Når teknologivirksomheder går konkurs, kan deres brugerdata ende hos AI-selskaber — men hvilken beskyttelse har europæiske brugere egentlig?
Det politiske spørgsmål
Hvad sker der med dine data, når det firma der indsamlede dem, lukker ned? Det spørgsmål er ikke længere hypotetisk. AI-selskaber køber nu systematisk brugerdata fra konkursramte startups for at træne deres sprogmodeller og andre AI-systemer — og brugerne hverken spurgte eller blev informeret.
Det rejser et konkret politisk og juridisk spørgsmål: Dækker GDPR — EU's databeskyttelsesforordning — dette scenarie tilstrækkeligt? Og hvad kan danske forbrugere egentlig gøre, hvis data de troede var væk, pludselig bruges til at træne kommercielle AI-systemer?
Det empiriske spørgsmål bag
Kernen i sagen er, hvad der juridisk og faktisk sker med persondata i en konkursproces. Brugerdata er i mange tilfælde en virksomheds mest værdifulde aktiv — måske det eneste aktiv, der er noget værd, når alt andet er solgt. Det skaber et incitament for konkursboer til at sælge data videre, og et tilsvarende incitament for AI-selskaber til at købe dem.
Spørgsmålet er, om de regler der skulle beskytte brugerne, faktisk gør det — eller om der er et hul i lovgivningen som markedet nu udnytter i stort omfang.
Hvad ved vi
Handlen finder sted — og i stigende omfang. Ifølge MIT Technology Review er AI-laboratorier begyndt at opkøbe brugerdata fra hedengangne startups som en bevidst strategi for at skaffe træningsmateriale. Det drejer sig om data, der ofte er indsamlet til et helt andet formål: sundhedsapps, produktivitetsværktøjer, sociale platforme og lignende. ✓
GDPR sætter betingelser — men konkursboer er et gråt område. ✓ Databeskyttelsesforordningen kræver som udgangspunkt, at data kun bruges til det formål de blev indsamlet til (formålsbegrænsningsprincippet), og at der er et gyldigt retsgrundlag for enhver behandling. Et salg af et konkursbo er ikke nødvendigvis et fritagelseskort fra disse regler. Men i praksis er håndhævelsen af reglerne over for konkursboer og deres erhververe kompleks — og de nationale datatilsyn har endnu ikke etableret en entydig praksis for disse tilfælde.
EU presser allerede på for at lempe reglerne yderligere. Fagbevægelsens Hovedorganisation (FHO) beskriver, hvordan EU foreslår ændringer af GDPR-reglerne, så virksomheder kan træne AI-modeller på personlige oplysninger uden nødvendigvis at informere brugerne. Denne udvikling trækker i modsat retning af en styrket beskyttelse i konkursscenarier. ~
Brugerne er sjældent klar over risikoen. Når man opretter en konto hos en startup, læser man typisk ikke 47 sider vilkår og betingelser igennem. Mange privatlivspolitikker indeholder formuleringer der tillader overdragelse af data ved fusion, opkøb eller konkurs — men det er ikke information de fleste brugere aktivt opsøger eller forstår konsekvenserne af. ✓
Hvad ved vi ikke
Vi ved ikke, hvor udbredt praksissen præcis er. MIT Technology Reviews afdækning dokumenterer, at det sker — men der er ikke offentligt tilgængelige opgørelser over, hvor mange datasæt der handles på denne måde, hvilke kategorier af data der er tale om, eller hvilke AI-selskaber der er mest aktive købere.
Vi ved ikke, om Datatilsynet har kapacitet og vilje til at håndhæve. Det danske Datatilsyn har kompetence til at undersøge og sanktionere brud på GDPR, herunder i forbindelse med salg af persondata. Men tilsynet er ressourcebegrænset, og klagesager der involverer udenlandske AI-selskaber og konkursboer i flere jurisdiktioner er ikke ligetil at behandle.
Vi ved ikke, hvad AI-selskaberne konkret bruger dataene til. Træningsmateriale til store sprogmodeller forsvinder i en kompleks matematisk proces, og det er ikke muligt for den enkelte bruger — eller for tilsynsmyndighederne — at spore, om og hvordan specifikke persondata har påvirket en models adfærd.
Vi ved ikke, om de data der handles, er tilstrækkeligt anonymiserede. Anonymisering er teknisk svært, og forskning har gentagne gange vist, at data der beskrives som anonyme, kan re-identificeres (genidentificeres) under de rette betingelser. Ingen af de kendte handler om konkursdata har hidtil offentliggjort uafhængige anonymiseringsaudits.
Hvad eksperter er uenige om
Er GDPR tilstrækkeligt i konkursscenarier — eller kræves der ny lovgivning? ~ Her er der reel uenighed. Én position er, at GDPR allerede forbyder de fleste af disse handler, fordi de bryder med formålsbegrænsningsprincippet — og at problemet handler om manglende håndhævelse, ikke manglende regler. En anden position er, at forordningen indeholder tilstrækkeligt mange undtagelser og fortolkningsgråzoner til, at mange af disse handler kan retfærdiggøres juridisk, og at der er behov for eksplicit regulering af konkursboers mulighed for at sælge persondata.
Bør brugere have ret til aktivt samtykke — eller er opt-out tilstrækkeligt? ⚖ Dette er et værdispørgsmål med en empirisk dimension. Forkæmpere for stærke brugerrettigheder argumenterer for, at ethvert videresalg af persondata til et nyt formål kræver aktivt, informeret samtykke. Industrien og nogle økonomer argumenterer for, at et strengt samtykkekrav vil gøre det umuligt at håndtere konkursboer med store brugerbaser — og at opt-out-modeller er et rimeligt kompromis.
Hvad betyder EU's mulige GDPR-lempelser for dette scenarie? ~ Hvis EU gennemfører ændringer der giver virksomheder videre adgang til at bruge persondata i AI-træning uden eksplicit samtykke, som FHO beskriver, kan det reelt lovliggøre en del af den praksis der i dag befinder sig i en juridisk gråzone. Kritikere mener, det vil underminere den beskyttelse GDPR skulle garantere. Tilhængere mener, det vil skabe større klarhed og innovation.
Konklusion
AI-selskaber opkøber systematisk brugerdata fra konkursramte startups. Det er dokumenteret, det sker nu, og det involverer data som brugerne afgav i en helt anden kontekst og til et helt andet formål. GDPR sætter i teorien klare grænser for denne form for datahåndtering — men i praksis er håndhævelsen i konkursscenarier uklar, og der er ikke etableret en fast europæisk praksis.
Samtidig peger EU i en retning der vil gøre det lettere — ikke sværere — at bruge persondata til AI-træning uden eksplicit at informere brugerne. Kombinationen af disse to tendenser efterlader europæiske forbrugere i en situation, hvor den beskyttelse de troede de havde, kan vise sig at være svagere end antaget.
Hvad kan du konkret gøre? Som dansker kan du klage til Datatilsynet, hvis du mener dine data er behandlet ulovligt. Du kan anmode om indsigt, berigtigelse eller sletning hos den dataansvarlige — men det forudsætter, at du ved hvem der nu besidder dine data, og det er sjældent let at finde ud af i en konkurssammenhæng. Det vigtigste er opmærksomhed: Læs privatlivspolitikker, særligt afsnit om hvad der sker ved konkurs eller ejerskifterede, og vær bevidst om hvilke data du afgiver til platforme der endnu ikke har bevist deres levedygtighed.
Spørgsmålet er ikke om det sker. Det sker. Spørgsmålet er, om vi som samfund beslutter, at det skal være tilladt — og under hvilke betingelser.