Informasjonsteknologi 2 Vår 2023

Vi finner de faktiske resultatene ved å gå gjennom betingelsene i pseudokoden ovenfra og ned for hver poengsum. Den første betingelsen som er sann, bestemmer utskriften.

Nei. Sju av de tretten testene gir et annet resultat enn forventet. Det skyldes to logiske feil.

Feil 1: Grenseverdiene er utelatt. GREATER THAN betyr «større enn» og LESSER THAN betyr «mindre enn». Selve grenseverdien er derfor ikke med i intervallet. Betingelsen

ELSE IF poengsum GREATER THAN 50 AND poengsum LESSER THAN 69

gjelder bare for 51–68, men reglene sier fra og med 50 til og med 69. Det samme skjer i de to neste betingelsene: «Godt bestått» gjelder bare for 71–88 og «Meget godt bestått» for 91–99. Poengsummene 50, 69, 70, 89, 90 og 100 oppfyller derfor ingen av betingelsene og havner i ELSE, som skriver «Ikke gyldig poengsum!». Test 7–12 feiler av denne grunnen.

Betingelsene burde brukt GREATER THAN OR EQUAL TO og LESSER THAN OR EQUAL TO, for eksempel poengsum GREATER THAN OR EQUAL TO 50 AND poengsum LESSER THAN OR EQUAL TO 69.

Feil 2: Den nedre grensen 0 sjekkes ikke. Den første betingelsen, poengsum LESSER THAN 50, er sann for alle tall under 50, også negative tall. Derfor gir $-1$ «Ikke bestått» i stedet for «Ikke gyldig poengsum!» (test 13). Programmet må enten sjekke at poengsummen er ugyldig før de andre betingelsene, eller kreve poengsum GREATER THAN OR EQUAL TO 0 i den første betingelsen.

Testene viser hvorfor en testplan bør ha med grenseverdiene. Test 1–6 bruker verdier midt i intervallene (og 0), og de gir riktig resultat selv om programmet har feil. Først testene med 50, 69, 70, 89, 90, 100 og $-1$ avslører feilene.

GDPR artikkel 5 har sju personvernprinsipper, og alle gjelder ved utvikling og bruk av KI. Datatilsynet peker i rapporten likevel ut prinsippene om rettferdighet, formålsbegrensning, dataminimering og gjennomsiktighet som de mest relevante for KI. Rettferdighet og gjennomsiktighet er samlet i ett prinsipp i listen, «lovlighet, rettferdighet og gjennomsiktighet». De tre riktige alternativene er derfor

• lovlighet, rettferdighet og gjennomsiktighet: Skjeve treningsdata kan gi diskriminerende avgjørelser, og det er vanskelig å forklare hvordan en modell kommer fram til et resultat.
• formålsbegrensning: KI frister til å gjenbruke opplysninger som er samlet inn til andre formål.
• dataminimering: KI er ofte avhengig av store mengder personopplysninger.

De fire andre prinsippene (ansvarlighet, riktighet, lagringsbegrensning og integritet og konfidensialitet) gjelder også, men er ikke de rapporten legger hovedvekten på.

Svaret nedenfor er et eksempel. Kandidaten kan like gjerne velge formålsbegrensning eller lovlighet, rettferdighet og gjennomsiktighet.

Prinsippet. Dataminimering betyr at personopplysninger skal være adekvate, relevante og begrenset til det som er nødvendig for formålet. Prinsippet handler ikke bare om antall opplysninger. Det inneholder også et krav om proporsjonalitet: Bruken skal ikke være et større inngrep i personvernet enn nødvendig.

Dilemmaet. Maskinlæring bygger på at modellen finner mønstre i store datamengder. Jo flere og mer varierte data, desto mer treffsikker blir modellen ofte. Samtidig sier prinsippet at man skal bruke så lite personopplysninger som mulig. Utviklerne står derfor mellom en best mulig modell og et best mulig personvern.

Argumenter for å bruke mye data:

• En modell som skal oppdage kreft på røntgenbilder, blir bedre og tryggere jo flere bilder den trenes på. Her kan mer data redde liv, og samfunnsnytten er stor.
• Et lite og ensidig datasett kan gi skjeve modeller. Mangler en gruppe i treningsdataene, kan modellen fungere dårlig for den gruppen. Mer data kan altså gjøre modellen mer rettferdig.
• Det er vanskelig å vite på forhånd hvilke opplysninger som er relevante. Algoritmen kan finne sammenhenger ingen hadde tenkt på, og formålet kan endre seg etter hvert som modellen lærer.

Argumenter for streng dataminimering:

• Hver ekstra personopplysning øker risikoen. Store datasett er attraktive mål for angrep, og ved en datalekkasje rammes mange.
• Irrelevante opplysninger kan gi falske sammenhenger. Datatilsynet peker på at algoritmen da kan legge vekt på tilfeldige mønstre som ikke er reelle, og modellen blir dårligere, ikke bedre.
• Mange data om hver person gjør det lettere å identifisere enkeltpersoner og lage detaljerte profiler. Det kan avsløre sensitive opplysninger (særlige kategorier) som helse, religion eller seksuell orientering, selv om de ikke er registrert direkte.
• De registrerte mister oversikten over hva som finnes om dem. Det svekker autonomien deres og tilliten til teknologien.

Mulige løsninger. Dilemmaet kan gjøres mindre. Opplysningene kan pseudonymiseres eller anonymiseres, slik at modellen lærer av data uten å vite hvem de gjelder. Syntetiske data og føderert læring, der dataene blir liggende hos eieren, er andre teknikker. Utviklerne kan også starte med få opplysninger og legge til flere bare når de kan dokumentere at det gir en bedre modell. Datatilsynet anbefaler at behovet vurderes fortløpende gjennom hele utviklingen, og at vurderingene dokumenteres.

Konklusjon. Etter en konsekvensetisk vurdering kan det være riktig å bruke store datamengder når nytten er stor, som i medisinsk diagnostikk. Pliktetikken minner likevel om at hver enkelt har rett til å bestemme over opplysninger om seg selv, uansett hvor nyttig modellen blir. Etter mitt syn betyr ikke dataminimering at KI må bygges på få data. Det betyr at utviklerne må kunne begrunne hvorfor hver opplysning trengs, og velge den minst inngripende måten å nå formålet på. Med pseudonymisering, fortløpende vurderinger og god dokumentasjon er det mulig å lage gode modeller og samtidig ivareta personvernet.

Det finnes mange gode klassediagrammer for dette spillet. Diagrammet nedenfor er ett forslag.

Hver boks har tre felt: klassenavnet, egenskapene med datatype og metodene. - betyr privat, # beskyttet (tilgjengelig for subklassene) og + offentlig.

Superklassen SpillObjekt. Troll, matbiter og hindringer er alle firkanter med en posisjon, en størrelse og en farge, og alle skal tegnes. Felles egenskaper og metoder samles derfor i én superklasse. Metoden kolliderer(annet) sjekker om to objekter overlapper. Den brukes både når trollet treffer mat eller hindringer og når vi plasserer nye objekter, som ikke skal ligge oppå andre. Klassenavnet står i kursiv fordi klassen er abstrakt: Vi lager aldri et objekt av selve SpillObjekt, bare av subklassene.

Arv. Pilene med hul trekant viser at Troll, Mat og Hindring arver fra SpillObjekt. Hver subklasse har dermed posisjon, størrelse, farge, tegn() og kolliderer() uten at koden skrives på nytt. Subklassene får hver sin farge (grønn, gul og grå).

• Troll har fart og en retning (retningX og retningY, med verdiene $-1$, $0$ eller $1$). beveg() flytter trollet fart piksler i retningen hver gang spillet oppdateres. Trollet kan ikke stoppes, så det finnes ingen stoppmetode. endreRetning(tast) kalles ved trykk på piltastene eller W, A, S og D. økFart() kalles hver gang trollet spiser en matbit, og utenforBrett() sjekker om trollet har truffet kanten.
• Mat har ingen egne egenskaper. blirHindring() lager en hindring på samme sted som matbiten.
• Hindring har verken egne egenskaper eller metoder. Den står stille, og det eneste som skiller den fra de andre objektene, er fargen og at kollisjon avslutter spillet. Klassen trengs likevel, slik at programmet kan skille hindringer fra matbiter.

Komposisjon. Linja med fylt rombe ved Spillbrett betyr at spillbrettet består av spillobjektene. Objektene hører til brettet og finnes ikke uten det. Multiplisiteten 4..* viser at det alltid er minst fire objekter (ett troll og tre matbiter), og at antallet vokser etter hvert som det blir flere hindringer. Spillbrett holder objektene i egenskapene troll, matbiter og hindringer.

Klassen Spillbrett har ansvaret for selve spillet:

• bredde og høyde er brettets størrelse, og poeng er spillerens poengsum, som vises med visPoeng().
• start() plasserer trollet i sentrum og kaller leggTilMat() tre ganger. ledigPosisjon() trekker tilfeldige posisjoner til den finner en som ikke overlapper noe annet objekt.
• oppdater() kjøres i spill-løkka: Den flytter trollet, kaller sjekkKollisjoner() og tegner alt på nytt med tegn().
• sjekkKollisjoner() avslutter spillet (avslutt(), spillSlutt settes til sann) hvis trollet er utenfor brettet eller treffer en hindring. Treffer trollet en matbit, kalles spisMat(mat).
• spisMat(mat) øker poengsummen med 1, gjør matbiten om til en hindring, flytter den fra matbiter til hindringer, kaller leggTilMat() slik at det alltid er tre matbiter, og øker farten til trollet.

Diagrammet dekker dermed alle de funksjonelle kravene. Et alternativ er å la Mat og Hindring være én klasse med en egenskap erHindring. Det gir færre klasser, men egne klasser gjør koden tydeligere og lettere å utvide.