Estonija uvodi osobne iskaznice za AI

Kad softver danas na internetu djeluje u vaše ime, najčešće preuzima gotovo cijeli vaš digitalni identitet: prijavu, ovlasti, pravno ime. To je digitalni ekvivalent situaciji u kojoj dostavljaču, samo zato da preda jedan paket, dajete putovnicu, ključeve stana i bankovnu karticu. Estonija smatra da se taj problem može riješiti drukčije.

Savjetodavno vijeće Eesti.ai, osnovano na inicijativu premijera Kristena Michala, zaključilo je da bi Estonija trebala razviti zaseban digitalni identitet za AI agente. Lokalni mediji nazivaju ga „AI-isikukood”, prema osobnom identifikacijskom kodu na kojem počiva estonska digitalna država (ERR). Prijedlog je uži nego što naziv sugerira: ne bi softver dobio osobnost, nego bi se spriječilo da se mora predstavljati kao čovjek u čije ime radi.

Digitalni zamjenik

Model se može svesti na tri sloja. Iskaznica pokazuje koji se softverski agent pojavio. Ovlaštenje određuje što smije učiniti, za koga i u kojim granicama. Potvrda bilježi što se doista dogodilo. Većina današnjih AI alata, ako uopće ima takav trag, ostaje na prvom sloju. Agent koji predaje poreznu prijavu ili pretražuje državne registre često radi pod punim korisničkim vjerodajnicama, s pristupom mnogo širim od zadatka koji treba obaviti.

Tehnološki poduzetnik Kaspar Korjus naveo je konkretan primjer: AI agent s vlastitim identitetom mogao bi u nečije ime pripremiti poreznu prijavu, dok bi osjetljive radnje, poput prijenosa novca, ostale pod ljudskom kontrolom (Äripäev). Koristan je model usko ovlaštenog zamjenika: smije pročitati određeni zapis i sastaviti određeni obrazac, ali građanin ostaje pravni nositelj odluke i u svakom trenutku može povući ovlast (Global Relay).

Estonija o tome može ozbiljno govoriti zato što joj digitalna infrastruktura već funkcionira. Sustav eID služi za nacionalnu identifikaciju (e-Estonia), a X-Road omogućuje sigurnu razmjenu podataka između usluga i registara (e-Estonia). Identitet AI agenta bio bi nadogradnja na tu infrastrukturu, ne njezina zamjena. Zasad, međutim, nema donesenog zakona ni objavljene tehničke specifikacije. Riječ je o političkom smjeru, a ne o gotovu sustavu.

Ovlaštenje koje Europa još nije napisala

Najozbiljniji prigovor glasi da identitet rješava pogrešan sloj problema. Estonski komentator Peeter P. Mõtsküla sažeo je stvar izravno: pravo pitanje nije „tko je agent”, nego „što smije učiniti i tko za to odgovara” (ERR). Claudia Plattner, čelnica njemačkog Saveznog ureda za kibernetičku sigurnost, upozorila je da nedostaju standardi za upravljanje identitetima AI agenata, osobito kada takvi agenti u ime poduzeća djeluju u elektroničkoj pošti ili internetskim uslugama (FAZ). Njemački sigurnosni analitičari već ih svrstavaju među „neljudske identitete”, odnosno strojne račune čije se vjerodajnice često slabo nadziru i s vremenom tiho dobivaju širok pristup (Security-Insider).

Europa već ima pravila za dokazivanje identiteta (eIDAS 2.0), ograničavanje količine podataka koje korisnik otkriva, evidentiranje AI sustava (Akt o umjetnoj inteligenciji), zaštitu osobnih podataka (GDPR) i sigurnost mrežnog pristupa (NIS2). Nedostaje joj jedinstven pravilnik za softverskog zamjenika koji prelazi sva ta područja. Nijedna uredba zasad ne pokriva cijeli lanac: identifikaciju agenta, opseg njegova mandata, zapisivanje njegovih radnji i odgovornost kada nešto pođe po zlu.

Pitanje odgovornosti tu je najneugodnije. Digitalna iskaznica ne kaže tko plaća štetu ako ovlaštenje zakaže: tvrtka koja je izgradila model, poduzeće koje ga je uvelo u rad ili organizacija koja je agentu dopustila da djeluje (FAZ). Direktiva EU-a o odgovornosti za umjetnu inteligenciju, zamišljena upravo za takve slučajeve, još je samo prijedlog (AI Liability Directive).

Čija iskaznica, čija pravila

Države članice istom problemu prilaze iz različitih smjerova. Danski AI regulatorni pješčanik gradi delegiranje na postojećem nacionalnom sustavu prijave MitID (Datatilsynet). Nizozemska objavljuje javni registar AI sustava koje koristi država, tretirajući odgovornost kao pitanje upravne prakse (Algoritmeregister). Švedska razrađuje kako certificirati digitalne novčanike predviđene uredbom eIDAS 2.0, odnosno aplikacije na mobitelu koje bez izlaganja cijelog identitetskog dosjea dokazuju jednu činjenicu o osobi, primjerice dob ili prebivalište (DIGG).

Ta rascjepkanost pokazuje gdje je pravi europski test. AI agent ovlašten u Estoniji možda će morati zadobiti povjerenje danskoga sustava prijave, biti provjerljiv prema nizozemskim pravilima odgovornosti i zaštićen od zlouporaba strojnih računa koje već brinu njemačke regulatore. Estonija može izgraditi iskaznicu. Sljedeći posao pripada europskim regulatorima i tijelima za standardizaciju: osigurati da se zamjenik ovlašten u jednoj državi može provjeriti, ograničiti i pozvati na odgovornost u drugoj.