Tärkein tekoälyjärjestelmä voi olla se, jota kukaan ei näe

Malli on näkyvä kerros. Euroopan todellinen tekoälykyvykkyys riippuu sen alla olevista siruista, laskennasta, verkoista, tiedoista, sopimuksista ja ihmisistä.

Tärkein tekoälyjärjestelmä voi olla se, jota kukaan ei näe

Kone vastauksen takana

Euroopan ensimmäinen eksaskaalan supertietokone ei ole vertauskuva. JUPITER on todellinen järjestelmä Forschungszentrum Jülichissä, ja sitä ylläpitää Jülich Supercomputing Centre. EuroHPC Joint Undertaking kuvailee sen suoranestejäähdytteistä BullSequana-arkkitehtuuria, 20 petatavun erittäin nopeaa flash-osiota ja suunnittelua, joka on tarkoitettu vaativiin simulaatioihin ja laskentaintensiiviseen tekoälyyn. Kuvaus on täynnä yksityiskohtia, jotka tekevät järjestelmästä mahdollisen: prosessoriarkkitehtuuri, tallennuskerros, jäähdytysmenetelmä, ylläpitävä organisaatio ja käyttöpolku. Malli, joka mahdollisesti joskus toimii sen päällä, on vain yksi osa lausetta.

Tämä ero on helppo unohtaa, koska tekoälyn näkyvä osa on vastaus. Ihminen kysyy kysymyksen, malli palauttaa tekstiä, ja ruutu antaa vaikutelman, että älykkyys saapui yhdessä paketissa. Piilotettu työ on vähemmän elokuvallista. Sähkön on kulkeuduttava rakennukseen. Komponenttien on saavuttava oikeassa kunnossa. Laiteohjelmistokuvaan on voitava luottaa. Verkkojen on siirrettävä dataa prosessorien ja tallennuksen välillä. Identiteetin on vahvistettava, kuka tai mikä palvelu saa käyttää mitäkin resurssia. Ajastimen on löydettävä kapasiteettia. Rekisterin on kerrottava käyttäjälle, mikä malli, kontti ja datajulkaisu ovat käytössä. Valvonnan on huomattava, että järjestelmä on muuttunut. Jonkun on silti osattava korjata se märkänä tiistaina, kun toimittajan dokumentaatioon on tullut uusi versionumero ja ainoa, joka ymmärsi vanhaa, on lomalla.

Tärkeä tekoälyjärjestelmä voi siis olla se, jota kukaan ei näe. Se on toimitusketju, sähkösopimus, verkkoinfrastruktuuri, ylläpitosuunnitelma, ohjelmistoriippuvuuksien puu, hankintapäätös ja institutionaalinen muisti, jotka mahdollistavat mallin käytön ilman, että teeskennellään mallin olevan koko palvelu. Kun piilotettu järjestelmä on heikko, kyvykkäämpi malli ei tee palvelusta vahvempaa. Se antaa heikolle järjestelmälle vaikuttavamman tavan epäonnistua.

Tämä ei ole argumentti malleja tai suuria julkisia laskentaohjelmia vastaan. Se on argumentti niiden rehellisen kuvaamisen puolesta. Eurooppa rakentaa kapasiteettia Chips Actin, EuroHPC:n ja AI Factories -ohjelman kautta. Komission politiikkasivut puhuvat strategisista riippuvuuksista, toimitusketjun häiriönsietokyvystä, pienten yritysten pääsystä ja luotettavan tekoälyn edellyttämästä infrastruktuurista. Nämä ovat infrastruktuurikysymyksiä, eivät brändäyskysymyksiä. Jos maanosa haluaa hyödyllistä kyvykkyyttä eikä kokoelmaa vaikuttavia demonstraatioita, sen on kohdeltava hiljaisia kerroksia osana kyvykkyyttä.

Vastaus on ylin kerros. Palvelu on riippuvainen jokaisesta sen alapuolella olevasta kerroksesta.

Malli on komponentti, ei valtio

Julkisessa keskustelussa mallia käytetään usein koko toimintakyvyn lyhenteenä. Maalla on malli, yrityksellä on malli, osastolla on malli, ja mallia kohdellaan ikään kuin se kantaisi mukanaan omaa toimitusketjuaan. Näin ei ole. Mallilla on tiedosto, parametrit, suoritusympäristö ja joukko oletuksia työstä, jota sen odotetaan tekevän. Palvelu sen ympärillä kantaa loput velvoitteista.

Tarkastellaan vaatimatonta järjestelmää, joka luokittelee saapuvat asiakirjat ennen kuin ihmistiimi tarkistaa ne. Se tarvitsee vastaanottokanavan, jonon, jäsentimen, tallennustilan, käyttöoikeuksien hallinnan, mallin suoritusympäristön, tulosten tallennuspaikan, ilmoituspolun, tavan peruuttaa julkaisu ja selvityksen siitä, mitä tapahtui. Luokittelija voi olla tarkka testijoukossaan ja silti olla käyttökelvoton, jos jäsennin pudottaa kentän, jos identiteettijärjestelmä myöntää väärän roolin, jos mallisäiliötä ei voida hakea tai jos käyttäjä ei pysty selvittämään, mikä versio teki suosituksen. Mikään näistä vioista ei ole mallin hallusinaatio. Ne ovat vikoja palvelussa, joka teki mallista merkityksellisen.

Päinvastainen virhe on yhtä yleinen. Tiimit kuvailevat koko palvelua häiriönsietokykyiseksi, koska malli on arvioitu, mutta jättävät riippuvuudet arvioinnin ulkopuolelle. Mallitesti voi tarkistaa tulosteet valitulle työmäärälle. Se tarkistaa harvoin, vanheneeko varmenne samaan aikaan kuin ohjelmistovarasto vaihtaa allekirjoitusavaimensa, riittääkö tallennustilan kapasiteetti tavanomaista pidemmälle asiakirjalle tai voiko henkilö hakea lähdetietueen, kun toimittaja muuttaa sovellusrajapintaa. Nämä huolenaiheet kuuluvat operatiiviseen järjestelmään. Ne ovat silti osa sitä, mitä käyttäjä kokee tekoälynä.

Hyödyllinen kysymys ei ole se, onko malli hyvä erillään tarkasteltuna. Se on se, minkä muun on oltava totta, ennen kuin mallin tulosteeseen voidaan luottaa, ja kenellä on valtuudet korjata nämä asiat. Tämä kysymys siirtää keskustelun malliluettelosta järjestelmän rajaan. Se luo myös vähemmän imartelevan mutta hyödyllisemmän inventaarion.

  • Mitkä fyysiset resurssit on pidettävä saatavilla?
  • Minkä ohjelmisto- ja laiteohjelmistokomponenttien on saavuttava ehjinä ja pysyttävä tuettuina?
  • Minkä identiteetti-, verkko-, tallennus- ja rekisteripalvelujen on vastattava?
  • Mikä organisaatio on vastuussa, kun riippuvuus muuttuu?
  • Mikä näyttö antaa toiselle henkilölle mahdollisuuden tarkistaa vastauksen myöhemmin?
  • Proposal for the Chips Act 2.0, Euroopan komissio, 3. kesäkuuta 2026.

Nämä kysymykset eivät ole teoreettisia. Ne ovat ero toimintakyvyn, jota voidaan käyttää, ja toimintakyvyn, joka voidaan osoittaa kerran, välillä. Esittelyt ovat miellyttäviä. Välttämättömien palvelujen on selviydyttävä seuraavasta huoltoikkunasta.

Toimitusketjut ovat järjestelmän rajan sisällä

ENISA:n työ toimitusketjun eheyden parissa alkaa epäkiitollisesta havainnosta: hallitukset, organisaatiot, yritykset ja kuluttajat ovat yhä riippuvaisempia tieto- ja viestintätekniikan tuotteista ja palveluista ja siten toimitusketjuista, jotka toimittavat ne. Sen raportti nimeää uhkia, jotka ulottuvat kehityksen, jakelun tai käytön aikaisesta peukaloinnista väärennettyjen tai kloonattujen komponenttien korvaamiseen. Asia on laajempi kuin tietoturvatarkistuslista. Toimitettava asia ei ole vain laatikko. Se on sarja ihmisiä, koodia, komponentteja, sopimuksia ja päätöksiä, joiden kautta laatikosta tulee riittävän luotettava käytettäväksi.

Tekoälypalvelu perii tämän sarjan. Harjoitusajo riippuu peruskuvasta, kääntäjästä, ajurista, ytimestä, ajastimesta ja lähdeaineistosta. Päättelypalvelu riippuu samoista kerroksista sekä palveluajosta, indeksistä, käytäntöportista ja rajapinnasta, joka voi jatkaa toimintaansa, kun liikenne ei muistuta testijoukkoa. Julkinen laitos voi ostaa palvelun sen sijaan, että ostaisi jonkin näistä osista, mutta piilotettu ketju ei katoa, vaikka sopimus kutsuu sitä alustaksi.

ENISAn vuoden 2024 ennakointipäivitys nostaa ohjelmistojen toimitusketjun vaarantumisen vuoden 2030 kyberuhkien listan kärkeen. Se nostaa myös osaajapulan, inhimilliset virheet kyberfyysisissä ekosysteemeissä, rajat ylittävät ICT-palveluntarjoajat yhtenä vikapisteenä sekä ympäristöhäiriöiden fyysiset vaikutukset kriittiseen digitaaliseen infrastruktuuriin keskeisten huolenaiheiden joukkoon. Nämä eivät ole väitteitä siitä, että jokainen tekoälyprojekti kohtaisi kaikki nämä uhat. Ne ovat muistutus siitä, että uhkapinta koostuu suhteista. Korjaustiedosto, toimittaja, ihminen ja tulva voivat kaikki vaikuttaa samaan palveluun, vaikka ne esiintyvät eri riskirekistereissä.

Saman raportin kieli on hyödyllistä, koska se vastustaa kuvitelmaa, jonka mukaan kyberriski kuuluu vain tietoturvatiimille. Riippuvuus voidaan vaarantaa ohjelmistossa, mutta sen seuraukset voivat ilmetä fyysisen prosessin, hankintapäätöksen tai puuttuvan osaamisen kautta. Palvelusta voi tulla yksittäinen vikapiste, koska sen tarjoaja on teknisesti erinomainen ja laajalti käytetty. Keskittyminen ei ole sama asia kuin epäpätevyys. Se on palvelun ympärillä olevan verkon ominaisuus.

Tämä luo käytännön rajanveto-ongelman. Jos organisaatio arvioi vain mallin ja sen välittömän suoritusympäristön, tulos voi olla tarkka valitun rajan osalta mutta harhaanjohtava sen palvelun osalta, jota se ylläpitää. Jos se arvioi jokaista toimittajaa yhtä perusteellisesti, se tuottaa laskentataulukon, jota kukaan ei pysty ylläpitämään. Ratkaisu on riippuvuuskartta, joka seuraa seurauksia. Tunnista, mikä voi muuttaa tuotosta, keskeyttää palvelun, pyyhkiä todisteita, laajentaa valtuuksia tai estää palautumisen. Kysy sitten, onko riippuvuus riittävän näkyvä valvottavaksi ja onko olemassa toista reittiä.

Karttaan tulisi sisällyttää tavalliset materiaalit. Palvelin vaatii muistia, tallennuslaitteita, tehonmuunnosta, jäähdytyslaitteita ja varaosia. Verkko vaatii optisia komponentteja, kytkimiä, reititysohjelmistoja ja ihmisiä, jotka tuntevat topologian. Ohjelmistojen toimitusketju vaatii ylläpitäjiä, rakennusinfrastruktuuria, pakettirekistereitä, allekirjoitusavaimia ja julkaisuprosesseja. Mikään näistä ei muutu vähemmän tärkeäksi siksi, että tuote-esite kertoo tekoälystä.

On houkuttelevaa vastata laajemmalla toimittajakyselyllä. Kysely voi olla hyödyllinen, mutta se ei ole riippuvuuskartta. Se tallentaa sen, mitä toimittaja sanoo yhdellä hetkellä. Toiminnallinen kysymys on, pystyykö ostaja huomaamaan muutoksen, tulkitsemaan sen ja toimimaan oikeasuhtaisesti. Sertifikaattiluettelo ei korvaa tietoa siitä, mikä komponentti pysäyttäisi palvelun, jos se katoaisi huomisaamuna. Eurooppalaiset organisaatiot ovat ihailtavan hyviä keräämään asiakirjoja. Vaikeampi taito on saada asiakirjat osoittamaan päätökseen.

Sirut tekevät näkymättömästä fyysistä

Euroopan siruasetus toteaa tosiasian, jonka pitäisi olla itsestään selvä ja joka on silti syytä todeta: puolijohteet ovat elektroniikkatuotteiden rakennuspalikoita ja keskeisiä sektoreille viestinnästä ja tietojenkäsittelystä terveydenhuoltoon, energiaan, liikenteeseen ja teollisuuden automaatioon. Asetus tuli voimaan syyskuussa 2023 ja asettaa tavoitteita, joihin kuuluvat tutkimuksen ja teknologisen johtajuuden vahvistaminen, suunnittelu-, valmistus- ja pakkauskapasiteetin lisääminen, osaajapulan ratkaiseminen sekä maailmanlaajuisen puolijohdetoimitusketjun syvällisemmän ymmärryksen kehittäminen.

Tämä luettelo on tärkeä tekoälyn kannalta, koska laskentakapasiteettia ei luoda pilvilogolla. Sen luovat ketju, joka koostuu suunnitelmista, piikiekoista, laitteista, pakkauksesta, testauksesta, tehonjakelusta, jäähdytyksestä, verkoista ja ylläpidosta. Pulma tai viive yhdessä osassa voi muuttaa sitä, mitä datakeskus pystyy toimittamaan, vaikka mallitiedostot olisivat valmiina. Jos komponentin toimitusaika on pitkä, käyttäjä ei voi korjata ongelmaa nokkelalla kehotteella. Jos laiteohjelmistoriippuvuutta ei voi päivittää turvallisesti, vaihtoehtoina voivat olla hallittu palvelun supistaminen tai turvaton yritys pitää kaikki toiminnassa.

Komission katsaus esittelee Chips Actin kolme pilaria. Ensimmäinen tukee kapasiteetin rakentamista ja innovointia, mukaan lukien pilottilinjat ja osaamiskeskukset. Toinen käsittelee toimitusvarmuutta ja häiriönsietokykyä valmistuksen, edistyneen paketoinnin, testauksen ja kokoonpanon kautta. Kolmas luo seuranta- ja kriisinhallintamekanismeja, mukaan lukien Euroopan puolijohdelautakunnan, joka kartoittaa ja seuraa arvoketjua sekä koordinoi toimia puolijohdekriiseissä. Institutionaalinen rakenne on hyödyllinen korjaus ajatukseen, jonka mukaan omavaraisuus tarkoittaa kaikkien komponenttien tuottamista kotimaassa. Häiriönsietokyky on osittain kapasiteettia, osittain näkyvyyttä ja osittain kykyä reagoida, kun riippuvuus siirtyy.

Sivulla on myös konkreettisia esimerkkejä hyväksytyistä ensimmäisen laatuaan olevista laitoksista Cataniassa, Crollesissa, Dresdenissä, Novarassa, Premstättenissä, Milanossa ja muilla Euroopan paikkakunnilla. Nämä merkinnät eivät ole todiste siitä, että Eurooppa olisi ratkaissut puolijohdeongelman. Ne ovat todiste siitä, että arvoketjulla on fyysisiä paikkoja, teknologioita ja investointipäätöksiä, jotka voidaan nimetä. Niiden nimeäminen muuttaa keskustelua. Se mahdollistaa kysymyksen siitä, mitä kyvykkyyttä kukin laitos tuo, mihin panoksiin se edelleen tukeutuu, mitä osaamista se tarvitsee ja miten sitä tuettaisiin häiriötilanteessa.

Komission kesäkuussa 2026 julkaisema ehdotus Chips Act 2.0:ksi toteaa, että unioni on edelleen riippuvainen kolmansista maista keskeisillä alueilla, kuten edistyneessä sirujen valmistuksessa ja puolijohdesuunnittelussa. Heinäkuun 31. päivän artikkelille tämä on ajankohtainen poliittinen kannanotto, ei ennuste tulevasta laista. Sen käytännön merkitys on yksinkertainen: eurooppalainen palvelu voi sijaita Euroopassa ja silti olla riippuvainen globaalista ketjusta, jonka tärkeimmät päätökset tehdään muualla. Fyysinen sijainti on arvokasta. Se ei ole sama asia kuin hallinta.

Teköälypolitiikasta voi tulla vakavampaa, kun se lainaa tämän fyysisen sanaston. Sen sijaan, että kysytään, onko malli eurooppalainen, kannattaa kysyä, mitkä palvelun osat voidaan korjata, vaihtaa, tarkastaa ja pysäyttää eurooppalaisten instituutioiden puitteissa. Sen sijaan, että kysytään, onko palveluntarjoajalla eurooppalainen alue, kannattaa kysyä, miten laitteisto, laiteohjelmisto, ohjelmistoriippuvuudet ja käyttövaltuudet liikkuvat palvelun läpi. Vastaus on epäsiisti. Hyvä. Epäsiistit kartat ovat usein ensimmäisiä rehellisiä.

Laskenta on julkinen kyvykkyys

EuroHPC tarjoaa hyödyllisen esimerkin, koska se tekee laskentainfrastruktuurin näkyväksi muuttamatta sitä kuluttajatuotteeksi. Sen julkinen luettelo kertoo, että yhteisyritys on hankkinut kaksitoista huipputason supertietokonetta eri puolille Eurooppaa. Luettelo nimeää järjestelmät ja isäntäorganisaatiot: JUPITER Jülichissä Saksassa, LUMI Kajaanissa, Leonardo Bolognassa, MareNostrum 5 Barcelonassa, Karolina Ostravassa ja Arrhenius Linköpingin yliopistossa, muiden muassa. Sijainnit ovat vähemmän tärkeitä vertailutaulukkona kuin muistutuksena siitä, että laskenta on kiinni instituutioissa, rakennuksissa, henkilöstössä, sähköjärjestelmissä, tallennuksessa ja tutkimusohjelmissa.

JUPITERia kuvataan Euroopan ensimmäiseksi eksaskaalan supertietokoneeksi, jossa on suoran nestejäähdytyksen arkkitehtuuri, 20 petatavun flash-osio ja klusterimoduuli, joka käyttää SiPearl Rhea1 -suoritinta GPU-kiihdytetyn tehostinosan rinnalla. LUMIn sivulla kuvataan erilliset CPU-, GPU-, data-analytiikka- ja konttipilviosiot sekä tallennusjärjestelmä, joka yhdistää flash-muistin, rinnakkaisen tiedostojärjestelmän ja tiedonhallintapalvelun. Nämä yksityiskohdat eivät ole pelkkää triviaa insinööreille. Ne kertovat politiikan lukijalle, että supertietokone on joukko erimuotoisia resursseja. Työkuorma, joka sopii yhteen osioon, ei välttämättä sovi toiseen. Pääsy, ajastus ja tiedonsiirto ovat osa kyvykkyyttä.

MareNostrum 5, hosted by the Barcelona Supercomputing Center, and Arrhenius, being installed at Linköping University and operated by the National Academic Infrastructure for Supercomputing in Sweden, make the same point in different ways. A distributed European capacity is not one giant machine. It is a set of systems with different processors, storage arrangements, operators, access rules and scientific communities. The network between them matters, but so do the seams.

The Commission's AI Factories policy describes a programme built on that reality. AI Factories use EuroHPC supercomputing capacity to develop advanced generative AI and connect computing centres, universities, small and medium-sized enterprises, industry and financial actors. The page says that, at the time of its April 2026 update, nineteen AI Factories and thirteen antennas were operational, with at least nine new AI-optimised supercomputers planned. It also describes a long-term investment of ten billion euros through EuroHPC during 2021 to 2027. These are institutional arrangements, not a guarantee that every project will receive the capacity it wants or that every model will be trustworthy.

The value of such arrangements is not only speed. Public compute can create a place where European researchers and companies can run workloads under rules and access arrangements that are visible to public institutions. It can support experimentation that would otherwise be priced out, and it can make some knowledge reproducible across sites. It can also introduce new dependencies if a programme relies on a small number of suppliers, a single software stack or a workforce that cannot be replaced. Public ownership of a facility does not remove operational work. It makes the responsibility harder to hide, which is healthier.

When compute becomes public capability, its success should be measured beyond peak performance. Can a smaller research group obtain access? Can a sensitive workload be separated from a general one? Can an operator show which software and hardware were used? Can a team move a workload when a partition is full or a dependency is retired? Can a public authority explain the conditions under which a model was trained? A fast machine that cannot answer these questions is still useful for some science, but it is not yet a complete foundation for public AI.

Networks, storage and identity do the quiet work

The most important layers are often the ones that do not appear in an AI diagram. A diagram draws a model between an input and an output. An operator sees a chain of network paths, storage classes, identity assertions, queues, certificates, registries, secrets, observability pipelines and change controls. The diagram is not wrong. It is incomplete in exactly the way that produces expensive surprises.

Start with the network. A large model service may move data between accelerators, memory, storage and other services. A public research workload may move datasets to a supercomputer and results back to a university. A production workflow may cross a policy boundary before it reaches a model and another boundary before it returns a decision. Latency, packet loss, routing changes and maintenance can alter the behaviour of the whole service without changing a single parameter in the model. A timeout may become a retry, a retry may become duplicate work, and duplicate work may become an incorrect record. The model did not decide to retry. The surrounding system did.

Tallennuksella on oma piilokielioppinsa. On olemassa lähdetietue, muunnettu tietue, indeksi, välimuisti, loki, varmuuskopio, poistomerkintä ja todiste siitä, mitä versiota on käytetty. Palvelu voi pystyä vastaamaan kysymykseen, mutta ei silti pystyä todistamaan, minkä datan perusteella vastaus on mahdollistettu. Säilytys ja haku eivät ole toistensa peilikuvia. Kaiken säilyttäminen ikuisesti voi rikkoa käyttötarkoitussidonnaisuuden; lähteen poistaminen mutta johdannaisen tai välimuistin säilyttäminen voi aiheuttaa toisenlaisen ongelman. Vakava dataraja määrittelee, mitä tallennetaan, kuinka kauan, kenen toimesta ja miten myöhempi tarkastelija voi päätellä, että rajaa on noudatettu.

Identiteetti ei ole kirjautumisnäyttö. Se on mekanismi, joka antaa henkilölle, palvelulle tai agentille oikeuden suorittaa toiminto. Jos päättelypäätepiste voi kutsua työkalua, järjestelmän on tiedettävä, mikä päämies pyynnön esitti, mikä käytäntö kutsun salli ja mihin työkalu sai koskea. Jos rekisteri sallii kontin edistämisen, sen on tiedettävä, kuka voi hyväksyä edistämisen ja mitä todisteita vaaditaan. Jos sertifikaatti uusitaan automaattisesti, palvelulla on silti oltava tapa huomata, että identiteettisuhde on muuttunut. Salaisuus, joka pysyy voimassa sen jälkeen, kun sen pyytänyt henkilö on lähtenyt, on ylläpito-ongelma, jolla on tietoturvaseuraus.

Rekisterit ovat liikkuvan järjestelmän muisti. Mallirekisteri voi sisältää versioita ja metatietoja. Artefaktirekisteri voi sisältää kontteja, paketteja tai allekirjoitettuja julkaisuja. Datarekisteri voi kuvata skeemoja ja omistajuutta. Laitteistoinventaario voi tunnistaa piirilevyn, laiteohjelmistoversion ja korvausstatuksen. Tarkoitus ei ole luoda yhtä rekisteriä kaikelle. Tarkoitus on tehdä jokaisen väitteen auktoritatiivinen lähde selväksi. Jos mikään järjestelmä ei pysty vastaamaan, mikä malli, ajuri, dataversio ja käytäntöversio olivat käytössä, myöhemmän tarkastelun on pakko päätellä historia selvinneistä lokeista.

Havaittavuus sulkee silmukan. Mittarit kertovat operaattorille, että jono on kasvanut tai laite on kuuma. Jäljitykset näyttävät pyynnön kulkeman reitin. Lokit sisältävät kontekstia, mutta niitä on helppo ymmärtää väärin. Tapahtumat ja vahvistukset voivat säilyttää päätökset ja muutokset. Näillä objekteilla on erilaiset tehtävät. Niiden kohteleminen keskenään vaihtokelpoisina tuottaa joko kohinaa tai väärän todisteen tunteen. Suunnittelukysymys on, mitä henkilön on tiedettävä, kun palvelu on myöhässä, väärässä, saavuttamattomissa tai kiistanalainen, ja mikä tietue voi vastata siihen kysymykseen ilman rekonstruointiharjoitusta.

Tätä voi kuvata tylsäksi suunnitteluksi. Se ei ole loukkaus. Tylsä suunnittelu on se osa, joka toimii edelleen, kun julkaisuilmoitus on siirtynyt alas etusivulta. Se on myös se osa, joka määrittää, voidaanko uusi malli ottaa käyttöön ilman, että organisaatio rakennetaan sen ympärille uudelleen.

Ylläpito on kyvykkyys, ei kulurivi

Infrastruktuuritarinat päättyvät mielellään käyttöönottoon. Silloin työstä tulee palvelu. Malli julkaistaan, klusteri otetaan käyttöön, tehdas avataan, sopimus allekirjoitetaan, ja kerronta siirtyy seuraavaan ilmoitukseen. Järjestelmä itse jatkaa päivitysten, laitteistovaihtojen, koulutuksen, käyttöoikeuskatselmusten, päivitysten, poistojen, häiriötilanteiden hallinnan ja niiden ihmisten asteittaisen poistumisen kautta, jotka muistavat, miksi jokin asetus on valittu.

ENISA:n uhkakatsaus sijoittaa osaajapulan korkealle pitkän aikavälin huolissaan. Tämä ei ole vain työmarkkinakysymys. Se on häiriönsietokysymys. Palvelulla, jonka riippuvuuksia vain yksi henkilö ymmärtää, on piilotettu yksittäinen vikapiste. Organisaatiolla voi olla varaosia, mutta silti puuttua kyky käyttää niitä turvallisesti, koska toimintaohje, rakennusprosessi tai datarajapinta on yhden insinöörin muistin varassa. Tuen ostaminen voi vähentää riskiä, mutta ostajan on silti ymmärrettävä riittävästi voidakseen haastaa toimittajan ja päättää, milloin lopettaa.

Huolto muuttaa myös sitä, mitä suorituskykylupaus tarkoittaa. Yhdellä julkaisulla tehty vertailuajokertoo jotakin kyseisestä julkaisusta ilmoitetuissa olosuhteissa. Se ei tarkoita, että järjestelmä käyttäytyy samalla tavalla ajuripäivityksen, kääntäjän vaihdon, uuden ajastimen, erilaisen tallennuspolun tai uuden työkuorman jälkeen. Hyödyllinen palvelu pitää lupauksensa olosuhteet tallessa. Se kirjaa versiot, syötteet, laitteiston, käytännöt ja muutokset, jotta joku voi toistaa testin tai selittää, miksi toistaminen ei ole enää mahdollista.

Huollon vähättelyllä on inhimillinen hinta. Operaattorit lykkäävät päivityksiä, koska riippuvuusgraafi on epäselvä. Tietoturvatiimit eivät pysty sanomaan, mikä paketti on oikeasti tuotannossa. Hankinta uusii sopimuksen, koska kukaan ei ole harjoitellut irtautumista. Tutkijat eivät pysty toistamaan tulosta, koska ympäristö on ajautunut erilleen. Käyttäjät kohtaavat satunnaisia virheitä, jotka sysätään mallin syyksi, koska palvelulla ei ole yhteistä kieltä sen alla oleville kerroksille. Lopputulos ei ole yksittäinen dramaattinen vika. Se on hitaasti hiipuva luottamus.

Huoltosuunnitelmaan pitäisi siis kuulua muutakin kuin korjauspäivitysten ajankohdat. Siihen pitäisi kuulua omistajuuskatsaukset, käyttöoikeuksien päättymiset, sertifikaattien ja avainten kierrätys, varmuuskopioiden palautustestit, riippuvuuksien tarkistus, laitteiston elinkaari, toimittajan muutosilmoitukset, mallin eläkkeelle jääminen ja kuhunkin tarvittava näyttö. Osa näistä tehtävistä voidaan automatisoida. Vastuuta ei voi automatisoida pois. Jonkun on päätettävä, mikä lasketaan olennaiseksi muutokseksi, kuka vastaanottaa signaalin ja millä taholla on valtuudet pysäyttää palvelu.

Eurooppalaista tapaa perustaa komitea vaikean ongelman ratkaisemiseksi pilkataan silloin tällöin, usein aiheetta. Komitea, joka omistaa riippuvuuskartan, muutossäännön ja eskalaatiopolun, on hyödyllisempi kuin kojelauta, joka ei kuulu kenellekään. Ongelma ei ole hallinto. Ongelma on hallinto, joka ei yllä koneeseen asti.

Hankinta on se paikka, jossa riippuvuuksista tulee sitoumuksia

Sopimukset muuttavat riippuvuuden sitoumukseksi. Ostaja valitsee toimittajan, komponentin, tukijärjestelyn, datan sijainnin, uusimisjakson ja irtautumisehdon. Päätöstä voidaan kuvata tekoälypalvelun ostamiseksi, mutta ostaja ostaa samalla toimittajan päivitysprosessin, häiriötilanteiden hallinnan, identiteettimallin, käyttöliittymän vakauden, dokumentaation ja kyvyn pysyä toiminnassa. Nämä eivät ole toissijaisia ominaisuuksia. Ne määräävät, kuinka paljon valtaa ostajalle jää.

ENISAn vuoden 2025 neuvoa-antavan ryhmän asiakirja NIS2:n täytäntöönpanosta on tässä suhteessa poikkeuksellisen suorasukainen. Siinä todetaan, että pienemmät yritykset voivat ajautua NIS2-vaatimustenmukaisuustyöhön, koska ne toimittavat tuotteita tai palveluita soveltamisalaan kuuluville tahoille. Siinä vaaditaan eurooppalaista toimitusketjun turvallisuuden ja hankinnan viitekehystä, johon kuuluu perustason toimenpiteitä ja yhteinen due diligence -menetelmä. Siinä vaaditaan myös hankinnan perustasoa, johon kuuluu vähimmäisvaatimuksia sopimuksille, vakiolausekkeita, tietoturvatestausmenetelmiä ja yksinkertainen tapa asiakkaalle arvioida toimittajia. Asiakirja on neuvoa-antava lausunto, ei asetus. Sen arvo tässä on siinä, että se nimeää sen toiminnallisen kitkan, joka syntyy, kun jokainen ostaja keksii oman versionsa huolellisuusvelvoitteesta.

Hankintatiimien ei tarvitse vaatia, että jokainen toimittaja paljastaa kaikki sisäiset yksityiskohdat. Niiden on kysyttävä kysymyksiä, jotka liittyvät seurauksiin. Mitkä komponentit ovat palvelun kannalta välttämättömiä? Miten muutoksista tiedotetaan? Miten ostaja voi varmistaa käytössä olevan ohjelmiston ja laiteohjelmiston? Mitä tapahtuu, jos toimittaja tai alitoimittaja ei pysty toimittamaan komponenttia? Mitkä tiedot ja todisteet voidaan viedä ulos? Kuinka kauan tuki jatkuu julkaisun eläkkeelle jäämisen jälkeen? Kuka voi keskeyttää toiminnan, ja mitä keskeneräiselle työlle tapahtuu?

Nämä kysymykset ovat vähemmän näyttäviä kuin demonstraatio. Ne ovat myös vaikeampia väärentää. Palveluntarjoaja voi näyttää sujuvan vastauksen kymmenessä minuutissa. On vaikeampaa näyttää täydellinen riippuvuusluettelo, testattu palautus, siirtymäpolku ja henkilö, jolla on valtuudet sanoa ei oikeaan aikaan. Ostajan ei pitäisi pitää tätä vaikeutta syynä välttää kysymyksiä. Se on syy kysyä ne ennen kuin palvelusta tulee vaikea korvata.

Keskittymisen riski ansaitsee huolellista kieltä. Laajalti käytetty palveluntarjoaja ei ole automaattisesti turvaton, eikä pieni palveluntarjoaja ole automaattisesti joustava. Keskittymisestä tulee riski, kun yhdellä palveluntarjoajalla, ohjelmistovarastolla, maantieteellisellä reitillä, identiteettiviranomaisella tai ylläpitotiimillä on enemmän merkitystä kuin organisaatio pystyy sietämään. ENISA:n ennustekertomus kuvaa rajat ylittäviä tieto- ja viestintätekniikan palveluntarjoajia mahdollisena yksittäisenä vikapisteenä. Asianmukainen vastaus ei ole teeskennellä, että keskittyminen voidaan poistaa. Se on tunnistaa, missä sitä esiintyy, asettaa hyväksyttävä riippuvuus ja harjoitella, mitä tapahtuu, jos reitti ei ole käytettävissä.

Poistumislausekkeet kirjoitetaan usein juridisiksi huonekaluiksi. Oikealla poistumislausekkeella on tekninen muoto. Se nimeää muodot, rajapinnat, hakuoikeudet, avaimet, lokit, todisteet, tuen siirtymän aikana, poiston vahvistuksen ja vähimmäistiedot, joita tarvitaan palvelun uudelleenrakentamiseen muualla. Se on vahvempi, kun sitä on testattu pienellä työmäärällä. Testin ei tarvitse olla teatraalinen. Hallittu vienti, palautus riippumattomassa ympäristössä ja tuloksena olevan käyttäytymisen vertailu voivat paljastaa enemmän kuin useat sivut vakuutuksia.

Kriittinen infrastruktuuri on riippuvuuksien verkosto

Kriittisten toimijoiden häiriönsietokykyä koskeva direktiivi tekee samanlaisen liikkeen keskeisten palvelujen tasolla. Se määrittelee häiriönsietokyvyn toimijan kykynä ehkäistä, suojautua, vastata, vastustaa, lieventää, sietää, sopeutua ja toipua häiriöstä. Se kuvaa kriittistä infrastruktuuria omaisuutena, laitoksena, laitteena, verkkona tai järjestelmänä, joka on välttämätön keskeiselle palvelulle. Sanamuoto on tarkoituksella laajempi kuin rakennus. Se käsittelee palvelua suhteena omaisuuden, ihmisten ja toimintojen välillä.

Direktiivi sanoo, että jäsenvaltioiden tulisi ottaa huomioon toimialojen väliset ja rajat ylittävät riskit, ja se viittaa kasvaviin keskinäisriippuvuuksiin infrastruktuurin ja toimialojen välillä. Se myös sanoo, että toimitusketjun vaikutukset tulisi ottaa huomioon arvioitaessa häiritsevän tapahtuman merkitystä. Tämä on tärkeää tekoälyinfrastruktuurille, koska asiaankuuluvaa palvelua ei välttämättä kutsuta lainkaan tekoälyksi. Tietoyhteys, sähköjärjestelmä, identiteettipalvelu, sairaalan potilastietojärjestelmä tai tutkimusverkko voi olla kerros, joka mahdollistaa tekoälyä hyödyntävän palvelun.

Direktiivi ei ole tekoälyn käyttöopas. Se ei luokittele jokaista mallipalvelua kriittiseksi, eikä se korvaa toimialakohtaisia sääntöjä. Se tarjoaa tavan ajatella seurauksia. Jos järjestelmä tukee keskeistä palvelua, kysymys ei ole vain siitä, onko malli läpäissyt arvioinnin. Se on, pystyykö toimija jatkamaan keskeisen palvelun tarjoamista, kun komponentti, laitos, toimittaja, verkko tai ulkoinen olosuhde muuttuu.

NIS2 on tämän fyysisen ja organisatorisen näkemyksen rinnalla kyberturvallisuuden riskienhallinta- ja tapahtumaraportointivelvoitteineen asiaankuuluville toimijoille. Oikeudellinen vuorovaikutus on erityistä ja riippuu toimijasta ja toimialasta. Yleinen opetus ei ole, että yksittäinen direktiivi ratkaisee häiriönsietokyvyn. Se on, että kyber- ja fyysiset riippuvuudet on koordinoitava. Verkko voi olla turvattu yhdeltä hyökkäystyypiltä ja silti epäonnistua, kun jäähdytys ei ole käytettävissä. Laitoksella voi olla varavoima, mutta se ei silti pysty tunnistamaan käyttäjiä. Toimittaja voi ilmoittaa ohjelmistohäiriöstä, kun ostajalta puuttuvat tiedot, joita tarvitaan sen vaikutuksen ymmärtämiseen.

Resilienssi tarvitsee siis sanaston heikentyneelle palvelulle, ei ainoastaan täydelliselle katkokselle. Voiko järjestelmä ottaa vastaan vähemmän pyyntöjä? Voiko se poistaa käytöstä suuren riskin toiminnon säilyttäen samalla pienen riskin toiminnon? Voiko se vaihtaa pienempään malliin tai manuaaliseen polkuun? Voiko se jatkaa toimintaansa, kun jono tyhjennetään ja lähde varmistetaan? Voiko se osoittaa, mitkä työt viivästyivät tai käsiteltiin uudelleen? Nämä ovat operatiivisia päätöksiä. Ne myös määräävät, kokevatko kansalaiset, tutkijat ja yritykset hallitun rajoitteen vai salaperäisen vastauksen, joka saapuu sen jälkeen, kun instituutio on menettänyt kontekstin sen tarkistamiseen.

Hyödyllinen mielikuva on verkko, jonka solmuilla on omistajat ja jonka yhteyksillä on ehdot. Yhteys voi olla sähköliitäntä, ohjelmistoriippuvuus, sopimus, tiedonsiirto tai valtuussuhde. Resilienssiin pyrkivä suunnittelu ei oleta, että jokainen yhteys pysyy käytettävissä. Se kirjaa yhteyden, seuraa merkityksellistä ehtoa ja määrittelee vastauksen ennen kuin paine saapuu.

Havainnollistava yhdistelmä, ei häiriöraportti

Riippuvuusongelman tekeminen konkreettiseksi auttaa keksimättä todellista häiriötä. Seuraava on havainnollistava yhdistelmä. Se ei kuvaa nimettyä organisaatiota, toimittajaa, laitosta, henkilöä, päivämäärää tai tapahtumaa. Se on ajatuskoe, joka on koottu tavallisista infrastruktuurisuhteista.

Kuvittele julkinen tutkimuspalvelu, joka antaa valtuutetuille ryhmille mahdollisuuden lähettää asiakirjan, suorittaa luokittelutyönkulun ja vastaanottaa tuloksen ihmisen tarkistettavaksi. Palvelu on isännöity eurooppalaisessa infrastruktuurissa. Sen malli on tallennettu artefaktirekisteriin. Lähdeasiakirjat sijaitsevat yhdessä tallennuskerroksessa ja indeksi toisessa. Yhdyskäytävä tarkistaa henkilöllisyyden ja välittää työn jonoon. Työntekijät käyttävät konttikuvaa ja laiteajuria. Tulokset kirjoitetaan tietuevarastoon ja todistevirtaan. Hallintapaneeli kertoo operatiiviselle tiimille, onko järjestelmä terve.

Mikään tässä ei ole epätavallista. Se on asian ydin. Muuta nyt yhtä ehtoa kerrallaan. Rekisteri muuttaa allekirjoituskäytäntöään. Ajurin päivitys vaatii uuden konttiajoympäristön. Todisteita kirjoittavan palvelun sertifikaatti vanhenee, kun taas tulosvarasto jatkaa kirjoitusten hyväksymistä. Johdannaisindeksin tallennuskiintiö täyttyy, mutta lähdeasiakirjojen kiintiö ei. Toimittaja muuttaa rajapintaa, ja jonon kuluttaja yrittää uudelleen toimenpidettä, jota ei ollut suunniteltu toistettavaksi. Taitava operaattori lähtee, ja toimintaohje kuvaa edelleen edellistä käyttöönottoa. Mikään näistä muutoksista ei vaadi mallia tuottamaan väärää lausetta. Jokainen voi muuttaa palvelun luotettavuutta tai sen kykyä selittää itseään.

Organisaatio, joka tarkkailee vain mallin tarkkuutta, ei välttämättä näe varoitusta. Testijoukko läpäisee edelleen. Organisaatio, joka tarkkailee koko palvelua, näkee erilaisia signaaleja: varmistusvirheen, kasvavan uudelleenyritysten määrän, aukon todistevirrassa, tallennuskynnyksen, tarkistamattoman muutoksen tai omistajuushälytyksen. Signaalit eivät ole samanarvoisia, eivätkä ne kaikki edellytä katkosta. Ne edellyttävät sääntöä siitä, kuka päättää, mitä seuraavaksi tapahtuu.

Oletetaan, että tiimi päättää vähentää kapasiteettia tarkistaessaan riippuvuutta. Se ei ole merkki siitä, että palvelu on epäonnistunut tarkoituksessaan. Se voi olla merkki siitä, että palvelulla on tarkoitusta suurempi kuin läpimeno. Jos järjestelmä voi säilyttää lähdetietueen, merkitä viivästyneen työn, estää luvattomat uudelleenyritykset ja antaa ihmiselle selkeän reitin tarkastella asianomaisia tapauksia, se on heikentynyt hallitusti. Jos se jatkaa viimeisteltyjen vastausten tuottamista, kun sen todistepolku on rikki, se on säilyttänyt palvelun vaikutelman luottamuksen kustannuksella.

Kokoonpano on tarkoituksella tavallinen, koska dramaattiset tapaukset tekevät opetuksesta liian helppoa. Kaikki ymmärtävät, että tulva voi keskeyttää toiminnan. Vaikeampaa on tunnistaa, että vanhentunut sertifikaatti, omistajaton rekisteri, muuttunut toimittajasopimus tai puuttuva palautustesti voi myös siirtää palvelun turvallisen toiminta-alueen ulkopuolelle. Tylsät riippuvuudet eivät ole vähemmän syy-seuraussuhteisia vain siksi, että niistä puuttuu dramaattinen valokuva.

Viat etenevät suhteiden kautta

Vian etenemiskartan tulisi seurata suhteita teknologianimikkeiden sijaan. Aloita palvelulupauksesta. Mitä käyttäjä odottaa tapahtuvan, ja minkä on pysyttävä totta, jotta odotus täyttyy? Jäljitä sitten taaksepäin mallin, suoritusympäristön, käytäntöportin, identiteetin, verkon, tallennuksen, laitteiston, energian, toimittajan ja instituution kautta. Kysy jokaisessa vaiheessa, miltä vika näyttää, miten se havaitaan, kuka omistaa vastauksen ja mitä todisteita jää jäljelle.

Tämä kuulostaa lineaariselta, mutta todelliset järjestelmät haarautuvat. Malli voi olla saatavilla, kun käytäntöpalvelu ei ole. Käytäntö voi sallia kutsun, kun identiteettitietue on vanhentunut. Pyyntö voidaan hyväksyä, kun jono ei pysty tyhjenemään. Tulos voidaan palauttaa, kun sen kiistämiseen tarvittava tietue puuttuu. Infrastruktuuritiimi voi palauttaa palvelun, kun taas dataomistajan on vielä päätettävä, voidaanko vahingoittunutta työtä luottaa. Etenemiskartan tulisi näyttää nämä haarat, koska yksittäinen vihreä tilavalo ei pysty siihen.

Yksi hyödyllinen tapa piirtää kartta on erottaa neljä seuraustyyppiä. Saatavuus kysyy, voiko työ tapahtua. Eheys kysyy, ovatko työ ja sen tietueet muuttumattomia ja täydellisiä. Valtuutus kysyy, saiko toimija suorittaa työn. Palautettavuus kysyy, voiko palvelu palata tunnettuun tilaan ja selittää, mitä tapahtui. Riippuvuus voi olla hyväksyttävä yhdellä ulottuvuudella ja ei-hyväksyttävä toisella. Välimuisti voi parantaa saatavuutta, mutta se ei sovi auktoritatiiviseksi tietueeksi. Kolmannen osapuolen identiteettipalvelu voi olla kätevä, mutta se voi tehdä valtuutuksen tarkastelusta vaikeaa häiriön aikana.

Kartan tulisi myös näyttää aika. Jotkut riippuvuudet epäonnistuvat välittömästi. Toiset ajautuvat. Malli voi pysyä saatavilla, kun sen taustatieto vanhenee. Laitteistokomponentti voi toimia, kun varaosien hankkiminen muuttuu mahdottomaksi. Sopimus voi pysyä voimassa, kun palveluntarjoajan muutospolitiikka hitaasti poistaa käyttöliittymän, johon ostaja luotti. Mitä myöhemmin signaali saapuu, sitä kalliimpaa sen tulkitseminen on. Aika on osa riippuvuutta, ei muistiinpano häiriöraportissa.

Operaatiotiimit kutsuvat tätä usein havaittavuudeksi. Tämä sana on hyödyllinen vain, kun se osoittaa toimintaan. Terveeltä näyttävä kaavio ei kerro kenellekään, mikä valtuutus heillä on, mikä muutos sai kaavion liikkumaan tai mitä todisteita tulisi säilyttää. Vikakartan tarkoitus on tehdä päätös mahdolliseksi. Jos todistevirta on epätäydellinen, keskeytä kyseinen toiminto. Jos mallirekisteri ei pysty vahvistamaan artefaktia, älä edistä sitä. Jos toimittaja muuttaa komponenttia testatun alueen ulkopuolella, toista asiaankuuluva arviointi. Jos palautustesti ei pysty palauttamaan tietuetta, älä kutsu varmuuskopiota palautussuunnitelmaksi.

Näille päätöksille ei ole yleistä kynnysarvoa. Tutkimuskokeella, julkisella palvelulla ja turvallisuuskriittisellä työnkululla on erilaiset sietorajat. Tärkeää on, että kynnysarvo kuuluu palvelun omistajalle, on operaattoreiden nähtävissä ja sitä voidaan tarkistaa, kun todisteet muuttuvat. Muuten kynnysarvon asettaa ensimmäinen henkilö, joka huomaa vian, mikä on huomattavan demokraattinen tapa pyörittää järjestelmää ja huono tapa hallita sitä.

Riippuvuuden ei tarvitse tuhota mallia muuttaakseen sitä, mitä palvelu voi turvallisesti väittää.

Mittaa kyvykkyyttä piilottamatta nimittäjää

Infrastruktuuri houkuttelee vaikuttaviin lukuihin. Exaflopit, petatavut, suoritinmäärät, investointisummat ja ohjelman toimipaikkojen lukumäärä kuvaavat kaikki jotain todellista. Yksikään niistä ei ole palvelu itsessään. Luvusta tulee hyödyllinen, kun sen nimittäjä ja ehdot ovat näkyvissä.

Huippulaskentateho ei kerro tutkijalle, kuinka nopeasti tietty työkuorma saa osion, siirtää tietonsa, suorittaa ajon tai hakee tuloksen. AI-tehtaiden määrä ei kerro pienelle yritykselle, saako sen sovellus käyttöoikeuden tarvitsemillaan ehdoilla. Puolijohdeinvestointien kokonaissumma ei kerro operaattorille, mikä komponentti on saatavilla pula-aikana. Korkea saatavuusprosentti ei kerro julkiselle laitokselle, voiko se hakea näytön riidanalaisesta päätöksestä.

Vastuullinen kyvykkyyden kuvaus yhdistää siksi otsikon sen taustalla olevaan polkuun. Nimeä laitteisto- ja ohjelmistoraja. Kerro, onko luku huippu-, jatkuva, suunniteltu vai havaittu. Kuvaile työkuorma, käyttömalli ja poikkeukset. Sano, mitkä riippuvuudet ovat mittauksen ulkopuolella. Pidä väite sidottuna julkaisuun, laitteistoon, tietoaineistoon ja käytäntöön, jonka puitteissa se on tehty. Tavoitteena ei ole tehdä joka sivusta lukukelvotonta. Tavoitteena on tehdä tärkeistä sivuista tarkistettavia.

Tämä kurinalaisuus parantaa myös julkista keskustelua. Euroopan ei tarvitse valita kunnianhimon ja varovaisuuden välillä. Se voi rakentaa suuria laitoksia, rahoittaa kunnianhimoista tutkimusta ja silti sanoa, mihin näyttö loppuu. Julkinen järjestelmä, joka nimeää rajoitteensa, on uskottavampi kuin sellainen, joka esittää puhtaan luvun ilman reittiä sen tarkistamiseen. Rajoite voi olla jono, käyttöliittymä, toimittaja, osaamisvaje, tehokapasiteetti tai oikeudellinen raja. Sen nimeäminen ei tee kyvykkyydestä pienempää. Se kertoo ihmisille, millaisesta kyvykkyydestä on kyse.

Epävarmuus ei ole tappion myöntämistä. Se on ylläpidon signaali. Jos kukaan ei tiedä, miten toimittajan muutos vaikuttaa työkuormaan, seuraava askel on testi tai nimenomainen oletus, ei suurempi adjektiivi. Jos rekisteri ei erota mallijulkaisua palvelukokoonpanosta, seuraava askel on parempi tietue. Jos laitos ei tiedä, kuka voi pysäyttää toiminnon, seuraava askel on auktoriteettikartta. Tarkkuus on tapa päättää, mitä korjataan.

Hiljaiset kerrokset ovat sitä, missä suvereniteetista tulee käytännöllistä

Eurooppalaista suvereniteettia käsitellään joskus kuin se olisi lippu datakeskuksen katolla. Palvelu voi sijaita unionin alueella ja silti olla riippuvainen ulkoisista komponenteista, ulkomaisten lakien ulottuvuudesta, omista rajapinnoista, niukoista osaajista tai toimittajasta, jonka muutospäätöksiin ei voi vaikuttaa. Sijainti on yksi tekijä suvereniteetin arvioinnissa. Käytännön hallinta riippuu koko ketjusta.

Sirusäädöksen painotus maailmanlaajuisen puolijohdetoimitusketjun ymmärtämiseen, CER-direktiivin huomio toimialojen välisiin riippuvuuksiin ja ENISAn varoitukset ohjelmistoriippuvuuksista ja yksittäisistä vikapisteistä osoittavat kaikki samaan suuntaan. Suvereniteetti ei ole yksittäinen kytkin. Se on kyky ymmärtää, mistä palvelu on riippuvainen, päättää, mikä riippuvuus on hyväksyttävä, korvata tai rajoittaa sitä tarvittaessa ja säilyttää riittävästi näyttöä päätöksen puolustamiseksi.

Tämä kyky voidaan rakentaa pienin askelin. Julkinen tutkimusryhmä voi pitää luetteloa tulokseen käytetystä ajonaikaisesta ympäristöstä, ajurista ja datan julkaisusta. Hankintatiimi voi vaatia testattua vientipolkua lupausten sijaan. Käyttötiimi voi määritellä heikennetyn toimintatilan ja harjoitella sitä. Sääntelijä voi kysyä, mitkä tiedot olisivat saatavilla toimittajan vaihtuessa. Toimittaja voi julkaista tukensa rajat ja olosuhteet, joissa päivitys muuttaa toimintaa. Mikään näistä toimista ei tee järjestelmästä autonomista. Ne tekevät siitä vähemmän arvoituksellisen.

Dwevellä tämä on se kapea syy, miksi välitämme avoimista perustuksista ja niitä ympäröivistä hiljaisista osista. Projektit, kuten Core ja Mesh, ovat hyödyllisiä vain, kun ne sijaitsevat rehellisen toiminnallisen rajan sisällä, selkeine tietoineen, valtuuksineen ja rajoituksineen. Ne eivät korvaa eurooppalaista infrastruktuuria, julkisia laitoksia tai toimitusketjupolitiikkaa, eikä tämä artikkeli väitä niiden ratkaisevan näitä ongelmia. Näkökanta on vaatimattomampi: avoin komponentti on helpompi tarkastaa, korvata ja opettaa, kun sen sopimukset ovat yksiselitteisiä. Se on yksi tiili, ei koko rakennus.

Rakennuksella on merkitystä, koska ihmiset kohtaavat ylimmän kerroksen mutta elävät perustusten kanssa. Vastaus ruudulla voi olla sujuva, mutta palvelun todellisen luonteen määräävät kerrokset, jotka päättävät, mistä vastaus on peräisin, kuka sitä voi muuttaa, mitä tapahtuu, kun riippuvuus siirtyy, ja voiko kukaan selittää tuloksen myöhemmin.

Rakenna järjestelmä, jonka ihmiset voivat edelleen nähdä

Tärkein tekoälyjärjestelmä voi olla se, jota kukaan ei näe, koska se on hajautettu paikkoihin, joita ei ole koskaan kutsuttu tekoälyksi. Se on piirilaite ja jäähdytyskierto. Se on supertietokone ja ajastin. Se on pakettirekisteri, identiteetintarjoaja, tallennuskäytäntö, verkkoreitti ja huoltovuorolista. Se on sopimus, joka määrää, mitä tapahtuu, kun toimittaja muuttaa komponenttia. Se on instituutio, joka voi keskeyttää työnkulun ennen kuin heikko signaali muuttuu julkiseksi epäonnistumiseksi.

Mikään tästä ei vähennä mallin laadun merkitystä. Se antaa mallin laadulle paikan, jossa se voi vaikuttaa. Malli voi palvella ihmistä vain järjestelmän kautta, joka voi vastaanottaa syötteen, suorittaa työn, säilyttää olennaisen tiedon ja palauttaa tuloksen riittävällä kontekstilla, jotta joku voi luottaa siihen tai haastaa sen. Malli on tärkeä osa tätä järjestelmää. Se ei ole maa, toimitusketju, palautussuunnitelma eikä henkilö, jolla on valtuudet korjata osia, joita se ei näe.

Euroopan infrastruktuuriohjelmat ovat tilaisuus tehdä näistä riippuvuuksista näkyviä samalla kun kapasiteettia rakennetaan. Tilaisuus on käytännöllinen. Julkaiskaa rajapinnat ja toiminnalliset rajat. Rahoittakaa ylläpitoa ja osaamista laitteiston rinnalla. Käsitelkää hankintaa suunnittelupäätöksenä. Yhdistäkää kyberturvallisuus fyysiseen kestävyyteen. Antakaa pienemmille organisaatioille polku käyttää julkista infrastruktuuria ilman, että niiden on pakko tulla asiantuntijoiksi joka kerroksessa. Mitatkaa pääsyä, palautumista ja näyttöä yhtä huolellisesti kuin huippusuorituskykyä.

On tietynlaista eurooppalaista mielihyvää siinä, kun huomaa, että vastaus suureen teknologiakysymykseen on inventaario, toimintaohje ja ihminen, jolla on lupa pysäyttää kone. Se ei ole glamouria, mutta sillä on se etu, että se selviää kosketuksesta arkipäivään. Kun piilotettu järjestelmä on riittävän näkyvä tarkastettavaksi, malli voi tehdä työnsä kantamatta myyttiä, jota sitä ei koskaan rakennettu kantamaan.

Lähteet