5 spørgsmål, du bør stille din transskriptionstjeneste

Du uploader en optagelse, AI’en transskriberer den, og et par minutter senere har du din transskription. Processen virker enkel – men hvad sker der mellem upload og resultat? Hvem har adgang til dine data? Hvor gemmes de? Og bliver de nogensinde slettet?

Disse fem spørgsmål hjælper dig med at vurdere en transskriptionstjenestes databeskyttelsespraksis, før du uploader fortroligt indhold.

Spørgsmål 1: “Hvor behandles og gemmes mine data?”

Hvorfor det betyder noget: behandlingsstedet afgør, hvilket retssystem dine data er underlagt. Amerikanske servere betyder CLOUD Act og potentiel myndighedsadgang uden en europæisk retskendelse.

Mange transskriptionstjenester gemmer data i USA. Det er problematisk set fra et databeskyttelsessynspunkt: den amerikanske CLOUD Act tillader myndighedsadgang, og retsgrundlaget for EU-US-dataoverførsler er gentagne gange blevet underkendt (Safe Harbor 2015, Privacy Shield 2020).

Godt svar: “Vores servere er i EU, drevet af en europæisk virksomhed med ISO 27001-certificering.”

Dårligt svar: “Vi bruger AWS/Google Cloud med EU-regioner.” (Stadig en amerikansk virksomhed, stadig CLOUD Act.)

Spørgsmål 2: “Hvem kan læse mine transskriptioner?”

Hvorfor det betyder noget: hvis udbyderen behandler dine data i klartekst, kan medarbejdere, administratorer eller angribere potentielt se dem – selv hvis udbyderen ikke har til hensigt det.

Det afgørende spørgsmål er ikke, om udbyderen vil læse dine data, men om den teknisk set kan. Med server-side-kryptering holder udbyderen nøglen. Med klientside-kryptering holder kun brugeren nøglen.

Godt svar: “Vi kan ikke læse dine transskriptioner. Krypteringen sker i din browser, og kun du holder nøglen.”

Dårligt svar: “Dine data er private og fortrolige. Kun du kan se dine transskriptioner.” (Undvigende – siger intet om teknisk adgang.)

Spørgsmål 3: “Hvad sker der med mine lydfiler efter transskriptionen?”

Hvorfor det betyder noget: lydoptagelser, der bliver på servere efter behandlingen, er en permanent angrebsrisiko. Dataminimering er ikke kun et GDPR-princip, men også praktisk beskyttelse.

Nogle tjenester gemmer originale optagelser permanent. Det er i modstrid med GDPR-princippet om dataminimering (art. 5, stk. 1, litra c) og øger angrebsfladen: flere gemte data betyder mere potentiel skade i tilfælde af et brud.

Godt svar: “Originale optagelser slettes automatisk efter transskriptionen. Kun en krypteret afspilningsversion bevares.”

Dårligt svar: “Du kan slette dine filer når som helst.” (Betyder: så længe du ikke sletter dem, bliver originalerne på serveren.)

Spørgsmål 4: “Bruger I cookies eller sporingsværktøjer?”

Hvorfor det betyder noget: cookies og trackere afslører brugsmønstre og kan give mulighed for at drage konklusioner om indholdet. En tjeneste, der indlejrer Google Analytics eller Facebook Pixel, deler brugsdata med amerikanske virksomheder.

Sporingsværktøjer på transskriptionsplatforme er særligt problematiske: de dokumenterer, hvornår du uploadede, redigerede og eksporterede hvilke filer. Kombineret med filnavne (som er synlige i klartekst hos de fleste tjenester) skaber det en detaljeret brugsprofil.

Godt svar: “Vi bruger ingen cookies og ingen sporingsværktøjer. Godkendelse kører via sikre tokens i browseren.”

Dårligt svar: “Vi bruger cookies i overensstemmelse med vores cookiepolitik.” (Peger på en juridisk tekst i stedet for på arkitekturbeslutninger.)

Spørgsmål 5: “Bruges mine data til at træne AI-modeller?”

Hvorfor det betyder noget: hvis dine optagelser indgår i træningen, bliver de en del af modellen – og dermed potentielt reproducerbare i resultater for andre brugere. At slette de oprindelige data hjælper ikke længere på det tidspunkt.

Nogle udbydere formulerer bevidst deres brugsbetingelser vagt: “Vi kan bruge dine data til at forbedre vores tjenester.” Med klientside-kryptering er AI-træning på brugerdata teknisk umulig – serveren ser kun krypterede blobs.

Godt svar: “Nej. Vi træner ikke modeller på kundedata. Vores arkitektur gør det teknisk umuligt.”

Dårligt svar: “Nej.” (Uden en teknisk forklaring – udelukkende et spørgsmål om tillid.)

Resumé

• Placering: En EU-virksomhed med et EU-datacenter og ISO 27001-certificering.
• Kryptering: Klientside i browseren, ikke kun server-side.
• Dataminimering: Originaler slettes efter behandlingen.
• Ingen cookies, ingen sporing: Arkitektonisk udelukket, ikke kun via et cookiebanner.
• Ingen AI-træning: Teknisk umuligt, ikke kun lovet.

Disse fem spørgsmål adskiller tjenester, der tager databeskyttelse alvorligt, fra dem, der blot reklamerer med det. Forskellen ligger ikke i svarene – men i arkitekturen bag dem.