Kill switch un institucionālā sagrābšana

Solījums, kas balstās uz iespēju to atsaukt

2017. gadā, viesuļvētras Irma laikā, vairāki Tesla īpašnieki Floridā atklāja, ka viņu automašīna, saņemot attālinātu atjauninājumu no ražotāja, pēkšņi ieguva papildu nobraukuma kilometrus. Viņi par tiem nebija maksājuši. Akumulators vienmēr bija spējis tos nodrošināt; ražotājs tirgus segmentācijas nolūkos bija nolēmis to klientam neatļaut. Ārkārtas situācijas laikā Tesla uz laiku aktivizēja pilnu jaudu. Kad ārkārtas situācija bija beigusies, tā to deaktivizēja.

Tas, ko ziņas raksturoja kā dāsnuma žestu, tuvāk apskatoties, bija kaut kas cits. Īpašnieks nekad nebija bijis visa produkta īpašnieks, par kuru viņš samaksāja. Ražotājs saglabāja tehnisko spēju — attālināti paplašināt vai ierobežot funkcijas — un izvēlējās to izmantot par labu klientam šajā konkrētajā gadījumā. Viņi varēja izvēlēties arī pretējo. Stāsts nav par labestību; tas ir par varas arhitektūru.

Šis raksts pievēršas šai arhitektūrai. Mēs to saucam, saskaņā ar nozares konvenciju, par kill switch: attālinātais slēdzis, kas ļauj operatoram deaktivizēt, modificēt vai atsaukt produkta, pakalpojuma vai ierīces funkcijas, kuras lietotājs jau uzskatīja par savām. Jautājums nav par to, vai operators ir godīgs. Jautājums ir par to, kas notiek, kad viņš pārstāj tāds būt vai kad kāds viņu piespiež izmantot slēdzi citā virzienā.

Kas tieši ir kill switch

Termins cēlies no angļu valodas un ir grūti tulkojams: interruptor de muerte izklausās dramatiski; interruptor remoto izklausās pārāk neitrāli. Kill switch nedefinē dramatisms, bet gan vienkārša īpašība: tehniskā spēja deaktivizēt kaut ko attālināti, kas atrodas tāda subjekta rokās, kurš nav pats lietotājs. Tā var būt pilnīga atslēgšana —auto, kas neiedarbojas, fails, kas tiek dzēsts, konts, kas tiek apturēts— vai daļēja atslēgšana —funkcija, kas pazūd, akumulators, kas zaudē sniedzamību, abonements, kas tiek pārtraukts.

Ne katra attālinātā vadība ir kill switch. Rutīnas drošības atjauninājums, ko lietotājs ir pilnvarojis, instalējot produktu, tāds nav. Tāpat tā nav pretaizdzīšanas sistēma, ko var aktivizēt pats īpašnieks, kad viņam nozog tālruni. Kill switch tā tiešajā nozīmē ir trīs pazīmes: tā izmantošana ir operatora, nevis lietotāja lēmums; tā aktivizēšanai nav nepieciešama skartās personas tūlītēja piekrišana; un tas tiek vērsts pret produktu vai pakalpojumu, ko lietotājs jau uzskatīja par pilnībā savu.

Eiropas aktīvo slēdžu galerija

Tesla bieži atkārto šo modeli, turklāt dokumentētā veidā: līgumā paredzēti sniedzamības samazinājumi, kas piemēroti lietotiem transportlīdzekļiem, kuri mainījuši īpašniekus, asistētās braukšanas funkciju atsaukšana pēc licences anulēšanas, vienpusējas produkta uzvedības izmaiņas starp aparātprogrammatūras versijām. John Deere gadiem ilgi ir bijis Eiropas un ASV debatēs par tiesībām uz remontu: traktora iegāde ietver programmatūras slāni, kura pakalpojums ir atkarīgs no ražotāja oficiālā tīkla; kad šis tīkls atsaka reģistrāciju, traktors samazina būtiskas funkcijas. BMW 2022. gadā piedāvāja ikmēneša abonementu sēdekļu apsildes aktivizēšanai automašīnās, kurās tā jau bija uzstādīta fiziski; sabiedrības spiediens piespieda modeli atsaukt, taču tehniskā iespēja saglabājas.

Programmatūras jomā šis modelis ir strukturāls. Adobe Creative Cloud anulē ikmēneša licences, ja abonements netiek atjaunots, padarot neizmantojamus failus, ko lietotājs izveidojis ar šiem rīkiem. Microsoft var deaktivizēt Windows kopijas, ko tas uzskata par neoriģinālām, bez praktiskām pārsūdzības iespējām. Google izņem lietotnes no Play Store, izpildot tiesas rīkojumus vai iekšējus lēmumus; atinstalētā lietotne tiek atinstalēta arī no tālruņiem, kuros tā atradās. Apple Pay tika deaktivizēts Krievijā 2022. gada martā, Apple ievērojot starptautiskās sankcijas: kontekstā leģitīmi, taču procedūra vienmēr bija pieejama.

Leģitīmais arguments no ražotāja puses

Tas, kurš izstrādā kādu no šīm sistēmām, parasti piedāvā pilnīgi pamatotus argumentus:

1. Zādzību novēršana. Ja man nozog automašīnu vai tālruni, es novērtēju to, ka ražotājs var to attālināti padarīt neizmantojamu.
2. Krāpšanas novēršana. Neapmaksāti abonementi prasa atslēgšanas mehānismu; bez šī mehānisma biznesa modelis sabrūk.
3. Nepareizas lietošanas novēršana. Bīstams rīks nepareizās rokās var gūt labumu no iespējas tikt atsauktam.
4. Normatīvā atbilstība. Noteikti tiesiski rīkojumi uzliek par pienākumu operatoram izņemt saturu, atspējot funkcijas vai apturēt kontus, un sistēma bez slēdža ir sistēma, kas tos nevar izpildīt.

Visi četri argumenti ir patiesi. Neviens no tiem nemaina lietas būtību. Tiesa, ka kill switch atvieglo zādzību novēršanu; tiesa arī, ka šī pati spēja kalpo dzīvā klienta piespiešanai, nevis tikai kaitēšanai zaglim. Tiesa, ka abonēšanas modelim ir nepieciešams atslēgums; tiesa arī, ka atslēgumu var veikt rīt esošajam klientam cita iemesla dēļ, nekā paredzēts līgumā. Jautājums nav par to, vai kill switch ir leģitīmi lietošanas veidi. Jautājums ir par to, ka, tiklīdz tas eksistē, tā lietošanas veidi neaprobežojas ar tiem, kas paredzēti sākotnējā dokumentācijā.

Institucionālā sagrābšana

Šeit parādās jēdziens, kas dod rakstam nosaukumu. Institucionālā sagrābšana ir situācija, kad kāds dalībnieks — privāts uzņēmums, administrācija, regulējošā iestāde — galu galā izmanto spējas, ko tas ieguvis vai kas tam piešķirtas ierobežotiem mērķiem, plašākiem, atšķirīgiem vai pat klaji pretējiem mērķiem nekā sākotnēji. Politiskā ekonomija šo fenomenu finanšu regulējumā pazīst jau gadu desmitiem. Tehnoloģiju nozare to atklāj pati uz savas ādas.

Mehānisms ir šāds. Uzņēmums izstrādā kill switch leģitīmiem mērķiem: aizsardzībai pret zādzībām, abonementu pārvaldībai, atbilstībai. Uzņēmums dokumentē šos mērķus savos lietošanas noteikumos, privātuma politikā un publiskajos paziņojumos. Paiet gadi. Valdība izdod rīkojumu saskaņā ar jaunu likumdošanu; uzņēmums ir spiests izmantot slēdzi virzienā, kas nav aprakstīts tā sākotnējā dokumentācijā. Padomē ienāk aktīvs akcionārs un maina komercpolitiku; slēdži eksistē, un tos piemēro saskaņā ar jauno politiku. Uzņēmumu iegādājas lielāks uzņēmums; pakalpojumu sniegšanas noteikumi tiek vienpusēji pārrakstīti ar trīsdesmit dienu paziņojumu. Katrā gadījumā klients, kurš uzticējās slēdzim dokumentēto mērķu dēļ, konstatē, ka slēdzis joprojām ir tur, bet kalpo citām interesēm.

Paradigmātisks gadījums Eiropas lasītājam: Apple pret FBI lieta San Bernardino 2016. gadā. Pēc uzbrukuma Kalifornijā FBI pieprasīja Apple atbloķēt uzbrucēja iPhone. Apple atteicās, daļēji balstoties uz principu argumentiem un daļēji uz tehnisku argumentu: sistēma, kā tā bija izstrādāta, neļāva pašam uzņēmumam atbloķēt ierīci, nepārrakstot bāzes programmatūru. Visstiprākā aizsardzība nebija morāla, tā bija arhitektoniska. Apple nebalstījās uz solījumu nenospiezt slēdzi; tā balstījās uz slēdža neesamību. Citi uzņēmumi, kuru arhitektūrā ir slēdži, nav spējuši saglabāt tādu pašu pozīciju līdzvērtīga spiediena priekšā.

Eiropas regulējuma trajektorija

Eiropas tiesību akti pēdējā likumdošanas periodā ir virzījušies uz lielākām attālinātās vadības iespējām, nevis mazākām. Digitālo pakalpojumu akts (DSA), kas ir pilnībā piemērojams kopš 2024. gada februāra, uzliek platformām pienākumu iespējot ātrus satura izņemšanas mehānismus pēc kompetentas iestādes rīkojuma; mehānismus, kas nepastāvētu bez pamata tehniskajām iespējām. Mākslīgā intelekta akts (AI Act), kas stājas spēkā pakāpeniski kopš 2024. gada augusta, prasa noteiktu augsta riska MI sistēmu nodrošinātājiem ieviest pasākumus, kas ļauj tās deaktivizēt vai nodrošina būtisku cilvēka uzraudzību: obligāta kill switch normatīva forma. Turpretī Digitālo tirgu akts (DMA) ievieš sadarbspējas pienākumus: pretēju virzienu, kas ierobežo bloķēšanas efektus.

Eiropas profesionālim godīgs skatījums ir šāds: uz jautājumu "vai operators var deaktivizēt šo pakalpojumu manā vietā?" katru gadu ir arvien vairāk apstiprinošu atbilžu juridisko prasību dēļ, nevis mazāk. Tas neapšauba regulējuma leģitimitāti — DSA reaģē uz reālām problēmām —, taču tas pastiprina vienu lietu: uzticēšanās tam, ka operators neizmantos slēdzi, prasa arī uzticēšanos tam, ka nekāds nākotnes juridiskais pienākums neliks viņam to izmantot virzienā, kas šodien netiek paredzēts. Tā ir uzticēšanās, kas nebalstās tikai uz uzņēmumu; tā balstās uz visu regulatīvo vidi.

Dizaina jautājums, kas tiek uzdots reti

Lielākā daļa mūsdienu tehnisko risinājumu dizainu pieņem, ka slēdzis eksistēs, un pēc tam sola to neizmantot ļaunprātīgi. Pastāv alternatīva, kas ir prasīgāka, bet pilnīgi realizējama: projektēt, pieņemot, ka slēdzim nevajadzētu eksistēt. Tas nav sauklis. Tas ietver konkrētus lēmumus: sadalīta arhitektūra pret centralizētu, tiesības lietotāja ierīcē pret tiesībām, kas izriet no konta, saturs, kas šifrēts ar atslēgām, kuru operatoram nav, pret saturu, kas šifrēts ar atslēgām, kuras operators glabā, lietotāja kriptogrāfiskā identitāte pret identitāti, ko pārvalda operators. Katram no šiem lēmumiem ir reālas tehniskās izmaksas un reālas komerciālas sekas. Bet tiem visiem ir kopīga īpašība: tiklīdz tie ir pieņemti, tie izslēdz noteiktus juridiskos rīkojumus kā iespējamu objektu. To, ko nevar izpildīt, nevar pavēlēt izpildīt.

Profesionālam lasītājam

Pieci jautājumi, kurus vērts uzdot jebkura kritiska profesionāla pakalpojuma sniedzējam pirms tā pieņemšanas, formulēti secībā, kādā tos uzdotu darbības nepārtrauktības inspektors:

1. Vai pastāv pakalpojumu sniedzēja tehniskā iespēja attālināti apturēt, bloķēt, dzēst vai ierobežot manu pakalpojumu, datus vai produktu?
2. Kādos līgumā noteiktajos gadījumos pakalpojumu sniedzējs var izmantot šo iespēju?
3. Kādos nedeklarētos gadījumos — tiesas rīkojums, starptautiska sankcija, vienpusēja politikas maiņa, uzņēmuma pārņemšana — viņš to var izmantot arī?
4. Ja tā tiek izmantota, cik ilgs laiks man ir profesionālās darbības nepārtrauktībai un kāds izejas plāns ir pieejams?
5. Vai pastāv arhitektūras alternatīva, kurā atbilde uz pirmo jautājumu ir "nē" konstrukcijas, nevis solījuma dēļ?

Atbilde uz piekto jautājumu ne vienmēr ir pieejama vai samērīga. Personīgā izklājlapa, visticamāk, nav pelnījusi šādu prasību. Aktīva juridiskā lieta, pacienta slimības vēsture, nodokļu grāmatvedība, deontoloģiski aizsargāta saruna — jā. Samērīgums ir profesionāls lēmums; godīgs pirmā jautājuma lasījums tāds nav: vai nu slēdzis eksistē, vai nē.

---

Aizsardzība, kas saglabā iespēju tikt atsauktai, nav strukturāla aizsardzība; tā ir pārdēvēta uzticēšanās. Uzticēšanās, kā jau teicām citā Piezīmju grāmatā, ir derīgs sociāls risinājums, ja tā tiek piešķirta tam, kurš to ir pelnījis, taču tā ir trausla pie pirmajām īpašnieka maiņām. Tīrākā strukturālā aizsardzība ir tāda, kuru nevar atsaukt, jo tā nemaz neeksistē. Tāpat kā ar visu arhitektūrā: dizaina izvēle, nevis mārketinga lēmums.