Znany lekarz pojawia się na nagraniu opublikowanym w Internecie. Spokojnym, profesjonalnym tonem dzieli się swoją wiedzą o zdrowiu, wyjaśnia przyczyny chorób i wskazuje rozwiązanie, które ma pomóc tysiącom pacjentów. Mówi przekonująco. Wygląda dokładnie tak jak w telewizji. Ma ten sam głos, mimikę i sposób wypowiadania się, który od lat buduje jego wiarygodność. Nic nie wzbudza podejrzeń. Wielu odbiorców jest przekonanych, że ogląda autentyczne wystąpienie lekarza. Niektórzy decydują się nawet na zakup polecanego preparatu. Inni dzwonią do gabinetu, pytając o szczegóły terapii i sposób stosowania produktu. Problem w tym, że lekarz nigdy nie nagrał takiego materiału i nigdy nie rekomendował reklamowanego specyfiku.
Przykłady dotyczące dr. Michała Sutkowskiego, prof. Michała Zembali czy prof. Krzysztofa Bieleckiego[1] [2] [3] pokazują podobny schemat działania. W każdej z tych spraw dochodzi do bezprawnego wykorzystania tożsamości konkretnej osoby dla osiągnięcia korzyści majątkowej. Naruszenie nie ogranicza się jednak do samego wizerunku. W grę wchodzi także wykorzystanie nazwiska, głosu, reputacji zawodowej oraz autorytetu budowanego przez lata działalności publicznej. Skutki odczuwają zarówno osoby, pod które się podszyto, jak i odbiorcy wprowadzani w błąd co do pochodzenia i właściwości reklamowanych produktów.
Przypadki te pokazują, że współczesna kradzież tożsamości coraz częściej przybiera postać cyfrowego podszywania się pod człowieka. Powstają wówczas istotne pytania prawne dotyczące ochrony dóbr osobistych, odpowiedzialności karnej sprawców, odpowiedzialności platform internetowych oraz środków ochrony przysługujących osobom, których tożsamość została wykorzystana. Analiza tych zagadnień jest niezbędna, aby zrozumieć, jak prawo reaguje na jedno z najbardziej dynamicznie rozwijających się zagrożeń ery sztucznej inteligencji
Spis treści
To nie jest prawdziwe nagranie. To efekt wykorzystania technologii deepfake.
Mechanizm działania sprawców jest zazwyczaj podobny. Oszuści sięgają po autentyczne zdjęcia, wywiady telewizyjne i materiały prasowe dostępne w Internecie. Następnie, przy pomocy narzędzi opartych na sztucznej inteligencji, tworzą fałszywe nagrania, w których lekarz rzekomo zachwala konkretny preparat. Tak przygotowane materiały są rozpowszechniane za pośrednictwem mediów społecznościowych i reklam internetowych, a użytkownicy kierowani są na strony stylizowane na wiarygodne portale informacyjne lub medyczne.
Na takich stronach można znaleźć spreparowane wywiady, fikcyjne opinie pacjentów oraz komentarze mające potwierdzać skuteczność produktu. Całość uzupełniają charakterystyczne techniki manipulacyjne: obietnice spektakularnych efektów, zapewnienia o wyjątkowej skuteczności oraz komunikaty o ograniczonej liczbie opakowań lub kończącej się promocji. Wszystko po to, by skłonić odbiorcę do podjęcia szybkiej decyzji.
Skala zjawiska jest ogromna. Fałszywe nagrania wyświetlane są setkom tysięcy użytkowników, a liczba osób, które uznają je za autentyczne, pokazuje, jak skutecznym narzędziem stała się dziś kradzież tożsamości wspierana przez sztuczną inteligencję. W takich przypadkach przestępcy nie wykorzystują jedynie czyjegoś wizerunku. Przejmują również jego reputację, autorytet i społeczne zaufanie budowane przez lata.
Niebezpieczeństwo płynące z wykorzystywania technologii deepfake rośnie, ze względu na postęp technologiczny, z roku na rok coraz bardziej. O samym zjawisku pisaliśmy już we wpisie sprzed kilku lat, kiedy deepfake dopiero zaczynał "pokazywać" swoje możliwości i stanowić przedmiot rozważań w zakresie regulacji prawnych. Dla lepszego zrozumienia kontekstu dzisiejszego wpisu, w zakresie pojęcia deepfake oraz możliwości obrony przed jego negatywnym zastosowaniem zapraszamy do przeczytania dwóch poprzednich TUTAJ i TUTAJ.
Jednak z perspektywy, przy pędzie technologicznym obecnych czasów, warto odświeżyć informacje tam przedstawione, chociażby w zakresie definicji deepfake, która została uregulowana w ramach rozporządzenia unijnego AI Act[4].
Deepfake" na gruncie przepisów prawa różnych państw
Definicja deepfake została zawarta w art. 3 pkt 60 rozporządzenia AI Act i brzmi ona następująco:
"deepfake" oznacza wygenerowane przez AI lub zmanipulowane przez AI obrazy, treści dźwiękowe lub treści wideo, które przypominają istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia, które odbiorca mógłby niesłusznie uznać za autentyczne lub prawdziwe.
Warto jednak zaznaczyć, że aby zakwalifikować daną treść jako deepfake nie jest konieczna wola podmiotu go kreującego wprowadzenia w błąd lub wykorzystania go do celów negatywnych. Istotnym elementem jest ryzyko konfuzji rzeczywistej treści z tą wygenerowaną, a więc wywołanie u odbiorcy błędnego przekonania o prawdziwości deepfake, niezależnie od intencji osoby udostępniającej czy kreującej.
W aspekcie kradzieży tożsamości, istotne dla zrozumienia tego zagadnienia może okazać się pojęcie repliki cyfrowej. Jak wskazała dr Iga Bałos[5], replika cyfrowa nie została jednoznacznie zdefiniowana na gruncie prawa polskiego lub unijnego, ale próby dokonania tego zostały podjęte na gruncie ustawodawstw Stanów Zjednoczonych, Holandii oraz Danii. Nie przytaczając każdej z proponowanych regulacji z osobna, można wskazać płynącą z rozważań artykułu definicję repliki cyfrowej zawierającą kluczowe elementy takie jak:
- zgoda powinna być wyrażona uprzednio przez osobę przedstawianą repliką cyfrową;
- co do zasady prawo do repliki cyfrowej powinno być ukształtowane jako niezbywalne (z pewnymi wyjątkami) aby chronić uprawnionego przed utratą kontroli nad swoim wizerunkiem.
Niebezpieczeństwo związane z deepfake, w tym repliką cyfrową skupia się na wielu aspektach funkcjonowania człowieka. Po pierwsze, w przypadku braku kontroli czy środków ochrony nad własnym wizerunkiem istnieje ryzyko jego wykorzystania w sposób sprzeczny z własną wizją danej osoby o niej samej. W konsekwencji może to prowadzić do nadszarpnięcia reputacji lub niepotrzebnych nieporozumień. Ryzyko jest zdecydowanie większe w odniesieniu do osób publicznych, od których wymaga się większej reprezentatywności i poprawności, co ze względu na ich rozpoznawalność jest coraz trudniejsze do osiągnięcia przez właśnie stale rosnącą liczbę deepfake imitujących rozpoznawalne osoby.
Co ciekawe, ochrona wizerunku skupia się szczególnie w ramach gałęzi prawa cywilnego i opiera się na przepisach dotyczących ochrony dóbr osobistych oraz odpowiednich przepisach prawa autorskiego (o których to konstrukcjach pisaliśmy już w poprzednim wpisie na temat deepfake).
Z racji jednak wielości zagrożeń i wagi ich negatywnego wpływu na życie człowieka zasadne wydało się poszukiwanie przepisów w prawie karnym, które pozwoliłyby przeciwdziałać szkodzącym konkretnym osobom deepfakom. Należy więc przyjrzeć się przestępstwie kradzieży tożsamości.
Kradzież tożsamości - pojęcie przestępstwa, znamiona
Zgodnie z art. 190a § 2 Kodeksu Karnego[6], przestępstwo kradzieży tożsamości popełnia ten kto, podszywając się pod inną osobę, wykorzystuje jej:
- wizerunek,
- inne dane osobowe lub
- inne dane, za pomocą których jest ona publicznie identyfikowana,
przez co wyrządza jej szkodę majątkową lub osobistą.
Kto dopuści się kradzieży tożsamości podlega karze pozbawienia wolności od 6 miesięcy do 8 lat. Jest to przestępstwo powszechne, a więc możliwe do popełnienia przez każdą osobę, ścigane jest na wniosek pokrzywdzonego. Sprawca może działać zarówno w zamiarze pośrednim, jak i bezpośrednim.
Przedmiotem ochrony ustawodawca objął wizerunek osoby, inne jej dane osobowe oraz inne dane, za pomocą których osoba ta jest publicznie identyfikowana. Ochronie podlegają obecnie wszelkie dane, które dotyczą publicznie zidentyfikowanej lub możliwej do publicznego zidentyfikowania osoby fizycznej.[7]
Co ważne, uznanie przestępstwa za popełnione nie zależy od końcowego wyrządzenia szkody majątkowej lub osobistej. Wystarczy więc sam zamiar wywołania takiej szkody, a nie fakt jej rzeczywistego wystąpienia.
Zakres pojęcia ,,podszywania się” należy rozumieć w ten sposób, że sprawca podejmuje czynności mające na celu wywołać mylne wrażenie o tożsamości danej osoby.[8]
Do podszywania się, a konkretnie używania w tym celu wizerunku, innych danych osobowych czy innych danych umożliwiających publiczną identyfikację danej osoby mogą być one wykorzystywane wszystkie łącznie, niektóre z nich lub tylko jeden rodzaj wymienionych danych. Wskazuje to na szeroki zakres możliwości popełnienia przestępstwa, nie ograniczając się do jednego sposobu możliwych nadużyć. Konkretne rozumienie tych pojęć można przedstawić następująco:
- wizerunek – dotyczy tylko wizerunku osoby fizycznej, rozumiany w sensie językowym jako czyjaś podobizna na rysunku, obrazie, zdjęciu itp. albo sposób, w jaki dana osoba lub rzecz jest postrzegana i przedstawiana[9];
- dane osobowe – na gruncie rozporządzenia RODO[10], dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Podszywanie się w celach finansowych, czyli wyłudzanie pieniędzy
Zgodnie z danymi podanymi przez Revolut, oszustwo finansowe można podzielić na dwa zasadnicze typy:
- authorised fraud – inaczej scam, oszukiwanie użytkowników poprzez podstępne nakłanianie do wykonania przez niż przelewu lub transferu pieniędzy;
- unauthorised fraud – bezprawne uzyskanie dostępu do kont użytkownika i wykorzystanie ich w celu transferu gotówki, danych lub innych informacji albo zdobycie danych osobowych użytkownika w tym samym celu.[11]
W przypadku authorised fraud, można wyróżnić dodatkowo przykładowe podtypy tych przestępstw:
- impersonation scam – udawanie przez oszustów banków, przedstawicieli bankowych oraz innych instytucji;
- romance scam – metoda scamu opiera się na tworzeniu fałszywych profili w social mediach, a następnie przy ich użyciu nawiązanie relacji romantycznej z poszkodowanym;
- loan scam – oszuści podszywają się pod instytucje kredytowe, imitując oferty pożyczek i wyłudzając w ten sposób pieniądze.
Co ciekawe, według danych podanych przez Revolut prymat w posiadaniu przestrzeni cyfrowej, w ramach której dokonywane są przestępstwa przy użyciu metod authorised fraud, posiada Meta. W wyścigu tym stoi na równi z Telegramem, za nimi natomiast plasuje się Tik Tok.[12]
Nie tylko lekarze
Ostatnio, medialnie głośnym przykładem kradzieży tożsamości, w sprawie rozpatrywanej obecnie przez Sąd Apelacyjny w Warszawie, jest publikowanie fałszywych reklam z wykorzystaniem wizerunku Rafała Brzoski i Omeny Mesah[13]. Reklamy te, publikowane na platformie Facebook, przy użyciu deepfake miały na celu wywołanie fałszywego wrażenia, iż Rafał Brzoska reklamuje portale inwestycyjne, co w rzeczywistości kończyło się przekierowaniem użytkowników na strony służące oszustom. Omenaa Mesah z kolei miała rzekomo paść ofiarą pobicia czy zostać zatrzymana przez policję. Takie bezprawne wykorzystanie wizerunku osób publicznych może mieć drastyczne konsekwencje ze względu na powszechność ich obecności w mediach społecznościowych, co znacząco wyłącza czujność użytkowników w zakresie potencjalnych oszustw. Jest też sygnałem, że to działanie może dotknąć każdego kto zostawia swój ślad cyfrowy w Internecie.
Kradzież tożsamości, z racji rozwoju internetowych możliwości naszych czasów, staje się coraz to bardziej niebezpiecznym zjawiskiem. Rozwój technologii generatywnej sprawia, że granica między prawdą a cyfrową manipulacją staje się coraz mniej widoczna. Obecnie zagrożeniem nie jest już sama kradzież, ale również sposoby, w jakie może zostać dokonana. W dobie deepfake i social media, mimo i tak standardowo zwiększonej czujności użytkowników, należy zwracać szczególną uwagę na reklamy i oferty handlowe, które wydają nam się z różnych względów podejrzane lub budzą naszą niepewność i wątpliwości. Deepfake wykorzystujący wizerunek lekarza to nie tylko zagrożenie dla jego reputacji czy dóbr osobistych, ale również realne ryzyko dla pacjentów, którzy mogą podejmować decyzje zdrowotne w oparciu o fałszywe informacje. Odpowiedzialność za takie działania może obejmować zarówno sprawców tworzących i rozpowszechniających materiały, jak i , w określonych sytuacjach, podmioty, które mimo zgłoszenia nie reagują na oczywiste naruszenia. W praktyce kluczowe znaczenie ma szybkie zabezpieczenie dowodów, zgłoszenie naruszenia platformie internetowej oraz podjęcie działań prawnych jeszcze zanim fałszywy materiał zdąży osiągnąć szeroki zasięg.
