Kill switch ir institucinis užvaldymas

Pažadas, kuris laikosi ant galimybės jį atšaukti

2017 m., per uraganą „Irma“, keli „Tesla“ savininkai Floridoje pastebėjo, kad jų automobilis, gavęs nuotolinį gamintojo atnaujinimą, staiga įgijo papildomų nuvažiuojamų kilometrų. Jie už juos nebuvo sumokėję. Akumuliatorius visada galėjo juos suteikti; gamintojas, siekdamas segmentuoti rinką, nusprendė to klientui neleisti. Nepaprastosios padėties metu „Tesla“ laikinai aktyvavo visą pajėgumą. Jai pasibaigus, vėl jį deaktyvavo.

Tai, ką naujienos apibūdino kaip dosnumo gestą, atidžiau pasidomėjus, buvo kas kita. Savininkas niekada nebuvo viso produkto, už kurį sumokėjo, šeimininkas. Gamintojas išsaugojo techninę galimybę — nuotoliniu būdu išplėsti arba apriboti funkcijas — ir pasirinko ja pasinaudoti kliento naudai tuo konkrečiu atveju. Jis galėjo pasirinkti ir priešingai. Ši istorija pasakoja ne apie gerumą, o apie galios architektūrą.

Šiame straipsnyje nagrinėjama ši architektūra. Pagal sektoriaus susitarimą vadiname ją kill switch: nuotolinis jungiklis, leidžiantis operatoriui išjungti, pakeisti arba atšaukti produkto, paslaugos ar įrenginio funkcijas, kurias vartotojas jau laikė savo. Klausimas nėra, ar operatorius sąžiningas. Klausimas yra, kas nutinka, kai jis nustoja toks būti arba kai kas nors priverčia jį naudoti jungiklį kita kryptimi.

Kas tiksliai yra kill switch

Terminas kilęs iš anglų kalbos ir yra sunkiai išverčiamas: interruptor de muerte skamba dramatiškai; interruptor remoto – per daug neutraliai. Kill switch apibrėžia ne dramatiškumas, o paprasta savybė: techninė galimybė kažką išjungti nuotoliniu būdu, esanti ne vartotojo, kuris tuo naudojasi, rankose. Tai gali būti visiškas išjungimas – nebeužsivedantis automobilis, ištrinamas failas, sustabdoma paskyra – arba dalinis išjungimas – dingstanti funkcija, sumažėjantis baterijos nuotolis, nutraukiama prenumerata.

Ne kiekvienas nuotolinis valdymas yra kill switch. Įprastas saugumo atnaujinimas, vartotojo autorizuotas diegiant produktą, juo nėra. Taip pat juo nėra apsaugos nuo vagystės sistema, kurią gali suaktyvinti pats savininkas, kai pavagiamas jo telefonas. Kill switch tikrąja prasme turi tris bruožus: jo naudojimas yra operatoriaus, o ne vartotojo sprendimas; jo suaktyvinimui nereikia konkretaus nukentėjusiojo sutikimo; ir jis taikomas produktui ar paslaugai, kurią vartotojas jau laikė visiškai savo.

Europos veikiančių jungiklių galerija

Tesla dažnai kartoja šį modelį, savo atveju – dokumentuotai: sutartiniai nuotolio sumažinimai taikomi naudotiems automobiliams, pakeitusiems savininką, pagalbinio vairavimo funkcijų atėmimas panaikinus licenciją, vienašališki produkto elgsenos pakeitimai tarp programinės įrangos versijų. John Deere jau daugelį metų yra Europos ir JAV diskusijų dėl teisės taisyti centre: traktoriaus pirkimas apima programinės įrangos sluoksnį, kurio aptarnavimas priklauso nuo oficialaus gamintojo tinklo; kai tas tinklas atsisako registruoti, traktorius apriboja pagrindines funkcijas. BMW 2022 m. pasiūlė mėnesinę prenumeratą sėdynių šildymui suaktyvinti automobiliuose, kuriuose tai jau buvo įrengta fiziškai; visuomenės spaudimas privertė atsisakyti šio modelio, tačiau techninė galimybė išlieka.

Programinės įrangos srityje šis modelis yra struktūrinis. Adobe Creative Cloud panaikina mėnesines licencijas, kai prenumerata neatnaujinama, todėl failai, kuriuos vartotojas sukūrė tais įrankiais, tampa nepanaudojami. Microsoft gali išjungti Windows kopijas, kurias laiko neoriginaliomis, be jokios praktinės galimybės apsisaugoti. Google pašalina programas iš Play Store vykdydama teismo nurodymus arba vidinius sprendimus; pašalinta programa taip pat pašalinama iš telefonų, kuriuose ji buvo. Apple Pay buvo išjungtas Rusijoje 2022 m. kovą, Apple laikantis tarptautinių sankcijų: legitymu tame kontekste, tačiau procedūra visada buvo prieinama.

Legitimus gamintojo argumentas

Kas projektuoja vieną iš šių sistemų, paprastai pateikia visiškai pagrįstus argumentus:

1. Vagystės prevencija. Jei iš manęs pavogtų automobilį ar telefoną, vertinu tai, kad gamintojas gali jį nuotoliniu būdu padaryti nenaudojamą.
2. Sukčiavimo prevencija. Neapmokėtos prenumeratos reikalauja atjungimo mechanizmo; be šio mechanizmo verslo modelis žlunga.
3. Piktnaudžiavimo prevencija. Pavojingas įrankis netinkamose rankose gali būti naudingas, jei jį galima atšaukti.
4. Reguliavimo atitiktis. Tam tikri teisiniai nurodymai įpareigoja operatorių pašalinti turinį, išjungti funkcijas arba sustabdyti paskyras, o sistema be jungiklio yra sistema, kuri negali jų įvykdyti.

Visi keturi argumentai yra teisingi. Nė vienas iš jų nekeičia reikalo esmės. Tiesa, kad kill switch palengvina vagysčių prevenciją; taip pat tiesa, kad tas pats gebėjimas tarnauja gyvo kliento prievartai, o ne tik vagies nenaudai. Tiesa, kad prenumeratos modeliui reikia atjungimo; taip pat tiesa, kad atjungimas gali būti įvykdytas rytoj esamam klientui dėl kitos priežasties nei numatyta sutartyje. Klausimas nėra, ar kill switch turi teisėtų naudojimo būdų. Klausimas yra tas, kad kai jis egzistuoja, jo naudojimo būdai neapsiriboja tais, kurie buvo numatyti pradinėje dokumentacijoje.

Institucinis užvaldymas

Čia atsiranda sąvoka, kuri suteikia straipsniui pavadinimą. Institucinis užvaldymas yra situacija, kai veikėjas — privati įmonė, administracija, reguliavimo institucija — galiausiai naudojasi gebėjimais, kuriuos įgijo ar kurie jam buvo suteikti ribotiems tikslams, platesniems, kitokiems ar netgi visiškai priešingiems pradiniams tikslams. Politinė ekonomija šį reiškinį finansų reguliavime žino dešimtmečius. Technologijų pramonė tai atranda savo kailiu.

Mechanizmas yra toks. Įmonė suprojektuoja kill switch teisėtiems tikslams: apsaugai nuo vagysčių, prenumeratų valdymui, atitikčiai. Įmonė šiuos tikslus dokumentuoja savo naudojimo sąlygose, privatumo politikoje, viešuose pranešimuose. Bėga metai. Vyriausybė išleidžia įsakymą pagal naujus teisės aktus; įmonė priversta naudoti jungiklį kryptimi, kuri nėra aprašyta jos pradinėje dokumentacijoje. Aktyvistas akcininkas ateina į valdybą ir pakeičia komercinę politiką; jungikliai egzistuoja ir jie taikomi pagal naują politiką. Įmonę įsigyja didesnė; paslaugų teikimo sąlygos perrašomos vienašališkai su trisdešimties dienų įspėjimu. Kiekvienu atveju klientas, kuris pasitikėjo jungikliu dėl dokumentuotų tikslų, pamato, kad jungiklis vis dar ten, bet jis reaguoja į kitus interesus.

Paradigmą iliustruojantis atvejis Europos skaitytojui: Apple prieš FBI byla San Bernardino mieste 2016 m. Po išpuolio Kalifornijoje FBI pareikalavo Apple atrakinti užpuoliko iPhone. Apple atsisakė, iš dalies remdamasi principiniais argumentais ir iš dalies techniniu argumentu: sistema, tokia, kokia ji buvo sukurta, neleido pačiai įmonei atrakinti įrenginio neperrašant pagrindinės programinės įrangos. Tvirtiausia gynyba buvo ne moralinė, o architektūrinė. Apple nesirėmė pažadu nepaspausti jungiklio; ji rėmės tuo, kad jungiklio nėra. Kitos įmonės, kurių architektūroje yra jungikliai, nesugebėjo išlaikyti tos pačios pozicijos susidūrusios su lygiaverčiu spaudimu.

Europos reguliavimo trajektorija

Europos teisė per paskutinę teisėkūros kadenciją skatino ne mažesnius, o didesnius nuotolinio valdymo pajėgumus. Skaitmeninių paslaugų aktas (DSA), visiškai taikomas nuo 2024 m. vasario mėn., įpareigoja platformas įgalinti greitus turinio pašalinimo mechanizmus pagal kompetentingos institucijos nurodymą; mechanizmus, kurie neegzistuotų be pagrindinių techninių galimybių. Dirbtinio intelekto aktas (AI Act), laipsniškai įsigaliojantis nuo 2024 m. rugpjūčio mėn., reikalauja, kad tam tikrų didelės rizikos DI sistemų teikėjai turėtų priemones, leidžiančias jas deaktyvuoti arba užtikrinti reikšmingą žmogaus priežiūrą: tai normatyvinė privalomo kill switch forma. Skaitmeninių rinkų aktas (DMA), priešingai, nustato sąveikos įpareigojimus: tai priešinga srovė, ribojanti blokavimo poveikį.

Europos profesionalui sąžiningas vertinimas yra toks: klausimas „ar operatorius gali deaktyvuoti šią paslaugą man?“ kasmet dėl teisinių reikalavimų sulaukia vis daugiau teigiamų atsakymų, o ne mažiau. Tai nekelia abejonių dėl reguliavimo teisėtumo – DSA reaguoja į realias problemas –, tačiau sustiprina vieną dalyką: pasitikėjimas, kad operatorius nenaudos jungiklio, papildomai reikalauja pasitikėjimo, kad joks būsimas teisinis įpareigojimas neprivers jo naudoti jungiklio tokia linkme, kuri šiandien nenumatoma. Tai pasitikėjimas, kuris remiasi ne tik bendrove, bet ir visa reguliavimo aplinka.

Dizaino klausimas, kuris retai užduodamas

Dauguma šiuolaikinių techninių projektų daro prielaidą, kad jungiklis egzistuos, ir vėliau žada juo nepiktnaudžiauti. Egzistuoja alternatyva, reiklesnė, bet visiškai įgyvendinama: projektuoti darant prielaidą, kad jungiklio neturi būti. Tai ne šūkis. Tai apima konkrečius sprendimus: paskirstyta architektūra vietoje centralizuotos, teisės naudotojo įrenginyje vietoje teisių, kylančių iš paskyros, turinys, užšifruotas raktais, kurių operatorius neturi, vietoje turinio, užšifruoto raktais, kuriuos operatorius saugo, naudotojo kriptografinė tapatybė vietoje operatoriaus valdomos tapatybės. Kiekvienas iš šių sprendimų turi realią techninę kainą ir realias komercines pasekmes. Tačiau juos visus vienija viena savybė: kartą priimti, jie pašalina tam tikrus teisinius nurodymus kaip galimą objektą. To, ko negalima įvykdyti, negalima įsakyti įvykdyti.

Profesionaliam skaitytojui

Penki klausimai, kuriuos verta užduoti bet kurios kritinės profesionalios paslaugos teikėjui prieš ją pasirenkant, suformuluoti tokia tvarka, kokia juos pateiktų verslo tęstinumo inspektorius:

1. Ar egzistuoja techninė teikėjo galimybė nuotoliniu būdu sustabdyti, blokuoti, ištrinti ar pabloginti mano paslaugą, duomenis ar produktą?
2. Kokiais sutartyje deklaruotais atvejais teikėjas gali pasinaudoti šia galimybe?
3. Kokiais nedeklaruotais atvejais – teismo nutartis, tarptautinė sankcija, vienašališkas politikos pakeitimas, įmonės įsigijimas – jis taip pat gali ja pasinaudoti?
4. Jei ja pasinaudojama, kiek laiko turiu profesinės veiklos tęstinumui ir koks pasitraukimo planas yra prieinamas?
5. Ar egzistuoja architektūrinė alternatyva, kai atsakymas į pirmąjį klausimą būtų „ne“ dėl konstrukcijos, o ne dėl pažado?

Atsakymas į penktąjį klausimą ne visada yra prieinamas arba proporcingas. Asmeninė skaičiuoklė tikriausiai nusipelno tokio reikalavimo. Aktyvi teisinė byla, paciento ligos istorija, mokesčių apskaita, deontologiškai saugomas pokalbis – taip. Proporcingumas yra profesionalus sprendimas; sąžiningas pirmojo klausimo perskaitymas toks nėra: arba jungiklis yra, arba jo nėra.

---

Apsauga, kuri pasilieka galimybę būti atšaukta, nėra struktūrinė apsauga; tai yra pervadintas pasitikėjimas. Pasitikėjimas, kaip sakėme kitame Užrašų knygelės numeryje, yra galiojantis socialinis sprendimas, kai jis suteikiamas tam, kuris jo nusipelno, tačiau jis yra trapus pasikeitus savininkui. Švariausia struktūrinė gynyba yra ta, kurios negalima atšaukti, nes ji iš pradžių neegzistuoja. Kaip ir viskas architektūroje: dizaino pasirinkimas, o ne rinkodaros sprendimas.