Digitalna identiteta in plačila kot točke nadzora

Digitalna identiteta ni človek, ampak dokaz v določenem kontekstu

Najprej moramo ločiti osebo od njene digitalne predstavitve. Digitalna identiteta je skupek podatkov, poverilnic in postopkov, s katerimi sistem preveri določeno trditev: kdo smo, koliko smo stari, ali imamo določeno dovoljenje ali ali smo upravičeni do neke storitve. Noben posamezen identifikator ne vsebuje celotnega človeka.

Ta razlika je pomembna, ker slabo zasnovan sistem hitro začne zahtevati popolno identifikacijo tudi tam, kjer bi zadostovala mnogo ožja trditev. Za nakup izdelka z omejitvijo starosti je lahko pomembno samo, ali je oseba nad pragom; ponudniku ni nujno treba izvedeti imena, naslova in celotne identitete. Dober sistem zato ne sprašuje samo, ali lahko nekaj preveri, ampak koliko podatkov mora za konkreten namen sploh razkriti.

Sodobni standardi digitalne identitete zato ločujejo dokazovanje identitete, avtentikacijo in federacijo ter poudarjajo stopnjo zagotovila, primerno konkretnemu tveganju. To zmanjšuje skušnjavo, da bi najmočnejši identifikacijski mehanizem uporabljali za vsako najmanjšo interakcijo.

V vsakdanjem jeziku pogosto rečemo, da se je nekdo »identificiral«, čeprav sistem v resnici izvaja več ločenih korakov. Identifikacija oziroma dokazovanje identitete vzpostavi, kdo naj bi oseba bila. Avtentikacija preveri, ali se oseba, ki se vrača, upravičeno predstavlja kot nosilec te poverilnice. Avtorizacija pa odloči, kaj sme po uspešni prijavi dejansko narediti.

Ta ločitev je ena najpomembnejših varovalk proti preveliki koncentraciji. Iz dejstva, da je sistem preveril identiteto, ne sledi, da mora isti sistem odločati tudi o vseh pravicah, pogodbah in transakcijah posameznika. Če se tri funkcije združijo v enem centru, tehnična napaka ali sporna odločitev lažje postane popolna izključitev.

Zato je bolje govoriti o verigi pooblastil kot o eni »digitalni identiteti«, ki odpira vse. Vsak korak mora imeti svoj namen, sorazmerno raven zagotovila, revizijsko sled in možnost popravka.

Ko se identiteta in plačilo združita, nastane močna točka nadzora

Plačilo je več kot premik številke med dvema računoma. V sodobnem življenju je plačilna sposobnost pogosto pogoj za najem, prevoz, komunikacijo, spletne storitve in veliko oblik dela. Če isti identitetni mehanizem hkrati določa, kdo smo, ali smemo uporabljati račun in ali je transakcija dovoljena, postane njegova napaka mnogo pomembnejša.

Takšna povezava ima tudi legitimne koristi: zmanjšuje goljufije, omogoča močno avtentikacijo in poenostavi določene postopke. Toda uporabnost in koncentracija tveganja rasteta hkrati. Bolj ko ena poverilnica postane univerzalni ključ, bolj pomembni postanejo pravila izdaje, preklica, obnovitve in alternativnega dostopa.

Najslabša arhitektura zato ni nujno tista z največ tehnologije, ampak tista, v kateri ena sama napačna oznaka ali en sam nedostopen račun povzroči verižni izpad vseh drugih funkcij. »Kako meriti, ali je decentralizacija resnična?« bi temu rekel resnična centralizacija ne glede na to, koliko aplikacij vidimo na površini.

Digitalna identiteta ni nujno centralna baza

Kritika točk nadzora ne pomeni, da mora biti vsaka digitalna identiteta centralizirana ali nadzorna. Obstajajo arhitekture, v katerih uporabnik hrani poverilnice v denarnici, ponudniku razkrije samo potrebno trditev, različni ponudniki pa lahko interoperabilno preverjajo izdane podatke brez ene same baze vseh vsakdanjih dejanj.

Evropski okvir za digitalno identiteto je zanimiv prav zato, ker v pravni zasnovi zahteva nadzor uporabnika, selektivno razkritje, interoperabilnost in možnost uporabe psevdonimov tam, kjer zakon ne zahteva polne pravne identitete. Predvideva tudi, da uporaba evropske denarnice ni obvezna in da morajo obstajati ustrezne alternativne rešitve za ljudi, ki je ne izberejo.

To še ne dokazuje, da bo vsaka konkretna implementacija brezhibna. Pokaže pa, da je treba ločiti digitalno identiteto kot tehnologijo od centralizirane identitetne arhitekture kot oblikovne odločitve. Varnost, zasebnost in decentralizacija so lastnosti zasnove, ne avtomatične lastnosti besede »digitalno«.

Na papirju je lahko neka digitalna identiteta prostovoljna, v praksi pa postane skoraj obvezna, če brez nje ni mogoče pravočasno dostopati do banke, javne storitve, zaposlitvenega postopka ali pogodbe. Formalna možnost zavrnitve ni enaka realni možnosti življenja brez sistema.

Zato je pomembno, da pravila evropske digitalne denarnice izrecno zahtevajo alternativne rešitve in prepovedujejo posredno omejevanje dostopa zgolj zato, ker se posameznik zanjo ni odločil. To je pomembnejše od same besede »prostovoljno«: alternativa mora biti dostopna, dovolj hitra in praktično uporabna.

Enako načelo velja širše. Kadar digitaliziramo nujno storitev, moramo vprašati, kaj se zgodi z osebo brez primernega telefona, brez povezave, z invalidnostjo, izgubljeno napravo ali napačno blokiranim računom. Sistem je vključujoč šele takrat, ko njegov rezervni postopek deluje tudi za človeka, ki ne ustreza idealnemu uporabniškemu scenariju.

Razkrij samo toliko, kolikor je potrebno

Identitetna suverenost se ne meri samo po tem, kdo hrani podatke. Meri se tudi po tem, koliko jih mora uporabnik razkriti za posamezno dejanje. Če mora človek za dokaz ene lastnosti vedno predati celoten profil, sistem proizvaja nepotrebno povezljivost med različnimi področji življenja.

Selektivno razkritje in psevdonimi sta zato pomembni varovalki. Evropska pravila za digitalno denarnico predvidevajo možnost razkritja samo potrebnih atributov in uporabo psevdonimov, kjer pravna identiteta ni zahtevana. To zmanjšuje količino podatkov, ki jih posamezni ponudnik dobi samo zato, ker je moral nekaj preveriti.

Praktično pravilo je preprosto: dokaz naj bo čim ožji glede na namen. Sistem, ki mora izvedeti »starejši od 18«, ne potrebuje avtomatično datuma rojstva; sistem, ki mora preveriti pravico do določene storitve, ne potrebuje avtomatično celotne zgodovine drugih storitev.

Plačilni račun je danes infrastruktura sodelovanja

V sodobnem gospodarstvu je plačilni račun tako običajen, da ga zlahka zamenjamo za navaden komercialni izdelek. V resnici je pogosto osnovna infrastruktura za prejem plače, plačevanje računov, najemnine, spletne nakupe in številne javne ali zasebne storitve. Zato lahko izguba dostopa do plačilnega sistema povzroči mnogo širšo družbeno izključitev.

Evropska Direktiva o plačilnih računih (Payment Accounts Directive) prav zaradi tega daje potrošnikom v EU pravico do osnovnega plačilnega računa ne glede na kraj prebivanja ali finančni položaj ter zahteva lažje menjavanje bank. To ne pomeni absolutne pravice do vsakega računa pri vsakem ponudniku, pokaže pa pomembno načelo: osnovni dostop do plačil ni običajna luksuzna storitev.

»Denar, kredit in dolg: kdo ustvarja kupno moč in pod kakšnimi pogoji?« je pokazal, da denar in kredit ustvarjata pomembna razmerja odvisnosti. Ta članek dodaja digitalno plast: ni dovolj vprašati, kdo izdaja denar ali daje kredit; vprašati moramo tudi, skozi katera vrata lahko človek do svojega denarja sploh dostopa.

Upravljanje tveganj ne sme postati avtomatična izključitev

Banke in drugi finančni ponudniki imajo legitimne obveznosti glede goljufij, pranja denarja, sankcij in drugih tveganj. Ta članek zato ne zahteva, da mora biti vsaka transakcija vedno dovoljena ali da mora ponudnik ignorirati zakonske obveznosti. Težava nastane pri pavšalnem izključevanju, kjer se celotne kategorije uporabnikov zavrne brez individualne in sorazmerne ocene.

Evropski bančni organ je opozoril, da lahko neupravičeno opuščanje poslovnih razmerij zaradi tveganja (de-risking) legitimnim uporabnikom zapre dostop do finančnih storitev in še posebej prizadene ranljive skupine. To je dober primer razlike med upravljanjem tveganj in prenosom administrativnega udobja na uporabnika v obliki popolne izključitve.

Dobra varovalka zato ni odsotnost preverjanja, ampak razložljiva odločitev, sorazmernost, možnost dopolnitve podatkov in učinkovit pritožbeni postopek. Če sistem lahko človeka izključi v nekaj sekundah, vendar potrebuje mesece, da popravi očitno napako, je asimetrija moči vgrajena v sam proces.

Enotna točka odpovedi ni samo tehnična napaka

Pri plačilih pogosto razmišljamo o izpadu strežnika, omrežja ali elektrike. To so pomembna tveganja, vendar je enotna točka odpovedi lahko tudi institucionalna: en ponudnik avtentikacije, en register, en mobilni operacijski sistem, en proces obnovitve računa ali ena organizacija, brez katere uporabnik ne more dokazati svoje upravičenosti.

Mednarodni standardi za finančne tržne infrastrukture zato zahtevajo načrte poslovne kontinuitete, obvladovanje medsebojnih odvisnosti in zmožnost okrevanja po velikih motnjah. Evropski DORA je podobno usmerjen v operativno odpornost finančnega sektorja in obvladovanje tveganj informacijsko-komunikacijskih tehnologij.

Toda tehnična redundanca sama po sebi ni dovolj. Dve podatkovni središči istega ponudnika ne ustvarita uporabnikove neodvisnosti, če oba vodita do istega administrativnega gumba za blokado. Resnična odpornost vključuje tehnično redundanco in več poti odločanja, obnovitve ter dostopa.

Za nujne funkcije je zdravo ohraniti več različnih kanalov. To lahko pomeni več ponudnikov, interoperabilne standarde, prenosljivost računa ali poverilnice, način brez povezave za omejene funkcije, rezervni postopek identifikacije ter vsaj eno plačilno pot, ki ni odvisna od istega omrežja in naprave.

Gotovina je pri tem pomemben primer funkcionalno drugačne poti. ECB poudarja, da za plačilo z gotovino ne potrebujemo interneta ali elektrike, da omogoča zasebnost in vključuje ljudi z omejenim dostopom do digitalnih plačil. Prav zato lahko v motnji deluje kot rezervni kanal, ne kot tehnološki nasprotnik digitalnih plačil.

Cilj ni, da vsi vedno uporabljamo vse načine hkrati. Cilj je, da odpoved enega načina ne pomeni odpovedi družbenega sodelovanja. Sistem je odpornejši, kadar imamo heterogene rezerve, ne zgolj več kopij iste tehnologije.

Interoperabilnost, obnovitev in pritožba določajo resnično suverenost

Najboljša identitetna ali plačilna storitev ni nujno tista z največ funkcijami, ampak tista, iz katere je mogoče varno izstopiti in po napaki ponovno vstopiti. Interoperabilnost zmanjšuje vezanost na enega ponudnika; standardizirana izmenjava poverilnic ali plačilnih podatkov zmanjšuje stroške zamenjave; jasen postopek obnovitve dostopa pa prepreči, da izguba naprave postane izguba digitalnega življenja.

Poleg tehnične obnovitve dostopa potrebujemo tudi institucionalno možnost popravka. Kdo popravi napačen atribut? Kdo preveri neupravičeno zaprtje računa? Kdo lahko začasno obnovi dostop, kadar avtomatizirani sistem naredi napako? Kateri neodvisni organ lahko presodi spor? Brez teh odgovorov je uporabniški »nadzor« predvsem estetska lastnost vmesnika.

World Bank ID4D med dobrimi načeli identitetnih sistemov zato poleg interoperabilnosti poudarja vključevanje, zasebnost, jasne institucionalne mandate, odgovornost in možnost poprave napak. Suverenost je merljiva po tem, koliko učinkovite moči ima uporabnik, ko gre nekaj narobe.

Preden digitalno identiteto ali plačilni sistem obravnavamo kot nevtralno infrastrukturo, si lahko zastavimo dvanajst vprašanj: 1. Ali je uporaba obvezna ali obstaja resnična alternativa? 2. Ali se preverja samo nujen atribut? 3. Ali sta identifikacija in avtorizacija ločeni? 4. Ali lahko uporabnik uporablja psevdonim, kadar polna identiteta ni potrebna? 5. Ali lahko zamenja ponudnika brez izgube ključnih funkcij? 6. Ali obstaja rezervni način ob izgubi naprave?

Nadalje: 7. Ali izpad enega ponudnika ustavi vse? 8. Ali obstaja način brez povezave ali druga funkcionalno neodvisna plačilna pot? 9. Ali je blokada obrazložena? 10. Ali obstaja hiter postopek za popravo napačnih podatkov in neupravičene izključitve? 11. Ali se identitetni in plačilni podatki uporabljajo samo za jasno določene namene? 12. Kdo nadzoruje organizacijo, ki lahko poverilnico ali račun prekliče?

Če sistem na večino teh vprašanj odgovori dobro, je lahko digitalna identiteta orodje večje uporabnosti in tudi večjega nadzora posameznika. Če pa ena odločitev hkrati določa identiteto, dostop do denarja in možnost sodelovanja, dobimo izjemno močno točko oblasti. »Umetna inteligenca: orodje, svetovalec ali nova avtoriteta?« bo nadaljeval prav na naslednji meji: kaj se zgodi, ko takšne sisteme ne uporablja več samo človek po jasnih pravilih, ampak začne pri presoji in odločanju sodelovati umetna inteligenca — kot orodje, svetovalec ali nova avtoriteta?