Peringatan RAND tentang Sistem ID Biometrik dan Digital
Laporan baru dari RAND memberikan bobot baru pada kekhawatiran yang telah disuarakan para advokat privasi selama bertahun-tahun: sistem identitas yang dibangun untuk satu tujuan jarang tetap terbatas pada tujuan tersebut. Menurut laporan tersebut, lembaga keamanan yang mengadopsi identifikasi biometrik, identitas digital, dan sistem AI harus diwajibkan untuk membenarkan kebutuhan akan teknologi tersebut sebelum memperolehnya sejak awal.
Itu mungkin terdengar seperti pengamanan birokrasi dasar, tetapi ketiadaannya justru merupakan masalah yang disorot RAND. Begitu sebuah lembaga memiliki pengenalan wajah, basis data sidik jari, atau infrastruktur ID digital, sistem-sistem tersebut cenderung ditarik ke penggunaan yang jauh melampaui justifikasi aslinya. Argumen inti RAND adalah bahwa risiko pengawasan ID digital biometrik bukanlah kasus-kasus pinggiran yang hipotetis. Itu adalah hasil yang dapat diprediksi dari bagaimana alat-alat ini diadopsi dan diperluas begitu sudah ada.
Dari Alat Verifikasi menjadi Alat Penargetan
Pola yang dijelaskan RAND sangatlah lugas. Sistem biometrik atau ID digital diperkenalkan untuk menyelesaikan masalah yang sempit: memverifikasi identitas seorang pelancong, mengonfirmasi kelayakan untuk suatu layanan, atau memeriksa usia seseorang. Tetapi infrastruktur yang mendasarinya, basis data, algoritma pencocokan, titik-titik pengumpulan, tidak hilang begitu tugas sempit itu selesai. Itu menjadi kapabilitas tetap yang dapat diakses oleh bagian lain dari pemerintah, atau lembaga lain sepenuhnya.
Inilah bagaimana sistem identifikasi menjadi sistem penargetan. Basis data yang dibangun untuk mengonfirmasi siapa seseorang dapat dengan mudah digunakan untuk melacak ke mana seseorang pernah pergi, dengan siapa ia bergaul, atau apakah ia cocok dengan daftar pantau. Seruan RAND agar lembaga membenarkan kebutuhan sebelum akuisisi pada dasarnya adalah upaya untuk memperlambat pergeseran itu sebelum terjadi, dengan memaksa adanya percakapan tentang ruang lingkup dan batasan pada titik adopsi daripada setelah sistem sudah mengakar dan sulit untuk dibongkar.
ID Digital dan Verifikasi Usia Sudah Menormalisasi Infrastruktur Ini
Yang membuat laporan RAND patut diperhatikan bukan hanya peringatannya tentang lembaga keamanan di luar negeri. Laporan ini hadir pada momen ketika infrastruktur serupa sedang dibangun di dalam Amerika Serikat, sering kali di bawah bendera yang jauh kurang kontroversial: melindungi anak-anak secara online.
Undang-undang dan proposal verifikasi usia semakin sering mewajibkan platform atau pemerintah untuk mengonfirmasi usia pengguna, dan mengonfirmasi usia dalam praktik berarti mengonfirmasi identitas. Sebuah makalah penelitian CGO tentang verifikasi usia telah memunculkan pertanyaan tentang apa yang terjadi pada data identitas yang dikumpulkan sistem-sistem ini setelah justifikasi keselamatan anak yang mendesak telah terpenuhi. Makalah tersebut berargumen bahwa kesibukan untuk mengesahkan undang-undang ini sering kali melewati justru jenis pengawasan yang menurut RAND seharusnya wajib sebelum sistem identitas apa pun dibangun sama sekali.
Dinamika yang sama muncul dalam proposal legislatif seperti KIDS Act. Sebagaimana dijelaskan dalam sebuah analisis, RUU tersebut dipromosikan sebagai langkah keselamatan anak tetapi berfungsi sebagai sistem pengawasan yang akan berlaku untuk seluruh populasi, bukan hanya anak di bawah umur. Pemeriksaan usia mengharuskan verifikasi semua orang, yang berarti infrastruktur tersebut akhirnya mencakup orang dewasa juga. Itulah masalah penggunaan ulang yang dijelaskan RAND, hanya saja terjadi di dalam negeri melalui kerangka keselamatan anak alih-alih kerangka keamanan nasional.
Apa Artinya Ini Bagi Anda
Sebagian besar orang tidak akan pernah berinteraksi langsung dengan jenis sistem lembaga keamanan yang menjadi fokus laporan RAND. Tetapi pelajaran mendasarnya berlaku secara luas: sistem apa pun yang mengumpulkan data biometrik atau identitas untuk satu tujuan yang dinyatakan dapat dialihkan ke tujuan lain di kemudian hari, sering kali tanpa orang yang datanya dikumpulkan pernah diberi tahu. Sistem verifikasi usia, program ID digital, dan alat login biometrik semuanya membawa risiko struktural yang sama, terlepas dari seberapa tidak berbahayanya proposisi awal terdengar.
Ini tidak berarti setiap proposal ID digital atau verifikasi usia diam-diam merupakan program pengawasan. Ini berarti beban pembuktian harus berada pada lembaga atau perusahaan yang mengusulkan sistem tersebut, bukan pada publik yang berusaha mengantisipasi bagaimana data mungkin digunakan lima tahun ke depan.
Apa yang Harus Dituntut oleh Pembuat Kebijakan dan Warga
Rekomendasi RAND, bahwa lembaga membenarkan kebutuhan sebelum memperoleh teknologi biometrik atau ID digital, adalah batas bawah yang wajar, bukan batas atas. Pembuat kebijakan yang mengevaluasi sistem identitas baru apa pun, baik yang dibingkai seputar keamanan, keselamatan anak, atau kenyamanan, harus menanyakan masalah spesifik apa yang diselesaikan sistem tersebut, siapa lagi yang akan memiliki akses ke data yang dikumpulkannya, dan apa yang terjadi pada data itu setelah tugas aslinya selesai. Warga yang peduli privasi dapat mendorong agar pertanyaan yang sama diajukan secara publik sebelum sistem ini diterapkan, bukan setelah sistem tersebut sudah menjadi infrastruktur permanen.
Benang merah yang menghubungkan laporan RAND dengan debat verifikasi usia domestik sederhana: begitu sistem identitas ada, penggunaannya cenderung meluas. Menuntut justifikasi di muka, dan batasan yang jelas atas penggunaan sekunder, adalah salah satu dari sedikit alat yang tersedia untuk menghentikan risiko pengawasan ID digital biometrik menjadi kenyataan alih-alih sekadar peringatan.
