Teknologens ansvar

Teknologi er agnostisk i forhold til hva den brukes til. Det er vi som bruker og lager den som må ta stilling til hvorvidt bruk/utviklingrn er etisk (og evt juridisk) akseptabel. Hvilket ansvar har vi teknologer for eventuell misbruk av vår teknologi? Hvilke skanser skal vi bygge inn i systemene, og skal vi kunne trekke tilbake rett til å bruk om vi mener den er uetisk?

Informasjonsteknologi gjennomsyrer alle samfunnsprosesser og hverdagen vår. Siden dataene som skapes er lite synlige er det liten fokus på hvilke risiki og utfordringer dette skaper. I og med at samfunnet bygges på digital informasjonsteknologi som har store svakheter burde den stilles krav til den. I forhold til omfanget av problemet med data som kommer på avveie og misbrukes foregår det en underraportering i media. Noe skyldes nok manglende innsikt fra journalistenes side, delvis skyldes et problemets abstrakte natur. Hjernene våre er fortsatt mer oppmerksomme på fysiske farer enn abstrakte. Sannheten er at vi (i vesten) lever i et tryggere samfunn enn noen av forfedrene våre. Allikevel er det mer fokus på "marginale" problemer, men som som gjerne skaper frykt. Her i Norge har vi i desember 2011 vært mer opptatt av at butikkene er tomme for smør enn at EU holder på å gå over ende, det demonstreres verden over mot myndighetene til våre viktigiste handelspartnere. De samme mundighetene er også iferd med å vedta en rekke lover som fratar oss elementære rettigheter som tilkjempet.

Informasjonsteknologi, som annen teknologi, bør inneha visse egenskaper. Sammenlignet med f.eks. en bro så skal den ikke ramle eller på annen måte utgjøre en fare for den som bruker den. Med informasjonsteknologi er problemene helt anderledes, men likheten er at man utsetter brukeren for en risiko.

Jeg mener teknologer i større grad må bidra til styrke personvern, og gi brukeren kontroll over egne data (disposisjonsrett). Jeg synes også utviklere bør diskutere hvilket moralsk og eventuellt juridisk ansvar det innebærer å lage programvare.

Jeg synes også at man må ha et mer bevisst forhold til om man overhodet trenger å lagre data sentralt. Distribuert brukerstyrt lagring  av personlig informasjon foretrekkes.

Et innspill av Poul-Henning Kemp i forhold til risiko forbundet med bruk av software
http://queue.acm.org/detail.cfm?id=2030258

Dette er et klart tilfelle hvor IT-ingeniører kommer i ansvar
http://it.slashdot.org/story/11/12/20/0127215/software-bug-caused-qantas-airbus-a330-to-nose-dive

Ingeniører, og spesiellt våpenprodusenter, blir det stilt særlig ansvar til. IT-bransjen og programmere stilles det generellt lite ansvar til.

Det er spesiellt mange utfordringer rundt bruk av tjenester på internett, hvor både kriminelle og myndigheter "tar seg til rette" i personlige opplysninger. Dersom individet ikke kan disponere egne data og selv vurdere risiko kan det internettet vi har kjent til nå vil eroderes av overvåkingstiltak og murer.

Dette ble mange forskjellige vinkler, men poenget er: når bør og kan programmere ta etisk og/eller juridisk ansvar? Hvilket opplysningsansvar vedr risiko for brukeren har man som programmerer og tjenestetilbyder?

Programkode skiller seg fra annen ingeniørkunst ved at kan endres fortløpende, kopieres og gjenbrukes uavhengig av opphavsmann/kvinne. Svært mange internettjenester er mashups av andre tjenester. Det blir derfor vanskelig å plassere formelt ansvar i mange tilfeller. Mye av koden er skrevet av frivillige (åpen kildekode).

Formelt ansvar i forhold til sluttbruker kan man trolig begrense til den som leverer sluttproduktet og tjenester. Min bekymring dreier seg mer om det store fraværet av debatt rundt og løsninger som ivaretar individets disposisjonsrett, samt åpenhet rundt risiki ved bruk.

Ansvarsforhold for software data nettverk og innhold

Denne posten handler om ansvar for sine handlinger på internett. Det virker som om det er uklart for mange hvordan man kan stilles til ansvar for ulike type handlinger relatert til internett. Jeg har mine tanker om dette som jeg vil dele her.

I hvilken grad kan man stille disse 3 rollene til ansvar for sine handlinger?

• Bruker
• Utvikler
• Dataprovider
• Nettverkstilbyder

En person kan besitte 1 eller fler av disse rollene samtidig. Software og digitalt innhold har endel egenskaper som kan gjøre ansvarsforhold utydelig for "uinnvidde".

La meg slå en ting helt fast: Lager man, tilbyr, eller promoterer software eller innhold i den hensikt å begå kriminelle handlinger er man helt klart i et etisk/juridisk ansvarsforhold. I hvilken grad man er i et juridisk ansvarsforhold er komplisert siden statsborgerskap, oppholdssted og "åsted" for handling gjerne kan være 3 ulike steder.

Det må etabeleres en forståelse av sammenhengen, eller rettere sagt, forskjellene mellom software og innhold for å forstå problemstillingene bedre. Software er kode, en slags oppskrift på å behandle data. Når koden ikke kjører er den mer å betrakte som et litterært verk, altså en statisk tekst. I det koden lastes, som f.eks. når du laster denne nettsiden, instansieres koden den innholder i din nettleser. Koden kjører altså på din maskin. Siden, med koden, er lastet fra en tilbyder av blog-tjenester. Blog-tilbyderen har levert en kopi av innhold og kode, jeg har bestemt skal være med, samt det som ligger i blog-templaten, som noen andre har laget og atter andre ting blog-tilbyderen legger på. Software er svært ofte et aggregat av kode skrevet av ulike personer, distribuert i det uendelige som kopier.

Kopier av digitalt innhold kan ikke sies å være eid av noen på samme måte som fysiske objekter. Derimot så kan det være vedheftet bruks- distribusjons- og lisensregler. Kommersiell programvare gir kun kjøper lov til å bruke en kopi, mens Open Source Software har regler for distribusjonsregler. Begge varianter har ofte disclaimers og forbud mot skadelig/ulovlig anvendelse fordi opphavsmannen ikke ønsker at software skal forårsake materiell-, helse- eller økonomisk skade. Her er det imidlertidig svært mange varianter og meninger, og dette innlegget er interessant: Software liability.

Software som kode gjør ingenting, og det er først når den instansieres (kjøres) og benyttes sammen med innhold den gir mening for en bruker. Brukerens handlinger er det sentrale fordi det er disse som "kobler" software med innhold. Det er disse handlingene som må anses som legitime eller illegitime. Noen ganger er dette også uklart, som i f.eks. den arabiske våren hvor myndighetene i de aktuelle statene anså handlingene som illegitime, mens vesten sto på sidelinjen og applauderte.

Nå kan vi se på sammenhengen mellom  de ulike rollene, software og innhold

 

Det er brukerens handlinger som kan være illegitime. Brorparten av software som finnes er ikke laget for å utføre kriminelle handlinger, men som annen teknologi kan den brukes til det. Unntaket er programvare som er spesiellt laget for å stjele, ødelegge, skape falsk eller slette (andres) innhold. Botnet-software er et eksempel på dette, men denne softwaren består gjerne av komponenter skapt for helt legitime formål, men som en kriminell har laget for å kunne utføre kriminelle handlinger. Man kan derfor ikke stille alle utviklere til ansvar her, kun den som har kriminelle hensikter.

Når det gjelder en innholdstilbyders ansvar, må det stilles spørsmål ved i hvilken hensikt og i hvilken grad tilbyder er ansvarlig for innholdet. En blog-tilbyder kan ikke være ansvarlig for alt de ulike bloggerne skriver. Tilbys eller promoteres ulovlig innhold er det noe annet. En tredje variant er der en kriminell 3dje-part bryter seg inn og plasserer ulovlig innhold på en nettside. Vi ville f.eks. ikke stilt en nettavis ansvarlig om noen erstattet innholdet deres med noe ulovlig. En lagringstilbyder (Dropbox) trenger ikke engang besitte programvare som kan benyttes på alt innhold som er lagret på deres utstyr, og dermed ute av stand til å vite hva slags innhold det dreier seg om. Innholdet kan også være kryptert slik at det vil være umulig for en tilbyder å vite hva som er lagret.

Fordi myndighetene ikke ser ut til å se problemet med å tiltvinge seg private data fra borgerne, som f.eks. gjennom Datalagringsdirektivet, vil programmerere svare med å utvikle ny teknologi som lar folk beholde privatlivet også på nett. Jeg, og mange andre, ser på dette som et forsvar av Internett slik det er ment å fungere, og menneskerettigheter som gjelder i våre fysiske liv. Jeg kan ikke se at retten til et privatliv skal opphøre om vi kommuniserer digitalt.

Noen tar til orde for å begrense slik programvare og stille utviklerne ansvarlig for de som eventuellt bruker teknologien til kriminelle handlinger. Dette skivebom, og vitner om dårlig forståelse av hvem som gjør hva. Det blir omtrent som å si at soldaten er ansvarlig for handlingene til borgerne han forsvarer. Helt bak mål altså.

Vil håndskriften forsvinne?

Hva skal en blogger og programmer, hvis norsklærer på videregående nektet å rette håndskrevne stiler til, ha å si om dette?

En forsker har nemlig kommet frem til at barn ikke bør kaste bort tiden på å lære håndskrift. Slik kan det jo se ut med digitale utviklingen ikke sant?

Jeg er ikke så sikker, og til forsker å være synes jeg han har liten innsikt. Sier jeg som er selveste überkløna på håndskrift. Jeg sier ikke det fordi jeg er en ekspert på pedagogikk, men heller som far og programmerer. Jeg har også interesse for informasjonflyt og arbeids/læringsprosesser, noe som er svært relevant i denne saken.

"Datamaskiner med enkel tekstbehandling er brukbare enten de er tre, ti eller tyve år gamle. En del av dem er gratis - for skriving og lesing holder det å ha en datamskin med lese - og skriveprogram, og man trenger ikke internett"

Dette avsnittet viser at forskeren neppe kan ha vært særlig involvert i å lære 6-åringer å lese og skrive, ihvertfall på en god stund. Dette vil ikke virke i praksis fordi det tar ikke hensyn til informasjonsflyten i det å lære det å lese og skrive. Det er en rekke årsaker til det:

1. Uten noen måte for å eleven å formidle arbeidet sitt, må læreren sitte hos hver elev for å gi god og konstruktiv tilbakemeldinger på arbeidet
2. Enten må lekser som involverer skriving kuttes ut, eller så må 6-åringer ha med seg et lagringsmedium til og fra skolen. 6-åringer har en tendens til å surre bort minnepinner, eller saften i drikkeflasken ødelegger den.
3. Teknologien er et kompliserende element, men den blir gradvis bedre. Først må man kvitte seg meg tekstbehandlere som Word, som er helt ubrukelige for en 6-åring. Det er heller ikke alle lærere som er like oppegående på hverken tekstbehandlere eller digital informasjonsflyt.
4. Gamle datamaskiner er som gamle biler: de virker dårlig og krever mer vedlikehold.

Så til noen andre innvendinger hvor jeg ikke er like skråsikker:

1. Å lære seg å skrive er en utviklende og kreativ prosess. Den passer ikke alle like godt, men for noen er veldig god. Kanskje blir de som ikke får lære håndskrift skoletapere når de blir tvingt til å bruke tekstbehandlere med forstyrrende mye funksjonalitet?
2. Det vil være langt frem før teknologien virkelig kan erstatte papir. De fleste av oss er avhengig av å kunne skrive små beskjeder. Til jul skriver vi personlige hilsninger på julepakkene osv. Jeg sier ikke at dette vil endre seg (det vil jo det), men det vil ta lang tid.
3. Blyant og papir har fortsatt noen fordeler når det kommer til kreativitet og kunstnerisk frihet. Selv om digitale verktøy har mange fordeler, blir man også begrenset til funksjonaliteten verktøyene har. Jo mer avanserte verktøy, jo brattere læringskurve. For å bruke et anekdotisk bevis så ble ideen til Twitter unnfanget på papir.

Det er også et siste aspekt som kan være verdt å dvele ved. Dersom all skriftilig kommunikasjon foregår ved hjelp av digitale verktøy, vil den også foregå på premissene til teknologileverandørene. Når man vet at brorparten av disse teknologileverandørene er svært ivrige på å patentere enhver idé de har, vil det si at våre kommunikasjonsmetoder må foregå på deres premisser. Bryter man patenter ved å bruke teknologien på en måte de er uenig i, kan man bli saksøkt. Videre så er fri digital kommunikasjon under press fra myndigheter som vil tvangslogge når, hvor og hvem vi kommuniserer med. Sånn sett kan håndskriften være ytringsfrihetens og personvernets siste skanse. Da mener jeg virkelig siste skanse.

Håndskrift har fortsatt stor verdi, selv om omfanget den blir brukt i er mindre. Men hva om man snur litt på forskerens standpunkt, og gir barna frihet til å velge preferert skriveverktøy. Det ville kanskje gitt færre skoletapere og bedre læring? Å skylde på at håndskrift skaper skoletapere, av spesiellt gutter, er en fallitterklæring i seg selv og da særlig mot guttene. Jeg heller mot at det er skolesystemet, og ikke eleven eller læreren som skaper tapere.

Akkurat som Gutenberg ikke har erstattet håndskrift, vil nok ikke digitalisering gjøre det heller. Digitalisering vel heller erstatte Gutenberg tror jeg. Det spørs om ikke forskeren heller ikke ikke har oppdaget touch-skjermen. Den kan gi håndskrift en renessanse men på et annet medium enn på papir. Men igjen: da er man underlagt teknologileverandørenes regime for bruk av teknologien.

Kan DLD bli en sovepute?

Datateknologi gjør det mulig å samle inn voldsomme mengder informasjon.  Kostnaden er så lav at vi kan etterleve Øystein Sundes "Kjekt å ha" uten å tenke noe videre over det. Men betyr det at om vi har mer informasjon, at vi vet mer? Og er det slik at vi skal vite alt? Jeg tror det er på tide man stiller seg spørmålet: Hva lagres hvorfor og hvilke regler skal gjelde? Det er vesentlig forskjell på å lagre data om miljøobservasjoner, infrastruktur osv, og personopplysninger. Vi kan bruke upersonlige data til å løse mange av de store problemene i samfunnet, men det er ikke fokus på dette i dag fra Statens side.

Data lagres i en gitt kontekst fordi den informasjonen de representerer gir mening og verdi i den. Datasystemer ivaretar behandlingsregler og interaksjon med dataene, og styrer brukeraksess. Brukeraksess i denne sammenhengen er ikke sikkerhet, men iltrering basert på hva brukeren har lov til å se. Sikkerhet er mer generell tilgang til systemet som sådan.

Selv om et system er laget for et sett av kontekster og interaksjon med data, som danner systemspesifikasjon, kan det godt tenkes at dataene som forvaltes i systemet kan ha verdi i andre kontekster, gjerne kombinert med data fra andre systemer. Veldig mange av IT-prosjektene går ut på integrasjon og sammenkobling av systemer.

Som programmerer får man et aktivt forhold til sikkerhet, lagring, korrelering og analyse. Kompleksiteten og dataflytene gjør det totale bildet stadig mer komplekst. Konsistent sikkerhet og brukeraksess på tvers av systemer er ikke lengre triviellt, samt at faren for innbrudd i datasystemer er økende.

Med denne virkeligheten som bakteppe kan en lett forestille seg at kravene til systemer med sensitiv informasjon må være så presise og enkle som mulig. Veldefinerte kontekster med enkle behandlingsregler er viktig. Løsningene blir rimeligere, enklere og mindre komplekse.

Datalagringsdirektivet er et sett med vage kontekster som skal sikre Politiet tilgang til data lagret i teleoperatørenes systemer: Bekjempelse av terror, barneporno og alvorlig kriminalitet. Direktivet krever lagring av data ut over operatørenes behov, men som systemene kan lagre (posisjon, epost-avsendere og mottakere). Staten kommer med nye vage krav, men skal ikke betale regningen. De skal heller ikke ta konsekvensen av økt kompleksitet og fare for innbrudd i systemene. Det overlater de til teleoperatørene og forbrukerne.

For å kunne definere behovet for trafikkdata må man bruke kriminalitetsstatistikker og korrelere mot faktisk bruk av trafikkdata i etterforskning. Desverre har det kun kommet diffuse prosenttall fra myndighetene, se f.eks. Kripos høringsuttalelse. Det kan jo virke overbevisende når de sier at trafikkdata var nyttig i 40% av sakene i 2008. De de ikke sier er hvor mange saker dette dreier seg om og i forhold til totalt antall saker. Sannheten er at det dreier seg om et begrenset antall saker. Da blir tvangslagring av trafikkdata for hele landets befolkning som å skyte spurv med kanon.

Det hører med til historien at det i fjor ble oppklart 37% av totalt 270000 saker. Det vil si at det finnes en solid restanse av uløste og henlagte saker som aldri blir oppklart, og hvor trafikkdata ikke engang er vurdert til å kunne bidra (se Kripos og regneark). Dette er et problem i relativt stor skala, som får mye mindre oppmerksomhet enn at Datalagringsdirektivet er helt nødvendig.

Hvis noen hadde begynt å analysere kriminalitettstatistikkene, mhp å finne ut hvorfor så mange saker forblir uløste, så hadde man helt sikkert funnet større problemer enn mangel på trafikkdata i en tross alt liten andel av sakene. Jeg blir forundret over hvor lite kunnskap vi klarer i trekke ut av de enorme informasjonsmengdene vi omgir oss med. Det virker som om tallforståelsen er generellt svak, og at vi alle går ut ifra at alle tall som legges frem kommer fra grundige analyser. Hvordan kan vi vite det, når det legges frem prosenttall som egentlig ikke sier oss noe? Med en solid analyse i bunn kunne man også ganske treffsikkert klare å identifisere hvilke saker trafikkdata (og annen digital informasjon) kan være nyttig, og sikre disse raskt.

Myndighetene, og politikere (Arbeiderpartiet) har ikke lagt frem overbevisende dokumentasjon om at trafikkdata er avgjørende for bekjempelse av kriminalitet. Derimot så kommer det opplysninger om studier fra Tyskland som sier at oppklaringsprosenten faktisk sank mens de hadde DLD. Hvorfor legger ikke norske mydnigheter skikkelige statistikker til grunn for sin argumentasjon for DLD? Hvorfor er de mer opptatt av å omskrive grunnleggende begreper som personvern og rettsstat, slik at det passer med deres målbilde? Skal de gå vekk fra rettsstaten som navigeringsinstrument, bør de med respekt for velgerne tørre å si det som det er. Å sikre seg informasjon om alle borgernes kommunikasjon og bevegelser er ikke noe å kimse av, og er et radikalt brudd med de verdier vårt samfunn bygger på.

Mangelen på tilstrekkelige analyser av bruk av trafikkdata i etterforskningsøyemed er nok medvirkende til at man skal sikre trafikkdata for alle personer. Istedet for en målrettet løsning brukes det en hagle-strategi. For å kunne løse Politiets (egentlig samfunnets kriminalitetsproblem) innenfor rettsstatens rammer, må man gå metodisk til verks.

Når Politiet kan gå ut ifra at trafikkdata er sikret fordi DLD er innført, vil incentivet til å komme raskt igang med etterforskning også være dårligere. Det er en fare for det kan bli en sovepute. Ville det ikke være bedre om Politiet kom raskest mulig igang med etterforskning, og hadde et aktivt forhold til digitale spor og bevis? Sikring av relevante digitale spor og bevis krevende teknologisk kompetanse. Et mer aktivt forhold til teknologien vil ha en læringseffekt, slik at Politiet vil kunne jobbe mer effektivt og målrettet. Vårt samfunnet er sterkt influert av teknologiutviklingen. Den går raskt, og Politiet må, som en viktig leverandør av orden og sikkerhet, forholde seg til det samfunnet de opererer i.  De bør har tilgang til å få utlevert konkrete og relevante data, særlig når den kriminelle handlingen skjer digitalt. Men de skal ikke kunne endre premissene for den liberale rettsstaten.