Voorpublicatie: Hoe maken we de machine menselijker?

Welke beslissingen delegeren we aan machines en welke liever niet? En van ‘wie’ leren zelflerende systemen eigenlijk? Moraalfilosofe Katleen Gabriels houdt in haar boek ‘Regels voor Robots – Ethiek in tijden van AI’ een pleidooi voor ethische regels voor robots en AI-systemen, en voor de ontwerpers ervan. We bieden hier alvast een voorsmaakje.

Van Asimov tot zelfrijdend transport

Filosofie behoort tot de humane wetenschappen of alfawetenschappen. Binnen de ethiek zijn heel veel grijsvlakken. Ook bij technologieontwerp kunnen waarden in schril contrast staan tot elkaar, bijvoorbeeld wanneer je een afweging moet maken tussen persoonlijke privacy en openbare veiligheid. Beide waarden staan op gespannen voet met elkaar. Bovendien zijn de meeste ethische regels contextafhankelijk, zelfs het verbod op doden. Wie doodt uit zelfverdediging wordt anders geëvalueerd: dat vinden we meestal moreel aanvaardbaar.

Dat ethiek niet binair is, komt duidelijk naar voren in het debat over het programmeren van ethische regels in robots. De bekendste wetten voor robots zijn die van Isaac Asimov; ook zijn robots moeten gehoorzamen aan een aantal ethische regels. De eerste wet stelt dat een robot een mens niet mag verwonden. Een robot moet bevelen uitvoeren die mensen geven, behalve als die in strijd zijn met de eerste wet. En ten slotte moet een robot het eigen bestaan beschermen, zolang dit niet in strijd is met wet één en twee. Later introduceerde Asimov nog wet nul: ‘Een robot mag geen schade toebrengen aan de mensheid, of toelaten dat de mensheid schade toegebracht wordt door zijn nalatigheid’.

Vandaag staan we middenin de ontwikkeling van autonome (robot) technologie. De zelfrijdende wagen is hier het typevoorbeeld van. Auto’s werden de voorbije jaren stapsgewijs geautomatiseerd, denk aan wagens die zelf parkeren, bochten nemen of afremmen. Een volautomatische zelfrijdende wagen confronteert ons met interessante kwesties. Stel dat zo een wagen dreigt te crashen tegen een bus met schoolkinderen, moet die dan zo geprogrammeerd worden dat hij, als er een boom in de buurt staat, daartegen tot stilstand komt om de levens op de bus te redden? Maar die keuze zou jij als bestuurder misschien niet maken, omdat je dan zelf een groter risico loopt te overlijden – voor zover je die keuze hypothetisch kan inschatten. De technologie neemt een beslissing voor de bestuurder. In principe moet de consument dan weten hoe de wagen geprogrammeerd is en welke keuzes er gemaakt worden.

Om het maatschappelijk bewustzijn hierover te verhogen ontwikkelde MIT een website waarop zulke morele dilemma’s met een zelfrijdende wagen visueel worden voorgesteld. Je kan diverse scenario’s beoordelen en er ook zelf ontwerpen. Echte situaties op de weg zijn nooit zo simpel en duidelijk als de dertien scenario’s die je voorgeschoteld krijgt. Een crash is ook afhankelijk van meerdere factoren, waarin een glad wegdek of een lekke band een rol kunnen spelen. Bovendien zijn algoritmen van zelfrijdende wagens nog lang niet zo verfijnd als de scenario’s doen geloven; de huidige technologie kan dit nog helemaal niet.

Het trolleydilemma

De resultaten van het onderzoek over de MIT Moral Machine legden culturele verschillen bloot, onder meer tussen westerse en oosterse culturen. Zo zijn Japanners meer geneigd om de levens van oudere mensen te sparen dan inwoners van West-Europese landen, die de voorkeur geven aan jongere mensen. Het onderzoek geeft inzage in het morele denken van verschillende culturen. De grote steekproef is verbluffend, maar de resultaten blijven algemeen. Terwijl mensen de scenario’s evalueren, maken ze uiteraard bepaalde afwegingen en laat de drijfveren daarachter nu net niet onderzocht zijn. Bovendien geldt hier ook de contextafhankelijkheid van keuzes: in theorie vind je misschien dat de jongere persoon eerder gered moet worden dan de oudere, maar wat als die laatste je vader of moeder is? Een voorkeur die verschillende culturen deelden, was het sparen van mensen die de wet respecteren in tegenstelling tot voetgangers die oversteken terwijl het verkeerslicht op rood staat. Maar wat als het jouw kind is dat door het rood loopt? Een andere cultuuroverschrijdende voorkeur is dat het leven van een mens primeert op dat van een dier.

De MIT Moral Machine-scenario’s zijn een toepassing van het trolleydilemma, een filosofisch gedachte-experiment van de Britse filosofe Philippa Foot. De meest gangbare versie ervan is dat je ziet hoe een treintje (trolley) op hol slaat, richting vijf personen die op de rails liggen en die niet in staat zijn om zelf te ontkomen, omdat ze bijvoorbeeld vastgebonden zijn. Je merkt een hendel op: als je die omgooit, wijkt het treintje af, in de richting van één persoon die (vastgebonden) op de sporen ligt. Er zijn dus twee mogelijkheden: nietsdoen, waardoor vijf personen sterven, of de hendel omgooien waardoor je één persoon doodt, maar vijf andere levens redt. Studies tonen aan dat het merendeel kiest voor de consequentialistische of utilitaristische overweging: zoveel mogelijk levens redden. Maar als die ene persoon die zou sterven je familielid of je partner is, of veel jonger is dan de vijf personen die gered zouden worden, dan kiezen minder mensen ervoor om die op te offeren, wat een weinig verrassend resultaat is. Door de jaren heen ontstonden diverse varianten op het trolleydilemma. Het gedachte-experiment werd ook gesimuleerd in een virtuele omgeving, waarbij de proefpersonen de gevolgen van hun keuze zagen gebeuren. De resultaten liggen in de lijn van de andere studies: het overgrote deel van de proefpersonen (9 op de 10) koos ervoor om zoveel mogelijk levens te sparen.

Op dit moment is er wereldwijd nog zeer veel discussie over het programmeren van zelfrijdende wagens. Er zijn onderzoekers die zich afvragen of we zelfrijdende voertuigen überhaupt moeten produceren. Veel academici staan ook erg kritisch tegenover een algoritmische benadering van moraliteit, omdat je die niet simpelweg kan reduceren tot een beslissingsboom. Dit is bijzonder ingewikkeld, zeker als je rekening houdt met de menselijke intuïties over wat goed en fout is, zoals het voorbeeld van doden uit zelfverdediging duidelijk maakt. Doordat ethische regels ook contextafhankelijk zijn, kan je ze niet zomaar top-down programmeren of dergelijke beslissingen als maatschappij delegeren naar de ontwerper.

Autorijbewijs 2.0

Duitsland heeft een code opgesteld, bestaande uit twintig ethische regels, voor zowel gedeeltelijk als volautomatisch zelfrijdend transport. De Duitse code geeft een interessante inkijk in het ethisch benaderen, analyseren en reguleren van AI-toepassingen en opstellen van regels voor machines. De code verwerpt de keuzes van scenario’s van de MIT Moral Machine: de machine mag beslissingen nooit baseren op geslacht, leeftijd enzovoort. Een regel keert wel terug: het leven van mensen primeert op dat van dieren. De Duitse filosoof Christoph Lutge maakte deel uit van de commissie die de code opstelde. Hij publiceerde die ethische code in 2017, met extra toelichting erbij. De code maakt duidelijk dat je beslissingen niet zomaar mag overlaten aan programmeurs en de vier eerder vermelde niveaus keren er duidelijk in terug: de maatschappij (waaronder beleid), de technologie zelf, de maker en de gebruiker.

De eerste algemene regel van de code stelt dat zelfrijdend transport de veiligheid voor alle weggebruikers moet verbeteren. Regels 2, 3 en 4 vallen vervolgens onder ‘algemene ethische voordelen’. Zelfrijdende voertuigen moeten mensen beschermen en schade beperken (regel 2). Ze mogen enkel toegelaten worden als onomstotelijk is aangetoond dat ze minder risicovol zijn dan menselijke bestuurders. De commissie concludeerde dat zelfrijdende wagens ethische voordelen hebben, wat een belangrijk argument is om ze te ontwikkelen. Zo zijn zelfrijdende wagens bijvoorbeeld gunstig voor mindervaliden. De publieke sector is verantwoordelijk voor de officiële licenties en monitoring van automatische systemen (regel 3). Automatisch rijden moet aan de nodige voorwaarden en regels voldoen om ongelukken te vermijden en die kan je niet overlaten aan autofabrikanten. Het doel van overheidsregulering is het beschermen van individuen en hun recht op persoonlijke en vrije ontwikkeling (regel 4). Er moet een balans gezocht worden tussen maximale persoonlijke keuzevrijheid in een vrije, democratische samenleving versus de vrijheid en veiligheid van anderen. Dit is een variant op het schadebeginsel van de liberale denker John Stuart Mill: jouw vrijheid stopt zodra iemand anders er schade van ondervindt.

Regels 5-9 gaan over ‘onvermijdbare dilemma’s’ zoals het trolleydilemma. Ongelukken moeten vermeden worden (regel 5): de technologie moet zo ontwikkeld worden dat kritische situaties in de eerste plaats niet ontstaan, zoals de keuze tussen twee ongewenste uitkomsten, waarbij geen simpele afweging gemaakt kan worden. Een heel spectrum aan technologische oplossingen moet aangewend worden en voortdurend worden bijgestuurd en verbeterd, zoals afremmen, sensoren, signalering voor personen die risico lopen (zoals voetgangers) en intelligente weginfrastructuur die signalen doorstuurt naar de zelfrijdende wagen. Als volautomatische zelfrijdende voertuigen veel veiliger zijn dan menselijke bestuurders, dan is er de ethische plicht om ze te ontwikkelen. Maar als je mensen daardoor onderwerpt aan een ‘technologische imperatief’, door van hem of haar een schakeltje in een netwerk te maken, dan kan het ethisch problematisch zijn (regel 6). Dit is een nogal doorwrochte regel die, refererend aan Immanuel Kant, stelt dat je altijd moet vermijden dat de mens een middel, in plaats van een doel op zichzelf, wordt. De commissie was hierover verdeeld, maar eigenlijk is de regel een soort van waarschuwing dat je nooit zomaar iets mag ontwikkelen zonder verdere reflectie. Als een ongeval onvermijdelijk is, ondanks al de technische voorzorgsmaatregelen, dan is de bescherming van een mensenleven topprioriteit (regel 7). Zoals eerder vermeld, is er consensus dat het leven van een mens steeds primeert op dat van een dier.

Echte dilemma’s, zoals kiezen tussen twee mensenlevens, zijn afhankelijk van de specifieke situatie en het is onmogelijk om die te programmeren op een ethisch onproblematische wijze (regel 8). Systemen moeten ontworpen worden om ongevallen te vermijden, maar een standaardisering ervan, op hetzelfde niveau als van een verantwoorde chauffeur die de morele capaciteit heeft om de situatie correct te beoordelen, is onmogelijk. Het gaat immers om een complexe en vaak intuïtieve inschatting van specifieke omstandigheden die niet hapklaar te vertalen valt in een abstracte code. Een intuïtieve en persoonlijke keuze mag daarom niet aan een programmeur overgelaten worden: het is verboden om die erin te programmeren.

Als een ongeluk onvermijdelijk is, dan is het strikt verboden om een verschil te programmeren op basis van persoonlijke kenmerken, zoals leeftijd, geslacht, fysieke of mentale eigenschappen (regel 9). Het voertuig zo programmeren dat het aantal fysieke letsels beperkt wordt, is wel te rechtvaardigen. Het is verder ook verboden om partijen bij het ongeluk te betrekken die er in eerste instantie niet bij betrokken waren. Deze regel was controversieel; de discussie ging niet over de persoonlijke eigenschappen – daarover waren ze het eens – maar over het al dan niet toelaten dat een programmeur een code schrijft die het aantal persoonlijke letsels beperkt, op welke wijze dan ook. Stel dat het leger een gekaapt vliegtuig zou neerhalen. In dat geval zouden individuen worden opgeofferd om de levens van anderen te sparen. Maar die individuen zijn op voorhand gekend. Een programma is anoniem en kent op voorhand geen individuele slachtoffers; de regel is te abstract en de precieze gevolgen vallen niet te voorzien.

Regels 10 en 11 hebben betrekking op de vraag ‘wie is verantwoordelijk?’; het gaat hier over legale verantwoordelijkheid. Deze regels zijn voor de commissie belangrijker dan regels 5-9, omdat ze grote praktische gevolgen hebben. De verantwoordelijkheid schuift mee op naar de fabrikanten en operatoren van de technologische systemen en naar beleids- en wettelijke organen (regel 10). Er is dus een belangrijke transitie, want de huidige focus ligt op de verantwoordelijkheid van de eigenaar van de wagen.Die transitie heeft een enorme impact op verzekeringsaansprakelijkheid.

De aansprakelijkheid voor schade aangericht door de zelfrijdende systemen moet gereguleerd worden zoals bij andere vormen van aansprakelijkheid bij producten (product liability) (regel 11). Daaruit volgt dat autofabrikanten en operatoren verplicht zijn om hun systemen voortdurend te optimaliseren en om systemen die al in gebruik genomen zijn te observeren en verbeteren waar nodig. Regel 12 schrijft voor dat het publiek geïnformeerd moet worden over de nieuwe technologieën en hun toepassingen. De regels moeten transparant zijn en beoordeeld worden door onafhankelijke instanties, zoals een ngo die consumentenbelangen verdedigt en om die reden bedrijven kritisch monitort.

Regels 13 en 14 gaan over ‘veiligheid’. Bij vliegtuigen en spoorwegen is er een centrale controle; het is nog onduidelijk of er op termijn ook een gecentraliseerde controle komt voor zelfrijdend transport (regel 13). Volledige connectiviteit en centrale controle van alle gemotoriseerde voertuigen bij digitale transportinfrastructuur is ethisch problematisch als daar een totale surveillance van weggebruikers mee gepaard gaat. Een voordeel ervan is natuurlijk dat je er bijvoorbeeld voor kan zorgen dat een zone 30 wordt nageleefd. Automatisch rijden is enkel te rechtvaardigen zolang mogelijke (cyber)aanvallen of interne zwaktes van het systeem niet tot een dergelijke schade leiden dat die het vertrouwen in transport beschadigt (14). Dit is een reële discussie, ook over mogelijke hacking van zulke wagens die vervolgens als wapens ingezet kunnen worden, zoals bij de aanvallen op 11 september 2001 ook vliegtuigen als wapens werden gebruikt.

Regel 15 gaat over ‘databescherming’: de eigenaar en gebruikers van het voertuig beslissen over de data die het voertuig genereert. Enkel na toestemming, op vrijwillige basis, kunnen data gedeeld worden met bedrijven, maar er moeten ook voldoende alternatieven zijn, zodat het geen valse vrije keuze is. De richtlijn schrijft privacy by design voor (computertechnologie die structureel inzet op onder meer beveiliging en versleuteling) en fabrikanten mogen argumenten zoals ‘verbeterd comfort niet inzetten om gebrek aan privacy of data-eigendom bij gebruikers te rechtvaardigen.

Regels 16 en 17 focussen op de ‘mens-machine interface’, het verschil tussen wanneer het zelfrijdende systeem rijdt en wanneer een chauffeur overneemt moet altijd duidelijk zijn (regel 16). In het geval van het laatste moet de mens-machine interface zo ontworpen zijn dat het te allen tijde duidelijk is waar (bij wie) de individuele verantwoordelijkheid ligt, voornamelijk op het vlak van controle (‘wie bestuurt de wagen?’). Tijdstippen moeten gelogd worden, ook vanwege internationale procedures (internationaal wegverkeer), wanneer de mens de controle overhandigt aan de machine. Die procedures moeten eenduidig en helder zijn, zodat zonder discussie duidelijk is wie de controle heeft: mens of machine. De mens moet altijd de optie krijgen om het systeem over te nemen en zelf te rijden, ook al leidt dit mogelijk tot extra risico’s. Het systeem (zoals software) moet op maat van de mens ontworpen worden en niet omgekeerd: het moet zo min mogelijk aanpassing van de mens vragen (regel 17).

Regels 18 en 19 beslaan ‘leersystemen’: zelflerende systemen zoals machine learning zijn ethisch toegelaten als ze bijdragen tot verhoogde veiligheid (regel 18). De code adviseert om relevante scenario’s over hoe het systeem precies leert en hoe dit de veiligheid verhoogt over te dragen aan een centrale catalogus bij een neutrale instantie, om te komen tot universele standaarden. In urgente situaties moet het voertuig automatisch, dus zonder menselijke begeleiding, schakelen naar een safe condition, een veiligheidsmodus (regel 19). Het probleem is dat er voorlopig geen consensus over het concept bestaat, dus die moet zo snel mogelijk bereikt worden. Betekent dit dat het voertuig in het midden van de baan stopt of dat het veilig langs de kant van de weg parkeert? Lutge geeft logischerwijze aan dat het laatste zinvoller is. Regel 20, ten slotte, gaat over de opleiding van de chauffeur: het goede en juiste gebruik van de automatische systemen is onderdeel van een algemene digitale opleiding. Uiteraard moet een rijopleiding deze zaken aanleren, met diverse proefritten en testen. Op dit vlak is de code nog vrij algemeen, maar de commissieleden geven aan dat dit later gespecifieerd moet worden.

Hoewel deze code enkel in Duitsland geldt, geeft ze goed weer hoe ethische vraagstukken over machines in de praktijk kunnen leiden tot regels. Ondanks de vele discussies in de commissie, kwamen de commissieleden uiteindelijk tot een consensus op alle punten. Een moreel handelende machine die op een intuïtieve, contextafhankelijke manier moreel kan redeneren zoals de mens, is nog verre, verre toekomstmuziek en misschien wordt die wel nooit ontwikkeld. Uiteraard zijn er voor de totstandkoming van zo een machine duidelijke regels nodig, maar die focussen op algemene principes zoals rechtvaardigheid, transparantie, privacy by design (of ruimer ethics by design) en het vermijden van vooringenomen datasets. Een overkoepelende internationale regelgeving, minstens op het niveau van de Europese Unie, is essentieel om te voorkomen dat bedrijven zich ‘vestigen in die landen met de meest toegeeflijke regelgeving’ om er bijvoorbeeld testen met autonome voertuigen uit te voeren. Een versnipperd ethisch kader dat dergelijk ‘shopgedrag’ gaat aanmoedigen, is onwenselijk.