botua në Gazetën Zyrtare të Bashkimit Europian më 19 qershor 2024. Kapitulli VIII (nenet 79-80) i saj, i titulluar “Masa për zbutjen e rreziqeve që lidhen me instrumentet anonime”, dhe më saktësisht neni 79 (“Llogaritë anonime, aksionet dhe bonot e regjistrimit të aksioneve në bartës”), përcakton se institucionet e kreditit, institucionet financiare dhe ofruesit e shërbimeve të kriptoaktiveve (CASP) kanë tashmë ndalim të mbajnë llogari anonime ose të ofrojnë produkte që mundësojnë anonimizimin e transaksioneve.

Teksti synon qartësisht dy kategori të dallueshme por të lidhura:

Llogaritë anonime — qofshin bankare, pagese, apo kripto. Rregulli e vendos sektorin kripto në linjë me kufizimet që ekzistonin tashmë për llogaritë bankare anonime, llogaritë-letra me vlerë në bartës dhe kasafortat anonime.
“Kriptomonedhave me karakter anonimizues” (anonymity-enhancing coins) — termi gjenerik i përdorur nga rregullorja për të treguar aktivet që përdorin teknika kriptografike të avancuara duke i bërë flukset të pagjurmueshme. Sqarim i rëndësishëm: teksti ligjor nuk citon asnjë token me emër. Është interpretimi i gjerë i ndarë nga studimet e pajtueshmërisë dhe industria — veçanërisht AML Handbook i Nismës Europiane të Kriptomonedhave (EUCI) — i cili identifikon Monero (XMR), Zcash (ZEC) dhe Dash (DASH) si duke i takuar kësaj kategorie. Është një lexim koherent me përkufizimin e rregullores, por bëhet fjalë për një interpretim sektorial, jo një listë nominative e shkruar në ligj.

Rregullorja është pjesë e një ansamble më të gjerë, krahas MiCA (Markets in Crypto-Assets), tashmë në fuqi nga 2024-2025 dhe i cili ka çuar tashmë shumë platforma (Kraken që nga tetori 2024, pastaj dhjetëra të tjera) të heqin Moneron nga tregjet e tyre europiane par anticipation.

Data për t’u mbajtur mend: korriku 2027

AMLR-ja ka një datë të vendosur hyrjeje në zbatim. Shumica e burimeve të specializuara konvergojnë drejt 10 korrikut 2027 si afat i zbatimit të plotë. Nga kjo datë, platformat e shkëmbimit dhe shërbimet e ruajtjes së kriptoaktiveve (custodial) nuk do të mund të trajtojnë as llogari anonime, as privacy coins.

Deri në këtë afat, rregullorja imponon tashmë detyrime të forësuara:

Verifikimi i detyrueshëm i identitetit për çdo transaksion kripto të rastësishëm që tejkalon 1 000 euro — një prag ndjeshëm i ulur në krahasim me praktikat aktuale të shumë platformave
Kontrolle të forësuara mbi portofolët e vetë-mbajtura (self-custody): kur një përdorues transferon fonde midis një platforme të rregulluar dhe një portofoli personal, CASP-i do të duhet të mbledhë informacione mbi origjinën dhe destinacionin e fondeve, dhe të paktën të verifikojë identitetin e titullarit të portofolit të jashtëm
Heqja e pagesave në para të gatshme anonime mbi 3 000 euro, në të njëjtën logjikë të zgjerimit të kontrolleve të identitetit ndaj të gjitha instrumenteve financiare anonime

Pse Brukseli ndalon Monero dhe Zcash në platformat e rregulluara

Në AML Handbook të saj, EUCI-ja përmbledh logjikën që qëndron pas tekstit: anonimati i kriptoaktiveve paraqet rreziqe të konsiderueshme të keqpërdorimit për qëllime kriminale, duke penguar gjurmuashmërinë e transaksioneve dhe duke komplikuar zbulimin e aktiviteteve të dyshimta.

Kjo është saktësisht e njëjta arsyetim që ka çuar tashmë Japoninë, Korenë e Jugut, dhe kohët e fundit Filipinet, të përjashtojnë privacy coins nga platformat e tyre të rregulluara — një harmonizim progresiv i juridiksioneve të zhvilluara me standardet e FATF-it (GAFI). Duke formalizuar këtë ndalim në një rregullore drejtpërdrejt të zbatueshme në 27 shtetet anëtare, Bashkimi Europian i jep kësaj tendence një peshë juridike dhe një efekt tërheqjeje (the “Brussels Effect”) ndjeshëm superior ndaj vendimeve të izoluara kombëtare.

Çfarë NUK është i ndaluar — nuanca që ka rëndësi

Disa analiza juridike konvergojnë mbi një pikë qendrore: AMLR-ja nuk kriminalizon posedimin individual të privacy coins, as transfertat peer-to-peer jashtë platformave të rregulluara. Portofolët e vetë-mbajtura nuk ndalohen si të tillë — ata i nënshtrohen kontrolleve të forësuara vetëm kur ndërveprojnë me një platformë të nënshtruar rregullimit.

Ajo çfarë AMLR-ja mbyll janë rampat e aksesit institucional: blerja, shitja, depozitimi dhe tërheqja e privacy coins nëpërmjet një CASP të rregulluar brenda Bashkimit Europian. Zotërimi privat dhe shkëmbimet e decentralizuara mbeten, në këtë fazë, jashtë fushës së drejtpërdrejtë të ndalimit — një skemë identike me atë të vërejtur tashmë në Filipine.

Çfarë nënkupton kjo konkretisht për mbajtësit e XMR dhe ZEC

Nëse zotëroni aktualisht privacy coins në një platformë shkëmbimi të rregulluar në Bashkimin Europian:

Deri në korrik 2027, këto platforma do të duhet të kenë hequr mbështetjen e këtyre aktiveve ose të kenë ndaluar pranimin e depozitave të reja që i lidhen atyre
Transfertat drejt portofolëve personalë nga këto platforma do të i nënshtrohen verifikimeve të forësuara të identitetit, edhe para afatit përfundimtar
Çdo transaksion kripto mbi 1 000 euro, qoftë privacy coin apo jo, do të kërkojë identifikim të plotë

Kritikët e tekstit, madje edhe brenda industrisë kripto, tregojnë një rrezik strukturor: duke mbyllur qarqet e rregulluara pa i ndaluar teknikisht aktivet vetë, rregullorja i shtyn mekanikisht mbajtësit e privacy coins drejt tregjeve më pak transparente dhe platformave të parregulluara — saktësisht e kundërta e objektivit të gjurmuashmërisë të shpallur nga Brukseli.

Të organizohesh para afatit të 2027

Me një horizont të caktuar në 2027, tranzicioni nuk është i menjëhershëm — por ai është tashmë në rrugë e sipër. Platformat janë duke rregulluar tashmë ofertat e tyre duke parashikuar pajtueshmërinë, dhe dritarja për të shkëmbyer ose konsoliduar pozicione në privacy coins pa varësi nga infrastrukturat e nënshtruara kësaj juridiksioni ngushtohet çdo muaj.

Arpokrat Swap lejon shkëmbimin e Moneros, Zcash-it dhe të gjitha kriptomonedhave me konfidencialitet të zgjeruar pa regjistrim, pa mbledhje të të dhënave të identitetit dhe pa varësi nga një CASP i rregulluar i nënshtruar AMLR-së. Platforma është e aksesueshme si në clearnet ashtu edhe nëpërmjet adresës sonë .onion, duke garantuar që aftësia juaj për të shkëmbyer këto aktive nuk varet nga asnjë juridiksion i aftë të mbyllë rampat e aksesit nga njëri ditë në tjetrën.

AMLR-ja konfirmon një trajektore mbi të cilën nuk ka shumë dyshim: tregjet kripto të rregulluara dhe konfidencialiteti financiar po bëhen, juridiksion pas juridiksioni, strukturalisht të papajtueshme. Pyetja nuk është më nëse kjo tendencë do të përgjithësohet në të gjitha ekonomitë e zhvilluara, por sa kohë do të mbetet, pas 2027, për të shkëmbyer aktive private jashtë qarqeve që nuk do të kenë më të drejtë t’i prekin.