211service.com
Kollektive datarettigheter kan stoppe storteknologi fra å utslette personvernet
Franziska Barczyk
Hver person som er engasjert i den nettverksverden, skaper konstant elver av data. Vi gjør dette på måter vi er klar over, og på måter som vi ikke er. Bedrifter er ivrige etter å dra nytte.
Ta for eksempel NumberEight, en oppstart, som ifølge Kablet , hjelper apper å utlede brukeraktivitet basert på data fra en smarttelefons sensorer: enten de løper eller sitter, nær en park eller museum, kjører eller kjører tog. Nye tjenester basert på slik teknologi vil kombinere det de vet om en brukers aktivitet på sine egne apper med informasjon om hva de gjør fysisk på det tidspunktet. Med denne informasjonen, i stedet for å bygge en profil for å målrette f.eks. kvinner over 35 år, kan en tjeneste målrette annonser mot «tidlig stige».
Slike ambisjoner er utbredt. Som denne nylige Harvard Business Review-artikkelen legger De fleste administrerende direktører erkjenner at kunstig intelligens har potensial til å fullstendig endre hvordan organisasjoner fungerer. De kan se for seg en fremtid der for eksempel forhandlere leverer individualiserte produkter før kundene i det hele tatt ber om dem – kanskje på samme dag som produktene lages. Etter hvert som selskaper bruker AI i flere og flere distinkte domener, forutsier artikkelen at deres AI-evner raskt vil øke, og de vil oppdage at fremtiden de så for seg faktisk er nærmere enn den en gang så ut.
Selv i dag, enn si i en slik fremtid, kan teknologi fullstendig utslette personvernet. Å komme opp med lover og retningslinjer for å stoppe det fra å gjøre det er en viktig oppgave for regjeringer. Ettersom Biden-administrasjonen og kongressen vurderer føderal personvernlovgivning, må de ikke gi etter for en vanlig feilslutning. Lover som beskytter personvernet til folks data handler ikke bare om å beskytte enkeltpersoner. De handler også om å beskytte rettighetene våre som medlemmer av grupper – som en del av samfunnet som helhet.
Skaden på et individ i en gruppe som følge av brudd på personvernrettighetene kan være relativt liten eller vanskelig å fastslå, men skaden på gruppen som helhet kan være alvorlig. La oss si at Amazon bruker dataene sine om forbrukeratferd for å finne ut hvilke produkter som er verdt å kopiere og deretter underbyr produsentene av produktene de selger, som sko eller kameravesker . Selv om den umiddelbare skaden er for skomakeren eller kameraveskeprodusenten, er den langsiktige – og til syvende og sist mer varige – skaden for forbrukerne, som i det lange løp blir frarøvet valgene som kommer av å handle på en virkelig åpen og rettferdig måte. markedsplass. Og mens skomakeren eller kameraveskeprodusenten kan prøve å ta rettslige skritt, er det mye vanskeligere for forbrukere å vise hvordan Amazons praksis skader dem.
Dette kan være et vanskelig konsept å forstå. Gruppesøksmål, der mange individer går sammen selv om hver enkelt kan ha lidd bare en liten skade, er en god konseptuell analogi. Store teknologiselskaper forstår de kommersielle fordelene de kan oppnå ved å analysere dataene til grupper mens de overfladisk beskytter dataene til enkeltpersoner gjennom matematiske teknikker som differensiert personvern. Men regulatorer fortsetter å fokusere på å beskytte individer eller, i beste fall, beskyttede klasser som mennesker av spesielle kjønn, alder, etnisitet eller seksuell legning.
Hvis en algoritme diskriminerer mennesker ved å sortere dem i grupper som ikke faller inn i disse beskyttede klassene, gjelder ikke antidiskrimineringslover i USA. (Profileringsteknikker som de Facebook bruker for å hjelpe maskinlæringsmodeller med å sortere brukere, er sannsynligvis ulovlig i henhold til EUs databeskyttelseslover, men dette har ennå ikke blitt saksøkt.) Mange vil ikke en gang vite at de ble profilert eller diskriminert, noe som gjør det er vanskelig å reise rettslige skritt. De føler ikke lenger urettferdigheten, urettferdigheten på egenhånd – og det har historisk sett vært en forutsetning for å fremme et krav.
Relatert historie
Det er på tide med en Bill of Data Rights Mens det amerikanske senatet debatterer et nytt lovforslag, presenterer en datastyringsekspert en plan for å beskytte frihet og frihet i den digitale tidsalderen.Enkeltpersoner bør ikke måtte kjempe for personvernrettighetene deres og være ansvarlig for alle konsekvenser av deres digitale handlinger. Tenk på en analogi: folk har rett til trygt drikkevann, men de blir ikke oppfordret til å utøve den retten ved å sjekke kvaliteten på vannet med en pipette hver gang de tar en drink i springen. I stedet handler reguleringsorganer på alles vegne for å sikre at alt vannet vårt er trygt. Det samme må gjøres for digitalt personvern: det er ikke noe den gjennomsnittlige brukeren er, eller bør forventes å være, personlig kompetent til å beskytte.
Det er to parallelle tilnærminger som bør følges for å beskytte publikum.
Den ene er bedre bruk av gruppe- eller gruppesøksmål, ellers kjent som kollektive oppreisningssøksmål. Historisk sett har disse vært begrenset i Europa, men i november 2020 Europa-parlamentet vedtatt et tiltak som krever at alle 27 EU-medlemsstater implementerer tiltak som åpner for kollektive oppreisningsaksjoner i hele regionen. Sammenlignet med USA har EU sterkere lover som beskytter forbrukerdata og fremmer konkurranse, så gruppe- eller gruppesøksmål i Europa kan være et kraftig verktøy for advokater og aktivister til å tvinge store teknologiselskaper til å endre atferd selv i tilfeller der per- personskadene ville være svært lave.
Gruppesøksmål har oftest blitt brukt i USA for å søke økonomisk erstatning, men de kan også brukes til å fremtvinge endringer i politikk og praksis. De kan jobbe hånd i hånd med kampanjer for å endre opinionen, spesielt i forbrukersaker (for eksempel ved å tvinge Big Tobacco til å innrømme sammenhengen mellom røyking og kreft, eller ved å bane vei for lover om bilbelte). De er kraftige verktøy når det er tusenvis, om ikke millioner, av lignende individuelle skader, som til sammen bidrar til å bevise årsakssammenheng. En del av problemet er å få riktig informasjon for å saksøke i utgangspunktet. Regjeringens innsats, som et søksmål anlagt mot Facebook i desember av Federal Trade Commission (FTC) og en gruppe på 46 stater , er avgjørende. Som teknologijournalisten Gilad Edelman uttrykker det, i følge søksmålene er uthuling av brukernes personvern over tid en form for forbrukerskade – et sosialt nettverk som beskytter brukerdata mindre er et dårligere produkt – som tipser Facebook fra et rent monopol til et ulovlig en. I USA, som New York Times nylig rapportert , private søksmål, inkludert gruppesøksmål, bygger ofte på bevis som er avdekket av myndighetenes undersøkelser. I EU er det imidlertid omvendt: Private søksmål kan åpne for muligheten for reguleringshandlinger, som er begrenset av gapet mellom EU-omfattende lover og nasjonale regulatorer.
Som bringer oss til den andre tilnærmingen: en lite kjent fransk lov fra 2016 kalt Digital Republic Bill. De Digital Republic Bill er en av få moderne lover som fokuserer på automatisert beslutningstaking. Loven gjelder foreløpig kun for administrative avgjørelser tatt av offentlige algoritmesystemer. Men det gir en skisse for hvordan fremtidige lover kan se ut. Den sier at kildekoden bak slike systemer skal gjøres tilgjengelig for allmennheten. Hvem som helst kan be om den koden.
Det er viktig at loven gjør det mulig for advokatorganisasjoner å be om informasjon om hvordan en algoritme fungerer og kildekoden bak den, selv om de ikke representerer en spesifikk person eller fordringshaver som angivelig er skadet. Behovet for å finne en perfekt saksøker som kan bevise skade for å reise søksmål gjør det svært vanskelig å takle de systemiske problemene som forårsaker skader på kollektiv data. Laure Lucchesi, direktøren for Etalab, et fransk regjeringskontor med ansvar for å føre tilsyn med lovforslaget, sier at lovens fokus på algoritmisk ansvarlighet var forut for sin tid. Andre lover, som den europeiske generelle databeskyttelsesforordningen (GDPR), fokuserer for sterkt på individuelt samtykke og personvern. Men både dataene og algoritmene må reguleres.
Behovet for å finne en perfekt saksøker som kan bevise skade for å reise søksmål gjør det svært vanskelig å takle de systemiske problemene som forårsaker skader på kollektiv data.
eple lover i én annonse: Akkurat nå er det mer privat informasjon på telefonen din enn hjemme. Posisjonene dine, meldingene dine, pulsen din etter en løpetur. Dette er private ting. Og de burde tilhøre deg. Apple forsterker denne individualistens feilslutning: Ved å unnlate å nevne at telefonen din lagrer mer enn bare dine personlige data, tilslører selskapet det faktum at de virkelig verdifulle dataene kommer fra din interaksjon med tjenesteleverandørene dine og andre. Forestillingen om at telefonen din er den digitale ekvivalenten til ditt arkivskap er en praktisk illusjon. Bedrifter bryr seg faktisk lite om dine personlige data; det er derfor de kan late som om de låser den i en boks. Verdien ligger i slutningene trukket fra interaksjonene dine, som også er lagret på telefonen din – men at data ikke tilhører deg.
Googles oppkjøp av Fitbit er et annet eksempel. Google lover å ikke bruke Fitbit-data til annonsering, men de lukrative spådommene Google trenger er ikke avhengige av individuelle data. Som en gruppe europeiske økonomer hevder d i en nylig artikkel publisert av Centre for Economic Policy Research, en tenketank i London, er det nok for Google å korrelere samlede helseutfall med ikke-helseutfall for selv en undergruppe av Fitbit-brukere som ikke valgte bort noen bruk av å bruke dataene deres, for deretter å forutsi helseutfall (og dermed annonsemålrettingsmuligheter) for alle ikke-Fitbit-brukere (milliarder av dem). Google-Fitbit-avtalen er i hovedsak en gruppedataavtale. Det posisjonerer Google i et nøkkelmarked for helsedata samtidig som det gjør det mulig å triangulere forskjellige datasett og tjene penger på slutningene som brukes av helse- og forsikringsmarkedene.
Hva politikerne må gjøre
Utkast til lovforslag har forsøkt å fylle dette gapet i USA. I 2019 introduserte senatorene Cory Booker og Ron Wyden en Algoritmisk ansvarlighetslov , som senere stoppet i kongressen. Loven ville ha pålagt firmaer å foreta algoritmiske konsekvensvurderinger i visse situasjoner for å sjekke for skjevhet eller diskriminering. Men i USA er det mer sannsynlig at dette avgjørende spørsmålet tas opp først i lover som gjelder spesifikke sektorer som helsevesen, hvor faren for algoritmisk skjevhet har blitt forstørret av pandemiens ulike innvirkning på amerikanske befolkningsgrupper.
I slutten av januar ble Personvernloven i nødstilfelle for folkehelse ble gjeninnført for Senatet og Representantenes hus av senatorene Mark Warner og Richard Blumenthal. Denne loven vil sikre at data som samles inn for folkehelseformål ikke brukes til andre formål. Det vil forby bruk av helsedata til diskriminerende, urelaterte eller påtrengende formål, inkludert kommersiell reklame, e-handel eller forsøk på å kontrollere tilgang til arbeid, finans, forsikring, bolig eller utdanning. Dette ville vært en flott start. Hvis vi går videre, bør en lov som gjelder for all algoritmisk beslutningstaking, inspirert av det franske eksemplet, fokusere på hard ansvarlighet, sterkt regulatorisk tilsyn med datadrevet beslutningstaking, og muligheten til å revidere og inspisere algoritmiske beslutninger og deres innvirkning på samfunnet.
Tre elementer er nødvendige for å sikre hard ansvarlighet: (1) klar åpenhet om hvor og når automatiserte beslutninger finner sted og hvordan de påvirker mennesker og grupper, (2) offentlighetens rett til å gi meningsfulle innspill og oppfordre de som har myndighet til å rettferdiggjøre sine beslutninger. , og (3) muligheten til å håndheve sanksjoner. Avgjørende er at beslutningstakere må bestemme, som nylig har blitt foreslått i EU, hva som utgjør en høyrisikoalgoritme som bør oppfylle en høyere standard for gransking.
Tydelig åpenhet
Fokuset bør være på offentlig gransking av automatisert beslutningstaking og typene åpenhet som fører til ansvarlighet. Dette inkluderer å avsløre eksistensen av algoritmer, deres formål og treningsdataene bak dem, så vel som deres innvirkning – om de har ført til ulike utfall, og på hvilke grupper i så fall.
Offentlig medvirkning
Offentligheten har en grunnleggende rett til å oppfordre makthaverne til å begrunne sine avgjørelser. Denne retten til å kreve svar bør ikke begrenses til høringsdeltakelse, der folk blir spurt om sine innspill og tjenestemenn går videre. Den bør inkludere bemyndiget deltakelse, der offentlige innspill er pålagt før utrullingen av høyrisikoalgoritmer i både offentlig og privat sektor.
Sanksjoner
Til slutt er sanksjonskraften nøkkelen for at disse reformene skal lykkes og for å oppnå ansvarlighet. Det bør være obligatorisk å etablere revisjonskrav for datamålretting, -verifisering og -kurering, for å utstyre revisorer med denne grunnleggende kunnskapen, og for å gi tilsynsorganer fullmakt til å håndheve sanksjoner, ikke bare for å avhjelpe skade i ettertid, men for å forhindre den.
Spørsmålet om kollektive datadrevne skader påvirker alle. En personvernlov for folkehelse i nødstilfeller er et første skritt. Kongressen bør deretter bruke lærdommen fra implementeringen av denne handlingen til å utvikle lover som fokuserer spesifikt på kollektive datarettigheter. Bare gjennom en slik handling kan USA unngå situasjoner der slutninger trukket fra dataselskapene samler inn, hjemsøker folks evne til å få tilgang til bolig, jobber, kreditt og andre muligheter i årene som kommer.