Kill switch ja institutionaalinen valtaus

Lupaus, joka perustuu mahdollisuuteen sen peruuttamisesta

Vuonna 2017 hurrikaani Irman aikana useat Teslan omistajat Floridassa huomasivat, että heidän autonsa sai yllättäen lisää toimintamatkaa valmistajan etäpäivityksen myötä. He eivät olleet maksaneet siitä. Akku oli aina pystynyt tarjoamaan sen; valmistaja oli päättänyt markkinoiden segmentointia varten olla sallimatta sitä asiakkaalle. Hätätilan aikana Tesla aktivoi täyden kapasiteetin tilapäisesti. Hätätilan mentyä ohi se deaktivoitiin.

Se, mitä uutiset kuvailivat anteliaisuutena, oli tarkemmin katsottuna jotain muuta. Omistaja ei ollut koskaan todella omistanut koko tuotetta, josta hän maksoi. Valmistaja säilytti teknisen kyvyn — laajentaa tai supistaa ominaisuuksia etänä — ja valitsi käyttää sitä asiakkaan eduksi tässä nimenomaisessa tapauksessa. He olisivat voineet valita toisin. Tarina ei kerro hyvyydestä, vaan vallan arkkitehtuurista.

Tämä artikkeli käsittelee tätä arkkitehtuuria. Kutsumme sitä alan vakiintuneen tavan mukaan nimellä kill switch: etäkytkin, jonka avulla operaattori voi deaktivoida, muuttaa tai poistaa käytöstä tuotteen, palvelun tai laitteen ominaisuuksia, joita käyttäjä piti jo omana. Kysymys ei ole siitä, onko operaattori rehellinen. Kysymys on siitä, mitä tapahtuu, kun he lakkaavat olemasta sitä, tai kun joku pakottaa heidät käyttämään kytkintä toiseen suuntaan.

Mikä kill switch tarkalleen ottaen on

Termi tulee englannin kielestä ja sen kääntäminen on vaikeaa: interruptor de muerte kuulostaa dramaattiselta; interruptor remoto tuntuu liian neutraalilta. Kill switchiä ei määrittele dramatiikka vaan yksinkertainen ominaisuus: tekninen kyky poistaa jotakin käytöstä etänä, ja tämä kyky on jonkun muun kuin itse käyttäjän käsissä. Kyseessä voi olla täydellinen sulkeminen —auto, joka ei käynnisty, tiedosto, joka poistuu, tili, joka jäädytetään— tai osittainen sulkeminen —toiminto, joka katoaa, akku, jonka kantama pienenee, tilaus, joka keskeytyy.

Kaikki etähallinta ei ole kill switch. Rutiininomainen tietoturvapäivitys, jonka käyttäjä on valtuuttanut tuotetta asentaessaan, ei ole sellainen. Eikä myöskään varkaudenestojärjestelmä, jonka omistaja voi itse aktivoida puhelimensa tultua varastetuksi. Varsinaisessa merkityksessään kill switchillä on kolme piirrettä: sen käyttö on operaattorin, ei käyttäjän päätös; se ei vaadi asianomaisen erillistä suostumusta aktivoituakseen; ja sitä käytetään tuotteeseen tai palveluun, jota käyttäjä piti jo täysin omana.

Eurooppalainen katsaus käytössä oleviin kytkimiin

Tesla toistaa tätä mallia usein, ja sen tapauksessa dokumentoidusti: käytettyihin, omistajaa vaihtaneisiin autoihin sovelletut sopimukselliset toimintamatkan heikennykset, avustettujen ajotoimintojen poistaminen lisenssin peruuttamisen jälkeen, tuotteen käyttäytymisen yksipuoliset muutokset laiteohjelmistoversioiden välillä. John Deere on ollut vuosia Euroopan ja Yhdysvaltojen oikeus korjata -keskustelun ytimessä: traktorin osto sisältää ohjelmistokerroksen, jonka palvelu riippuu valmistajan virallisesta verkostosta; kun tämä verkosto evää rekisteröinnin, traktori rajoittaa keskeisiä toimintojaan. BMW tarjosi vuonna 2022 kuukausitilausta istuinlämmityksen aktivoimiseksi autoissa, joissa se oli jo fyysisesti asennettuna; julkinen paine pakotti luopumaan mallista, mutta tekninen kyky on edelleen olemassa.

Ohjelmistotasolla malli on rakenteellinen. Adobe Creative Cloud peruuttaa kuukausilisenssit, kun tilausta ne ei uusita, jolloin käyttäjän kyseisillä työkaluilla luomat tiedostot jäävät käyttökelvottomiksi. Microsoft voi poistaa käytöstä Windows-kopiot, joita se pitää epäaitoina, ilman käytännön muutoksenhakumahdollisuutta. Google poistaa sovelluksia Play Storesta noudattaessaan oikeuden määräyksiä tai sisäisiä päätöksiä; poistettu sovellus poistuu myös niistä puhelimista, joissa se oli. Apple Pay poistettiin käytöstä Venäjällä maaliskuussa 2022, kun Apple noudatti kansainvälisiä pakotteita: laillista kyseisessä asiayhteydessä, mutta menettely oli aina käytettävissä.

Valmistajan puolen oikeutettu peruste

Tällaisten järjestelmien suunnittelijat tarjoavat yleensä täysin päteviä perusteluja:

1. Varkauksien ehkäisy. Jos autoni tai puhelimeni varastetaan, olen kiitollinen siitä, että valmistaja voi tehdä sen käyttökelvottomaksi etänä.
2. Petosten ehkäisy. Maksamattomat tilaukset vaativat katkaisumekanismin; ilman tätä mekanismia liiketoimintamalli romahtaa.
3. Väärinkäytön estäminen. Vaarallinen työkalu väärissä käsissä voi hyötyä siitä, että se voidaan peruuttaa.
4. Säädösten noudattaminen. Tietyt oikeudelliset määräykset velvoittavat operaattoria poistamaan sisältöä, poistamaan toimintoja käytöstä tai jäädyttämään tilejä, ja järjestelmä ilman kytkintä on järjestelmä, joka ei voi noudattaa niitä.

Kaikki neljä argumenttia ovat tosia. Mikään niistä ei muuta asian luonnetta. On totta, että kill switch helpottaa varkauksien estämistä; on myös totta, että tämä sama kyky palvelee elävän asiakkaan painostamista, ei vain varkaan vahingoittamista. On totta, että tilausmalli vaatii katkaisun; on myös totta, että katkaisu voidaan suorittaa huomenna nykyiselle asiakkaalle muusta kuin sopimuksessa määrätystä syystä. Kysymys ei ole siitä, onko kill switch -kytkimellä laillisia käyttötarkoituksia. Kysymys on siitä, että kun se on kerran olemassa, sen käyttö ei rajoitu alkuperäisessä dokumentaatiossa ennakoituihin tarkoituksiin.

Institutionaalinen vangitseminen

Tässä astuu kuvaan käsite, joka antaa artikkelille sen nimen. Institutionaalinen vangitseminen on tilanne, jossa toimija — yksityinen yritys, hallinto, sääntelyelin — päätyy käyttämään valtuuksiaan, jotka se hankki tai jotka sille myönnettiin rajoitettuihin tarkoituksiin, laajempiin, erilaisiin tai suorastaan alkuperäisten vastaiseen tarkoitukseen. Poliittinen taloustiede on tuntenut ilmiön vuosikymmeniä rahoitusalan sääntelyssä. Teknologiateollisuus on löytämässä sen nyt itse.

Mekanismi on seuraava. Yritys suunnittelee kill switch -kytkimen laillisiin tarkoituksiin: varkaudenesto, tilausten hallinta, vaatimustenmukaisuus. Yritys dokumentoi nämä tarkoitukset käyttöehdoissaan, tietosuojaselosteessaan ja julkisissa viesteissään. Vuodet kuluvat. Hallitus antaa uuden lainsäädännön nojalla määräyksen; yritys on pakotettu käyttämään kytkintä suuntaan, jota ei ole kuvattu sen alkuperäisessä dokumentaatiossa. Aktivistiosakkeenomistaja nousee hallitukseen ja muuttaa kaupallista politiikkaa; kytkimet ovat olemassa, ja niitä sovelletaan uuden politiikan mukaisesti. Suurempi yritys ostaa yrityksen; palveluehdot kirjoitetaan yksipuolisesti uudelleen kolmenkymmenen päivän varoitusajalla. Jokaisessa tapauksessa asiakas, joka luotti kytkimeen dokumentoitujen tarkoitusten vuoksi, huomaa, että kytkin on edelleen siellä, mutta se palvelee muita etuja.

Paradigmaattinen tapaus eurooppalaiselle lukijalle: Apple vastaan FBI San Bernardinossa vuonna 2016. Kaliforniassa tapahtuneen iskun jälkeen FBI vaati Applea avaamaan tekijän iPhone-puhelimen lukituksen. Apple kieltäytyi vedoten osittain periaatteellisiin ja osittain teknisiin syihin: järjestelmä oli suunniteltu niin, ettei yritys itse voinut avata laitteen lukitusta kirjoittamatta perusohjelmistoa uudelleen. Vahvin puolustus ei ollut moraalinen, vaan arkkitehtoninen. Apple ei nojautunut lupaukseen olla painamatta kytkintä, vaan kytkimen puuttumiseen. Muut yritykset, joiden arkkitehtuurissa on kytkimiä, eivät ole pystyneet pitämään samaa kantaa vastaavan paineen alla.

Euroopan sääntelykehitys

Euroopan unioni on viimeisimmällä lainsäädäntökaudellaan ajanut enemmän, ei vähemmän, etähallintaominaisuuksia. Helmikuusta 2024 lähtien täysimääräisesti sovellettava digipalvelusäädös (DSA) velvoittaa alustat ottamaan käyttöön nopeita mekanismeja sisällön poistamiseksi toimivaltaisen viranomaisen määräyksestä. Tällaisia mekanismeja ei olisi olemassa ilman taustalla olevaa teknistä kyvykkyyttä. Elokuusta 2024 lähtien vaiheittain voimaan tullut tekoälysäädös (AI Act) puolestaan vaatii tiettyjen korkean riskin tekoälyjärjestelmien tarjoajia ottamaan käyttöön toimenpiteitä, jotka mahdollistavat niiden deaktivoinnin tai merkittävän inhimillisen valvonnan: kyseessä on pakollisen kill switch -mekanismin normatiivinen muoto. Digimarkkinasäädös (DMA) taas tuo mukanaan yhteentoimivuusvelvoitteita, mikä on vastakkainen suuntaus ja rajoittaa sulkeutuneisuuden vaikutuksia.

Eurooppalaiselle ammattilaiselle rehellinen tulkinta on seuraava: kysymys ”voiko operaattori deaktivoida tämän palvelun minulta?” saa joka vuosi yhä useammin myöntävän vastauksen lakisääteisten vaatimusten vuoksi, ei suinkaan harvemmin. Tämä ei kyseenalaista sääntelyn legitiimisyyttä – DSA vastaa todellisiin ongelmiin – mutta se vahvistaa yhtä asiaa: luottamus siihen, ettei operaattori käytä kytkintä, vaatii lisäksi luottamusta siihen, ettei mikään tuleva lakisääteinen velvoite pakota käyttämään sitä suuntaan, jota ei nykyään voida ennustaa. Tämä luottamus ei lepää vain yrityksen varassa, vaan koko sääntely-ympäristön varassa.

Suunnittelukysymys, jota kysytään harvoin

Suurin osa nykyisestä teknisestä suunnittelusta olettaa, että kytkin on olemassa, ja lupaa sen jälkeen olla väärinkäyttämättä sitä. On olemassa vaihtoehto, vaativampi mutta täysin toteutettavissa oleva: suunnitella olettaen, ettei kytkintä saa olla olemassa. Se ei ole iskulause. Se tarkoittaa konkreettisia päätöksiä: hajautettu arkkitehtuuri keskitetyn sijaan, oikeudet käyttäjän laitteessa tiliperusteisten oikeuksien sijaan, sisältö salattu avaimilla, joita operaattorilla ei ole, sijaan, että se olisi salattu operaattorin hallussa olevilla avaimilla, sekä käyttäjän kryptografinen identiteetti operaattorin hallitseman identiteetin sijaan. Jokaisella näistä päätöksistä on todellinen tekninen hinta ja todelliset kaupalliset seuraukset. Mutta niillä kaikilla on yhteinen ominaisuus: kerran tehtynä ne poistavat tietyt oikeudelliset määräykset mahdollisten toimenpiteiden piiristä. Sitä, mitä ei voida teknisesti toteuttaa, ei voida määrätä toteutettavaksi.

Ammattilaislukijalle

Viisi kysymystä, jotka tulisi esittää minkä tahansa kriittisen asiantuntijapalvelun tarjoajalle ennen sen käyttöönottoa, järjestettynä samalla tavalla kuin liiketoiminnan jatkuvuuden tarkastaja ne esittäisi:

1. Onko palveluntarjoajalla tekninen kyky keskeyttää, estää, poistaa tai heikentää palveluani, tietojani tai tuotettani etänä?
2. Missä sopimuksessa ilmoitetuissa tapauksissa palveluntarjoaja voi käyttää tätä kykyä?
3. Missä ilmoittamattomissa tapauksissa – kuten oikeuden määräys, kansainvälinen sanktio, yksipuolinen käytäntömuutos tai yrityskauppa – se voi myös käyttää sitä?
4. Jos kytkintä käytetään, kuinka pitkään ammattitoimintani jatkuvuus on turvattu ja millainen poistumissuunnitelma on saatavilla?
5. Onko olemassa arkkitehtonista vaihtoehtoa, jossa vastaus ensimmäiseen kysymykseen on ”ei” rakenteellisista syistä, ei lupauksen vuoksi?

Vastaus viidenteen kysymykseen ei ole aina saatavilla tai oikeassa suhteessa tarpeeseen. Henkilökohtainen taulukkolaskenta ei todennäköisesti vaadi tällaista vaatimusta. Aktiivinen oikeudenkäyntiasiakirja, potilaan sairaushistoria, verokirjanpito tai salassapitovelvollisuuden alainen keskustelu sen sijaan vaativat. Suhteellisuus on ammatillinen päätös; ensimmäisen kysymyksen rehellinen tulkinta ei ole: kytkin joko on olemassa tai sitä ei ole.

---

Suoja, joka säilyttää mahdollisuuden perua se, ei ole rakenteellista suojaa; se on uudelleennimettyä luottamusta. Luottamus on, kuten olemme toisessa Vihossa sanoneet, pätevä sosiaalinen ratkaisu, kun se myönnetään sille, joka sen ansaitsee, mutta se on hauras ensimmäisessä omistajanvaihdoksessa. Puhtain rakenteellinen puolustus on sellainen, jota ei voida perua, koska sitä ei ole alun perinkään olemassa. Kuten kaikessa arkkitehtuurissa: kyse on suunnitteluvalinnasta, ei markkinointipäätöksestä.