Ψηφιακές ταυτότητες για AI στην Estonia

Κάθε φορά που ένα λογισμικό ενεργεί για λογαριασμό σας στο διαδίκτυο, συνήθως δανείζεται ολόκληρη την ψηφιακή σας ταυτότητα: τα στοιχεία σύνδεσης, τις άδειες πρόσβασης, το νόμιμο όνομά σας. Είναι σαν να δίνετε σε έναν διανομέα το διαβατήριο, τα κλειδιά του σπιτιού και την τραπεζική σας κάρτα για να παραδώσει ένα μόνο δέμα. Η Εσθονία θεωρεί ότι υπάρχει πιο καθαρός τρόπος.

Το Eesti.ai, ένα συμβουλευτικό όργανο που δημιουργήθηκε με πρωτοβουλία του πρωθυπουργού Κρίστεν Μίχαλ, συμφώνησε ότι η χώρα πρέπει να αναπτύξει χωριστή ψηφιακή ταυτότητα για πράκτορες τεχνητής νοημοσύνης. Τα τοπικά μέσα τη χαρακτηρίζουν «AI-isikukood», δανειζόμενα τον όρο από τον προσωπικό αριθμό ταυτοποίησης πάνω στον οποίο στηρίζεται το εσθονικό ψηφιακό κράτος (ERR). Η πρόταση είναι πιο περιορισμένη από όσο αφήνει να εννοηθεί η ονομασία: δεν αναγνωρίζει προσωπικότητα στο λογισμικό, αλλά επιχειρεί να σταματήσει την πρακτική με την οποία το λογισμικό προσποιείται ότι είναι ο χρήστης.

Ο ψηφιακός αντιπρόσωπος

Ο μηχανισμός μπορεί να ιδωθεί σε τρία επίπεδα. Ένα σήμα ταυτότητας δείχνει ποιος πράκτορας λογισμικού εμφανίστηκε. Μια εξουσιοδότηση ορίζει τι επιτρέπεται να κάνει, για ποιον και με ποια όρια. Μια απόδειξη ενεργειών καταγράφει τι έγινε στην πράξη. Σήμερα, τα περισσότερα εργαλεία τεχνητής νοημοσύνης λειτουργούν μόνο με το πρώτο επίπεδο, και συχνά ούτε καν με αυτό. Ένας πράκτορας που υποβάλλει φορολογικά στοιχεία ή αναζητά κρατικά αρχεία ενεργεί συνήθως με τα πλήρη διαπιστευτήρια του πολίτη, αποκτώντας πρόσβαση σε πολύ περισσότερα δεδομένα από όσα χρειάζεται η συγκεκριμένη εργασία.

Ο επιχειρηματίας τεχνολογίας Κάσπαρ Κόργιους έδωσε ένα πρακτικό παράδειγμα: ένας πράκτορας τεχνητής νοημοσύνης με δική του ταυτότητα θα μπορούσε να ετοιμάζει φορολογικές δηλώσεις για λογαριασμό κάποιου, ενώ πράξεις υψηλής ευαισθησίας, όπως η μεταφορά χρημάτων, θα παρέμεναν υπό ανθρώπινο έλεγχο (Äripäev). Το χρήσιμο μοντέλο είναι εκείνο ενός αντιπροσώπου με αυστηρά περιορισμένη εντολή: μπορεί να διαβάσει ένα συγκεκριμένο αρχείο και να συντάξει ένα συγκεκριμένο έντυπο, ενώ ο πολίτης παραμένει ο νομικά υπεύθυνος εντολέας και μπορεί να ανακαλέσει την εξουσιοδότηση ανά πάσα στιγμή (Global Relay).

Η Εσθονία μπορεί να ανοίγει αυτή τη συζήτηση επειδή η ψηφιακή της υποδομή λειτουργεί ήδη. Το σύστημα eID καλύπτει την εθνική ταυτοποίηση (e-Estonia), ενώ το X-Road επιτρέπει την ασφαλή ανταλλαγή δεδομένων μεταξύ υπηρεσιών και μητρώων (e-Estonia). Η ταυτότητα ενός πράκτορα θα ερχόταν να προστεθεί πάνω σε αυτή την αρχιτεκτονική, όχι να την αντικαταστήσει. Δεν υπάρχει όμως ακόμη νόμος, ούτε δημοσιευμένη τεχνική προδιαγραφή. Πρόκειται για κατεύθυνση πολιτικής, όχι για έτοιμο σύστημα.

Η εξουσιοδότηση που δεν έχει ακόμη γράψει η Ευρώπη

Η πιο ουσιαστική κριτική είναι ότι η ταυτότητα απαντά σε λάθος επίπεδο του προβλήματος. Ο Εσθονός σχολιαστής Πέτερ Π. Μότσκουλα το έθεσε ευθέως: το βασικό ερώτημα δεν είναι «ποιος είναι ο πράκτορας;», αλλά «τι επιτρέπεται να κάνει και ποιος ευθύνεται γι’ αυτό;» (ERR). Η επικεφαλής της ομοσπονδιακής αρχής κυβερνοασφάλειας της Γερμανίας, Κλάουντια Πλάτνερ, προειδοποίησε ότι λείπουν τα πρότυπα για τη διαχείριση ταυτοτήτων πρακτόρων τεχνητής νοημοσύνης, ιδίως όταν αυτοί ενεργούν για λογαριασμό εταιρειών σε υπηρεσίες ηλεκτρονικού ταχυδρομείου ή άλλες διαδικτυακές εφαρμογές (FAZ). Γερμανοί αναλυτές ασφάλειας κατατάσσουν ήδη τους πράκτορες τεχνητής νοημοσύνης στις «μη ανθρώπινες ταυτότητες», δηλαδή στους λογαριασμούς μηχανών των οποίων τα διαπιστευτήρια συχνά δεν παρακολουθούνται επαρκώς και σωρεύουν σιωπηρά ευρείες προσβάσεις (Security-Insider).

Η Ευρώπη έχει ήδη κανόνες για την απόδειξη της ταυτότητας (eIDAS 2.0), για τον περιορισμό των δεδομένων που αποκαλύπτει ένας χρήστης, για την καταγραφή συστημάτων τεχνητής νοημοσύνης (Πράξη για την Τεχνητή Νοημοσύνη), για την προστασία προσωπικών δεδομένων (ΓΚΠΔ) και για την ασφάλεια της πρόσβασης σε δίκτυα (NIS2). Αυτό που δεν έχει είναι ένα ενιαίο εγχειρίδιο κανόνων για έναν ψηφιακό αντιπρόσωπο που διασχίζει όλα αυτά τα πεδία. Καμία ρύθμιση δεν καλύπτει ολόκληρη την αλυσίδα: ταυτοποίηση του πράκτορα, ορισμό της εντολής, καταγραφή των ενεργειών και απόδοση ευθύνης όταν κάτι πάει λάθος.

Το κενό ευθύνης είναι το πιο δύσκολο σημείο. Ένα ψηφιακό σήμα δεν απαντά ποιος πληρώνει όταν η εξουσιοδότηση αποτύχει: η εταιρεία που κατασκεύασε το μοντέλο, η επιχείρηση που το έθεσε σε λειτουργία ή ο οργανισμός που επέτρεψε στον πράκτορα να ενεργήσει (FAZ). Η Οδηγία της ΕΕ για την ευθύνη στην τεχνητή νοημοσύνη, που σχεδιάστηκε ακριβώς για να αντιμετωπίσει τέτοιες περιπτώσεις, παραμένει ακόμη πρόταση (AI Liability Directive).

Ποια ταυτότητα, ποιοι κανόνες

Κάθε κράτος-μέλος προσεγγίζει το ίδιο πρόβλημα από διαφορετική αφετηρία. Η Δανία δοκιμάζει την ανάθεση ενεργειών μέσα στο δικό της ρυθμιστικό περιβάλλον τεχνητής νοημοσύνης, χτίζοντας πάνω στο εθνικό σύστημα σύνδεσης MitID (Datatilsynet). Η Ολλανδία δημοσιεύει δημόσιο μητρώο συστημάτων τεχνητής νοημοσύνης του Δημοσίου, αντιμετωπίζοντας τη λογοδοσία ως διοικητική πρακτική (Algoritmeregister). Η Σουηδία εξετάζει πώς θα πιστοποιούνται τα ψηφιακά πορτοφόλια που προβλέπει ο eIDAS 2.0, δηλαδή εφαρμογές στο κινητό με υψηλή ανθεκτικότητα σε παραποίηση, οι οποίες αποδεικνύουν ένα συγκεκριμένο στοιχείο για τον χρήστη, όπως την ηλικία ή την κατοικία, χωρίς να παραδίδουν ολόκληρο τον φάκελο ταυτότητας (DIGG).

Αυτός ο κατακερματισμός δείχνει πού θα κριθεί η υπόθεση. Ένας πράκτορας τεχνητής νοημοσύνης που έχει εξουσιοδοτηθεί στην Εσθονία μπορεί να χρειαστεί να γίνει δεκτός από ένα δανικό σύστημα σύνδεσης, να ελεγχθεί με βάση ολλανδικούς κανόνες λογοδοσίας και να προστατευθεί από τις μορφές κατάχρησης λογαριασμών μηχανών που ήδη ανησυχούν τις γερμανικές αρχές. Η Εσθονία μπορεί να φτιάξει το σήμα ταυτότητας. Το επόμενο βήμα ανήκει στις ευρωπαϊκές ρυθμιστικές αρχές και στους οργανισμούς τυποποίησης: να διασφαλίσουν ότι ένας ψηφιακός αντιπρόσωπος εξουσιοδοτημένος σε μία χώρα μπορεί να ελεγχθεί, να περιοριστεί και να λογοδοτήσει σε μια άλλη.