A Camada Que Nenhuma Norma Audita

Como renomear uma capacidade a reencaminha para lá do controlo que vigiava o nome antigo

Uma capacidade pode ser descrita de duas maneiras. Sob a primeira descrição não sobreviveria à revisão: lê o que é digitado, captura o que é mostrado, guarda as credenciais e age sem a pessoa ao teclado. Sob a segunda é lançada, demonstrada e elogiada. Ambas as descrições referem-se à mesma capacidade. Só o nome mudou — e com o nome, o veredicto.

Isto raramente é engano no sentido estrito. A descrição lisonjeira é normalmente exata até onde vai. O problema é que o nome foi deixado a fazer o trabalho que a análise devia fazer, e a análise nunca chega a correr, porque o nome já a resolveu.

Uma capacidade, três nomes

Três casos do registo público tornam a forma visível. Nenhum é invulgar; é esse o ponto.

Descobriu-se que um browser escrevia no dispositivo um modelo de linguagem de vários gigabytes sem qualquer pedido de consentimento, reinstalando o ficheiro quando o utilizador o apagava. A capacidade foi enquadrada como privacidade on-device. O exame forense mostrou que a funcionalidade destacada apresentada ao utilizador encaminhava as consultas para servidores remotos de qualquer forma — o armazenamento e a largura de banda eram suportados localmente, a privacidade não era entregue. Arquivada sob on-device, a instalação passou ao lado do consentimento que descarga silenciosa para a máquina do utilizador teria exigido.

Uma funcionalidade de sistema operativo capturava o ecrã a intervalos curtos e indexava o resultado, de modo que tudo o que fosse mostrado uma vez pudesse ser recuperado depois. Apresentada como auxiliar de memória, foi avaliada no lançamento como uma base de dados de vigilância em espera, e acabou restringida a desligada-por-defeito com verificações de presença após objeção sustentada. O mecanismo — captura contínua de tudo o que é mostrado, incluindo tudo o que nele é digitado — é o mecanismo que, sob outro nome, todas as políticas de endpoint foram escritas para detetar e remover.

A automação robótica de processos lê ecrãs de aplicações, injeta teclas e autentica-se com credenciais guardadas para agir como um utilizador. Está arquivada sob transformação, não sob ameaça. No entanto, o mesmo bot, examinado em vez de nomeado, autentica-se com credenciais permanentes e age sem supervisão, detendo um acesso que o papel humano que substituiu nunca teve sem uma pessoa presente. O mecanismo é raspagem de ecrã, injeção de teclas e uso de credenciais. Sob um nome, isso é spyware. Sob outro, é um trabalhador digital.

O que o nome está a fazer

Os controlos estão ligados a nomes. Uma política de endpoint vigia keyloggers e captura de ecrã. Uma revisão de proteção de dados é acionada por recolha e monitorização. Um gate de procurement dispara com vigilância. Nenhum destes controlos inspeciona diretamente um fluxo de dados; cada um inspeciona a categoria sob a qual o fluxo foi arquivado. A categoria é fornecida pelo nome.

Renomeie-se a capacidade e ela é re-arquivada. O fluxo permanece igual, mas o controlo que vigiava a categoria antiga já não dispara. O nome — não a arquitetura, não o fluxo de dados — tornou-se a camada operativa de controlo de acesso. E é também a única camada que nenhuma norma exige que alguém audite.

Essa camada tem ainda uma propriedade que vale a pena enunciar sem rodeios: é definida pela parte com menos incentivo para classificar com rigor. O dono da capacidade escolhe o nome dela. O revisor herda-o.

A leitura que nenhuma norma exige

Um único movimento expõe a substituição. Não tem número de cláusula, e é barato.

O teste renomear-e-revotar: pegar numa capacidade já aprovada, descrevê-la de novo em termos simples e nada lisonjeiros — as palavras que o concorrente menos amigável usaria — e repor a aprovação a votos. Se o veredicto se mover, o voto foi dado ao nome. O que foi aprovado foi uma descrição, não uma capacidade.

O instrumento não é a descoberta. O efeito em que assenta — o de uma descrição poder mover uma decisão que os factos subjacentes não movem — é o efeito de enquadramento, estabelecido por Kahneman e Tversky há décadas, e todas as revisões de governação estão expostas a ele. O que é novo é mais estreito: a disciplina de correr a re-descrição de propósito, dentro da aprovação, antes da assinatura em vez de depois do incidente.

O que governa nunca foi o nome. É o consentimento, a autoridade legítima, a responsabilização e a proporcionalidade. Uma capacidade merece aprovação por os satisfazer, venha nas palavras em que vier. Uma capacidade que lhes falha, falha-lhes sob todos os nomes que lhe derem. O trabalho é ler o fluxo e não o rótulo — e esse trabalho é precisamente o que a renomeação foi construída para fazer parecer desnecessário.

A assimetria não está em o fornecedor deter o poder. Está em o poder do fornecedor só funcionar enquanto não é lido. O nome da capacidade é escolhido pela parte que beneficia da classificação; a assinatura sob a aprovação pertence à parte que herda o risco. Entre as duas está o único controlo que a renomeação foi desenhada para passar — o leitor a decidir se se aplica funcionalidade ou constatação. Onde a renomeação vence, não derrotou um sistema. Foi assinada.