Η διαφορά μεταξύ ιδιωτικότητας και απόστασης
Το δωμάτιο στο τέλος του διαδρόμου
Το πιο ξεκάθαρο μάθημα περί ιδιωτικότητας που είδα ποτέ δεν προήλθε από νομικό υπόμνημα. Προήλθε από μια κλινική υγείας με δύο αίθουσες αναμονής, ένα συνηθισμένο γραφείο υποδοχής και έναν διάδρομο που έμοιαζε σχεδιασμένο από κάποιον που πίστευε ότι η αμηχανία πρέπει να ταξιδεύει σε ευθείες γραμμές. Οι ασθενείς δήλωναν την άφιξή τους στη ρεσεψιόν, περνούσαν μπροστά από μια σειρά καθισμάτων και μετά κάθονταν έξω από το εξεταστήριο με τα έγγραφά τους στα γόνατα. Οι φάκελοι δεν ήταν ηλεκτρονικοί. Η κλινική ήταν περήφανη για αυτό. Ό,τι είχε σημασία βρισκόταν σε ντουλάπες αρχειοθέτησης, ντοσιέ και έναν τοπικό υπολογιστή που έκανε θόρυβο σαν κουρασμένο ψυγείο.
Στα χαρτιά, τα δεδομένα ήταν κοντά. Παρέμεναν εντός του κτιρίου. Χωρίς ξένο νέφος, χωρίς απομακρυσμένο πίνακα ελέγχου, χωρίς πάνελ αναλυτικής προμηθευτή. Ωστόσο, η ιδιωτικότητα ήταν αδύναμη στα συνηθισμένα σημεία όπου πραγματικά ζουν οι άνθρωποι. Ονόματα ακούγονταν από τη μία άκρη της αίθουσας στην άλλη. Επιστολές παραπομπής ήταν ξαπλωμένες με την όψη προς τα πάνω δίπλα στον εκτυπωτή. Μια νοσηλεύτρια δανείστηκε τον κωδικό μιας συναδέλφου επειδή το σύστημα βαρδιών ήταν πιο αργό και από την περίοδο της γρίπης. Η πόρτα του αρχείου ήταν κλειδωμένη, εκτός από τις φορές που την κρατούσαν ανοιχτή με ένα κουτί τόνερ επειδή κάποιος έπρεπε να μετακινήσει φακέλους γρήγορα. Η απόσταση είχε επιτευχθεί. Η ιδιωτικότητα όχι.
Αυτή είναι η διαφορά που συνεχίζει να μπερδεύει την ψηφιακή πολιτική. Η απόσταση αφορά το πού βρίσκονται τα δεδομένα, η υπολογιστική ισχύς, οι άνθρωποι, τα κλειδιά και τα συστήματα σε σχέση μεταξύ τους. Η ιδιωτικότητα αφορά το τι μπορεί να γίνει γνωστό, από ποιον, για ποιο σκοπό, υπό ποιους περιορισμούς, με ποια απόδειξη, για πόσο διάστημα και με ποια επανόρθωση όταν η απάντηση είναι λανθασμένη. Η απόσταση μπορεί να υποστηρίξει την ιδιωτικότητα. Μπορεί να μειώσει την έκθεση, να χαμηλώσει την καθυστέρηση, να απλοποιήσει τον έλεγχο και να κρατήσει ορισμένες εξουσίες κοντά στον θεσμό. Αλλά η απόσταση είναι μια συντεταγμένη, όχι μια ηθική ιδιότητα. Ένας φάκελος στο ίδιο δωμάτιο μπορεί να γίνει αντικείμενο κατάχρησης. Μια απομακρυσμένη διαδικασία μπορεί να είναι αυστηρά περιορισμένη. Η δύσκολη δουλειά είναι να γνωρίζεις ποιο είναι ποιο προτού πει κάποιος «τοπικό» σαν να τελειώνει εκεί η κουβέντα.
Η απόσταση φαίνεται καθησυχαστική επειδή είναι ορατή
Η απόσταση έχει ένα φιλικό πλεονέκτημα έναντι της ιδιωτικότητας: μπορεί να φωτογραφηθεί. Μπορείς να δείξεις την αίθουσα διακομιστών. Μπορείς να σχεδιάσεις το όριο του δικτύου. Μπορείς να δείξεις τη χώρα, την πανεπιστημιούπολη, τη συσκευή, το ράφι, το υποδίκτυο, το ερμάριο. Οι προμηθευτές το συμπαθούν γιατί οι ορατοί έλεγχοι ταιριάζουν όμορφα στις διαφάνειες. Τα διοικητικά συμβούλια το συμπαθούν γιατί η απόσταση ακούγεται σαν απόφαση. Οι χρήστες το συμπαθούν γιατί το κοντινό φαίνεται ανθρώπινο. Δεν υπάρχει τίποτα ανόητο σε αυτό το ένστικτο. Οι άνθρωποι έχουν μάθει, συχνά με δύσκολο τρόπο, ότι η απομακρυσμένη εξουσία είναι δύσκολο να αμφισβητηθεί.
Το λάθος αρχίζει όταν η ορατή εγγύτητα αντιμετωπίζεται ως πλήρης προστασία. Μια βάση δεδομένων εντός εθνικών συνόρων μπορεί να είναι ακόμα αναγνώσιμη από διαχειριστές αλλού. Μια τοπική εφαρμογή μπορεί να εξακολουθεί να στέλνει τηλεμετρία που αποκαλύπτει ευαίσθητα μοτίβα. Ένας φορητός υπολογιστής που δεν φεύγει ποτέ από το γραφείο μπορεί να περιέχει εξαγόμενα υπολογιστικά φύλλα σε έναν φάκελο λήψεων με την πειθαρχία της καρέκλας με τα ρούχα ενός εφήβου. Ένα μοντέλο που τρέχει εντός των εγκαταστάσεων μπορεί να εκθέσει δεδομένα εκπαίδευσης μέσω προτροπών, αρχείων καταγραφής, προσωρινών αρχείων ή εξόδων. Η εγγύτητα μειώνει ορισμένες επιφάνειες επίθεσης και αυξάνει κάποια λογοδοσία. Δεν αποφασίζει αυτόματα για τον σκοπό, την αναγκαιότητα, την πρόσβαση, τη διατήρηση ή τη δικαιοσύνη.
Η ιδιωτικότητα δεν είναι μόνο ένας τοίχος. Είναι ένα σύνολο ενεργών αδειών και αρνήσεων. Ρωτά αν το σύστημα θα έπρεπε να συλλέγει καθόλου το πεδίο, αν το πεδίο εξακολουθεί να χρειάζεται, αν ο χρήστης κατανοεί τον σκοπό, αν ένα παράγωγο χαρακτηριστικό έχει γίνει ευαίσθητο, αν ένα ίχνος εντοπισμού σφαλμάτων περιέχει περισσότερα από όσα θα έπρεπε να βλέπει ο χειριστής, αν ένα αντίγραφο ασφαλείας διατηρεί δεδομένα μετά τη διαγραφή, αν το ενδιαφερόμενο άτομο μπορεί να αμφισβητήσει το αποτέλεσμα και αν κάποιος μπορεί να αποδείξει την απάντηση χωρίς να ψάχνει μέσα σε λαϊκές παραδόσεις. Καμία από αυτές τις ερωτήσεις δεν απαντιέται με τη μέτρηση χιλιομέτρων.
Η ιδιωτικότητα είναι ένα σύνολο ρημάτων
Το πρακτικό κριτήριο για την ιδιωτικότητα δεν είναι πού βρίσκεται ο διακομιστής. Είναι ποια ρήματα μπορεί να εκτελέσει ο οργανισμός και ποια μπορεί να αποτρέψει. Μπορεί να αρνηθεί ένα αίτημα. Μπορεί να κρύψει ένα πεδίο από έναν χειριστή. Μπορεί να διαχωρίσει την ταυτότητα από το περιεχόμενο. Μπορεί να περιστρέψει τα κλειδιά. Μπορεί να διαγράψει το πρωτεύον αρχείο και τα αντίγραφα που έχουν σημασία. Μπορεί να εντοπίσει ασυνήθιστη πρόσβαση. Μπορεί να εξηγήσει γιατί ένα άτομο συμπεριλήφθηκε σε μια εκτέλεση μοντέλου. Μπορεί να σταματήσει την επαναχρησιμοποίηση όταν αλλάξει η συγκατάθεση. Μπορεί να αποδείξει ότι ένας προμηθευτής δεν έλαβε περισσότερα από όσα ήταν απαραίτητα. Η ιδιωτικότητα ζει σε αυτά τα ρήματα.
Γι' αυτό τα προγράμματα ιδιωτικότητας που βασίζονται μόνο σε έγγραφα πολιτικής γίνονται θεατρικά. Η πολιτική λέει ότι η πρόσβαση περιορίζεται σε εξουσιοδοτημένο προσωπικό. Το σύστημα λέει ότι όλοι στο τμήμα μοιράζονται έναν ρόλο, επειδή ο σχεδιασμός ρόλων αναβλήθηκε μέχρι μετά την κυκλοφορία. Η πολιτική λέει ότι τα δεδομένα διατηρούνται για καθορισμένο χρονικό διάστημα. Η αποθήκη λέει ότι οι παλιές εξαγωγές εξακολουθούν να είναι χρήσιμες για ανάλυση και κανείς δεν θέλει να χαλάσει τον πίνακα ελέγχου. Η πολιτική λέει ότι συλλέγονται μόνο τα απαραίτητα δεδομένα. Η φόρμα λέει ημερομηνία γέννησης, φύλο, ταχυδρομικό κώδικα, αριθμό τηλεφώνου, αναγνωριστικό συσκευής και ένα πεδίο ελεύθερου κειμένου, επειδή τα μελλοντικά αναλυτικά στοιχεία μπορεί να είναι ενδιαφέροντα. Τα μελλοντικά αναλυτικά στοιχεία είναι μια γοητευτική φράση. Έχει φάει πολλά ντουλάπια.
Η μηχανική της ιδιωτικότητας σημαίνει τη μετατροπή των νομικών και ηθικών ορίων σε συμπεριφορά συστήματος. Ο σκοπός γίνεται κανόνας σε επίπεδο πεδίου, όχι παράγραφος σε ένα PDF. Η ελαχιστοποίηση γίνεται σχεδιασμός σχήματος, προεπιλεγμένη αποκάλυψη και άρνηση κατά την εισαγωγή. Η πρόσβαση γίνεται ταυτότητα, πεδία εφαρμογής, όρια συνεδρίας και έλεγχος. Η συγκατάθεση γίνεται κατάσταση που επηρεάζει τη δρομολόγηση, την επιλεξιμότητα εκπαίδευσης, τα αναλυτικά στοιχεία και τη διατήρηση. Η διαγραφή γίνεται διάδοση και αποδεικτικά στοιχεία. Η ιδιωτικότητα δεν είναι η απουσία μετακίνησης δεδομένων. Είναι ελεγχόμενη μετακίνηση, ελεγχόμενη μη μετακίνηση και ελεγχόμενη μνήμη.
Το τοπικό μπορεί να είναι απρόσεκτο
Τα τοπικά συστήματα συχνά υπερασπίζονται ως φυσικά ιδιωτικά, επειδή μειώνουν την εξάρτηση από απομακρυσμένες υποδομές. Μερικές φορές αυτό ισχύει. Ένα σχολείο που κρατά σημειώσεις συμβουλευτικής σε ένα καλά διαχειριζόμενο τοπικό σύστημα, με εκπαιδευμένο προσωπικό, περιορισμένη πρόσβαση, σύντομη διατήρηση και χωρίς περιστασιακά αναλυτικά στοιχεία, μπορεί να προσφέρει ισχυρότερη ιδιωτικότητα από μια γενική εξωτερική ροή εργασίας. Ένα εργοστάσιο που επεξεργάζεται δεδομένα αισθητήρων επιτόπου πριν στείλει μόνο συγκεντρωτικά σήματα συντήρησης μπορεί να μειώσει την έκθεση. Ένα τηλέφωνο που εκτελεί αναγνώριση ομιλίας τοπικά μπορεί να αποφύγει τη μετάδοση ακατέργαστου ήχου. Η τοπικότητα μπορεί να είναι εργαλείο ιδιωτικότητας όταν αλλάζει τι φεύγει, ποιος μπορεί να επιθεωρήσει και πόσο γρήγορα εντοπίζεται η κακή χρήση.
Αλλά και τα τοπικά συστήματα έχουν τις δικές τους αγαπημένες καταστροφές. Σαπίζουν ήσυχα. Αποκτούν κοινόχρηστους κωδικούς επειδή η παλιά ενοποίηση ταυτοτήτων δεν έφτασε ποτέ στον προϋπολογισμό. Έχουν αντίγραφα ασφαλείας που κανείς δεν δοκιμάζει και εξαγωγές που όλοι εμπιστεύονται. Βρίσκονται σε γραφεία όπου η φυσική πρόσβαση λύνεται με μια κάρτα επισκέπτη και αισιοδοξία. Τρέχουν ξεπερασμένο λογισμικό επειδή ο προμηθευτής αποσύρθηκε και το ένα άτομο που καταλαβαίνει τη βάση δεδομένων δουλεύει πλέον τρεις μέρες την εβδομάδα. Η τοπική ιδιωτικότητα μπορεί να είναι εξαιρετική. Η τοπική αμέλεια παραμένει αμέλεια, απλώς με πιο κοντά καλώδια.
Το ίδιο ισχύει και για τα φορτία τεχνητής νοημοσύνης. Η εκτέλεση ενός μοντέλου κοντά στα δεδομένα μπορεί να κρατήσει τα ακατέργαστα αρχεία μακριά από μια κεντρική υπηρεσία. Καλό. Μπορεί όμως να δημιουργήσει και νέα παράγωγα δεδομένα, αρχεία καταγραφής, προτροπές, ενσωματώσεις, σύνολα αξιολόγησης και αποθηκευμένα αποτελέσματα που κανείς δεν έχει ταξινομήσει. Ένα τοπικό διανυσματικό ευρετήριο μπορεί να αποκαλύψει ευαίσθητες έννοιες ακόμα και όταν τα αρχικά έγγραφα είναι κλειδωμένα. Ένα μικρό μοντέλο προσαρμοσμένο σε εσωτερικές υποθέσεις μπορεί να αναπαράγει ασυνήθιστα γεγονότα αν η αξιολόγηση και η πρόσβαση είναι αδύναμες. Ένας τοπικός πράκτορας με ευρείες άδειες εργαλείων μπορεί να είναι πιο επεμβατικός από έναν απομακρυσμένο ταξινομητή με αυστηρά όρια. Η ένδειξη τοπικό θα πρέπει να ξεκινά μια συζήτηση για την ιδιωτικότητα, όχι να την τελειώνει.
Η απομακρυσμένη επεξεργασία μπορεί να είναι πειθαρχημένη
Είναι επίσης λάθος να υποθέτουμε ότι η απόσταση καταστρέφει πάντα την ιδιωτικότητα. Μια απομακρυσμένη υπηρεσία μπορεί να είναι προσεκτικά περιορισμένη. Μπορεί να λαμβάνει μόνο ψευδωνυμοποιημένα ή συγκεντρωτικά δεδομένα. Μπορεί να επεξεργάζεται κρυπτογραφημένες ή σε μορφή κουπονιών εισόδους για έναν στενό σκοπό. Μπορεί να λειτουργεί υπό ισχυρούς συμβατικούς, τεχνικούς και ελεγκτικούς ελέγχους. Μπορεί να παρέχει εξαγώγιμα αρχεία καταγραφής, κλειδιά διαχειριζόμενα από τον πελάτη, κλείδωμα περιοχής, αποδείξεις διαγραφής και ανεξάρτητες αξιολογήσεις. Μπορεί να είναι ευκολότερο να επιδιορθωθεί, να παρακολουθηθεί και να ενισχυθεί από έναν τοπικό διακομιστή που συντηρεί ένα ηρωικό άτομο με ένα κατσαβίδι και ένα ημερολόγιο γεμάτο περιστατικά.
Η σημαντική λέξη είναι πειθαρχημένη. Η απομακρυσμένη επεξεργασία πρέπει να σχεδιάζεται έτσι ώστε η απόσταση να μην μετατρέπεται σε αδυναμία. Ποιος κατέχει τα κλειδιά. Ποιοι διαχειριστές μπορούν να δουν περιεχόμενο. Ποια μεταδεδομένα συλλέγονται. Ποια μονοπάτια υποστήριξης υπάρχουν. Μπορούν να καθηλωθούν οι εκδόσεις. Μπορούν να διαγραφούν δεδομένα από παράγωγους χώρους αποθήκευσης. Μπορούν να εξαχθούν αρχεία καταγραφής σε χρήσιμη μορφή. Επιτρέπεται ή απαγορεύεται η εκπαίδευση μοντέλων. Μπορεί μια ρυθμιστική ή ελεγκτική αρχή να επιθεωρήσει τα αποδεικτικά στοιχεία χωρίς να δέχεται ένα στιγμιότυπο οθόνης ως ιερό κείμενο. Αν αυτές οι απαντήσεις είναι ασαφείς, η απόσταση γίνεται μηχανή ομίχλης. Αν είναι ακριβείς, η απόσταση μπορεί να είναι διαχειρίσιμη.
Η μηχανική ιδιωτικότητας αντιστέκεται λοιπόν και στα δύο συνθήματα. Το «cloud first» είναι πολύ τεμπέλικο. Το «local first» είναι επίσης πολύ τεμπέλικο όταν σταματά στη γεωγραφία. Το χρήσιμο ερώτημα είναι «exposure first»: ποια δεδομένα εκτίθενται, σε ποιον, για ποιο σκοπό, μέσω ποιας διαδρομής, με ποιο εναλλακτικό σχέδιο και με ποια αποδεικτικά στοιχεία. Μερικές φορές η απάντηση είναι ο τοπικός υπολογισμός. Άλλες φορές είναι ένας απομακρυσμένος επεξεργαστής με ισχυρούς ελέγχους. Άλλες φορές είναι η μη συλλογή δεδομένων καθόλου, η πιο υποτιμημένη αρχιτεκτονική στην πληροφορική και η μόνη που δεν χρειάζεται ποτέ ειδοποίηση παραβίασης.
Τα μεταδεδομένα είναι η μικρή πόρτα
Οι άνθρωποι συνήθως φαντάζονται την ιδιωτικότητα γύρω από το περιεχόμενο: ονόματα, μηνύματα, έγγραφα, εικόνες, κλινικές σημειώσεις, οικονομικά αρχεία. Το περιεχόμενο έχει σημασία. Αλλά η απόσταση συχνά αποτυγχάνει μέσω των μεταδεδομένων, της μικρής πόρτας που όλοι αφήνουν λίγο ανοιχτή επειδή φαίνεται ακίνδυνη. Οι χρόνοι πρόσβασης, οι όροι αναζήτησης, τα σήματα τοποθεσίας, τα αναγνωριστικά συσκευής, οι διαδρομές παραπομπής, οι τίτλοι εγγράφων, τα ερωτήματα προς τα μοντέλα, οι κωδικοί σφάλματος και οι μετρητές χρήσης μπορούν να αποκαλύψουν περισσότερα από όσα είχε κατά νου ένας ευγενικός σχεδιαστής συστημάτων. Μια υπηρεσία που δεν λαμβάνει ποτέ το πλήρες αρχείο μπορεί παρόλα αυτά να μάθει πότε ένα άτομο είναι άρρωστο, ανήσυχο, αφερέγγυο, απόν, αργοπορημένο, ενδιαφερόμενο, υπό έρευνα ή προσπαθεί να φύγει.
Τα μεταδεδομένα είναι ιδιαίτερα ολισθηρά στα συστήματα τεχνητής νοημοσύνης επειδή η εργασία δημιουργεί ίχνη. Τα αρχεία καταγραφής ανάκτησης δείχνουν τι ζήτησε ένας χρήστης και ποια έγγραφα φάνηκαν σχετικά. Οι ενσωματώσεις μπορούν να διατηρήσουν σημασιολογικές γειτονιές. Τα ερωτήματα μπορεί να περιέχουν επικολλημένα αποσπάσματα. Οι κλήσεις εργαλείων αποκαλύπτουν πρόθεση. Τα όρια ρυθμού και οι διαδρομές εναλλακτικού σχεδίου αποκαλύπτουν μοτίβα φόρτου εργασίας. Τα δείγματα αξιολόγησης περιέχουν παραδείγματα από πραγματικές περιπτώσεις. Η παρακολούθηση συλλέγει αποτυχίες, και οι αποτυχίες είναι συχνά πλούσιες σε πλαίσιο επειδή το σύστημα προσπαθούσε να εξηγήσει τον εαυτό του. Τίποτα από αυτά δεν είναι κακό από προεπιλογή. Η τύφλωση δεν είναι ιδιωτικότητα. Αλλά κάθε ίχνος χρειάζεται σκοπό, κοινό, περίοδο διατήρησης και στρατηγική αποκρυπτογράφησης.
Η απόσταση δεν λύνει από μόνη της τα μεταδεδομένα. Ένα μοντέλο που τρέχει σε τοπικό διακομιστή μπορεί να γράφει αναλυτικά αρχεία καταγραφής σε μια κεντρική υπηρεσία παρατηρησιμότητας. Μια υποτιθέμενα ιδιωτική εφαρμογή μπορεί να στέλνει αναφορές κατάρρευσης με την κατάσταση της οθόνης. Μια περιφερειακή ανάπτυξη μπορεί να εξαρτάται από παγκόσμια τηλεμετρία ταυτότητας. Ένα τοπικό σενάριο αναλυτικής μπορεί να δημιουργεί αντίγραφα που ζουν περισσότερο από τα δεδομένα που περιγράφουν. Το όριο ιδιωτικότητας πρέπει να περιλαμβάνει τις σκιές που ρίχνει η επεξεργασία, όχι μόνο το αρχικό αντικείμενο. Διαφορετικά, η μπροστινή πόρτα είναι κλειδωμένη και το ημερολόγιο δημοσιεύεται στο αρχείο καταγραφής πρόσβασης.
Η χρήσιμη εργασία εξακολουθεί να χρειάζεται γεγονότα
Η ιδιωτικότητα μερικές φορές καρικατουρίζεται ως η τέχνη του να λες όχι μέχρι να μην λειτουργεί τίποτα. Αυτή είναι μια φτωχή περιγραφή και, το πιο σημαντικό, μια βαρετή. Η καλή ιδιωτικότητα διατηρεί τη χρήσιμη εργασία δυνατή καθιστώντας σαφή την ελάχιστη απαραίτητη διαδρομή. Ένας κλινικός γιατρός χρειάζεται αρκετές πληροφορίες για να θεραπεύσει έναν ασθενή. Μια πόλη χρειάζεται αρκετές πληροφορίες για να παρέχει μια υπηρεσία και να αποτρέπει την απάτη. Ένας ερευνητής χρειάζεται αρκετές πληροφορίες για να απαντήσει σε ένα ερώτημα χωρίς να μετατρέπει κάθε μελλοντικό ερώτημα σε μόνιμη αξίωση επί των δεδομένων. Ο στόχος δεν είναι να στερηθούν τα συστήματα πλαισίου. Ο στόχος είναι να σταματήσει η σύγχυση της όρεξης με την αναγκαιότητα.
Εδώ είναι που η απόσταση και η ιδιωτικότητα μπορούν να συνεργαστούν. Τα ευαίσθητα δεδομένα μπορούν να παραμείνουν κοντά στην πηγή ενώ τα μοντέλα ταξιδεύουν προς αυτά. Τα ανεπεξέργαστα συμβάντα μπορούν να μετατραπούν σε τοπικά χαρακτηριστικά πριν φύγουν συγκεντρωτικά σήματα. Τα αναγνωριστικά μπορούν να διαχωριστούν από τις μετρήσεις. Η ανθρώπινη αναθεώρηση μπορεί να γίνει στο όριο όπου χρειάζεται πλαίσιο αλλά όχι ευρεία αναπαραγωγή. Η διατήρηση μπορεί να είναι μικρότερη για ανεπεξέργαστα δεδομένα και μεγαλύτερη για μη αναγνωριστικά αποδεικτικά στοιχεία. Ένα προϊόν δεδομένων μπορεί να εκθέτει μια στενή προβολή αντί για ένα κλειδί αποθήκης. Αυτές είναι σχεδιαστικές κινήσεις, όχι διαθέσεις. Μπορούν να σχεδιαστούν, να δοκιμαστούν, να παρακολουθηθούν και να εξηγηθούν.
Υπάρχει πάντα ένας συμβιβασμός. Με πολύ λίγα δεδομένα, τα συστήματα γίνονται άχρηστα ή άδικα, επειδή δεν μπορούν να δουν το σχετικό πλαίσιο. Με πάρα πολλά δεδομένα, γίνονται παρεμβατικά, ακριβά και αδύνατο να ελεγχθούν. Το όριο της ιδιωτικότητας δεν είναι μια ευθεία γραμμή από τη μυστικότητα στη χρησιμότητα. Είναι ένα σύνολο επιλογών σχετικά με την κοκκοποίηση, την τοποθεσία, τη συγκέντρωση, τον χρόνο, την πρόσβαση και την απόδειξη. Οι ώριμες ομάδες συζητούν αυτό το όριο με παραδείγματα, όχι με συνθήματα. Ξέρουν ακριβώς ποιο πεδίο θέλουν, γιατί το θέλουν, τι συμβαίνει αν δεν το πάρουν και πότε πρέπει να εξαφανιστεί. Αυτό είναι λιγότερο εντυπωσιακό από ένα μανιφέστο ιδιωτικότητας, αλλά αντέχει στην επαφή με μια βάση δεδομένων.
Η συγκατάθεση δεν είναι χώρος αποθήκευσης
Η συγκατάθεση συχνά τοποθετείται στο ίδιο νοητικό συρτάρι με την απόσταση. Αν ο χρήστης πάτησε «ναι» και τα δεδομένα έμειναν κοντά, το σύστημα φαίνεται αξιοσέβαστο. Αυτό είναι πολύ λίγο. Η συγκατάθεση δεν είναι ένα στολίδι που τοποθετείται στη συλλογή. Είναι ένας συνεχής περιορισμός στη χρήση. Θα πρέπει να επηρεάζει ποιος λαμβάνει τα δεδομένα, αν μπορούν να επαναχρησιμοποιηθούν για αναλυτική ή εκπαίδευση, πόσο καιρό διατηρούνται, ποια παράγωγα προϊόντα επιτρέπονται και τι συμβαίνει όταν το άτομο αποσύρει τη συγκατάθεση ή αντιτίθεται. Ένα αρχείο συγκατάθεσης που δεν αλλάζει τη συμπεριφορά του συστήματος δεν είναι συγκατάθεση. Είναι ένα ενθύμιο.
Η πραγματική συγκατάθεση δεν είναι επίσης πάντα η σωστή νομική ή ηθική βάση. Οι δημόσιες υπηρεσίες, η απασχόληση, η υγειονομική περίθαλψη, η ασφάλεια και οι βασικές υποδομές συχνά περιλαμβάνουν διαφορές ισχύος όπου ένα πλαίσιο ελέγχου είναι μια αδύναμη μορφή αξιοπρέπειας. Το ερώτημα της ιδιωτικότητας γίνεται πιο οξύ: τι είναι απαραίτητο για την υπηρεσία, ποιες εναλλακτικές υπάρχουν, πώς κρίνεται η αναλογικότητα και πώς μπορεί το ενδιαφερόμενο άτομο να αμφισβητήσει την κακή χρήση. Η απόσταση είναι σχεδόν άσχετη εδώ. Μια καταναγκαστική τοπική φόρμα είναι ακόμα καταναγκαστική. Ένας απομακρυσμένος επεξεργαστής που ενεργεί υπό αυστηρό σκοπό και νόμιμα όρια μπορεί να είναι λιγότερο παρεμβατικός από ένα τοπικό γραφείο που ζητά τα πάντα επειδή η φόρμα είχε πάντα αυτό το πεδίο.
Τα συστήματα θα πρέπει να αντιμετωπίζουν τη συγκατάθεση, τον σκοπό και τη νομική βάση ως επιχειρησιακά δεδομένα, όχι ως γραφειοκρατία. Θα πρέπει να έχουν εκδόσεις, να συνδέονται με αρχεία και να ελέγχονται από αγωγούς επεξεργασίας. Αν ένα σύνολο δεδομένων δεν είναι επιλέξιμο για εκπαίδευση μοντέλων, η εργασία εκπαίδευσης θα πρέπει να αποτύχει. Αν ένα άτομο ανακαλέσει την προαιρετική χρήση για αναλυτική, η προβολή αναλυτικής θα πρέπει να σταματήσει να το περιλαμβάνει και να καταγράψει την αλλαγή. Αν ένας σκοπός λήξει, η διατήρηση θα πρέπει να το αντιληφθεί. Αυτό είναι κουραστικό με τον τρόπο που είναι κουραστικά τα φρένα. Η εναλλακτική είναι συναρπαστική μόνο για ανθρώπους που απολαμβάνουν τις έρευνες.
Η εξαγωγή συμπερασμάτων αλλάζει το όριο
Η ιδιωτικότητα παλιότερα αφορούσε τα δεδομένα που συλλέγονταν. Τα συστήματα τεχνητής νοημοσύνης μάς αναγκάζουν να ενδιαφερόμαστε και για τα δεδομένα που συνάγονται. Ένα μοντέλο μπορεί να συνάγει κίνδυνο εγκυμοσύνης, οικονομική δυσχέρεια, πολιτικό ενδιαφέρον, κατάσταση υγείας, εργασιακό άγχος, πρόθεση παραίτησης ή ευαλωτότητα από δεδομένα που κατά τη συλλογή τους δεν έμοιαζαν τόσο ευαίσθητα. Το σύστημα μπορεί να μην ζητήσει ποτέ το ευαίσθητο πεδίο. Μπορεί να το κατασκευάσει από τη συμπεριφορά. Γι' αυτό η ελαχιστοποίηση δεν μπορεί να σταματά στη φόρμα εισαγωγής. Πρέπει να ακολουθεί τους μετασχηματισμούς, τα χαρακτηριστικά, τις προβλέψεις, τις κατατάξεις και τις επεξηγήσεις.
Η απόσταση μπορεί να κάνει τον κίνδυνο της εξαγωγής συμπερασμάτων λιγότερο ορατό. Μια τοπική ομάδα μπορεί να πιστεύει ότι δεν μοιράζεται ποτέ ευαίσθητα δεδομένα επειδή τα πρωτογενή πεδία παραμένουν εσωτερικά. Αλλά αν εξάγει βαθμολογίες, τμήματα, σημαίες ή λίστες κατάταξης, μπορεί να εξάγει ευαίσθητα συμπεράσματα. Μια απομακρυσμένη υπηρεσία αναλυτικής μπορεί να μην λαμβάνει ποτέ ονόματα, αλλά αν λαμβάνει σταθερά αναγνωριστικά και αρκετή λεπτομέρεια συμπεριφοράς, η διαφορά μεταξύ ανώνυμου και ασθενούς γίνεται μια νομική κωμωδία με πενιχρά εισιτήρια. Τα όρια της ιδιωτικότητας πρέπει να χαράσσονται γύρω από το νόημα, όχι μόνο γύρω από τα byte. Το νόημα είναι ενοχλητικά μεταφερόμενο.
Για την τεχνητή νοημοσύνη, η αναθεώρηση της ιδιωτικότητας θα πρέπει να ρωτά ποια νέα δεδομένα δημιουργεί το σύστημα. Ποια αποτελέσματα γίνονται αρχεία. Ποιος μπορεί να ενεργήσει βάσει αυτών. Μπορεί ένα άτομο να τα δει ή να τα αμφισβητήσει. Χρησιμοποιούνται για δευτερεύοντες σκοπούς. Διατηρούνται περισσότερο από τα δεδομένα εισόδου. Τροφοδοτούν ξανά την εκπαίδευση. Είναι αρκετά ακριβή για τις συνέπειες που επιφέρουν. Μια πρόβλεψη μπορεί να είναι πιο παρεμβατική από τα δεδομένα που χρησιμοποιήθηκαν για να παραχθεί. Η μηχανή δεν μετακίνησε απλώς πληροφορίες. Πρόσθεσε έναν ισχυρισμό.
Τα τεκμήρια είναι η σιωπηλή προστασία
Η ιδιωτικότητα αποτυγχάνει δύο φορές όταν λείπουν τα τεκμήρια. Πρώτον, μπορεί να προκληθεί βλάβη επειδή το σύστημα επέτρεψε υπερβολική συλλογή, πρόσβαση, επαναχρησιμοποίηση ή διατήρηση. Δεύτερον, ο οργανισμός δεν μπορεί να αποδείξει τι συνέβη, οπότε ο ενδιαφερόμενος λαμβάνει μια θολή εξήγηση και μια συγγνώμη σε σχήμα διαγράμματος διαδικασίας. Τα τεκμήρια δεν είναι επιτήρηση για την επιτήρηση. Είναι η ικανότητα ανασύνθεσης της διαδρομής από την άδεια στην ενέργεια χωρίς να εκτίθενται περισσότερα δεδομένα από όσα χρειάζονται.
Τα καλά τεκμήρια είναι σκόπιμα περιορισμένα. Καταγράφουν τον σκοπό, την κατάσταση συγκατάθεσης ή τη νομική βάση, την πηγή, τον μετασχηματισμό, την απόφαση πρόσβασης, την έκδοση μοντέλου ή κανόνα, το αποτέλεσμα, την κατηγορία διατήρησης και τα συμβάντα διαγραφής. Χρησιμοποιούν κατακερματισμούς, αναφορές, αποκλεισμούς και διαχωρισμό όπου το περιεχόμενο δεν πρέπει να αντιγράφεται. Καθιστούν ορατή την ασυνήθιστη πρόσβαση. Δείχνουν ποιος επεξεργαστής έλαβε ποια δεδομένα υπό ποιους όρους. Επιτρέπουν σε έναν ελεγκτή να επαληθεύσει ότι ένα αίτημα διαγραφής έφτασε στα ευρετήρια και στις προσωρινές μνήμες. Επιτρέπουν σε έναν χρήστη να αμφισβητήσει μια απόφαση χωρίς να αναγκάζει το προσωπικό να σκάβει σε ιδιωτικό υλικό σαν αρχαιολόγοι με δικαιώματα διαχειριστή.
Εδώ η απόσταση μπορεί είτε να βοηθήσει είτε να βλάψει. Τα τοπικά τεκμήρια μπορεί να είναι ευκολότερα στην επιθεώρηση, αλλά μόνο αν είναι πλήρη και αρκετά ανεξάρτητα. Τα απομακρυσμένα τεκμήρια μπορεί να είναι εξαγώγιμα και δομημένα, αλλά μόνο αν ο πάροχος δεν μπορεί να τα ξαναγράψει αθόρυβα ή να κρύψει σημαντικά επίπεδα. Η σημαντική ιδιότητα δεν είναι η ταχυδρομική διεύθυνση του αρχείου καταγραφής. Είναι το κατά πόσον τα τεκμήρια είναι αξιόπιστα, αναλογικά, προσβάσιμα στα σωστά άτομα και συνδεδεμένα με τους ελέγχους που ισχυρίζονται ότι αντιπροσωπεύουν.
Η πραγματική διάκριση
Η διαφορά μεταξύ ιδιωτικότητας και απόστασης δεν είναι θεωρητική. Αλλάζει τις αγορές, την αρχιτεκτονική, τους ελέγχους και τις καθημερινές συνήθειες. Αν μια ομάδα πιστεύει ότι απόσταση σημαίνει ιδιωτικότητα, θα μετακινήσει τα δεδομένα πιο κοντά και θα σταματήσει να σκέφτεται. Αν πιστεύει ότι η ιδιωτικότητα είναι μια ενεργή πειθαρχία, θα αναρωτηθεί τι αλλάζει πραγματικά η εγγύτητα. Μειώνει όσους μπορούν να δουν το περιεχόμενο; Κρατά τα κλειδιά υπό υπεύθυνο έλεγχο; Περιορίζει τα μεταδεδομένα; Απλοποιεί τη διαγραφή; Διατηρεί χρήσιμα αποδεικτικά στοιχεία; Μειώνει την εξάρτηση χωρίς να αυξάνει την τοπική αμέλεια; Καθιστά τον ενδιαφερόμενο πιο ικανό να κατανοήσει και να αμφισβητήσει τη χρήση;
Δεν υπάρχει καθολική απάντηση. Ένα ιατρείο χωριού, μια τράπεζα, ένα πανεπιστημιακό εργαστήριο, ένα δικαστήριο, μια μεταποιητική επιχείρηση και μια εφαρμογή τηλεφώνου έχουν διαφορετικούς κινδύνους και διαφορετικές πρακτικές επιλογές. Κάποιοι θα πρέπει να υπολογίζουν τοπικά. Κάποιοι θα πρέπει να χρησιμοποιούν εξειδικευμένους απομακρυσμένους επεξεργαστές. Κάποιοι θα πρέπει να συγκεντρώνουν δεδομένα. Κάποιοι θα πρέπει να διαχωρίζουν την ταυτότητα. Κάποιοι θα πρέπει να σταματήσουν να συλλέγουν πεδία που κανείς δεν έχει υπερασπιστεί από τότε που το υπολογιστικό φύλλο ήταν νέο. Αυτό που μοιράζονται είναι η ανάγκη να αντιμετωπίζουν την ιδιωτικότητα ως συμπεριφορά, όχι ως σκηνικό. Το σύστημα πρέπει να επιβάλλει τα όριά του όταν κανείς δεν κάνει παρουσίαση.
Η απόσταση εξακολουθεί να έχει σημασία. Έχει σημασία επειδή η εξουσία συχνά ακολουθεί την υποδομή. Έχει σημασία επειδή οι δικαιοδοσίες, οι διαχειριστές, τα κλειδιά, η καθυστέρηση, η ανθεκτικότητα και οι οδοί εξόδου δεν είναι φανταστικά. Αλλά η απόσταση είναι χρήσιμη μόνο όταν συνδέεται με τον σκοπό, την ελαχιστοποίηση, τον έλεγχο πρόσβασης, τα αποδεικτικά στοιχεία, τη διαγραφή και την επανόρθωση. Ένα κοντινό χάος παραμένει χάος. Ένα απομακρυσμένο σύστημα με πειθαρχημένα όρια μπορεί να είναι πιο ιδιωτικό από ένα τοπικό ντουλάπι με ηρωική ετικέτα. Το σοβαρό ερώτημα δεν είναι αν τα δεδομένα είναι κοντά. Το σοβαρό ερώτημα είναι αν το άτομο ή ο φορέας που είναι υπεύθυνος για τα δεδομένα μπορεί να διαχειρίζεται τι τους συμβαίνει, να αποδεικνύει αυτή τη διαχείριση και να σταματά όταν απαιτείται να σταματήσει.