Kysy asiaa foorumilla, ja saat kaksi varmaa vastausta: ”tietenkin ne myyvät kaiken” ja ”se olisi laitonta”. Molemmat ovat väärässä, ja hyödyllinen tieto on niiden välissä.
”Myyminen” kattaa kolme eri asiaa
Keskustelujesi sisällön myyminen. Keskustelulokien luovuttaminen kolmannelle osapuolelle rahaa vastaan on harvinaista, olisi oikeudellisesti riskialtista useimmilla markkinoilla ja olisi otsikko samana päivänä, kun se vuotaisi. Toimijat kiistävät sen äänekkäästi, eikä ole julkista näyttöä siitä, että valtavirran kumppanisovellus tekisi niin.
Käyttötietojen jakaminen mainostajille. Tämä on yleinen. Sovellukseen tai verkkosivustoon upotettu mainonta- ja analytiikkakoodi, ohjelmistokehityspaketti eli ”SDK”, raportoi, mitä teet, milloin ja millä laitteella. Kalifornian tietosuojalain mukaan henkilötietojen välittäminen muille käyttäytymiseen perustuvaa, palvelujen rajat ylittävää mainontaa varten on ”jakamista”, ja niiden vaihtaminen mihin tahansa arvokkaaseen voi olla ”myyntiä”. Sovellus voi siis totuudenmukaisesti sanoa, ettei se koskaan myynyt keskustelujasi, ja silti myydä sinua oikeudellisessa mielessä.
Tietojen välittäminen palveluntarjoajille. Palvelimet isännöivä yritys, vastaukset tuottava mallitoimittaja, korttisi veloittava maksunvälittäjä. Nämä siirrot ovat välttämättömiä tuotteen toiminnalle eivätkä ole myyntiä, mutta ne ovat silti kopioita tiedoistasi jonkun toisen järjestelmissä.
On myös neljäs reitti, jonka ihmiset unohtavat: omistajanvaihdos. Lähes jokainen seloste sanoo, että tietosi siirtyvät ostajalle, jos liiketoiminta myydään. Kumppanisovellus Soulmate vaihtoi omistajaa pian ennen sulkemistaan vuonna 2023: katso kun tekoälykumppanisi muuttuu yhdessä yössä.
Mitä ainoa järjestelmällinen selvitys löysi
Helmikuussa 2024 Mozilla Foundation tarkasteli 11 romanttista tekoälychatbottia Privacy Not Included -oppaaseensa, mukana muun muassa Replika, Chai ja EVA AI. Yhteensä niillä oli arviolta 100 miljoonaa latausta Google Playssa. Jokainen sai Mozillan tietosuojavaroitusmerkin.
Niiden Mozillan helmikuussa 2024 tarkastelemien 11 sovelluksen osuus, joihin kukin havainto piti paikkansa. Lähde: Mozilla Foundation, Privacy Not Included.
Seurantaluvut olivat silmiinpistävin osa. Mozilla laski sovelluksissa keskimäärin 2 663 seurantaa ensimmäisen käyttöminuutin aikana. Keskiarvoa nosti voimakkaasti yksi sovellus, Romantic AI, joka laukaisi 24 354 yhdessä minuutissa. Seuraavaksi korkein, EVA AI, laukaisi 955.
Kaksi varausta ennen johtopäätöksiä. Kyse oli hetkellisestä kuvasta vuoden 2024 alusta, ja selosteet muuttuvat. Lisäksi useat nykyisin kategoriaa hallitsevat sovellukset eivät olleet otoksessa. Selvityksen arvo ei ole niinkään yksittäisten sovellusten tuomioissa vaan siinä, mitä se kertoo kategorian oletuksista.
Vastauksen lukeminen tietosuojaselosteesta
Koko tekstiä ei tarvitse lukea. Etsi siitä kourallinen ilmauksia ja lue kunkin ympärillä oleva kappale.
| Jos seloste sanoo | Se tarkoittaa yleensä | Kannattaako huolestua? |
|---|---|---|
| ”We do not sell your personal information” | Ei myyntiä suppeassa merkityksessä. Tarkista ”share” erikseen | Vain jos myös ”share” esiintyy |
| ”Advertising partners”, ”targeted advertising” | Seurannat rakentavat mainosprofiilin käytöstäsi | Kyllä: kieltäydy, missä voit |
| ”Our affiliates” | Muita saman omistajan yrityksiä, joskus monta sovellusta | Riippuu omistajasta |
| ”To improve our services”, ”train” | Keskustelujasi voidaan käyttää mallien kouluttamiseen | Kyllä: etsi kieltäytymismahdollisuus |
| ”Merger, acquisition or sale of assets” | Ostaja saa tietosi, jos yritys myydään | Tavallista, mutta muista se |
| ”Where we believe disclosure is necessary” | Tietojen luovutus viranomaisille ilman tuomioistuimen määräystä | Kyllä, jos mitään suppeampaa ei sanota |
Alatunnisteen linkki, jonka nimi on ”Do Not Sell or Share My Personal Information” tai ”Your Privacy Choices”, on itsessään hyödyllinen vihje. Yhdysvalloissa Kalifornia vaatii sen yrityksiltä, jotka myyvät tai jakavat henkilötietoja, joten sen olemassaolo on myöntö siitä, että jakamista tapahtuu, sekä painike sen lopettamiseen.
Viiden minuutin tarkistus, jonka voit tehdä tänä iltana
- Hae selosteesta sanoja sell, share, advertis, train ja affiliate. Viisi hakua, viisi kappaletta.
- Katso kauppojen tunnisteet. Applen ”Data Used to Track You” -osion ja Google Playn ”Data safety” -osion täyttää kehittäjä itse, joten ne ovat väitteitä eivätkä tarkastuksia, mutta sovellus, joka myöntää seurannan siellä, ei käytännössä ole parempi.
- Ota Global Privacy Control käyttöön selaimessasi, jos käytät verkkoversiota. Yhdysvalloissa Kalifornian säännökset vaativat yrityksiä käsittelemään tuon signaalin kieltäytymisenä myynnistä ja jakamisesta.
- Kieltäydy seurantakehotteesta iPhonessa ja nollaa mainostunnuksesi Androidissa.
- Huomaa, näyttääkö sovellus mainoksia. Jos näyttää, huomiosi ja tietosi ovat osa tapaa, jolla se maksaa laskunsa: katso miten tekoälykumppanisovellukset ansaitsevat.
Missä laki auttaa ja missä se loppuu
EU:ssa ja Britanniassa GDPR antaa oikeuden saada tietää, mitä sinusta on kerätty, ja vaatia poistoa, ja viranomaiset käyttävät sitä: Italian valvontaviranomainen Garante sakotti Replikan ylläpitäjää 5 miljoonalla eurolla 19. toukokuuta 2025, osittain tietosuojaselosteesta, joka ei selittänyt, mitä käyttäjien tiedoille tehdään.
Suomessa asiaa valvoo tietosuojavaltuutetun toimisto. Tietopyyntöön (GDPR 15 artikla) on vastattava viipymättä ja viimeistään kuukauden kuluessa. Määräaikaa voi monimutkaisissa tai lukuisissa pyynnöissä jatkaa enintään kahdella kuukaudella perustellusti, ja kieltäytymisen on oltava perusteltu ja kerrottava oikeudesta tehdä valitus. Jos yritys ei vastaa tai kieltäytyy, voit ottaa yhteyttä tietosuojavaltuutetun toimistoon (tietosuoja(at)om.fi, puh. +358 29 566 6700). Toimiston mukaan tietosuojalaki koskee teknologiasta riippumatta, ja asiakaspalvelun chatbotit mainitaan arkisena esimerkkinä. Toimiston ohjeet on kuitenkin suunnattu organisaatioille, ei kuluttajille. Pyynnön tekemisestä kerrotaan artikkelissa miten pyydät tietosi.
Yhdysvalloissa Kaliforniassa ja yhä useammassa muussa osavaltiossa, joissa on kattava tietosuojalaki, voit vaatia tietoa kerätyistä tiedoista, estää niiden myynnin tai jakamisen ja pyytää poistoa. Uudet osavaltiolait tekoälykumppaneista, joita käsitellään artikkelissa tekoälykumppaneita koskevat lait Yhdysvalloissa, keskittyvät avoimuuteen ja kriisitilanteiden käsittelyyn, eivätkä lisää juuri mitään tietoihin. Tärkein poikkeus on suppea: Utahin laki mielenterveyschatboteista kieltää niitä myymästä tai jakamasta käyttäjien terveystietoja ja kohdentamasta mainoksia sen perusteella, mitä käyttäjät kirjoittavat.
Rehellinen vastaus
Suurin osa kumppanisovelluksista ei myy keskustelujasi. Moni antaa mainonta- ja analytiikkayritysten seurata, miten käytät sitä, ja lähes kaikki säilyttävät oikeuden tehdä enemmän kuin tällä hetkellä tekevät. Huolellisen ja huolimattoman sovelluksen ero näkyy sen selosteessa ja asetuksissa, ja sen löytäminen vie viisi minuuttia. Se on hyvin käytetty viisi minuuttia ennen kuin kirjoitat mitään, mitä et haluaisi jonkun toisen tietokantaan. Lisäksi neljä tietosuojatarkistustamme kattavat loput.