Estonia pregătește ID-uri pentru agenții AI

De fiecare dată când un software acționează online în numele tău, folosește, în practică, identitatea ta întreagă: autentificarea, permisiunile, numele legal. Este echivalentul digital al situației în care ai da unui curier pașaportul, cheile de la casă și cardul bancar ca să livreze un colet. Estonia crede că această logică poate fi înlocuită cu una mai sigură.

Un consiliu consultativ numit Eesti.ai, creat la inițiativa premierului Kristen Michal, a convenit că Estonia ar trebui să dezvolte o identitate digitală separată pentru agenții AI. Presa locală o numește „AI-isikukood”, prin trimitere la codul personal de identificare pe care se sprijină statul digital estonian (ERR). Propunerea este mai restrânsă decât sugerează eticheta: nu ar transforma software-ul într-o persoană, ci ar evita situația în care software-ul trebuie să se dea drept utilizatorul uman.

Delegatul digital

Modelul poate fi înțeles în trei straturi. O insignă arată ce agent software s-a prezentat. O împuternicire stabilește ce are voie să facă, pentru cine și în ce limite. O chitanță consemnează ce s-a întâmplat efectiv. Astăzi, cele mai multe instrumente AI operează doar cu primul strat, dacă îl au și pe acela. Un agent care completează o declarație fiscală sau interoghează registre publice o face adesea folosind credențialele complete ale utilizatorului, cu acces la mult mai multe date decât cere sarcina concretă.

Antreprenorul în tehnologie Kaspar Korjus a dat un exemplu simplu: un agent AI cu identitate proprie ar putea pregăti declarații fiscale în numele cuiva, în timp ce acțiunile sensibile, cum ar fi transferul de bani, ar rămâne sub control uman (Äripäev). Modelul util este cel al unui delegat cu mandat îngust, autorizat să citească un anumit registru și să redacteze un anumit formular, în timp ce cetățeanul rămâne titularul legal și poate retrage delegarea oricând (Global Relay).

Estonia poate avansa o astfel de idee pentru că infrastructura sa digitală funcționează deja. Sistemul eID gestionează identificarea națională (e-Estonia), iar X-Road permite schimbul securizat de date între servicii și registre (e-Estonia). Identitatea unui agent AI s-ar adăuga peste această infrastructură, nu ar înlocui-o. Deocamdată însă nu există o lege adoptată și nici o specificație tehnică publicată. Este o direcție de politică publică, nu un sistem finalizat.

Împuternicirea pe care Europa nu a scris-o încă

Cea mai serioasă critică este că identitatea rezolvă doar o parte a problemei. Comentatorul estonian Peeter P. Mõtsküla a formulat-o direct: întrebarea importantă nu este doar „cine este agentul?”, ci „ce are voie să facă și cine răspunde pentru el?” (ERR). Claudia Plattner, șefa autorității federale germane pentru securitate cibernetică, a avertizat că lipsesc standardele pentru gestionarea identităților agenților AI, mai ales atunci când aceștia acționează pentru companii în e-mail sau în servicii online (FAZ). Analiștii germani de securitate clasifică deja agenții AI drept „identități non-umane”, adică conturi de mașină ale căror credențiale sunt adesea monitorizate insuficient și ajung, în timp, să acumuleze acces larg (Security-Insider).

Europa are deja reguli pentru verificarea identității (eIDAS 2.0), pentru limitarea datelor dezvăluite, pentru jurnalizarea sistemelor AI (AI Act), pentru protecția datelor personale (GDPR) și pentru securizarea accesului la rețele (NIS2). Îi lipsește însă un set unic de reguli pentru un delegat software care traversează toate aceste zone. Nicio reglementare nu acoperă cap-coadă întregul lanț: identificarea agentului, definirea mandatului, înregistrarea acțiunilor și atribuirea răspunderii când ceva merge prost.

Golul de răspundere este partea cea mai dificilă. O insignă digitală nu spune cine plătește atunci când delegarea eșuează: compania care a construit modelul, firma care l-a implementat sau organizația care a autorizat agentul să acționeze (FAZ). Directiva UE privind răspunderea pentru inteligența artificială, gândită tocmai pentru astfel de situații, este încă în stadiu de propunere (AI Liability Directive).

A cui insignă, ale cui reguli

Statele membre abordează aceeași problemă din unghiuri diferite. Sandbox-ul AI al Danemarcei suprapune delegarea peste sistemul național de autentificare MitID (Datatilsynet). Olanda publică un registru al sistemelor AI folosite de administrație, tratând răspunderea ca practică administrativă (Algoritmeregister). Suedia lucrează la modul în care ar trebui certificate portofelele digitale prevăzute de eIDAS 2.0, adică aplicații securizate pe telefon care pot dovedi un singur fapt despre utilizator, cum ar fi vârsta sau rezidența, fără să expună întregul dosar de identitate (DIGG).

Această fragmentare arată miza reală a etapei următoare. Un agent AI autorizat în Estonia ar putea avea nevoie să fie acceptat de un sistem danez de autentificare, auditat după reguli olandeze de responsabilizare și protejat împotriva abuzurilor asociate conturilor de mașină, exact tipul de risc care preocupă deja autoritățile germane. Estonia poate construi insigna. Următoarea sarcină revine autorităților de reglementare și organismelor europene de standardizare: să facă posibil ca un delegat autorizat într-o țară să poată fi verificat, limitat și tras la răspundere în alta.