Vet du vem som använder din data?

AI-systemen blir allt bättre på att förstå människor. De kan känna igen mönster i språk, förutse vad vi vill se och hjälpa organisationer att sortera stora mängder information. Samtidigt blir systemen som arbetar med våra data, våra val och våra villkor allt svårare att överblicka.

Det är inte ett argument för att stoppa utvecklingen. Tvärtom kan AI ge bättre tjänster, effektivare arbetsflöden, starkare säkerhet och bättre beslutsunderlag. Men när tekniken vet mer om oss än vi vet om den – vem har då egentligen kontrollen?

När AI flyttar in i verkliga arbetsflöden

AI är inte längre bara en chatt där någon ställer en fråga och får ett svar. Den kopplas allt oftare till data, arbetsflöden och verksamhetssystem. NVIDIA och Palantir beskriver exempelvis sitt samarbete som en integrerad teknikmiljö för operativ AI: accelererad databehandling, Palantirs Ontology, arbetsflöden, automatisering och specialiserade AI-agenter ska kunna användas i komplexa företags- och myndighetssystem.

Det finns mycket positivt i den riktningen. Organisationer kan analysera information snabbare, upptäcka samband, förbättra logistik och ge medarbetare bättre stöd. Palantir beskriver i sin egen dokumentation om dataskydd och styrning funktioner för bland annat behörigheter, kryptering, revision och datahantering genom hela livscykeln. Det är företagens egna uppgifter, inte ett oberoende bevis på hur varje installation fungerar i praktiken.

Just därför behöver diskussionen vara mer nyanserad än ”AI är bra” eller ”AI är farligt”. Ju fler system som kopplas samman, desto viktigare blir det att människor kan förstå vad som händer med deras information – även när de inte arbetar i den tekniska organisationen som byggt systemen.

Informationen finns, men är den möjlig att använda?

Företag publicerar ofta integritetsinformation, villkor och inställningar. Det är viktigt. Men det innebär inte automatiskt att informationen går att använda när en person ska fatta ett beslut.

En sakkunniggranskad studie av 139 avtal för digitala tjänster inom psykisk hälsa fann att texterna i genomsnitt krävde ungefär 16 års utbildning för att förstås. Endast 1,67 procent av de undersökta tjänsterna hade någon mekanism för att kontrollera förståelse. Resultatet gäller den undersökta sektorn, inte alla webbplatser, men det illustrerar avståndet mellan att ha fått information och att faktiskt ha kunnat ta till sig den.

Det finns också intressanta, men ännu ej sakkunniggranskade, forskningsförhandsmanus. Ett experiment med 293 föräldrar pekar på en möjlig klyfta mellan att godkänna en integritetspolicy och att förstå den. Ett annat förhandsmanus med 100 deltagare visar potential för interaktivt LLM-stöd vid hantering av integritetspolicyer. Sådana resultat är värda att följa, men de bevisar inte att AI-sammanfattningar alltid är korrekta eller effektiva.

En förklaring är inte automatiskt en lösning

Här finns en viktig motvikt. En randomiserad studie av elektroniskt samtycke till klinisk forskning fann inte att den testade audiovisuella förstärkningen förbättrade vare sig förståelse eller samtyckesgrad jämfört med textbaserad information. Studien handlar inte om NextNets lösning, men påminner om något grundläggande: ett snyggare, kortare eller mer tekniskt format räcker inte i sig.

Begriplighetslösningar måste utformas omsorgsfullt, valideras och utvärderas. Annars riskerar de att bara skapa en ny känsla av kontroll utan att ge verklig förståelse.

Vad lagen redan kräver – och inte kräver

GDPR kräver att relevant information om personuppgiftsbehandling ges i en koncis, klar, tydlig, begriplig och lättillgänglig form. För vissa beslut som enbart bygger på automatiserad behandling, inklusive profilering, finns dessutom ett särskilt skydd när besluten får rättsliga eller på liknande sätt betydande effekter.

Det innebär inte att all personalisering är förbjuden eller att GDPR kräver en AI-genererad sammanfattning av varje användarvillkor. Men riktningen är tydlig: informationen ska inte bara existera, utan också kunna förstås. I ett mål om automatiserat beslutsfattande har EU-domstolen understrukit att meningsfull information om logiken bakom beslutet ska vara begriplig och lättillgänglig i sitt sammanhang.

EU:s AI-förordning (AI Act) är ett annat regelverk. Europeiska kommissionens riktlinjer om artikel 50 anger att transparensreglerna börjar tillämpas den 2 augusti 2026. De omfattar bland annat information när människor direkt interagerar med vissa AI-system och märkning eller information kring vissa AI-genererade eller manipulerade innehåll.

Det är en viktig samtidssignal, men inte ett allmänt krav på att AI ska förklara villkor före ett godkännande. GDPR:s informationskrav, AI Acts transparensregler och en frivillig designfunktion som NextNets är tre olika saker.

Olika tjänster, olika datapraxis

Det går inte att tala om ”AI-data” som om alla tjänster behandlar den på samma sätt. En användare behöver ofta förstå både vilken produkt som används och vilka inställningar som är aktiva.

Google uppger i sin Gemini Apps Privacy Hub att chattar och material som delas med Gemini kan sparas när Keep Activity är aktiverat, och att sparad aktivitet kan användas för att utveckla och förbättra tjänster, inklusive generativa AI-modeller. När Keep Activity är avstängt säger Google att framtida chattar normalt inte används för modellträning, om användaren inte lämnar feedback. Skillnader mellan funktioner, regioner, kontotyper och inställningar är viktiga här.

Meta uppger att offentliga inlägg och kommentarer från vuxna användare i EU, liksom interaktioner med Meta AI, används för att träna och förbättra modeller. Företaget uppger också att användare kan invända och att privata meddelanden mellan vänner och familj inte används för träning om de inte aktivt delas med en AI-funktion.

För OpenAI är skillnaden mellan en privat ChatGPT-konversation och API-plattformen särskilt viktig. OpenAI uppger att in- och utdata från API:t inte används för modellträning som standard. Samtidigt beskriver OpenAIs API-dokumentation att loggar för missbruksövervakning kan behållas i upp till 30 dagar, beroende på slutpunkt och datakontroller. ”Används inte för träning” betyder alltså inte automatiskt ”lagras aldrig”.

Förståelse måste gå att omsätta i handling

Det räcker sällan att berätta att en regel finns. Den som påverkas behöver också förstå vad som förväntas härnäst: vilken uppgift som saknas, vilken inställning som styr, vilken del av innehållet som behöver ändras eller vart en invändning ska riktas. Annars flyttas den praktiska felsökningen till användaren, som får prova sig fram utan att veta vad problemet är.

Det gäller både små och stora beslut. I ett registreringsflöde kan det handla om att få en förklaring innan man lämnar ett godkännande. I ett företagsverktyg kan det handla om att förstå vem som får åtkomst till ett dokument. På en plattform kan det handla om att kunna rätta ett inlägg utan att behöva gissa vilken detalj som var avgörande.

En bra förklaring behöver inte lämna ut systemets alla tekniska detaljer eller göra det möjligt att kringgå regler. Men den bör vara konkret nog för att en rimlig människa ska kunna bedöma sin situation och agera på rätt sätt. Därför är transparens inte bara en fråga om en informationssida eller en policytext, utan också om hur ett system kommunicerar när någonting faktiskt händer.

En liten funktion med tydliga gränser

Det är mot den bakgrunden NextNet har lagt till en funktion i registreringsflödet på nextnet.se/sign-up: knappen ”Förklara med AI innan jag godkänner”.

De aktuella offentliga användarvillkoren hämtas på serversidan och skickas till OpenAI API. Registreringsuppgifter som e-postadress, användarnamn, lösenord och Turnstile-token skickas inte till AI-tjänsten.

AI-svaret följer en definierad struktur och valideras på serversidan. Det visas som säker text, inte som rå AI-genererad HTML. Om AI-anropet misslyckas finns en förhandsgranskad reservförklaring, och resultatet cachelagras tills villkorstexten ändras.

Originalvillkoren fortsätter att vara juridiskt styrande. Funktionen ersätter dem inte, garanterar inte att varje användare förstår allt och gör inte automatiskt tjänsten GDPR-kompatibel. Den hjälper användaren att göra ett mer informerat val.

Funktionen har hittills inte orsakat någon medlemsrusning. Men den som tackar nej får åtminstone bättre möjlighet att förstå vad beslutet gäller.

Innovation behöver en mänsklig motvikt

AI-branschen behöver inte bromsa innovationen. Den behöver bygga en mänsklig motvikt som utvecklas lika snabbt. Det handlar om begriplighet, pedagogik, transparens, möjlighet att ifrågasätta eller rätta beslut och verklig kontroll för användaren.

Samma teknik som används för att förstå användaren kan också hjälpa användaren att förstå företaget – innan ett godkännande lämnas. Men verktygen måste behandlas som hjälpmedel, inte som genvägar som ersätter ansvar, tydlighet eller utvärdering.

Frågan är inte bara hur mycket AI kan förstå om människan. Frågan är hur mycket ansvar vi tar för att människor ska kunna förstå systemen som försöker förstå dem – i vardagen, när beslut fattas och när något oväntat behöver förklaras.

💬 Vad tycker du?

Vilken information skulle du vilja förstå bättre innan du godkänner en tjänsts villkor eller påverkas av ett digitalt beslut?

Dela gärna dina tankar i kommentarerna.

📚 Relaterade artiklar