Kill switch ja institutionaalinen valtaus

Lupaus, joka perustuu mahdollisuuteen sen peruuttamisesta

Vuonna 2017 hurrikaani Irman aikana useat Teslan omistajat Floridassa huomasivat, että heidän autonsa sai yllättäen lisää toimintamatkaa valmistajan etäpäivityksen myötä. He eivät olleet maksaneet siitä. Akku oli aina pystynyt tarjoamaan sen; valmistaja oli päättänyt markkinoiden segmentointia varten olla sallimatta sitä asiakkaalle. Hätätilan aikana Tesla aktivoi täyden kapasiteetin tilapäisesti. Hätätilan mentyä ohi se deaktivoitiin.

Se, mitä uutiset kuvailivat anteliaisuudeksi, oli tarkemmin luettuna jotain muuta. Omistaja ei ollut koskaan omistanut koko tuotetta, josta hän oli maksanut. Valmistaja säilytti teknisen valmiuden — laajentaa tai vähentää ominaisuuksia etänä — ja päätti tässä nimenomaisessa tapauksessa käyttää sitä asiakkaan hyväksi. Se olisi voinut valita toisin. Tarina paljastaa anteliaisuuden eleen taustalla olevan valta-arkkitehtuurin.

Tämä artikkeli käsittelee tätä arkkitehtuuria. Kutsumme sitä alan vakiintuneen tavan mukaan nimellä kill switch: etäkytkin, jonka avulla operaattori voi deaktivoida, muuttaa tai poistaa käytöstä tuotteen, palvelun tai laitteen ominaisuuksia, joita käyttäjä piti jo omana. Kysymys ei ole siitä, onko operaattori rehellinen. Kysymys on siitä, mitä tapahtuu, kun he lakkaavat olemasta sitä, tai kun joku pakottaa heidät käyttämään kytkintä toiseen suuntaan.

Mikä kill switch tarkalleen ottaen on

Termi tulee englannin kielestä ja sen kääntäminen on vaikeaa: tappokytkin kuulostaa dramaattiselta; etäkytkin on liian neutraali. Kill switchin määrittelee yksinkertainen ominaisuus, ei termin dramaattisuus: tekninen kyky poistaa jotain käytöstä etänä sellaisen tahon käsissä, joka ei ole laitetta käyttävä käyttäjä. Se voi olla täydellinen sulkeminen — auto ei käynnisty, tiedosto poistetaan, tili jäädytetään — tai osittainen sulkeminen — ominaisuus katoaa, akun kantama heikkenee, tilaus keskeytyy.

Kaikki etähallinta ei ole kill switch. Rutiininomainen tietoturvapäivitys, jonka käyttäjä on valtuuttanut tuotetta asentaessaan, ei ole sellainen. Eikä myöskään varkaudenestojärjestelmä, jonka omistaja voi itse aktivoida puhelimensa tultua varastetuksi. Varsinaisessa merkityksessään kill switchillä on kolme piirrettä: sen käyttö on operaattorin, ei käyttäjän päätös; se ei vaadi asianomaisen erillistä suostumusta aktivoituakseen; ja sitä käytetään tuotteeseen tai palveluun, jota käyttäjä piti jo täysin omana.

Eurooppalainen katsaus käytössä oleviin kytkimiin

Tesla toistaa tätä mallia usein, ja sen tapauksessa dokumentoidusti: käytettyihin, omistajaa vaihtaneisiin autoihin sovelletut sopimukselliset toimintamatkan heikennykset, avustettujen ajotoimintojen poistaminen lisenssin peruuttamisen jälkeen, tuotteen käyttäytymisen yksipuoliset muutokset laiteohjelmistoversioiden välillä. John Deere on ollut vuosia Euroopan ja Yhdysvaltojen oikeus korjata -keskustelun ytimessä: traktorin osto sisältää ohjelmistokerroksen, jonka palvelu riippuu valmistajan virallisesta verkostosta; kun tämä verkosto evää rekisteröinnin, traktori rajoittaa keskeisiä toimintojaan. BMW tarjosi vuonna 2022 kuukausitilausta istuinlämmityksen aktivoimiseksi autoissa, joissa se oli jo fyysisesti asennettuna; julkinen paine pakotti luopumaan mallista, mutta tekninen kyky on edelleen olemassa.

Ohjelmistotasolla malli on rakenteellinen. Adobe Creative Cloud peruuttaa kuukausilisenssit, kun tilausta ne ei uusita, jolloin käyttäjän kyseisillä työkaluilla luomat tiedostot jäävät käyttökelvottomiksi. Microsoft voi poistaa käytöstä Windows-kopiot, joita se pitää epäaitoina, ilman käytännön muutoksenhakumahdollisuutta. Google poistaa sovelluksia Play Storesta noudattaessaan oikeuden määräyksiä tai sisäisiä päätöksiä; poistettu sovellus poistuu myös niistä puhelimista, joissa se oli. Apple Pay poistettiin käytöstä Venäjällä maaliskuussa 2022, kun Apple noudatti kansainvälisiä pakotteita: laillista kyseisessä asiayhteydessä, mutta menettely oli aina käytettävissä.

Valmistajan puolen oikeutettu peruste

Tällaisten järjestelmien suunnittelijat tarjoavat yleensä täysin päteviä perusteluja:

1. Varkauksien ehkäisy. Jos autoni tai puhelimeni varastetaan, olen kiitollinen siitä, että valmistaja voi tehdä sen käyttökelvottomaksi etänä.
2. Petosten ehkäisy. Maksamattomat tilaukset vaativat katkaisumekanismin; ilman tätä mekanismia liiketoimintamalli romahtaa.
3. Väärinkäytön estäminen. Vaarallinen työkalu väärissä käsissä voi hyötyä siitä, että se voidaan peruuttaa.
4. Säädösten noudattaminen. Tietyt oikeudelliset määräykset velvoittavat operaattoria poistamaan sisältöä, poistamaan toimintoja käytöstä tai jäädyttämään tilejä, ja järjestelmä ilman kytkintä on järjestelmä, joka ei voi noudattaa niitä.

Kaikki neljä argumenttia ovat tosia. Mikään niistä ei muuta asian luonnetta. On totta, että kill switch helpottaa varkauksien estämistä; on myös totta, että tämä sama kyky palvelee elävän asiakkaan painostamista, ei vain varkaan vahingoittamista. On totta, että tilausmalli vaatii katkaisun; on myös totta, että katkaisu voidaan suorittaa huomenna nykyiselle asiakkaalle muusta kuin sopimuksessa määrätystä syystä. Kysymys ei ole siitä, onko kill switch -kytkimellä laillisia käyttötarkoituksia. Kysymys on siitä, että kun se on kerran olemassa, sen käyttö ei rajoitu alkuperäisessä dokumentaatiossa ennakoituihin tarkoituksiin.

Institutionaalinen vangitseminen

Tässä astuu kuvaan käsite, joka antaa artikkelille sen nimen. Institutionaalinen vangitseminen on tilanne, jossa toimija — yksityinen yritys, hallinto, sääntelyelin — päätyy käyttämään valtuuksiaan, jotka se hankki tai jotka sille myönnettiin rajoitettuihin tarkoituksiin, laajempiin, erilaisiin tai suorastaan alkuperäisten vastaiseen tarkoitukseen. Poliittinen taloustiede on tuntenut ilmiön vuosikymmeniä rahoitusalan sääntelyssä. Teknologiateollisuus on löytämässä sen nyt itse.

Mekanismi on seuraava. Yritys suunnittelee kill switch -kytkimen laillisiin tarkoituksiin: varkaudenesto, tilausten hallinta, vaatimustenmukaisuus. Yritys dokumentoi nämä tarkoitukset käyttöehdoissaan, tietosuojaselosteessaan ja julkisissa viesteissään. Vuodet kuluvat. Hallitus antaa uuden lainsäädännön nojalla määräyksen; yritys on pakotettu käyttämään kytkintä suuntaan, jota ei ole kuvattu sen alkuperäisessä dokumentaatiossa. Aktivistiosakkeenomistaja nousee hallitukseen ja muuttaa kaupallista politiikkaa; kytkimet ovat olemassa, ja niitä sovelletaan uuden politiikan mukaisesti. Suurempi yritys ostaa yrityksen; palveluehdot kirjoitetaan yksipuolisesti uudelleen kolmenkymmenen päivän varoitusajalla. Jokaisessa tapauksessa asiakas, joka luotti kytkimeen dokumentoitujen tarkoitusten vuoksi, huomaa, että kytkin on edelleen siellä, mutta se palvelee muita etuja.

Paradigmaattinen tapaus eurooppalaiselle lukijalle: Applen ja FBI:n välinen tapaus San Bernardinossa vuonna 2016. Kaliforniassa tapahtuneen iskun jälkeen FBI vaati Applea avaamaan tekijän iPhonen lukituksen. Apple kieltäytyi vedoten osittain periaatteellisiin ja osittain tekniseen perusteluun: järjestelmä, sellaisena kuin se oli suunniteltu, ei sallinut yrityksen itsensä avata laitteen lukitusta kirjoittamatta perusohjelmistoa uudelleen. Vahvin puolustus oli arkkitehtoninen, ei moraalinen. Apple ei tukeutunut lupaukseen olla painamatta kytkintä; se tukeutui kytkimen puuttumiseen. Muut yritykset, joiden arkkitehtuurissa on kytkimiä, eivät ole pystyneet pitämään samaa kantaa vastaavan paineen alla.

Euroopan sääntelykehitys

Euroopan unioni on viimeisimmällä lainsäädäntökaudellaan ajanut enemmän, ei vähemmän, etähallintaominaisuuksia. Helmikuusta 2024 lähtien täysimääräisesti sovellettava digipalvelusäädös (DSA) velvoittaa alustat ottamaan käyttöön nopeita mekanismeja sisällön poistamiseksi toimivaltaisen viranomaisen määräyksestä. Tällaisia mekanismeja ei olisi olemassa ilman taustalla olevaa teknistä kyvykkyyttä. Elokuusta 2024 lähtien vaiheittain voimaan tullut tekoälysäädös (AI Act) puolestaan vaatii tiettyjen korkean riskin tekoälyjärjestelmien tarjoajia ottamaan käyttöön toimenpiteitä, jotka mahdollistavat niiden deaktivoinnin tai merkittävän inhimillisen valvonnan: kyseessä on pakollisen kill switch -mekanismin normatiivinen muoto. Digimarkkinasäädös (DMA) taas tuo mukanaan yhteentoimivuusvelvoitteita, mikä on vastakkainen suuntaus ja rajoittaa sulkeutuneisuuden vaikutuksia.

Eurooppalaiselle ammattilaiselle rehellinen tulkinta on seuraava: kysymys »voiko operaattori poistaa tämän palvelun minulta käytöstä?» saa lakisääteisten vaatimusten vuoksi joka vuosi yhä useammin myöntävän vastauksen, ei harvemmin. Tämä ei kyseenalaista sääntelyn oikeutusta — DSA vastaa todellisiin ongelmiin —, mutta se vahvistaa yhtä asiaa: luottaminen siihen, ettei operaattori käytä kytkintä, edellyttää myös luottamusta siihen, ettei mikään tuleva laillinen velvoite pakota häntä käyttämään sitä suuntaan, jota ei nykypäivänä oteta huomioon. Se on luottamusta, joka riippuu yhtä lailla yrityksestä kuin sitä ympäröivästä kokonaisvaltaisesta sääntely-ympäristöstä.

Suunnittelukysymys, jota kysytään harvoin

Suurin osa nykyisestä teknisestä suunnittelusta olettaa, että kytkin on olemassa, ja lupaa sen jälkeen olla väärinkäyttämättä sitä. On olemassa vaihtoehto, vaativampi mutta täysin toteutettavissa oleva: suunnitella olettaen, ettei kytkintä saa olla olemassa. Se ei ole iskulause. Se tarkoittaa konkreettisia päätöksiä: hajautettu arkkitehtuuri keskitetyn sijaan, oikeudet käyttäjän laitteessa tiliperusteisten oikeuksien sijaan, sisältö salattu avaimilla, joita operaattorilla ei ole, sijaan, että se olisi salattu operaattorin hallussa olevilla avaimilla, sekä käyttäjän kryptografinen identiteetti operaattorin hallitseman identiteetin sijaan. Jokaisella näistä päätöksistä on todellinen tekninen hinta ja todelliset kaupalliset seuraukset. Mutta niillä kaikilla on yhteinen ominaisuus: kerran tehtynä ne poistavat tietyt oikeudelliset määräykset mahdollisten toimenpiteiden piiristä. Sitä, mitä ei voida teknisesti toteuttaa, ei voida määrätä toteutettavaksi.

Ammattilaislukijalle

Viisi kysymystä, jotka tulisi esittää minkä tahansa kriittisen asiantuntijapalvelun tarjoajalle ennen sen käyttöönottoa, järjestettynä samalla tavalla kuin liiketoiminnan jatkuvuuden tarkastaja ne esittäisi:

1. Onko palveluntarjoajalla tekninen kyky keskeyttää, estää, poistaa tai heikentää palveluani, tietojani tai tuotettani etänä?
2. Missä sopimuksessa ilmoitetuissa tapauksissa palveluntarjoaja voi käyttää tätä kykyä?
3. Missä ilmoittamattomissa tapauksissa – kuten oikeuden määräys, kansainvälinen sanktio, yksipuolinen käytäntömuutos tai yrityskauppa – se voi myös käyttää sitä?
4. Jos kytkintä käytetään, kuinka pitkään ammattitoimintani jatkuvuus on turvattu ja millainen poistumissuunnitelma on saatavilla?
5. Onko olemassa arkkitehtonista vaihtoehtoa, jossa vastaus ensimmäiseen kysymykseen on ”ei” rakenteellisista syistä, ei lupauksen vuoksi?

Vastaus viidenteen kysymykseen ei ole aina saatavilla tai oikeassa suhteessa tarpeeseen. Henkilökohtainen taulukkolaskenta ei todennäköisesti vaadi tällaista vaatimusta. Aktiivinen oikeudenkäyntiasiakirja, potilaan sairaushistoria, verokirjanpito tai salassapitovelvollisuuden alainen keskustelu sen sijaan vaativat. Suhteellisuus on ammatillinen päätös; ensimmäisen kysymyksen rehellinen tulkinta ei ole: kytkin joko on olemassa tai sitä ei ole.

---

Suoja, joka säilyttää mahdollisuuden perua se, ei ole rakenteellista suojaa; se on uudelleennimettyä luottamusta. Luottamus on, kuten olemme toisessa Vihossa sanoneet, pätevä sosiaalinen ratkaisu, kun se myönnetään sille, joka sen ansaitsee, mutta se on hauras ensimmäisessä omistajanvaihdoksessa. Puhtain rakenteellinen puolustus on sellainen, jota ei voida perua, koska sitä ei ole alun perinkään olemassa. Kuten kaikessa arkkitehtuurissa: kyse on suunnitteluvalinnasta, ei markkinointipäätöksestä.