Igaunija plāno digitālos ID AI aģentiem

Kad programmatūra internetā rīkojas cilvēka vārdā, tā parasti aizņemas visu viņa digitālo identitāti: lietotājvārdu, piekļuves tiesības, juridisko vārdu. Tas ir līdzīgi kā kurjeram vienas paciņas piegādei iedot pasi, mājas atslēgas un bankas karti. Igaunija grib šo modeli mainīt.

Premjerministra Kristena Mihala iniciētā konsultatīvā padome Eesti.ai vienojusies, ka Igaunijai jāizstrādā atsevišķa digitālā identitāte mākslīgā intelekta aģentiem. Vietējie mediji to dēvē par „AI-isikukood” — atsaucoties uz personas kodu, uz kura balstās Igaunijas digitālā valsts (ERR). Aiz skaļā apzīmējuma ir šaurāka ideja: nevis piešķirt programmatūrai personas statusu, bet panākt, lai tai nebūtu jārīkojas, izliekoties par cilvēku.

Digitālais pilnvarnieks

To var sadalīt trīs slāņos. Žetons parāda, kurš programmatūras aģents ir ieradies. Pilnvara nosaka, ko tas drīkst darīt, kura vārdā un ar kādiem ierobežojumiem. Kvīts fiksē, kas faktiski noticis. Pašlaik vairums mākslīgā intelekta rīku darbojas tikai ar pirmo slāni, un bieži pat bez tā. Ja aģents sagatavo nodokļu deklarāciju vai vaicā datus valsts reģistros, tas nereti izmanto cilvēka pilnās piekļuves tiesības — daudz plašākas, nekā konkrētajam uzdevumam vajadzīgs.

Tehnoloģiju uzņēmējs Kaspars Korjuss minējis praktisku piemēru: mākslīgā intelekta aģents ar savu identitāti varētu cilvēka vārdā sagatavot nodokļu deklarāciju, bet jutīgas darbības, piemēram, naudas pārskaitīšana, paliktu cilvēka kontrolē (Äripäev). Lietderīgais modelis ir šauri pilnvarots pārstāvis: tam ļauts nolasīt konkrētu ierakstu un sagatavot konkrētu veidlapu, bet pilsonis paliek juridiski atbildīgā persona un jebkurā brīdī var pilnvarojumu atsaukt (Global Relay).

Igaunija šādu ideju var virzīt tāpēc, ka tās digitālā infrastruktūra jau darbojas. eID sistēma nodrošina valsts līmeņa identifikāciju (e-Estonia), bet X-Road ļauj droši apmainīties ar datiem starp pakalpojumiem un reģistriem (e-Estonia). Aģenta identitāte tiktu būvēta virs šīs infrastruktūras, nevis tās vietā. Taču likums vēl nav pieņemts un tehniskā specifikācija nav publicēta. Pagaidām tas ir politikas virziens, nevis gatava sistēma.

Pilnvara, ko Eiropa vēl nav uzrakstījusi

Spēcīgākā kritika ir par to, ka identitāte risina tikai vienu problēmas slāni. Igaunijas komentētājs Pēters P. Metskila to formulējis tieši: galvenais jautājums nav „kas ir aģents?”, bet gan „ko tas drīkst darīt, un kurš par to atbild?” (ERR). Vācijas federālās kiberdrošības iestādes vadītāja Klaudija Platnere brīdinājusi, ka trūkst standartu mākslīgā intelekta aģentu identitāšu pārvaldībai, īpaši tad, ja tie uzņēmumu vārdā darbojas e-pastā vai tiešsaistes pakalpojumos (FAZ). Vācijas drošības analītiķi šādus aģentus jau pieskaita „necilvēka identitātēm” — mašīnu kontiem, kuru piekļuves dati bieži netiek pienācīgi uzraudzīti un laika gaitā nemanāmi uzkrāj plašas tiesības (Security-Insider).

Eiropai jau ir noteikumi par identitātes apliecināšanu (eIDAS 2.0), par to, kā ierobežot atklājamo datu apjomu, par mākslīgā intelekta sistēmu reģistrēšanu un uzskaiti (Mākslīgā intelekta akts), par personas datu aizsardzību (VDAR) un par tīklu drošību (NIS2). Trūkst vienotas noteikumu grāmatas programmatūras pilnvarniekam, kas šķērso visas šīs jomas. Neviens regulējums pilnībā nenosedz visu ķēdi: aģenta identificēšanu, tā mandāta noteikšanu, darbību reģistrēšanu un atbildības sadali, ja kaut kas noiet greizi.

Atbildības robs ir neērtākā daļa. Digitāls žetons pats par sevi neatbild uz jautājumu, kam jāmaksā, ja pilnvarojums izgāžas: uzņēmumam, kas izveidojis modeli, uzņēmumam, kas to ieviesis, vai organizācijai, kas aģentam ļāvusi rīkoties (FAZ). ES Mākslīgā intelekta atbildības direktīva, kas bija domāta tieši šādu jautājumu risināšanai, joprojām ir tikai priekšlikums (AI Liability Directive).

Kura identitāte, kuri noteikumi

Dalībvalstis pie vienas un tās pašas problēmas nonāk no dažādiem virzieniem. Dānijas mākslīgā intelekta smilškaste pilnvarošanu slāņo virs esošās nacionālās pieteikšanās sistēmas MitID (Datatilsynet). Nīderlande publicē valsts iestāžu mākslīgā intelekta sistēmu publisku reģistru, atbildību traktējot kā administratīvu praksi (Algoritmeregister). Zviedrija strādā pie tā, kā sertificēt digitālās makus, ko paredz eIDAS 2.0 — būtībā pret viltošanu aizsargātas lietotnes telefonā, kas spēj pierādīt vienu faktu par cilvēku, piemēram, vecumu vai dzīvesvietu, neatdodot visu identitātes lietu (DIGG).

Šī sadrumstalotība parāda īsto pārbaudījumu. Igaunijā pilnvarotam mākslīgā intelekta aģentam var nākties būt uzticamam Dānijas pieteikšanās sistēmai, pārbaudāmam pēc Nīderlandes atbildības noteikumiem un aizsargātam pret tādu mašīnu kontu ļaunprātīgu izmantošanu, par kādu jau brīdina Vācijas regulatori. Igaunija var izveidot žetonu. Nākamais darbs ir Eiropas regulatoriem un standartu noteicējiem: panākt, lai vienā valstī pilnvarotu digitālo pārstāvi citā valstī varētu pārbaudīt, ierobežot un saukt pie atbildības.