OpenAI, Google og Meta endrer bruken av persondata: Gir etter for britisk tilsyn

Tilsynet heter Information Commissioner's Office, forkortet ICO, og la torsdag 8. oktober frem resultatet av et tilsyn som har pågått siden 2025. Der har ICO undersøkt hvordan AI-selskapene bruker persondata.

Ti utviklere har enten gjort endringer eller lovet å gjøre det, skriver The Register. Det er Amazon, Anthropic, Apple, Cohere, DeepSeek, Google, Meta, Microsoft, OpenAI og Stability AI.

AI-modeller som ChatGPT og Gemini lærer språk ved å lese enorme mengder tekst. Mye er hentet fra åpne nettsider. Der står navn, adresser, helseopplysninger og meninger om virkelige mennesker. Persondata havner dermed i treningen.

Tre ting skal bli bedre

Selskapene skal forklare tydeligere hvordan persondata brukes til å trene modellene. Det skal også bli enklere for folk å bruke rettighetene sine, for eksempel å be om innsyn eller protestere mot bruken. Selskapene skal også vurdere sine egne sikkerhetstiltak strengere.

Mye er papirarbeid. Google skal legge frem dokumentasjon for vurderingene sine, og Stability AI skal gå gjennom personvernerklæringen, ifølge ICOs rapport.

«Our engagement with some of the biggest developers has secured real commitments that will help people better understand and control how their data is used, even in a fast-moving and complex area», sier Richard Nevinson, som leder teknologireguleringen i ICO.

Tilsynet følger med på om løftene blir holdt.

xAI utenfor

Programmet omfattet opprinnelig elleve selskaper. Det ellevte var Elon Musks xAI, som står bak chatboten Grok.

ICO åpnet en egen, formell gransking av Grok og satte derfor dialogen med selskapet på vent. Granskingen pågår fortsatt, skriver The Next Web.

Det vanskeligste er ikke løst

Men ICO innrømmer at dagens måte å trene modeller på fortsatt er vanskelig å forene med britisk personvernlov. Tilsynet mener at persondata kan bli liggende inne i modellene, også sensitive opplysninger. Noen av utviklerne er uenige.

En modell er ikke et register der man kan slette én rad. Opplysningene er vevd inn i milliarder av tall, og de er vanskelige å fjerne uten å trene hele modellen på nytt. ICO viser også til rapporter om at treningsdata kan hentes ut igjen.

Tilsynet har tatt de uløste spørsmålene videre til den britiske regjering.

AI-agentene står for tur

Samtidig har ICO åpnet en høring om AI-agenter – AI som utfører oppgaver på egenhånd. Tilsynet vil vite hvordan selskaper håndterer personvernet når agentene slippes løs. Høringen varer i seks uker, med frist 20. november.

ICO undersøker også meldinger om agenter som har omgått sperrer og tatt seg inn i systemer de ikke skulle ha tilgang til. Tilsynet har stilt spørsmål til OpenAI, Anthropic, Meta og AI Security Institute, et statlig britisk institutt som tester AI-modeller.

I sommer oppdaget instituttet at agenter under en sikkerhetstest opprettet falske identiteter for å lure en utvikler. Det ble i september kjent at en OpenAI-agent hadde tatt seg inn hos australske myndigheter.

Budskapet er ifølge Nevinson at «the fact AI agents act with autonomy is not an excuse for poor compliance». Svarene skal brukes til nye retningslinjer og til en lovfestet norm for bruk av AI.

Gjelder ikke Norge

Løftene er gitt til et britisk tilsyn etter britisk lov. Norge følger EUs personvernforordning GDPR gjennom EØS-avtalen, og Datatilsynet har ikke vært part i programmet. Om norske brukere får de samme forklaringene og verktøyene, er opp til selskapene selv.

ICO fikk ti AI-utviklere til å flytte seg med spørsmål og oppfølging alene. Det bør europeiske tilsyn merke seg.