Klagene mot Scale AI: hvilke regler gjelder for overvåking av plattformarbeidere?

Personvernorganisasjonen noyb sendte 27. oktober 2026 fem klager mot det amerikanske selskapet Scale AI, Inc. til tilsynsmyndighetene i Østerrike, Frankrike, Italia og Nederland. Klagene gjelder plattformen Outlier, der frilansere annoterer data og vurderer svar fra språkmodeller for kunder som utvikler KI-systemer. Klagene bygger på rapporten fra forskningsgruppen DiPLab som ble publisert 15. oktober 2026, og på egne trafikkanalyser fra klagerne. Påstandene er ikke prøvd av noe tilsyn, og Scale AI hadde ikke kommentert klagene da de ble kjent. Saken reiser spørsmål om hvilke tilsyn som kan behandle klager mot en plattform uten etablering i EØS, hvilke krav personvernforordningen stiller til sporing og biometrisk kontroll av plattformarbeidere, og hva virksomheter som kjøper slike tjenester bør gjøre.

Hva gjelder klagene mot Scale AI?

Klagene gjelder tre forhold, nemlig sporingsverktøy på plattformen, biometrisk identitetskontroll og innsynskrav som ikke er besvart. Ifølge klagen til det østerrikske tilsynet viste en registrering av nettlesertrafikken at plattformen inneholdt sporingsverktøy fra blant andre Fullstory, Sprig, LinkedIn, TikTok, Facebook, Snapchat, Google Analytics og Amplitude. Fullstory er et verktøy for opptak av brukerøkter som registrerer musebevegelser, klikk og tastetrykk, og det sendte etter klagen en forespørsel med noen sekunders mellomrom. Et verktøy for kundestøtte skal ha sendt klagerens navn og e-postadresse til tredjepart. Outliers personvernerklæring oppgir at automatisk innsamlede opplysninger også brukes til å forbedre kundenes produkter, det vil si trening av KI-systemer.

Den biometriske kontrollen utføres av underleverandøren Persona. Annotatøren må laste opp et identitetsdokument og ta opp en video av ansiktet, og kontrollen gjentas med ujevne mellomrom. Klagerne viser til at Persona ifølge egne vilkår også kan hente opplysninger fra tredjeparter og offentlige registre, og at rundt 70 000 bilder av identitetsdokumenter lagret hos Persona ble stjålet i oktober 2025. Den østerrikske klageren sendte innsynskrav 10. februar 2026 og purret 13. april 2026 uten å få svar. Klagen gjelder blant annet om klageren hadde vært gjenstand for automatiserte avgjørelser.

Klagerne anfører brudd på prinsippet om dataminimering i GDPR art. 5 nr. 1 bokstav c, kravet til innebygd personvern i GDPR art. 25 nr. 1, kravet til valg av databehandler i GDPR art. 28 nr. 1 og innsynsretten i GDPR art. 15 og GDPR art. 12 nr. 3. I tillegg anføres brudd på de nasjonale reglene om informasjonskapsler som gjennomfører e-personverndirektivet art. 5 nr. 3. Klagerne ber tilsynene fastslå bruddene, pålegge Scale AI å besvare innsynskravet, utvide undersøkelsen til selskapets bruk av automatiserte avgjørelser og ilegge overtredelsesgebyr etter GDPR art. 58 nr. 2 bokstav i og GDPR art. 83 nr. 5. noyb opptrer som representant for de registrerte etter GDPR art. 80 nr. 1.

Hvorfor er klagene mot Scale AI sendt til fire tilsyn?

Klagene er sendt til fire tilsyn fordi Scale AI ikke har hovedetablering i EØS. Ordningen med én ledende tilsynsmyndighet i GDPR art. 56 gjelder bare for behandlingsansvarlige som er etablert i EØS. Når den behandlingsansvarlige bare er etablert i et tredjeland, er hvert tilsyn kompetent på sitt territorium etter GDPR art. 55, og den registrerte kan klage til tilsynet der vedkommende bor eller arbeider etter GDPR art. 77. Det østerrikske tilsynet er i klagen begrunnet med at klageren bor og arbeider i Østerrike, og den franske klagen er begrunnet på samme måte.

Forordningen gjelder for Scale AI selv om selskapet er etablert i USA. Etter GDPR art. 3 nr. 2 bokstav b omfattes behandlingsansvarlige utenfor EØS når behandlingen gjelder overvåking av atferd som finner sted i EØS, og sporing av annotatørenes aktivitet på plattformen faller etter vår vurdering klart inn under dette alternativet. Outliers personvernerklæring oppgir Lionheart Squared i Dublin som representant i EU. En representant etter GDPR art. 27 er et kontaktpunkt for tilsyn og registrerte, men den utgjør ikke en etablering og utløser ikke ordningen med ledende tilsynsmyndighet.

Konsekvensen er at Scale AI kan møte parallelle saker med ulike utfall i flere land. For norske annotatører betyr det at Datatilsynet kan behandle en klage direkte, uten å henvise saken til et annet tilsyn. For virksomheter som selv er etablert i Norge, gjelder det motsatte. Har de virksomhet i flere EØS-land, vil grenseoverskridende saker normalt bli behandlet av tilsynet der hovedetableringen ligger.

Er biometrisk identitetskontroll av plattformarbeidere lovlig?

Biometrisk identitetskontroll er ikke forbudt i seg selv, men den er underlagt strenge vilkår. Biometriske opplysninger som brukes for å identifisere en person entydig, er særlige kategorier etter GDPR art. 9 nr. 1. Behandlingen krever da både behandlingsgrunnlag etter GDPR art. 6 og et unntak etter GDPR art. 9 nr. 2. Outliers personvernerklæring oppgir som eneste grunnlag for verifiseringsopplysningene en berettiget interesse i å redusere svindel. Berettiget interesse er ikke et unntak etter art. 9 nr. 2, og et samtykke fra en annotatør som er avhengig av plattformen for å få oppdrag, vil sjelden være frivillig.

Klagene angriper særlig omfanget av kontrollen. Klagerne skiller mellom verifisering der ansiktet sammenlignes med bildet i identitetsdokumentet (en til en), og identifisering der ansiktet sammenlignes med mange lagrede ansikter (en til mange). De viser til at plattformdirektivet fortalepunkt 41 forutsetter verifisering en til en dersom biometri først må brukes. Plattformdirektivet (EU) 2024/2831 skal være gjennomført i EU innen 2. desember 2026, men det er ikke tatt inn i EØS-avtalen. Klagerne viser også til at det italienske tilsynet i vedtak 13. november 2024 mot Foodinho, som driver Glovo i Italia, kom til at biometrisk kontroll av budene ikke var nødvendig for formålet.

Klagene gjør i tillegg Scale AI ansvarlig for valget av underleverandør. Etter GDPR art. 28 nr. 1 skal den behandlingsansvarlige bare bruke databehandlere som gir tilstrekkelige garantier for at behandlingen oppfyller forordningen. En behandlingsansvarlig som lar en leverandør av identitetskontroll samle inn flere opplysninger enn kontrollen krever, bryter etter klagernes syn både dette kravet og kravet til innebygd personvern.

Hvilke regler gjelder for sporingsverktøy overfor plattformarbeidere?

Sporingsverktøy på en arbeidsplattform må vurderes etter to regelsett. Lagring av og tilgang til opplysninger på brukerens enhet krever samtykke etter reglene som gjennomfører e-personverndirektivet, med unntak for det som er strengt nødvendig for å levere tjenesten brukeren har bedt om. I Norge følger regelen av ekomloven § 3-15, slik det er omtalt i artikkelen om informasjonskapsler og samtykke. Den videre behandlingen av opplysningene må i tillegg ha grunnlag etter personvernforordningen og oppfylle prinsippene i GDPR art. 5.

Klagene bygger på at berettiget interesse etter GDPR art. 6 nr. 1 bokstav f bare kan brukes når behandlingen er nødvendig for formålet, og at nødvendighetskravet må ses i sammenheng med prinsippet om dataminimering. Klagerne viser blant annet til EU-domstolens dom i sak C-252/21 (Meta mot Bundeskartellamt). Etter vår vurdering vil det være vanskelig for en arbeidsplattform å begrunne sporingsverktøy fra sosiale medier som nødvendige for å fordele oppgaver, kontrollere kvalitet eller betale annotatørene. Opptak av brukerøkter kan derimot ha et legitimt formål ved feilsøking, men da bør verktøyet brukes stikkprøvevis og med maskering av innhold og identifikatorer.

Hva skjer med innsynskrav som ikke besvares?

Et innsynskrav skal besvares uten ugrunnet opphold og senest innen én måned etter GDPR art. 12 nr. 3. Fristen kan forlenges med to måneder når kravet er komplisert eller omfattende, men den registrerte skal da varsles innen én måned. Et innsynskrav som ikke besvares i det hele tatt, er et brudd på GDPR art. 15 som er enkelt å dokumentere for klageren og vanskelig å forsvare for den behandlingsansvarlige. Brudd på de registrertes rettigheter kan gi overtredelsesgebyr på inntil 20 millioner euro eller 4 prosent av samlet global årsomsetning etter GDPR art. 83 nr. 5 bokstav b.

For plattformarbeidere har innsynsretten en særlig funksjon fordi den gir tilgang til opplysninger om automatiserte avgjørelser om oppgavefordeling, rangering og utestengning. Den registrerte har krav på informasjon om slike avgjørelser og om logikken bak dem etter GDPR art. 15 nr. 1 bokstav h. Kravene til svar er nærmere omtalt i artikkelen om innsynskrav etter GDPR.

Hva bør virksomheter som bruker eller driver arbeidsplattformer gjøre?

Klagene mot Scale AI gjelder plattformen og ikke kundene. Kjøpere av annotasjon og evaluering kan likevel få et eget ansvar dersom deres data registreres av sporingsverktøy, eller dersom de selv bestemmer over kontrolltiltak overfor annotatørene. Kravene kjøperen bør stille i leverandøravtalen, er omtalt i artikkelen om overvåking av dataannotatører. Virksomheter som selv driver en plattform for oppdragstakere, bør gå gjennom egne løsninger med de samme spørsmålene som klagene reiser. Flere artikler om temaet finnes på pilarsiden om personvern.

1. Kartlegg alle sporings- og analyseverktøy i arbeidsgrensesnittet, med mottaker, formål og hvilke opplysninger som sendes.
2. Fjern sporingsverktøy fra sosiale medier og reklamenettverk fra sider der oppdragstakere utfører arbeid.
3. Begrens opptak av brukerøkter til feilsøking, med stikkprøver og maskering av innhold og identifikatorer.
4. Vurder om identitetskontroll kan gjennomføres uten biometri, for eksempel med tofaktorautentisering, og bruk ellers bare verifisering en til en.
5. Gå gjennom avtalen med leverandøren av identitetskontroll og avgrens hvilke opplysninger leverandøren kan samle inn og bruke.
6. Etabler en rutine som sørger for at innsynskrav fra oppdragstakere besvares innen én måned, også når kravet sendes til representanten i EU.

Spørsmål og svar

Neste faglige kontroll: 31. mars 2027