Denne uken lanserte OpenAI ChatGPT for tenåringer – en egen versjon for 13–17-åringer med strengere grenser mot skadelig innhold, en studiemodus og foreldrekontroll. Det mest interessante er hvordan den fungerer: Hvis systemet anslår at brukeren er under 18, eller brukeren oppgir en alder i det spennet, rutes de automatisk inn i tenåringsversjonen. Med andre ord: tjenesten prøver å gjette alderen din.
Dette er ikke bare en nyhet om ChatGPT. Det er starten på en bølge som vil treffe mange nettbaserte tjenester – også norske bedrifters – de neste par årene: krav om aldersvurdering («age assurance»). Her er hva du bør vite.
Hva skjer, og hvorfor nå?
Regelverk over hele verden strammes inn samtidig. USAs nye nasjonale KI-rammeverk gjør barns sikkerhet til førsteprioritet og peker på aldersvurdering som et grunnleggende krav. Rundt halvparten av amerikanske delstater krever nå en form for aldersgrense på nett, Brasil innførte strenge aldersverifiseringskrav i mars, og EU vurderer regler om at 13–16-åringer må ha foreldresamtykke for sosiale medier og KI-tjenester – og jobber mot en felles europeisk standard for aldersverifisering. For norske bedrifter betyr EU-sporet at dette før eller siden blir relevant også her.
Gjelder dette bedriften din?
Har bedriften en nettbasert tjeneste, app, nettbutikk eller et community som barn og unge kan bruke, bør du følge med. Du trenger ikke gjøre noe i dag, men retningen er tydelig: forventningen om at tjenester «kjenner» eller anslår brukerens alder når det er relevant, kommer. Særlig gjelder det om dere tilbyr innhold eller funksjoner som ikke er ment for mindreårige.
Personvern-fella du må forstå
Her ligger det viktigste for norske bedrifter, som er strengt bundet av GDPR. For å skjerme de få som er mindreårige, må man i praksis vurdere alderen til alle. Det finnes to hovedmåter, og begge har en personvernkostnad:
- Aldersverifisering (sjekke legitimasjon) er treffsikkert, men svært inngripende – da samler du inn ID fra alle brukerne dine.
- Aldersanslag (gjette alder ut fra oppførsel, språk eller ansikt) er mindre inngripende per sjekk, men krever at du profilerer alle – og det bommer noen ganger.
Begge deler er behandling av personopplysninger, og ansiktsdata er dessuten «særlig kategori» etter GDPR. Innfører dere aldersvurdering, må dere ha et gyldig behandlingsgrunnlag, samle inn minst mulig, og aldri lagre mer enn nødvendig. Data dere samler inn for å beskytte barn, er fortsatt data som kan lekke.
Praktiske råd
- Kartlegg om tjenestene deres kan brukes av mindreårige. Det avgjør hvor relevant dette blir for dere.
- Ikke bygg egen aldersverifisering på egen hånd uten en personvernvurdering. Terskelen etter GDPR er høy, særlig med ansiktsdata.
- Bruk etablerte leverandører hvis dere trenger aldersvurdering, framfor å samle inn og lagre sensitive data selv.
- Vær åpen. Forteller dere tydelig hvorfor og hvordan alder vurderes, bygger dere tillit i stedet for mistanke.
Kort sagt: ChatGPT for tenåringer er et forvarsel. Å beskytte barn på nett er et gode, og en utvikling de fleste ønsker velkommen. Men mekanismen – at tjenester må vurdere alderen til alle – er en stor endring med en reell personvern-bakside. For norske bedrifter handler det om å være forberedt, og å velge løsninger som beskytter både de mindreårige og personvernet til alle andre.