AI-jätten anmäls i EU – anklagas för massiv övervakning

Integritetsorganisationen noyb har den 27 oktober lämnat in fem GDPR-klagomål mot amerikanska Scale AI i Frankrike, Italien, Nederländerna och Österrike. Bolaget anklagas för att samla in omfattande information om frilansare som arbetar via AI-plattformen Outlier, utan att ha tillräckligt rättsligt stöd.

Enligt noyb har plattformen över 900 000 frilansare globalt. Deras uppdrag består bland annat av att skriva instruktioner till AI-modeller, jämföra olika AI-svar och rätta felaktigheter. Bland Scale AI kunder finns Meta, OpenAI och Google.

Spårningsverktygen kan återskapa hela arbetsdagen

Bakom anmälningarna ligger en teknisk granskning från forskargruppen DiPLab och organisationen Reversing.Works. Forskarna identifierade minst 16 spårningsverktyg från externa företag på Outlier, däribland Facebook, LinkedIn, TikTok och analystjänsten FullStory.

Det handlar inte enbart om traditionella cookies som registrerar vilka sidor någon besöker. Vissa av verktygen kan även samla in information om musklick, tangenttryckningar och hur användaren rör sig på plattformen.

Särskilt uppmärksammat är FullStory, vars teknik kan återskapa en användares aktivitet som en videoliknande uppspelning. I den franska anmälan beskriver noyb hur verktyget skickar förfrågningar med några sekunders mellanrum och registrerar information om bland annat uppgifter, formulärfält och musrörelser.

Tekniken behöver alltså inte spela in en traditionell skärmvideo. Genom att samla information om vad användaren gör och hur webbsidan förändras kan en session återskapas i efterhand. Granskningen visar däremot inte att Outlier övervakar arbetarnas aktivitet utanför den egna webbplatsen.

Problemet är enligt noyb att informationen även skickas till externa företag. Uppgifter som IP-adresser, unika identifierare och information om arbetsuppgifter kan därmed hamna hos aktörer som inte har någon direkt koppling till själva AI-träningen.

Ansiktsskanning kan lagras i två år

Övervakningen är bara en del av kritiken. För att arbeta på Outlier måste frilansarna även genomgå identitetskontroller via det amerikanska företaget Persona.

Kontrollerna innebär att användaren laddar upp en identitetshandling och spelar in en video av sitt ansikte. Processen kan dessutom behöva upprepas under tiden personen arbetar på plattformen.

I Outliers integritetspolicy framgår att företaget kan samla in, lagra och analysera bilder, video och ljud för att verifiera användarnas identitet och kvalifikationer. Uppgifterna kan betraktas som biometriska personuppgifter och verifieringsdata kan enligt policyn sparas i upp till två år efter användarens senaste kontakt med tjänsten.

Scale AI motiverar kontrollerna med att de behövs för att förhindra bedrägerier och skydda plattformen. Noyb ifrågasätter däremot om den omfattande insamlingen verkligen är nödvändig för att kontrollera någons identitet.

Enligt GDPR måste personuppgifter begränsas till vad som är nödvändigt för ändamålet. Biometriska uppgifter som används för att entydigt identifiera personer omfattas dessutom av särskilt stränga regler.

Läs mer: Meta ändrar kameran efter kritik mot AI-glasögonen

Arbetare fick inte veta vilken information som sparats

Frågan handlar också om hur mycket kontroll de som tränar AI-modellerna egentligen har över sina egna uppgifter.

Enligt Reuters begärde fyra personer mellan december 2025 och maj 2026 att få ta del av de personuppgifter som Outlier hade samlat in om dem. Ingen av dem fick något svar, enligt klagomålen.

Forskarna beskriver dessutom ett arbetssystem där uppgifter fördelas av plattformen och där tillgången till arbete kan vara ojämn. Det innebär att frilansarna inte nödvändigtvis själva kan styra när de får möjlighet att arbeta, trots att de formellt är självständiga.

Scale AI tillbakavisar bilden av att företaget skulle hantera personuppgifter utan tillräckliga skyddsåtgärder. I ett uttalande till franska Le Monde uppger bolaget att Outliers rutiner kommuniceras till användarna och kräver deras samtycke.

Företaget framhåller även att identitetskontrollerna behövs för att motverka bedrägerier, skydda konfidentiella projekt och säkerställa korrekta betalningar. Scale AI uppger att verksamheten följer GDPR och att frilansarnas personuppgifter inte säljs till tredje part eller används för att träna kundernas AI-modeller.

EU dataskyddsmyndigheter får avgöra

Noyb vill nu att dataskyddsmyndigheterna i de fyra länderna utreder Scale AI hantering av personuppgifter. Organisationen begär också att myndigheterna överväger administrativa böter och granskar hur plattformen fattar automatiserade beslut om arbetsuppgifter.

Än så länge handlar det om anklagelser och formella klagomål, inte fastställda GDPR-överträdelser. Något beslut om sanktioner har inte fattats i dessa ärenden.

Läs mer: EU ger Google jättebot efter att ha spårat användare

Fallet belyser en del av AI-industrin som sällan syns när nya modeller presenteras. Bakom tjänster som kan skriva kod, besvara frågor och analysera avancerade problem finns människor som manuellt granskar och förbättrar modellernas resultat.

Den europeiska prövningen kommer därför inte bara att handla om hur ett enskilt företag hanterar personuppgifter. Den kan också få betydelse för hur långt AI-företag får gå i att övervaka människorna som hjälper till att utveckla deras teknik.