Kill switch и институционалното овладяване

Обещанието, което се крепи на възможността да бъде оттеглено

През 2017 г., по време на урагана Ирма, няколко собственици на Tesla във Флорида откриха, че колата им, след като е получила отдалечена актуализация от производителя, внезапно е спечелила допълнителни километри пробег. Те не бяха платили за тях. Батерията винаги е можела да ги осигури; производителят беше решил, с цел сегментиране на пазара, да не го позволява на клиента. По време на извънредната ситуация Tesla активира пълния капацитет временно. След преминаването й, го деактивира.

Това, което новините описаха като жест на щедрост, беше, прочетено внимателно, нещо друго. Собственикът никога не е притежавал целия продукт, за който е платил. Производителят си запази техническа възможност — да разширява или намалява функциите дистанционно — и избра да я упражни в полза на клиента в този конкретен случай. Можеше да избере и обратното. Историята не разказва за акт на доброта; тя разказва за архитектура на властта.

Тази статия се занимава с тази архитектура. Наричаме я, по конвенция на сектора, kill switch: дистанционният превключвател, който позволява на оператора да деактивира, модифицира или оттегли възможностите на продукт, услуга или устройство, които потребителят вече смята за свои. Въпросът не е дали операторът е честен. Въпросът е какво се случва, когато престане да бъде такъв или когато някой го принуди да използва превключвателя в друга посока.

Какво точно е kill switch

Терминът идва от английски и се превежда трудно: interruptor de muerte звучи драматично; interruptor remoto звучи твърде неутрално. Това, което определя kill switch, не е драматизмът, а едно просто свойство: техническата способност да се деактивира нещо от разстояние, в ръцете на някой, който не е потребителят, който го използва. Може да бъде пълно прекъсване —колата, която не пали, файлът, който се изтрива, акаунтът, който бива спрян— или частично прекъсване —функцията, която изчезва, батерията, която губи обхват, абонаментът, който се прекратява.

Не всеки дистанционен контрол е kill switch. Рутинна актуализация на сигурността, разрешена от потребителя при инсталиране на продукта, не е такава. Нито пък е система против кражба, която може да бъде активирана от самия собственик, когато му откраднат телефона. Kill switch, в същинския смисъл, има три характеристики: използването му е решение на оператора, а не на потребителя; не изисква изрично съгласие от засегнатата страна за активиране; и се упражнява върху продукт или услуга, които потребителят вече е считал за напълно свои.

Европейската галерия от активни прекъсвачи

Tesla често повтаря този модел, в нейния случай по документиран начин: договорни намаления на автономността, прилагани към превозни средства втора употреба, които са сменили собственика си, отнемане на функции за подпомагане на шофирането след отмяна на лиценза, едностранни модификации на поведението на продукта между версиите на фърмуера. John Deere от години е в центъра на европейския и американския дебат относно правото на ремонт: покупката на трактор включва софтуерен слой, чиято услуга зависи от официалната мрежа на производителя; когато тази мрежа откаже регистрация, тракторът ограничава основните си функции. BMW предложи през 2022 г. месечен абонамент за активиране на отоплението на седалките в автомобили, които вече го имаха инсталирано физически; общественият натиск принуди компанията да оттегли модела, но техническата възможност остава.

На софтуерно ниво моделът е структурен. Adobe Creative Cloud анулира месечни лицензи, когато абонаментът не се поднови, оставяйки неизползваеми файловете, създадени от потребителя с тези инструменти. Microsoft може да деактивира копия на Windows, които счита за неавтентични, без практическо средство за защита. Google премахва приложения от Play Store, изпълнявайки съдебни разпореждания или вътрешни решения; деинсталираното приложение се деинсталира и от телефоните, на които е било инсталирано. Apple Pay беше деактивиран в Русия през март 2022 г., тъй като Apple спази международните санкции: легитимно в контекста, но процедурата винаги е била налична.

Легитимният аргумент от страната на производителя

Който проектира една от тези системи, обикновено предлага напълно валидни аргументи:

1. Предотвратяване на кражби. Ако колата или телефонът ми бъдат откраднати, оценявам факта, че производителят може да ги извади от строя дистанционно.
2. Предотвратяване на измами. Неплатените абонаменти изискват механизъм за прекъсване; без този механизъм бизнес моделът се срива.
3. Предотвратяване на злоупотреби. Един опасен инструмент в грешни ръце може да се възползва от възможността да бъде оттеглен.
4. Нормативно съответствие. Някои законови заповеди задължават оператора да премахва съдържание, да деактивира функции или да преустановява акаунти, а система без прекъсвач е система, която не може да ги изпълни.

И четирите аргумента са верни. Нито един не променя същността на въпроса. Вярно е, че kill switch улеснява предотвратяването на кражби; вярно е също, че същата тази способност служи за принуда на живия клиент, а не само за ощетяване на крадеца. Вярно е, че моделът на абонамент се нуждае от прекъсване; вярно е също, че прекъсването може да бъде изпълнено утре върху настоящ клиент по причина, различна от предвидената в договора. Въпросът не е дали kill switch има легитимни приложения. Въпросът е, че веднъж щом съществува, неговите приложения не се ограничават до предвидените в първоначалната документация.

Институционално превземане

Тук се появява концепцията, която дава заглавието на статията. Институционалното превземане е ситуацията, в която даден субект — частна компания, администрация, регулаторен орган — в крайна сметка упражнява способности, които е придобил или са му били предоставени за ограничени цели, с по-широки, различни или откровено противоположни на първоначалните цели. Политическата икономия познава това явление от десетилетия във финансовото регулиране. Технологичната индустрия го открива от собствената си ръка.

Механизмът е следният. Компанията проектира kill switch за легитимни цели: защита от кражба, управление на абонаменти, съответствие. Компанията документира тези цели в своите условия за ползване, в своята политика за поверителност, в своите публични съобщения. Минават години. Правителство издава заповед съгласно ново законодателство; компанията е принудена да използва прекъсвача в посока, която не е описана в първоначалната ѝ документация. Активен акционер влиза в борда и променя търговската политика; прекъсвачите съществуват и се прилагат според новата политика. Компанията е придобита от по-голяма; условията на услугата се пренаписват едностранно с тридесетдневно предизвестие. Във всеки случай клиентът, който се е доверил на прекъсвача за документираните цели, открива, че прекъсвачът все още е там, но отговаря на други интереси.

Парадигматичният случай за европейския читател: случаят Apple срещу FBI в San Bernardino през 2016 г. След атентат в Калифорния FBI изиска от Apple да деблокира iPhone на извършителя. Apple отказа, поддържайки отчасти принципни аргументи и отчасти технически аргумент: системата, така както е проектирана, не позволяваше на самата компания да деблокира устройството без пренаписване на базовия софтуер. Най-солидната защита не беше морална; тя беше архитектурна. Apple не се основаваше на обещанието да не натиска прекъсвача; тя се основаваше на отсъствието на прекъсвач. Други компании, с присъстващи прекъсвачи в тяхната архитектура, не са успели да поддържат същата позиция пред еквивалентен натиск.

Европейската нормативна траектория

Европейското право през последния законодателен мандат се насочи към повече възможности за дистанционно управление, а не към по-малко. Регламентът за цифровите услуги (DSA), изцяло приложим от февруари 2024 г., задължава платформите да активират бързи механизми за премахване на съдържание по разпореждане на компетентен орган; механизми, които не биха съществували без основния технически капацитет. Регламентът за изкуствения интелект (AI Act), който влиза в сила поетапно от август 2024 г., изисква от доставчиците на определени високорискови системи с ИИ да разполагат с мерки, позволяващи тяхното деактивиране или значителен човешки надзор: нормативна форма на задължителен kill switch. Регламентът за цифровите пазари (DMA), от друга страна, въвежда задължения за оперативна съвместимост: противоположна тенденция, която ограничава ефектите от блокирането.

За европейския професионалист честният прочит е следният: въпросът „може ли операторът да деактивира тази услуга за мен?“ всяка година има все повече утвърдителни отговори поради законови изисквания, а не по-малко. Това не поставя под въпрос легитимността на нормативната уредба — DSA отговаря на реални проблеми —, но засилва едно нещо: доверието, че операторът няма да използва превключвателя, изисква доверие и в това, че никое бъдещо законово задължение няма да го принуди да го използва в посока, която днес не се предвижда. Това е доверие, което не почива само на компанията; то почива на цялата нормативна среда.

Въпросът за дизайна, който рядко се задава

По-голямата част от съвременния технически дизайн приема, че превключвателят ще съществува, и след това обещава да не се злоупотребява с него. Съществува алтернатива, по-взискателна, но напълно осъществима: проектиране с допускането, че превключвателят не трябва да съществува. Това не е лозунг. То включва конкретни решения: разпределена спрямо централизирана архитектура, права върху устройството на потребителя спрямо права, произтичащи от акаунта, криптирано съдържание с ключове, които операторът няма, спрямо криптирано съдържание с ключове, които операторът съхранява, криптографска идентичност на потребителя спрямо идентичност, управлявана от оператора. Всяко едно от тези решения има реална техническа цена и реални търговски последици. Но всички те споделят едно свойство: веднъж взети, те премахват определени законови заповеди като възможен обект. Това, което не може да бъде изпълнено, не може да бъде заповядано за изпълнение.

За професионалния читател

Пет въпроса, които е добре да зададете на доставчика на всяка критична професионална услуга преди приемането й, формулирани в реда, по който би ги задал инспектор по непрекъсваемост на бизнеса:

1. Съществува ли техническа възможност доставчикът да спре, блокира, изтрие или влоши дистанционно моята услуга, данни или продукт?
2. При какви договорно обявени случаи доставчикът може да упражни тази възможност?
3. При какви необявени случаи — съдебна заповед, международна санкция, едностранна промяна на политиката, корпоративно придобиване — може също да я упражни?
4. Ако тя бъде упражнена, с какво време за непрекъснатост на професионалната дейност разполагам и какъв план за излизане е наличен?
5. Съществува ли архитектурна алтернатива, при която отговорът на първия въпрос е „не“ по конструкция, а не по обещание?

Отговорът на въпрос пет не винаги е наличен или пропорционален. Лична електронна таблица вероятно не заслужава такова изискване. Активно юридическо досие, медицинска история на пациент, данъчно счетоводство, деонтологично защитен разговор – да. Пропорционалността е професионално решение; честният прочит на въпрос едно не е: или прекъсвачът съществува, или не.

---

Защитата, която запазва възможността за оттегляне, не е структурна защита; тя е преименувано доверие. Доверието, както казахме в друг Бележник, е валидно социално решение, когато се дава на този, който го заслужава, но е крехко при първата смяна на собственика. Най-чистата структурна защита е тази, която не може да бъде оттеглена, защото изначално не съществува. Както при всичко в архитектурата: избор на дизайн, а не маркетингово решение.