РИ-10. Легитимность и согласие субъектов данных

разрешил», не дойдя до вопроса «работает ли модель».** Это единственный задокументированный в базе класс смерти проекта, где причина находится целиком на стороне управления и права, а не инженерии — и в составе рисков волны 1 он покрыт не был.

Содержание

Почему риск отдельный, а не частный случай уже заведённых [методическое]

Узел КС-10 Sidewalk Labs / Quayside, Торонто сам заявил дыру состава: причина смерти кейса не покрывается ни одним из восьми рисков волны 1. Ближайший — РИ-05 Дыра ответственности за решение по модели, но он о другом: там вопрос «кто отвечает за последствия решения, принятого по модели», здесь — «кто дал право собирать данные, из которых модель строится». Различение несущее:

⚠ Не смешивать с «правами на данные» в оборонном смысле. GAO фиксирует барьер «proprietary data and data rights discussions with system developers» — это спор хозяйствующих субъектов о коммерческой тайне, а не согласие людей. Внешне похожие формулировки, разные механизмы отказа.

Единственный полноценный кейс реализации риска [факт]

Sidewalk Labs / Quayside, Торонто, свёрнут в мае 2020 — «под тяжестью опасений о том, что Google сделает с массивом данных о повседневной жизни людей». Причина смерти в источнике сформулирована именно как проблема данных и согласия, а не как технический или бюджетный срыв. Контур «модель → решение» не существовал ни дня.

Три урока разбора (S. Goldsmith, Governing / Harvard Data-Smart City Solutions, 22.05.2025, [независимый анализ]): 1. городу нужны собственные сотрудники, понимающие, как данные собираются, используются и передаются; 2. нужны явные внешние политики — что именно собирается и что регулируемые стороны обязаны предоставлять регулятору; 3. нужны прозрачность и переговоры об условиях вместо опоры на «информированное согласие», которого недостаточно.

[факт, ключевое для узла] Третий урок — самый сильный и наименее ожидаемый. Разбор не говорит «нужно было лучше получать согласие»; он говорит, что модель информированного согласия для городского двойника не работает в принципе: житель квартала не может ни отказаться от прохода по улице, ни осмысленно оценить будущие способы использования данных. Отсюда сдвиг предмета: не согласие индивида, а публично согласованный режим обращения с данными.

[гипотеза] Ни один из трёх уроков не относится к модели, данным-как-технике или платформе. Все три — про компетенцию заказчика, регламент и легитимность. То есть даже полностью работающая техника проект бы не спасла.

Где риск нормирован — и где нет [факт]

Нормирован (единственная найденная рамка, где легитимность прописана как требование к двойнику): Gemini Principles (CDBB + Digital Framework Task Group, 2018, DOI 10.17863/CAM.32260, PDF прочитан целиком в заходе Р-1б). Три из девяти принципов — прямо об этом:

[факт] Это ценностная рамка, а не нормативный документ: Gemini Principles не устанавливают ни процедуры, ни санкции, ни порога соответствия. Организация, провозгласившая приверженность им, не обязана ничего доказывать.

Не нормирован: - ISO/IEC 27568 «Security and privacy of digital twins» (ISO/IEC JTC 1/SC 27) — ⚠ статус и год НЕ ПРОВЕРЕНЫ заходом Р-1б; известно только существование позиции в портфеле. Не утверждать, что стандарт опубликован. - В СТ-01 ISO 23247 — Digital twin framework for manufacturing (единственный архитектурный стандарт поля) требований к легитимности данных о людях нет — предмет стандарта иной (observable manufacturing element). - В таблице способностей DTC приватность присутствует внутри одной из шести категорий — «Trustworthiness» (безопасность, приватность, надёжность, устойчивость), то есть как техническое свойство системы, а не как условие права на её существование.

Косвенное измерение: дисциплины считают приватность и не считают эффект [факт]

Единственная найденная в корпусе числовая характеристика того, как поле обращается с данными о людях, — из систематического обзора применений process mining в здравоохранении (Aversano L. et al., PeerJ Computer Science, 2025, [рецензируемое], 53 первичных исследования, 2014–2024):

• 70,63 % исследований не рассматривают политику приватности;
• соответствие GDPR явно подтверждено в одной работе.

[факт] Тот же обзор не приводит систематического подсчёта, сколько работ измерили клинический или операционный результат. То есть дисциплина, работающая на данных о пациентах и сотрудниках, считает приватность чаще, чем эффект, — и всё равно не рассматривает её в семи случаях из десяти.

⚠ Границы переноса. Это process mining в здравоохранении, а не двойники и не города. Перенос вывода на поле DT — [гипотеза], не факт; здесь он используется как единственный доступный количественный индикатор отношения смежной дисциплины к предмету, а не как замер поля.

Риск назван изнутри самой концепции [факт]

В собственном перечне ограничений и вызовов концепции цифрового двойника от AFRL (Kobryn, NAE/NASEM), наряду с валидацией вероятностных симуляций и распределением ответственности, стоят пункты «приватность и интеллектуальная собственность» и «безопасность данных и моделей». Как и в случае с РИ-05 Дыра ответственности за решение по модели, это не ненаходка базы, а открытая проблема, названная источником концепции.

Русская/московская линия — отдельно и честно [факт о ненаходке]

Ближайшая рецензируемая работа о конфликте приватности и общественной безопасности в московском «умном городе» — Revyakin S. A. «Personal privacy vs. public safety: a hybrid model of the use of smart city solutions… in Moscow», Public Administration and Development, 10.2022 (НИУ ВШЭ), [рецензируемое], прочитана в заходе Д-3. Существенно: двойник в ней не упоминается вовсе. То есть в русском материале конфликт «данные о людях против управления городом» разбирается, но не связан с двойником — ни авторами, ни владельцем московской программы. Связка отсутствует; это ненаходка, а не факт об отсутствии проблемы.

Что риск означает управленчески [гипотеза]

1. Легитимность — предшествующее условие, а не сопутствующее. Она проверяется до архитектуры, потому что её отсутствие убивает проект на стадии согласования, где ни модель, ни платформа ещё не существуют. Все прочие риски базы реализуются после постройки; этот — вместо постройки.
2. Провал этого класса невидим в статистике внедрений. Проект, умерший до строительства, не попадает ни в кейс-стади, ни в отчёты о сворачивании, ни в вендорские витрины. Найден он был обходным каналом (независимый разбор через пять лет после закрытия) — та же методика, что и по остальным провалам поля (Р-2а §3). [гипотеза] Класс, по-видимому, недопредставлен в корпусе поля системно.
3. Вопрос-детектор для ЛПР: чьи данные о людях входят в двойник, кто выдал право их собирать, в какой публичной форме это зафиксировано — и что произойдёт с проектом, если это право будет оспорено?

Данные

Класс доказательности: - «риск реализовался и убил проект» — [факт], но на одной точке провенанса (один разбор в двух зеркалах); первоисточники проекта не открывались; - «модель информированного согласия недостаточна для городского двойника» — позиция [независимого анализа], не измерение; - «поле системно не рассматривает приватность» — [гипотеза], опирающаяся на замер в смежной дисциплине.

Не найдено в сырье — с областью поиска: 1. Судебных и аудиторских материалов по DT-проектам — не найдено вовсе (Р-2а §7.1 п. 5), кроме отклонённого иска по Cityzenith. То есть правовая практика по данным о людях в двойниках базе неизвестна. 2. Первоисточников самого проекта Quayside (документы Waterfront Toronto, отчёты Sidewalk Labs, материалы общественных консультаций) — в сырье не открывались. 3. Второго кейса того же класса — в корпусе из ~570 источников и 18 разобранных кейсов больше ни один не погиб от вопроса согласия. Область: Р-2а §3 (прицельная секция провалов, 10 найденных кандидатов). ⚠ Это не означает, что риск редок: см. п. 2 раздела «Что риск означает» — такие провалы не публикуются. 4. Регуляторной рамки, ставящей легитимность условием допуска двойника к эксплуатации — не найдено ни в одном из десяти стандартов базы. Gemini Principles — ценности, не норма. 5. Российской связки «двойник ↔ данные о людях» — не найдено; ближайшая рецензируемая работа (Revyakin 2022) двойник не упоминает.

Связан с

• КС-10 Sidewalk Labs / Quayside, Торонто — кейс, ради которого узел заведён; там же заявка на этот риск в собственных хвостах узла.
• РИ-05 Дыра ответственности за решение по модели — соседний и часто путаемый риск: ответственность за решение против права на сбор данных.
• РИ-09 Стоимость владения и порог входа — «права на данные» как коммерческий барьер; внешне похожая формулировка, другой механизм.
• СТ-07 Gemini Principles (2018) — единственная найденная рамка, где легитимность прописана как требование к двойнику (Public good / Openness / Curation).
• СТ-02 ISO/IEC 30173 и линия SC 41 — терминология без архитектуры — соседняя линия ISO/IEC, где ⚠ числится 27568 по приватности с непроверенным статусом.
• СТ-10 Digital Twin Capabilities Periodic Table (DTC) — приватность как техническое свойство внутри категории Trustworthiness.
• ДО-03 Города — домен, где риск реализуется в максимальной форме: субъект данных не может выйти из выборки.
• ДО-06 Здравоохранение (пациентские двойники и госпитали) — домен с формально сильнейшей регуляторикой по данным и при этом с замером «70,63 % работ приватность не рассматривают» в смежной дисциплине.
• ДО-08 Управление организацией (DTO / process mining) — предмет DTO строится на логах работы людей; риск переносится в оргуправление без изменения механизма.
• КС-16 Двойник Москвы — контрастная пара: программа с прошитым в регламент решением и без публичного разбора вопроса о данных.
• КС-11 NEOM / The Line — соседний городской провал, где причина другая (носитель), что и позволяет различать классы.
• РИ-06 Перформативный захват: модель, о которой перестали спорить — обратный полюс: здесь спор состоялся и убил проект, там спор прекратился и закрепил модель.
• ОВ-09 Ответственность за решение по модели — смежный открытый вопрос: правовых механизмов нет ни для решения по модели, ни для данных в модели.

Источники

• https://www.governing.com/urban/lessons-from-a-failed-tech-urbanist-dream — S. Goldsmith, Governing, 22.05.2025 — сворачивание 2020, причина (данные и согласие), три урока, включая недостаточность информированного согласия · [независимый анализ] · обращение 2026-08-23.
• https://datasmart.hks.harvard.edu/news/2025/05/lessons-failed-tech-urbanist-dream — Harvard Data-Smart City Solutions, зеркало того же разбора · [независимый анализ] · обращение 2026-08-23.
• The Gemini Principles (Bolton A., Enzer M., Schooling J. et al.), CDBB + Digital Framework Task Group, 2018, 15 с., DOI 10.17863/CAM.32260, CC BY 3.0 — девять принципов, группы Purpose / Trust / Function · [независимый отчёт], PDF прочитан целиком (Р-1б И-19) · обращение 2026-08-23.
• https://pmc.ncbi.nlm.nih.gov/articles/PMC11784703/ — Aversano L. et al. «Process mining applications in healthcare: a systematic literature review», PeerJ Computer Science, 2025 — 53 первичных исследования; 70,63 % не рассматривают политику приватности; GDPR явно подтверждён в одной работе · [рецензируемое] · обращение 2026-08-25.
• https://pmc.ncbi.nlm.nih.gov/articles/PMC9874802/ — Revyakin S. A. «Personal privacy vs. public safety…in Moscow», Public Administration and Development, 10.2022, НИУ ВШЭ — прочитана; двойник не упоминается · [рецензируемое] · обращение 2026-08-23.
• Сырьё: Исследование/Р-2а_Панорама_доменов_и_лонг-лист.md §3 П-1 и §7.1 п. 5; Исследование/Р-1б_Стандарты_и_рамки.md §4.4 (Gemini Principles), RQ2 (ISO/IEC 27568 — НЕ ПРОВЕРЕНО); Исследование/Р-1а_Понятия_и_различения.md §3.4 (категория Trustworthiness); Исследование/Р-5_Практики_управления_и_эффекты.md §3.2 (перечень ограничений AFRL); Исследование/Х-1_DTO_эффекты_и_GAO.md §а.2-тер (70,63 %), §г.5 (data rights); Исследование/Д-3_Двойник_Москвы_проверка.md A2 (Revyakin 2022).

Открытые хвосты

1. Заведён добор-нарядом 2026-08-25 по прямой заявке КС-10 Sidewalk Labs / Quayside, Торонто (хвост 3: «причина смерти этого кейса не покрыта ни одним из восьми утверждённых РИ-узлов») и по §4 свода узловой волны. Ссылка «РИ „легитимность и согласие“ ⚠ узел не заведён» в КС-10 подлежит перенаправлению на РИ-10 следующим проходом связывателя.
2. Узел стоит на одной точке провенанса. Весь кейс Торонто держится на одном разборе в двух зеркалах. Наряд следующему заходу: первоисточники Waterfront Toronto, материалы общественных консультаций, документы Sidewalk Labs, судьба площадки после 2020.
3. Статус ISO/IEC 27568 обязателен к проверке — если стандарт опубликован, у риска появляется первая нормативная опора, и узел меняет класс с «не нормирован» на «нормирован формально».
4. Второго кейса нет — это подозрительно. Гипотеза о системной недопредставленности класса (провал до постройки не публикуется) требует проверки обходными каналами: отменённые муниципальные тендеры, решения регуляторов по защите данных, материалы общественных слушаний по городским программам.
5. Не разобрана линия «двойник сотрудника»: DTO и process mining строятся на логах действий работников; вопрос согласия здесь имеет иную правовую природу (трудовые отношения), и в корпусе базы он не поставлен вовсе.
6. Полный текст «sandbox urbanism» (Cities, 2025) не прочитан — в нём предположительно разбирается институциональная динамика, при которой провал легитимности укрепляет приверженность двойникованию.

Проверен на дату: 2026-08-25