De nieuwe functie heet Scam Alert en wordt voorlopig beperkt getest. Gebruikers moeten haar zelf aanzetten. Daarna bekijkt een AI-model binnenkomende berichten van onbekende afzenders en zoekt het naar bekende patronen van oplichting. WhatsApp benadrukt dat de inhoud daarbij niet naar het bedrijf wordt gestuurd.

Dat onderscheid is belangrijk. Dit is geen invoering van de omstreden Europese Chatcontrol-plannen via WhatsApp. De functie zoekt naar fraude, niet naar materiaal van seksueel kindermisbruik. Ook is de controle niet verplicht en worden verdachte berichten niet automatisch doorgestuurd. Maar technisch laat WhatsApp wel zien dat versleutelde privéberichten op grote schaal automatisch op het toestel zelf kunnen worden beoordeeld.

AI leest bericht vóór het WhatsApp verlaat
Scam Alert werkt volledig op de smartphone. Na het inschakelen wordt een machinelearningmodel naar het toestel gedownload. Dat model controleert berichten van mensen die niet in de contactenlijst staan. Het kijkt onder meer naar taalgebruik en de opbouw van gesprekken om mogelijke fraude te herkennen.

Slaat het systeem alarm, dan verschijnt alleen bij de ontvanger een waarschuwing. Die kan vervolgens doorgaan met het gesprek, de afzender blokkeren of het bericht rapporteren.

WhatsApp stelt drie voorwaarden centraal: de analyse gebeurt alleen op het toestel, er vindt geen automatische melding aan WhatsApp plaats en de gebruiker kan de functie zelf aan- en uitzetten. Alleen wanneer iemand zelf een melding maakt, kan berichtinhoud bij WhatsApp terechtkomen.

Het bedrijf gaat bovendien behoorlijk ver om controle mogelijk te maken. Gebruikers moeten kunnen zien welke berichten door het model zijn beoordeeld, wat de uitkomst daarvan was en welke versie van het AI-model daarbij is gebruikt. Ook externe beveiligingsonderzoekers krijgen mogelijkheden om het systeem te onderzoeken.

Gevoelige timing door Chatcontrol
De introductie komt op een opvallend moment. Binnen de Europese Unie wordt al jaren gesteggeld over zogenoemde Chatcontrol. Daarbij draait het om de vraag in hoeverre aanbieders van berichtendiensten communicatie mogen of moeten controleren om seksueel kindermisbruik op te sporen.

Een van de grootste twistpunten is client-side scanning. Daarbij wordt informatie niet pas op een server gecontroleerd, maar al op het apparaat van de gebruiker. Tegenstanders waarschuwen dat zo'n constructie de bescherming van end-to-end-encryptie kan aantasten.

Het Europees Parlement stemde op 9 juli over de verlenging van de tijdelijke regels rond vrijwillige chatcontrole. Een meerderheid van de uitgebrachte stemmen was tegen: 314 Europarlementariërs stemden tegen verlenging en 276 voor. Door de gebruikte procedure waren echter 361 stemmen nodig om het voorstel daadwerkelijk tegen te houden. Die grens werd niet gehaald. De tijdelijke regeling kon daardoor toch verder.

Daarbij moet wel een belangrijk onderscheid worden gemaakt. Het gaat om de tijdelijke vrijwillige regeling, ook wel Chatcontrol 1.0 genoemd. Dat is iets anders dan het veel verdergaande permanente voorstel dat al jaren onderwerp is van discussie. Versleutelde diensten kregen bovendien aanvullende bescherming.

WhatsApp bouwt techniek zelf
Juist daarom is Scam Alert interessant. WhatsApp hoeft zijn end-to-end-encryptie naar eigen zeggen niet open te breken om berichten automatisch te analyseren. Het AI-model krijgt de tekst immers te zien op het toestel waarop het bericht toch al leesbaar is.

Daarmee ontstaat in technische zin een mogelijkheid die sterk raakt aan het debat over client-side scanning: software op de telefoon beoordeelt automatisch de inhoud van privécommunicatie.

Er zijn tegelijkertijd grote verschillen met de gevreesde vorm van Chatcontrol. Scam Alert is vrijwillig. Het zoekt uitsluitend naar mogelijke fraude. De inhoud wordt volgens WhatsApp niet automatisch gedeeld met Meta, WhatsApp of andere partijen. Het bedrijf zegt bovendien dat het geen afzonderlijk AI-model naar één specifieke gebruiker kan sturen. Iedere modelversie wordt vooraf vastgelegd in een openbaar controlelogboek.

Dat maakt de huidige functie geen geheime overheidscontrole. WhatsApp presenteert het juist als een manier om fraude te bestrijden zonder de versleuteling van zijn berichtendienst op te offeren.

Wel gegevens over waarschuwingen
Helemaal zonder gegevensuitwisseling werkt Scam Alert niet. WhatsApp wil kunnen meten hoe vaak waarschuwingen verschijnen en wat gebruikers daarna doen. Daarvoor worden geaggregeerde tellingen gebruikt. Volgens het bedrijf bevatten die geen berichtinhoud en zijn ze zo ontworpen dat individuele gebruikers niet kunnen worden herkend.

WhatsApp zegt daardoor niet te kunnen achterhalen welk bericht aanleiding gaf tot een waarschuwing, wie het verstuurde of ontving en in welk gesprek dat gebeurde. De uiteindelijke statistieken bevatten volgens het bedrijf geen gegevens per gebruiker of gesprek.

Discussie verschuift naar de telefoon
Daarmee krijgt de Europese discussie over berichtenscanning een nieuwe dimensie. Jarenlang draaide de politieke strijd vooral om de vraag of overheden technologiebedrijven mogen verplichten communicatie te controleren. WhatsApp laat nu uit eigen beweging zien dat automatische inhoudsanalyse ook kan plaatsvinden zonder berichten eerst naar een centrale server te sturen.

Voorlopig blijft Scam Alert een beperkte bètatest. WhatsApp heeft nog niet bekendgemaakt wanneer de functie algemeen beschikbaar wordt. Het bedrijf zegt het systeem eerst verder te willen testen met gebruikers en beveiligingsonderzoekers.