Regulator chce przymusić do użytku kontrolowanego przez siebie komunikatora. Oczywiście z wyjątkami dla wybranych

Kazachski regulator rynku finansowego rozesłał pismo do ubezpieczycieli oraz wybranych firm z sektora finansowego, wzywając do obowiązkowego przeniesienia całej komunikacji z klientami na aplikację Aitu. Wezwanie formalnie uzasadniono „ochroną danych osobowych” – co o tyle zabawne, że komunikator, o którym mowa, nie tylko nie gwarantuje ochrony tych danych, ale wprost przeciwnie, gwarantuje ich skompromitowanie. Jest to bowiem narzędzie pozostające pod faktyczną kontrolą podmiotów państwowych – a wraz z nim wszelkie informacje przekazywane za jego pośrednictwem.

Aitu, rozwijana przez spółkę BTS Digital, w której Kazakhtelecom – operator telekomunikacyjny z większościowym udziałem państwowego funduszu majątkowego Samruk-Kazyna – posiada znaczący pakiet akcji (ok. 49,98%), nie jest neutralną platformą komunikacyjną. Jej infrastruktura zlokalizowana jest w pełni na terytorium Kazachstanu, co przedstawia się jako środek ochrony komunikacji za jej pośrednictwem przed inwigilacją z zewnątrz. Model jej działalności nieomal gwarantuje jednak nieograniczoną inwigilację wewnętrzną – komunikator jest w istocie „przezroczysty” dla władz i służb.

Skądinąd w styczniu i maju 2025 roku BTS Digital otrzymała od Komitetu Bezpieczeństwa Narodowego (KNB), czyli kazachskiej bezpieki (bezpośredniego następcę dawnego lokalnego oddziału Komitetu Bezpieczeństwa Państwowego, lepiej znanego pod akronimem KGB, z czasów sowieckich) licencje na prowadzenie technicznej inwigilacji oraz wykrywania wycieków danych – uprawnienia, które w warunkach autorytarnego systemu nabierają wymownego znaczenia, szczególnie jeśli ten sam podmiot ma obsługiwać rzekomo „bezpieczną” aplikację komunikacyjną.

Komunikator na miarę naszych możliwości

Akcja regulatora wobec sektora prywatnego stanowi bezpośrednie przedłużenie polityki wdrożonej już w sektorze publicznym. W sierpniu 2025 roku Digital Headquarters – czyli rządowa grupa robocza ds. transformacji cyfrowej, działająca pod przewodnictwem premiera Ołżasa Bektenowa – nakazał wszystkim agencjom rządowym, organizacjom quasi-państwowym oraz siłom zbrojnym przejście na Aitu do 15 września 2025 roku.

Deklarowanym celem było wyeliminowanie ryzyka korzystania z zagranicznych platform, ale efektem jest koncentracja całej komunikacji zawierającej dane osobowe w jednym, w pełni kontrolowanym oraz inwigilowanym przez władze kanale. W marcu 2026 resort cyfryzacji dodał do aplikacji darmowe czaty oraz blisko 20 narzędzi AI, w teorii zwiększając jej użyteczność, jednak w praktyce uzależniając użytkowników od ekosystemu podlegającego państwu.

Przeniesienie komunikacji klient–instytucja finansowa na Aitu oznacza, że dane o transakcjach, profilach ryzyka, danych osobowych i korespondencji biznesowej trafiają do systemu, którego operatorzy pozostają w zasięgu organów bezpieczeństwa. Kazakhtelecom, jako monopolista telekomunikacyjny, już wcześniej uczestniczył w mechanizmach kontroli ruchu internetowego, w tym poprzez instalację certyfikatów root wydawanych przez służby.

W takim kontekście „ochrona danych osobowych” staje się pojęciem humorystycznym, które nawet nie stara się ukryć faktycznego celu – tym jest naturalnie przejęcie przez państwo pełnej kontroli nad przepływem informacji w sektorze odpowiedzialnym za obrót pieniędzmi i danymi klientów.

Dla ulubieńców władzy – naturalnie są wyjątki

Pismo regulatora nie objęło całego przy tym rynku finansowego. Dotyczy ubezpieczycieli oraz „niektórych” firm, co w kazachskich realiach oznacza wszystkich bez stosownych „dojść”. Podmioty faworyzowane – chodzi tutaj o „ekosystem bankowy” – mogą nadal korzystać z alternatywnych kanałów, także tych faktycznie gwarantujących prywatność. Wydawać się to może o tyle absurdalne, że to właśnie w przypadku banków „ochrona danych osobowych” wydaje się sprawą najpilniejszą. Oczywiście jednak nie chodzi faktycznie o nią, zaś sektor bankowy i tak pozostaje kontrolowany przez władze.

Skądinąd regulator nie zadał sobie trudu opracowania kompleksowych analiz analiz ryzyka czy szacunków kosztów wdrożenia (a w każdym razie nie takich dostępnych publicznie), co tym mocniej sugeruje, że inicjatywa ma charakter polityczno-kontrolny, a nie techniczny. W efekcie dane finansowe, zawierające najbardziej wrażliwe informacje o obywatelach, będą teraz transferowane poprzez komunikator, którego operator explicité uczestniczy w inwigilacji na rzecz państwa. Stąd nie dziwi zaniepokojenie i sprzeciw licznych podmiotów działających na tamtejszym rynku finansowym.

Cała akcja zaznacza się bowiem dość czytelnym schematem – najpierw regulator „zachęca”, następnie wobec tych nieprzekonanych stosuje nieformalny przymus, bez względu na koszty operacyjne i ryzyko dla danych. Branża zareagowała zorganizowanym spotkaniem lobbingowym, na którym omawiano treść pisma. Uczestnicy – ubezpieczyciele i brokerzy – dyskutowali w warunkach niepublicznych, wobec braku możliwości otwartego protestu w realiach politycznych Kazachstanu. Możliwości lobbingu nie są zerowe (w znacznej mierze dzięki korupcji), jednak ich efekt – daleki od gwarantowanego.