Röstdata och integritet

Rösten är inte bara ett sätt att bära ord. Ur en inspelning går det att läsa ut vem som talar, ungefärlig ålder och kön, dialekt och modersmål, känsloläge, och i vissa fall indikationer på hälsa.

Det gör röstdata till något annat än text. Och till skillnad från ett lösenord kan du inte byta röst när den läckt.

Två skilda saker som ofta blandas ihop:

• Talarigenkänning — vem talar? (biometri)
• Taligenkänning — vad sägs? (transkription)

Det första är alltid känsligt. Det andra blir känsligt genom innehållet.

Rättsligt läge i EU. Röstdata som används för att identifiera en person är biometriska uppgifter och tillhör de särskilda kategorierna i GDPR artikel 9. Behandling är som huvudregel förbjuden om inget undantag är tillämpligt — i praktiken oftast uttryckligt samtycke, som måste vara frivilligt, specifikt, informerat och lika lätt att ta tillbaka som att lämna.

Används inspelningen enbart för att transkribera vad som sägs är den «vanliga» personuppgifter (artikel 6) — men innehållet kan ändå vara känsligt.

EU:s AI-förordning lägger till: realtidsidentifiering på distans i offentliga rum via biometri är kraftigt begränsad, och känsloigenkänning på arbetsplatser och i utbildning är förbjuden. Det sista är direkt relevant för lärplattformar — en funktion som bedömer en elevs känsloläge ur rösten är inte en designfråga utan otillåten.

Skyddsåtgärder som faktiskt gör skillnad:

Åtgärd	Effekt
Transkribera och radera ljudet	tar bort biometrin helt
Lagra embedding i stället för ljud	mindre återskapningsbart, men fortfarande biometri
Kanttranskribering (på enheten)	ljudet lämnar aldrig enheten
Kort lagringstid med automatisk gallring	minskar exponeringen
Separata nycklar och strikt behörighet	begränsar skadan vid intrång

Röstkloning. Några sekunders ljud räcker i dag för att generera övertygande tal med någons röst. Följderna är konkreta: bedrägerier mot anhöriga, kringgående av röstbaserad autentisering (som därför inte längre bör användas ensam), förtal och trakasserier. Röst som enda autentiseringsfaktor är inte längre försvarbart.

Motmedlen liknar dem för bild: vattenmärkning och proveniens kan styrka äkthet, men avsaknad av märkning bevisar ingenting. Det verksamma skyddet är rutiner — återuppringning på känt nummer, ett avtalat kodord i familjen, tvåfaktor som inte bygger på röst.

Bedöm ett verkligt upplägg. AI-grafen skulle kunna låta elever öva muntlig framställning genom att spela in sig själva och få återkoppling.

Gå igenom frågorna i ordning:

1. Vad är ändamålet? Återkoppling på innehåll och struktur — inte att identifiera vem som talar.
2. Behövs ljudet efter transkriptionen? Nej för innehållsåterkoppling; ja om uttal ska bedömas.
3. Rättslig grund? Uttryckligt samtycke; för barn under 13 år vårdnadshavarens.
4. Lagring? Transkript sparas, ljud raderas efter bearbetning — eller sparas i högst 30 dagar om uttal ska bedömas, med tydlig upplysning.
5. Vad är förbjudet? Känsloigenkänning i utbildningssammanhang — även om det tekniskt vore enkelt och «bara» skulle användas för att upptäcka nervositet.
6. Vad händer vid avslag? Eleven ska kunna göra samma uppgift utan inspelning.

Punkt 6 är den som avgör om samtycket är frivilligt. Finns ingen väg runt är det inget samtycke.