Kill switch ja institutsionaalne hõivamine

Lubadus, mis püsib selle tagasivõtmise võimalusel

2017. aastal, orkaan Irma ajal, avastasid mitmed Tesla omanikud Floridas, at nende auto sai tootjalt kaugvärskenduse kaudu ootamatult täiendavaid sõidukilomeetreid. Nad polnud nende eest maksnud. Aku oli alati suutnud neid pakkuda; tootja oli turu segmenteerimise eesmärgil otsustanud seda kliendile mitte lubada. Hädaolukorra ajal aktiveeris Tesla ajutiselt täisvõimsuse. Kui hädaolukord möödas, deaktiveeris ta selle uuesti.

See, mida uudised kirjeldasid kui heldet žesti, oli lähemalt uurides midagi muud. Omanik polnud kunagi olnud selle toote täielik omanik, mille eest ta maksis. Tootja säilitas tehnilise võimekuse — funktsioone eemalt laiendada või piirata — ja valis antud juhul selle kasutamise kliendi kasuks. Ta oleks võinud valida ka vastupidise. See lugu ei räägi lahkusest, vaid võimuarhitektuurist.

See artikkel käsitleb seda arhitektuuri. Me nimetame seda valdkonna tava kohaselt kill switch'iks: kauglüliti, mis võimaldab operaatoril deaktiveerida, muuta või tühistada toote, teenuse või seadme funktsioone, mida kasutaja pidas juba enda omaks. Küsimus pole selles, kas operaator on aus. Küsimus on selles, mis saab siis, kui ta seda enam pole või kui keegi sunnib teda lülitit teises suunas kasutama.

Mis täpselt on kill switch

Termin pärineb inglise keelest ja seda on raske tõlkida: interruptor de muerte kõlab dramaatiliselt; interruptor remoto kõlab liiga neutraalselt. Kill switch'i ei määra mitte dramaatilisus, vaid lihtne omadus: tehniline võime midagi kaugjuhtimise teel deaktiveerida kellegi teise poolt kui kasutaja. See võib olla täielik sulgemine —auto, mis ei käivitu, fail, mis kustutatakse, konto, mis peatatakse— või osaline sulgemine —funktsioon, mis kaob, aku, mille tööraadius väheneb, tellimus, mis katkeb.

Mitte igasugune kaugjuhtimine pole kill switch. Rutiinne turvavärskendus, mille kasutaja on toote paigaldamisel volitanud, seda ei ole. Samuti ei ole seda vargusvastane süsteem, mida omanik saab ise aktiveerida, kui tema telefon varastatakse. Kill switch'il on kitsas tähenduses kolm tunnust: selle kasutamine on operaatori, mitte kasutaja otsus; see ei nõua aktiveerimiseks asjaomase isiku konkreetset nõusolekut; ja seda rakendatakse toote või teenuse suhtes, mida kasutaja pidas juba täielikult enda omaks.

Euroopa aktiivsete lülitite galerii

Tesla kordab seda mustrit sageli, kusjuures dokumenteeritud viisil: lepingulised sõiduulatuse vähendamised kasutatud sõidukitele, mis on vahetanud omanikku, abistava juhtimise funktsioonide eemaldamine pärast litsentsi tühistamist, toote käitumise ühepoolne muutmine püsivara versioonide vahel. John Deere on aastaid olnud Euroopa ja USA parandamisõiguse debati keskmes: traktori ost sisaldab tarkvarakihti, mille teenus sõltub tootja ametlikust võrgust; kui see võrk keeldub registreerimisest, piirab traktor olulisi funktsioone. BMW pakkus 2022. aastal igakuist tellimust istmesoojenduse aktiveerimiseks autodes, kuhu see oli juba füüsiliselt paigaldatud; avalik surve sundis mudeli tagasi võtma, kuid tehniline võimekus säilib.

Tarkvara tasandil on muster struktuurne. Adobe Creative Cloud tühistab igakuised litsentsid, kui tellimust ei uuendata, muutes kasutaja poolt nende tööriistadega loodud failid kasutuskõlbmatuks. Microsoft võib deaktiveerida Windowsi koopiad, mida ta peab ebaeeskujulikeks, ilma praktilise edasikaebamisvõimaluseta. Google eemaldab rakendused Play Store'ist kohtumääruste või siseotsuste täitmiseks; eemaldatud rakendus eemaldatakse ka telefonidest, kuhu see oli paigaldatud. Apple Pay deaktiveeriti Venemaal 2022. aasta märtsis, kui Apple täitis rahvusvahelisi sanktsioone: kontekstis leegitse, kuid protseduur oli alati olemas.

Tootjapoolne leegitse argument

Seda tüüpi süsteemide kavandajad pakuvad tavaliselt täiesti pädevaid argumente:

1. Varguste ennetamine. Kui mu auto või telefon varastatakse, hindan seda, et tootja saab selle kaugjuhtimise teel kasutuskõlbmatuks muuta.
2. Pettuste ennetamine. Tasumata tellimused nõuavad katkestusmehhanismi; ilma selle mehhanismita kukkub ärimudel kokku.
3. Väärkasutuse ennetamine. Ohtlik tööriist valedes kätes võib saada kasu tühistatavusest.
4. Regulatiivne vastavus. Teatud õiguslikud korraldused kohustavad operaatorit sisu eemaldama, funktsioone keelama või kontosid peatama ning süsteem ilma lülitita on süsteem, mis ei saa neid täita.

Kõik neli argumenti on tõesed. Ükski neist neist ei muuda asja olemust. On tõsi, et kill switch hõlbustab varguste ennetamist; on ka tõsi, et see sama võime teenib elava kliendi survestamist, mitte ainult varga kahjustamist. On tõsi, et tellimusmudel vajab katkestust; on ka tõsi, et katkestuse saab homne praeguse kliendi suhtes ellu viia muul põhjusel kui lepingus ette nähtud. Küsimus ei ole selles, kas kill switch-il on seaduslikke kasutusviise. Küsimus on selles, et kui see on olemas, ei piirdu selle kasutusviisid algses dokumentatsioonis ette nähtutega.

Institutsionaalne kaaperdamine

Siinkohal tuleb mängu mõiste, mis annab artiklile pealkirja. Institutsionaalne kaaperdamine on olukord, kus osapool — eraettevõte, administratsioon, reguleeriv asutus — hakkab kasutama piiratud eesmärkidel omandatud või talle antud võimekust laiematel, teistsugustel või algsetele eesmärkidele suisa vastandlikel eesmärkidel. Poliitökonoomia tunneb seda nähtust finantsregulatsioonis juba aastakümneid. Tehnoloogiasektor avastab seda nüüd omal käel.

Mehhanism on järgmine. Ettevõte kavandab kill switch-i legitiimsetel eesmärkidel: vargusevastane kaitse, tellimuste haldamine, vastavus. Ettevõte dokumenteerib need eesmärgid oma kasutustingimustes, privaatsuspoliitikas ja avalikes sõnumites. Mööduvad aastad. Valitsus väljastab uue seadusandluse alusel korralduse; ettevõte on sunnitud kasutama lülitit suunas, mida tema algses dokumentatsioonis ei kirjeldata. Nõukogusse siseneb aktivistist aktsionär ja muudab äripoliitikat; lülitid on olemas ja neid rakendatakse vastavalt uuele poliitikale. Ettevõtte omandab suurem ettevõte; teenusetingimused kirjutatakse ühepoolselt ümber kolmekümnepäevase etteteatamisega. Igal juhul leiab klient, kes usaldas lülitit dokumenteeritud eesmärkidel, et lüliti on ikka alles, kuid see teenib teisi huve.

Paradigmaatiline juhtum Euroopa lugeja jaoks: Apple vs FBI juhtum San Bernardino-s 2016. aastal. Pärast rünnakut Californias nõudis FBI Apple'ilt ründaja iPhone'i lahtilukustamist. Apple keeldus, toetudes osalt põhimõttelistele argumentidele ja osalt tehnilisele argumendile: süsteem, nagu see oli kavandatud, ei võimaldanud ettevõttel endal seadet lahti lukustada ilma tarkvara põhja ümber kirjutamata. Kõige kindlam kaitse ei olnud moraalne, vaid arhitektuurne. Apple ei tuginenud lubadusele mitte lülitit vajutada; ta tugines lüliti puudumisele. Teised ettevõtted, kelle arhitektuuris on lülitid olemas, ei ole suutnud samaväärse surve ees sama seisukohta hoida.

Euroopa regulatiivne trajektoor

Euroopa õigus on viimasel seadusandlikul perioodil liikunud suurema, mitte väiksema kaughalduse suutlikkuse poole. Digiteenuste määrus (DSA), mi on täielikult kohaldatav alates 2024. aasta veebruarist, kohustab platvorme võimaldama kiireid mehhanisme sisu eemaldamiseks pädeva asutuse korraldusel; mehhanismid, mida ei eksisteeriks ilma vastava tehnilise suutlikkuseta. Tehisintellekti määrus (AI Act), mis jõustub järk-järgult alates 2024. aasta augustist, nõuab teatavate suure riskiga tehisintellektisüsteemide pakkujatelt meetmeid, mis võimaldavad nende deaktiveerimist või märkimisväärset inimjärelevalvet: kohustusliku kill switch'i normatiivne vorm. Digiturgude määrus (DMA) seevastu kehtestab koostoimimisvõime kohustused: vastupidine suund, mi piirab lukustusefekte.

Euroopa professionaali jaoks on aus lugem järgmine: küsimus „kas operaator saab selle teenuse minu jaoks deaktiveerida?” saab igal aastal õiguslike nõuete tõttu üha rohkem jaatavaid vastuseid, mitte vähem. See ei sea kahtluse alla regulatsiooni legitiimsust – DSA vastab reaalsetele probleemidele –, kuid see kinnitab üht: usaldus, et operaator ei kasuta lülitit, nõuab lisaks usaldust, et ükski tulevane juriidiline kohustus ei sunni teda seda kasutama suunas, mida täna ette ei nähta. See on usaldus, mis ei lasu ainult ettevõttel, vaid kogu regulatiivsel keskkonnal.

Disainiküsimus, mida esitatakse harva

Enamik tänapäevasest tehnilisest disainist eeldab, et lüliti on olemas, ja lubab seejärel seda mitte kuritarvitada. On olemas alternatiiv, mis on nõudlikum, kuid täiesti teostatav: projekteerida eeldusel, et lülitit ei tohi eksisteerida. See ei ole hüüdlause. See tähendab konkreetseid otsuseid: hajusa arhitektuuriga süsteem keskse asemel, õigused kasutaja seadmes kontoõiguste asemel, krüpteeritud sisu võtmetega, mida operaatoril ei ole, krüpteeritud sisu asemel võtmetega, mida operaator säilitab, kasutaja krüptograafiline identiteet operaatori hallatava identiteedi asemel. Igal neist otsustest on reaalne tehniline kulu ja reaalsed ärilised tagajärjed. Kuid neil kõigil on ühine omadus: kui need on tehtud, välistavad need teatud juriidilised korraldused kui võimalikud objektid. Seda, mida ei saa täita, ei saa käskida täita.

Professionaalsele lugejale

Viis küsimust, mida tasub esitada mis tahes kriitilise professionaalse teenuse pakkujale enne selle kasutuselevõttu, sõnastatuna järjekorras, milles äritegevuse jätkuvuse inspektor need esitaks:

1. Kas pakkujal on tehniline suutlikkus minu teenust, andmeid või toodet kaugtööna peatada, blokeerida, kustutada või degradeerida?
2. Millistel lepinguliselt deklareeritud juhtudel võib pakkuja seda suutlikkust rakendada?
3. Millistel deklareerimata juhtudel — kohtumäärus, rahvusvaheline sanktsioon, ühepoolne poliitikamuudatus, ettevõtte omandamine — võib ta seda samuti rakendada?
4. Kui seda rakendatakse, siis kui palju aega on mul kutsetegevuse jätkamiseks ja milline väljumisplaan on saadaval?
5. Kas on olemas arhitektuurne alternatiiv, kus vastus esimesele küsimusele on „ei” tänu konstruktsioonile, mitte lubadusele?

Vastus viiendale küsimusele ei ole alati kättesaadav ega proportsionaalne. Isiklik tabelarvutus tõenäoliselt ei vääri seda nõuet. Aktiivne juriidiline toimik, patsiendi haiguslugu, maksuarvestus, deontoloogiliselt kaitstud vestlus – jah. Proportsionaalsus on professionaalne otsus; esimese küsimuse aus lugemine mitte: kas lüliti on olemas või mitte.

---

Kaitse, mis säilitab tagasivõtmise võimaluse, ei ole struktuurne kaitse; see on ümbernimetatud usaldus. Usaldus, nagu oleme öelnud teises Vihikus, on kehtiv sotsiaalne lahendus, kui seda antakse sellele, kes seda väärib, kuid habras esimesel omanikuvahetusel. Kõige puhtam struktuurne kaitse on see, mida ei saa tagasi võtta, sest seda pole algusest peale olemas. Nagu kõige puhul arhitektuuris: disainivalik, mitte turundusotsus.