AI-agent ei vaja isikukoodi. Tal on vaja volitust.
Usaldus ei teki numbrist, vaid kontrollitavast volitusest, piiratud õigustest ja vastutusest.
Eestile meeldivad registrid. Kui miski liigub, paneme ta kirja ja anname numbri. Kui liigub iseseisvalt, tekib üsna kiiresti mõte anda talle isikukood.
AI-agentide puhul on mure arusaadav. Nad hakkavad meie eest pankade, ettevõtete ja riigiga suhtlema, andmeid esitama, kokkuleppeid sõlmima ning tehinguid tegema. Seda ei saa teha inimese kasutajanime, salasõna ja täielike õigustega. Nii kaugele on kõik hästi.
Kummaliseks läheb asi siis, kui lahenduseks pakutakse agendile riiklikku identiteeti.
Riiklik number ei lahenda usalduse probleemi
Isikukood sobib inimesele, sest inimene on enam-vähem üks ja seesama ka järgmisel hommikul. AI-agent on tarkvara. Seda saab uuendada, kopeerida, ümber seadistada ja korraga sajas kohas käivitada. Täna teeb ta üht, homme pärast uuendust midagi muud. Riiklik number ei muuda teda sellepärast usaldusväärsemaks. Ta on endiselt programm, nüüd lihtsalt numbriga.
Oluline pole, kes agent „on”, vaid kelle nimel ta tegutseb
Pangal või registril pole vaja teada agendi „isikukoodi”. Tal on vaja teada, kes agendi tegutsema saatis, kelle nimel ta tegutseb, mida ta teha tohib ja kes vastutab, kui asi viltu läheb.
Kui mina panen agendi enda nimel tööle, vastutan tema tegevuse eest mina. Ka siis, kui kasutasin vigast tarkvara ega teadnud selle veast. See ei tähenda, et tarkvara tootja võiks käed puhtaks pühkida. Kui kahju põhjustas vigane või pahatahtlik toode, saan mina omakorda tootjalt hüvitist nõuda. Kannatanu ei pea hakkama lahti harutama, kas süüdi oli agendi looja, mudeli tootja, pilveteenus või mõni kauge alltöövõtja.
Vastasel juhul kaob vastutus üsna kiiresti tehnoloogiaettevõtete kasutustingimuste vahele. Kõik justkui vastutavad natuke ja lõpuks ei vastuta keegi.
Edasivolituse ahel peab jääma nähtavaks
Sama reegel peab kehtima siis, kui üks agent annab osa tööst järgmisele. Iga sammu juurde peab jääma selge jälg: kes selle käivitas, millise volituse alusel ja millistes piirides. Järgmine agent ei tohi saada rohkem õigusi, kui oli eelmisel. Muidu võib õigus vaadata üht dokumenti kasvada mõne kiire sammuga õiguseks teha mida tahes. Tarkvara ei ole ahne, aga kehvasti antud õigused võivad jätta sellise mulje.
Tehniline identiteet on vajalik, kuid sellest ei piisa
Agenti peab muidugi olema võimalik tehniliselt eristada. Peame teadma, milline programm, milline versioon ja milline töötav eksemplar toimingu tegi. Selleks pole vaja inimese isikukoodi meenutavat riiklikku numbrit. Suured tehnoloogiaplatvormid annavad oma süsteemides töötavatele agentidele tehnilise identiteedi niikuinii.
Eesti võiks luua digitaalse agentvolituse
Eesti võiks teha midagi märksa kasulikumat: luua eri platvormidel toimiva digitaalse agentvolituse.
See tõendaks, kes on agendi taga, kas tal oli õigus agenti volitada, mida agent teha tohib ja kas volitus veel kehtib. Enne ligipääsu andmist kontrollib pank, register või ettevõte volituse üle. Pärast jääb toimingust mõlemale poolele digitaalselt kinnitatud kviitung, mida ei saa hiljem märkamatult ümber kirjutada.
Välismaises pilves töötav agent võiks näiteks esitada tõendi, et teda volitas konkreetne inimene või ettevõte, volitus kehtib kindla ajani ning lubab teha ainult nimetatud toimingu. Eesti ei pea seejuures kinnitama, et agent on tubli, tark ja hea iseloomuga. Piisab sellest, kui saab kindlalt tõendada, kelle tööriist ta on ja kui pika rihma otsas ta töötab.
Selle jaoks on meil hea lähtekoht. Eestis osatakse siduda inimese identiteet ettevõtte esindusõigusega, kasutada digiallkirju ning panna riigi ja erasektori süsteemid omavahel suhtlema. Järgmine samm oleks lisada sellele agentide jaoks sobiv volituste, edasivolituste ja vastutuse ahel.
Lahendus peab töötama üle piiride
Kinnist Eesti erilahendust pole mõtet teha. Kui meie tõendit mõistavad ainult meie enda registrid, saame küll jälle ühe korraliku e-teenuse, mida väliskülalistele slaididel näidata, kuid maailmas ei muutu sellest midagi.
Mõju tekib alles siis, kui sama volitust saavad kontrollida teised riigid, pangad ja tehnoloogiaplatvormid. Seepärast tuleb lahendus algusest peale ehitada koos rahvusvaheliste standardite ja Euroopa digitaalse identiteedi süsteemiga.
Eesti võib olla esimene riik, kus selline mudel päriselt tööle pannakse. Mitte ettekande, arengukava või järjekordse hoogsa loosungina, vaid igapäevases kasutuses. Kui suudame näidata, kuidas AI-agent saab tegutseda inimese või ettevõtte nimel nii, et õigused on piiratud ja vastutus ei kao, tulevad teised seda lahendust vaatama ning kasutusele võtma.
Ärme anna programmile isikukoodi
Seega jätaks AI isikukoodi mõtte mõneks ajaks rahule. Masin ei vaja riigi kinnitust, et ta on masin.
Meil on vaja teada, kelle tööriist ta on, mida ta teha tohib ja kes vastutab.
Ärme anna programmile isikukoodi.
Anname talle selge volituse, lühikese rihma ja vastutava omaniku.
Kas sinu ettevõtte AI-agendid tegutsevad selgete piiridega?
Aitan kaardistada, milliseid protsesse tasub AI-le anda ning millised volitused, kontrollid ja vastutuse piirid peavad enne paigas olema.