Gå til innhold

Abiteboul & Stoyanovich 2019 – Transparency, Fairness, Data Protection, Neutrality

Kort fortalt

En kort artikkel skrevet for forskere innen datahåndtering. Den presenterer tre reguleringer – EUs personvernforordning (GDPR), New Yorks lov om automatiserte beslutningssystemer og prinsippet om nettnøytralitet – som eksempler på en global trend der myndigheter begynner å regulere datadrevet algoritmisk teknologi (s. 1–2) [U]. Forfatterne peker på tekniske utfordringer reguleringene reiser: åpenhet, rettferdighet, sletting og flytting av personopplysninger, og nøytralitet (s. 4–7) [U]. Hovedbudskapet er at juridiske og etiske normer ikke kan legges til i etterkant; man må tenke «ansvar innebygd fra starten» (responsibility by design) (s. 1, 8) [U].

Problemstilling og hovedpåstand

  • Mål: å gjøre forskere innen datahåndtering oppmerksomme på reguleringene og peke på tekniske utfordringer fagfeltet er godt rustet til å løse (s. 1–2) [U].
  • Hovedpåstand: juridiske normer kan ikke bygges inn i datadrevne systemer i etterkant; ansvar må være et systemkrav fra starten (s. 2, 8) [U].
  • Å virkeliggjøre åpenhet, rettferdighet, personvern og nøytralitet vil kreve et betydelig kulturskifte, der effektivitet, nøyaktighet og nytte veies mot likebehandling og ansvarlighet (s. 8) [U].

Teoretisk perspektiv

  • Ingen uttalt teoretisk tradisjon. Artikkelen er skrevet fra informatikk / datahåndtering, med henvisninger til forskning på rettferdighet i maskinlæring, dataproveniens og differensielt personvern (s. 4–6) [U].

Empirisk materiale og kontekst

  • Ingen empirisk studie. Gjennomgang av regulering: GDPR (vedtatt 2016, gjeldende fra 25. mai 2018), New Yorks ADS-lov (2017), EU-forordning 2015/2120 om nettnøytralitet, Indias rammeverk for nettnøytralitet og det amerikanske FCCs opphevelse av nettnøytralitet i 2017 (s. 2–4) [U].
  • Eksempler: ProPublicas sak om «machine bias», kredittvurderingen FICO, Googles fjerning av søketreff, sletting hos Facebook, Data Transfer Project (s. 4, 6–7) [U].

Metode

  • Posisjonsartikkel / oversikt over regulering og tekniske utfordringer, med forslag til forskningsretninger for fagfeltet [T – karakteristikk].

Sentrale begreper

Begrep Hvordan kilden definerer eller bruker det Side U/T
personal data (GDPR) Enhver opplysning om en identifisert eller identifiserbar fysisk person, den registrerte 2 U
responsibility by design Juridiske og etiske normer bygd inn som systemkrav, ikke lagt til etterpå 1, 8 U
data transparency Å gjøre data eller statistiske sammendrag av dem tilgjengelige, samtidig som personvernet ivaretas; nødvendig for algoritmisk åpenhet 3–4 U
interpretability Å synliggjøre egenskapene ved data og om de er egnet for en bestemt oppgave 4 U
fairness Subjektivt, kontekstavhengig og sterkt politisert; ulike forståelser kan ikke oppfylles samtidig 5 U
right to be forgotten (GDPR art. 17) Retten til å kreve sletting av personopplysninger 6 U
data portability (GDPR art. 20) Retten til å få utlevert og flytte egne data til en annen leverandør 6–7 U
net neutrality Internettleverandører skal ikke forskjellsbehandle etter avsender, mottaker eller innhold 3 U

Hvordan personvern og private data forstås

  • Hovedsakelig som individuelle rettigheter etter GDPR: samtykke, retting, sletting, dataportabilitet og retten til informasjon (s. 2) [U]. GDPR skal først og fremst gi den registrerte innsyn i og kontroll over egne personopplysninger (s. 2) [U].
  • Som noe som står i spenning til åpenhet: data kan ikke alltid deles fordi de er sensitive; personvernfremmende metoder som differensielt personvern foreslås (s. 4) [U].
  • Som et teknisk designkrav (ansvar innebygd fra starten) (s. 8) [U].
  • Datakompetanse og brukerorganisasjoner nevnes som en indirekte form for regulering som kan hjelpe folk å beskytte sine private data (s. 8) [U].
  • GDPR gjelder både privat og offentlig sektor (s. 2), mens New Yorks ADS-lov bare regulerer kommunale etater (s. 3) [U].

Argumenter og funn

  • Åpenhet og ansvarlighet er særlig viktig når algoritmer tas inn i offentlige prosesser; åpenhet i forvaltningen er en grunnleggende demokratisk verdi (s. 4) [U].
  • Å publisere kildekode er sjelden nok; algoritmisk åpenhet krever åpenhet om data (s. 4) [U].
  • Skjevheter oppstår ofte i forbehandlingen (rensing, sammenstilling, spørringer, rangering), så rettferdighet bør håndteres tidlig i prosessen (s. 5) [U].
  • Sletting må være permanent og gjennomgripende, men det er vanskelig å garantere at alle kopier slettes, og sletting kan komme i konflikt med andre lovkrav (s. 6) [U].
  • Google har mot sin vilje fått en tvilsom dømmende makt gjennom fjerning av søketreff (s. 6) [U].
  • Det er regulatorenes oppgave å pålegge dataportabilitet og samhandling, fordi selskapene har lite insentiv til å hjelpe kunder å forlate dem (s. 7) [U].

Begrensninger kilden selv nevner

  • Måling av nettnøytralitet er først og fremst interessant for andre fagfelt enn datahåndtering (s. 7) [U].
  • Artikkelen konsentrerer seg om eksplisitt regulering av næringslivet og offentlig tilsyn; myndiggjøring av brukere nevnes bare kort (s. 8) [U].

Hva kilden ikke dekker

  • Norsk eller nordisk regulering [T].
  • Samfunnsvitenskapelig eller politisk analyse av hvorfor reguleringen ser ut som den gjør [T].
  • Staten som innsamler av data, utover New Yorks ADS-lov om kommunale etater [T].

Mulig relevans for oppgaven

  • Gir en kort, teknisk oversikt over GDPR-rettighetene som norske dokumenter trolig viser til [T].
  • Tanken om at normer må bygges inn i systemene («by design») kan også dukke opp i norske dokumenter (for eksempel som «innebygd personvern»); artikkelen kan hjelpe med å kjenne igjen vokabularet [T].
  • Kan brukes som eksempel på hvordan informatikere rammer inn personvern, som kontrast til de samfunnsvitenskapelige kildene [T].

Forbindelser til andre kilder

  • Fairfield & Engel 2015 – tematisk og som kontrast: Abiteboul og Stoyanovich fremstiller GDPRs individuelle rettigheter til sletting og dataportabilitet som sentrale, mens Fairfield og Engel hevder at verktøy bygd rundt individuelle rettigheter til innsyn og sletting i stor grad har vært virkningsløse (Fairfield & Engel s. 457) [T].
  • Grimmelikhuijsen et al. 2013 – tematisk: åpenhet i forvaltningen [T].
  • Vedder & Naudts 2017 – tematisk: ansvarlighet for algoritmer [T].

Nøkkelsitater

“Governments are starting to recognize the need to regulate data-driven algorithmic technology.” (s. 1)

“The main takeaway of this article is that legal and ethical norms cannot be incorporated into data-driven systems as an afterthought.” (s. 1)

“That is, data transparency is in tension with the privacy of individuals who are included in the dataset.” (s. 4)

“Fairness is a subjective, context-dependent and highly politicized concept” (s. 5)

Åpne spørsmål til Rebekka

  • Bruker du artikkelen for oversikten over GDPR, eller for argumentet om ansvar innebygd fra starten?
  • Bruker de norske dokumentene «by design»-tenkning (for eksempel «innebygd personvern»)?
  • Er spenningen mellom åpenhet og personvern (s. 4) synlig i dokumentene dine?
  • Hvordan vil du bruke en teknisk kilde ved siden av de samfunnsvitenskapelige?