Uttalelse om prosjektet KidAd

Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora (NESH) er et rådgivende organ, som arbeider for å fremme god og etisk forsvarlig forskning. NESH er en del av forvaltningsorganet De nasjonale forskningsetiske komiteene (FEK), og medlemmene er oppnevnt av Kunnskapsdepartementet (KD) etter innstilling fra Forskningsrådet. Komiteen er faglig uavhengig og avgjør selv hvilke saker komiteen tar opp til behandling. En uttalelse fra NESH er rådgivende og kan være utgangspunkt for videre refleksjon og eventuelle endringer i praksis. Forskere og forskningsinstitusjoner har et selvstendig ansvar for å sikre at forskningen de utfører, er god og etisk forsvarlig.

NESH mottok 29. august 2024 en henvendelse fra prosjektleder Alexander Schjøll ved Forbruksforskningsinstituttet SIFO, tilknyttet Senter for velferds- og arbeidslivsforskning (SVA) ved OsloMet – storbyuniversitetet, angående prosjektet KidAd, som er et samarbeid med Folkehelseinstituttet (FHI) ved Liv Elin Torheim. Formålet med prosjektet er å kartlegge reklame for usunn mat og drikke rettet mot barn og unge i sosiale medier, og forskerne planlegger å bruke en app utviklet av Verdens helseorganisasjon (WHO) for å samle inn store mengder informasjon (skjermbilder) fra unges mobiltelefon. Hensikten er at materialet deretter skal «renses» ved hjelp av kunstig intelligens (KI), slik at forskerne sitter igjen med et datasett som, ifølge dem, med stor sannsynlighet kun inneholder bilder av reklame. Prosjektet reiser flere juridiske problemstillinger som ligger utenfor mandatet til NESH, som i hovedsak vil behandle de forskningsetiske sidene av saken. NESH behandlet saken på møte 17. september 2024.

Bakgrunn

Prosjektet er bestilt av Helse- og omsorgsdepartementet, og har til hensikt å kartlegge reklamepress mot barn. FHI og SIFO samarbeider om gjennomføringen. Bakgrunnen er at Stortinget i 2023 vedtok et forbud mot markedsføring av usunn mat og drikke rettet mot barn og unge også i sosiale medier (Innst. 398 S (2022-2023). Spørsmålet er politisk aktuelt, da det skal gis en ny lov som regulerer slik reklame, og det er flere sterke interesser involvert.

En rekke studier er gjort for å kartlegge reklame rettet mot barn og unge, og flere metoder kan benyttes, men ifølge henvender «er ingen tilstrekkelig gode nok til å gjennomføre en presis måling som gir et reelt bilde av hva barn og unge ser av markedsføring for mat og drikke på sosiale medier. De kan verken gjenskapes eller generaliseres.» (fra prosjektbeskrivelsen). Prosjektet ønsker derfor å bruke KidAd-appen, utviklet av WHO, som når den er nedlastet og aktivert på en telefon kan ta hyppige skjermbilder av brukerens aktivitet på sosiale medier som Snapshat, Instagram, Facebook, TikTok og Youtube. Tidsintervallet kan variere mellom hvert 0,5 sekund og hvert 20.sekund, avhengig av hvilken innstilling forskerne velger, og henvender legger opp til at appen skal være aktivert i en uke. Det samlet altså inn et svært omfattende materiale, som kan være både sensitivt og privat.

Skjermbildene blir kryptert, lagret midlertidig i appen, og lastet opp i en skylagringstjeneste som OsloMet forvalter, satt opp ved hjelp av WHO (fra prosjektbeskrivelsen). Hensikten er at materialet skal bli «renset» i to runder ved hjelp av KI, først i appen og deretter i skyen, for å fjerne uønsket informasjon som private meldinger, intime bilder, finansielle opplysninger eller kommunikasjon med andre personer som er indirekte involvert. Både appen og KI-verktøyet er under utvikling og er oppgitt å ha en nøyaktighet på omkring 90 prosent. Materialet skal derfor også gjennomgås av én forsker ved SIFO, før det gjøres tilgjengelig for resten av forskergruppen.

Prosjektet tar for seg et viktig og samfunnsrelevant spørsmål og planlegger å utforske det ved hjelp av nye metoder, men reiser samtidig en rekke juridiske og forskningsetiske spørsmål. Forskerne er klar over at prosjektet er inngripende, og de har foretatt en rekke avveiinger og justeringer for å forsøke å håndtere de problemstillingene som oppstår slik at prosjektet kan være forsvarlig. Henvender har også levert en omfattende forskningsetisk egenevaluering hvor konkrete utfordringer i prosjektet drøftes systematisk opp mot relevante punkter i NESHs retningslinjer, for eksempel knyttet til prosjektets relevans, teknologiske muligheter, hensyn til deltakerne, håndtering av data, usikkerhet og risiko, sterke interessenter og involvering av andre aktører. Utfordringen er å balansere disse ulike hensynene.

Prosjektet har fått en vurdering fra det forskningsetiske rådet ved SVA, ledet av Kåre Hagen. Rådet er en arena hvor prosjekter kan bli diskutert med kompetente kolleger. Uttalelsen fra rådet veier hensynet til personvern mot samfunnsmessige hensyn, men vektlegger i hovedsak forskningens samfunnsoppdrag og prosjektets betydning både for politikkutforming og for foreldre, skole og allmenhet.

Henvendelsen er oppsummert på følgende måte:

I dette dokumentet har vi reflektert over forskningsetiske problemstillinger i forbindelse med prosjektet. Vi opplever at prosjektet er krevende etisk, men har stor forsknings- og samfunnsmessig verdi. Vi ser frem til NESH’ vurderinger og er samtidig klar over at det kan være andre forskningsetiske utfordringer som vi ikke har drøftet her. (fra egenevalueringen)

NESH har derfor vurdert prosjektet på et selvstendig grunnlag, som supplement til forskernes egenevaluering.

Juridiske problemstillinger

Prosjektet har sendt inn en fremleggelsesvurdering til REK, som har konkludert at prosjektet faller utenfor helseforskningsloven og derfor ikke er fremleggingspliktig (REK sør-øst D, ref. 804914). NESH presiserer at prosjektet verken har fått godkjenning eller etisk vurdering fra REK, som konkluderer at prosjektet «omfattes av de interne reglene som gjelder ved forskningsansvarlig virksomhet.»

Prosjektet har vært i dialog med Sikt – kunnskapssektorens tjenesteorgan, som anbefaler å bruke allmenhetens interesse som behandlingsgrunnlag, supplert med etisk samtykke for å ivareta de involvertes integritet og interesser. Prosjektet er også i dialog med IT-avdelingen ved OsloMet som har igangsatt en risikovurdering av applikasjonen og portalen. Risikovurderingen vil være sentral for personvernombudet til OsloMet, som skal foreta en samlet vurdering av personvernkonsekvensene (DPIA). Disse vurderingene ved institusjonen inngår ikke i det oversendte materialet til NESH.

NESH vil likevel bemerke at saken reiser mange prinsipielle, juridiske spørsmål som må avklares, knyttet til interesseavveining og proporsjonalitetsvurdering i henhold til personopplysningsloven/GDPR. NESH mener at det prosjektet vil være svært inngripende, samle inn store mengder sensitiv informasjon, og det er stor fare for at bruken av KI ikke sikrer tilstrekkelig anonymisering. Spørsmål om personvern oppstår allerede ved innsamling av dataene, og i tillegg er det utfordringer og risiko knyttet til lagring, datasikkerhet og kopling opp mot survey og helsedata. Samlet sett reiser prosjektet grunnleggende spørsmål om forskernes informasjonsplikt og forskningsdeltakernes rett til beskyttelse mot inngrep i privatlivet.

NESH gjør derfor oppmerksom på at WHO i beskrivelsen av appen, knyttet til personvern og risiko, understreker at bruken må være basert på eksplisitt samtykke (WHO 2024, 6.1. General Data Protection Regulation (GDPR) Compliance; 7.2.2 Data Privacy Concerns). Dersom prosjektet vil bruke allmenn interesse som behandlingsgrunnlag (GDPR, art. 6 (1) e), må uansett de grunnleggende rettighetene og prinsippene for behandling av personopplysninger være ivaretatt (GDPR, art. 5, art. 89).

NESH vil også fremheve at omfanget av overvåking knyttet til bruken av appen kan være i strid med Den europeiske menneskerettighetskonvensjonen, slik det fremgår av praksis fra Den europeiske menneskerettighetsdomstolen. Følgelig kan heller ikke foreldre uten videre samtykke på vegne av barn, jf. barneretten og barnekonvensjonen. Prosjektet vil sannsynligvis også betraktes som en høyrisikopraksis etter den nye AI-forordningen.

NESH presiserer at forskningsinstitusjonene, både OsloMet og FHI, har et stort ansvar for å sikre at både behandlingen av personopplysninger og bruken av teknologien er forsvarlig, ikke bare etter personopplysningsloven/GDPR, men også annet gjeldende lovverk. Det påligger derfor et stort ansvar på personvernombudene og IT-avdelingene som skal foreta henholdsvis DPIA og risikoanalyse i tråd med gjeldende lovverk.

Forskningsetiske vurderinger

NESH has gjort en forskningsetisk vurdering av prosjektet. Utgangspunktet for våre vurderinger til NESH er Forskningsetiske retningslinjer for samfunnsvitenskap og humaniora (revidert utgave 2023).

a)     Samfunnsnytte

Prosjektets belastning og risiko må veies mot prosjektets forventet samfunnsnytte. NESH har gjort en selvstendig vurdering av prosjektets samfunnsnytte basert på den innsendte beskrivelsen av prosjektets formål og metode. Komiteen ser at prosjektet kan bidra med relevant kunnskap, men er ikke overbevist om at det vil være tilfelle, slik både henvender og etikkutvalget ved SVA legger til grunn. Selv om temaet er viktig og forskningen er relevant, vil prosjektets nytte også være avhengig av forskningens kvalitet og validitet. Både innsamlingen av data via KidAd-appen og behandlingen ved hjelp av KI kan bidra til å svekke validiteten og dermed samfunnsnytten.

Prosjektskissen er svært tynn når det gjelder hypotese, metode og analyse, ut over den tekniske beskrivelsen av appen:

Vi vil gjennomføre relativt enkle deskriptive analyser av dataene, som telling av mat- og drikkereklamer, vise forholdet mellom ulike typer mat- og drikkeprodukter og se telle hvor mange som er i tråd med de ulike ernæringsprofilene. Det vil bli gjort flere lignende analyser. I tillegg til dette vil vi gjennomføre analyser der vi knytter dataen fra bildene opp mot data fra spørreskjema. (fra prosjektskissen)

NESH stiller spørsmål ved om analysen av skjermbildene og spørreskjemaene og hvilke resultater materialet og metoden (kartlegging, deskriptiv fordelingsanalyse) faktisk kan frembringe kunnskap om påvirkning og sammenheng mellom reklamepress og helse på tvers av alder, kjønn, kultur og klasse? Det henger sammen med spørsmål om validitet og representativitet: Det er snakk om et lite utvalg (50-100 personer) fordelt på fem årskull (13-17 år). Hvor mye er det egentlig mulig å si, mer generelt, med et så begrenset utgangspunkt? I tillegg er det fare for systematiske skjevheter i utvalget under rekrutteringen av deltakere, for eksempel på bakgrunn av valg av telefon (WHO 2024, 7.2.5 Dependency on High-End Devices, Android vs. iPhone etc.) og hvem som er villige til å delta i en så inngripende undersøkelse (både barn og foreldre). Det er videre sannsynlig at barnas telefonbruk vil påvirkes av datainnsamlingen og dermed svekker dataenes validitet.

Bruken av KidAd-appen for å samle inn dataene og KI-verktøy for å rense dem, skaper også usikkerhet rundt dataenes kvalitet. Resultatene vil kunne være usikre fordi forskerne ikke kan vite hvordan dataene blir renset, og det er ikke mulig for andre forskere å etterprøve dataene.

NESH vurdering er at forskerne overdriver prosjektets bidrag til å øke kunnskapen om reklametrykk rettet mot barn og at dette må tas i betraktning både i vurdering av samfunnsnytte (for politikkutforming) og i proporsjonalitetsvurderingen (knyttet til samfunnsnytte, risiko og personvern).

b)     Risiko

Forskerne har foretatt en forskningsetisk egenrefleksjon knyttet til konkrete momenter i NESHs retningslinjer. Denne drøftingen er både omfattende og grundig, men det er også diskrepans mellom egenevalueringen og den informasjonen som blir formidlet til barn og unge og til foreldre. Det gjelder spesielt risiko knyttet til bruk av KidAd-appen og KI-verktøy. Ansvaret for å informere er helt avgjørende, både juridisk og etisk, og det etiske samtykket forutsetter at deltakerne er skikkelig informert, også om «sannsynlige konsekvenser og risiko for skade og belastning». (NESH 2023, 15. Ansvaret for å informere).

Risiko er først og fremst knyttet til datasikkerhet. Den tekniske beskrivelsen av KidAd-appen drøfter en rekke mulige konsekvenser knyttet til sikkerhet (WHO 2024, kap. 7. Security Assessment). Forskerne er inne på dette i drøftingen av datamateriale på avveie (jf. punkt 24. Lagring og deling av data) og mulig datalekkasje (jf. punkt 18. beskyttelse av barn):

Dersom det skulle bli en datalekkasje, vurderer vi det som at det vil være vanskelig å ordne opp i skaden som har skjedd. Dette gjelder alle som samler inn sensitiv data, det er svært alvorlig dersom denne dataen blir stjålet. Da er det vanskelig å gjøre det helt godt igjen. Det beste vi kan gjøre, er derfor å ha en plan dersom det skulle skje og minimere skaden så langt det lar seg gjøre. (fra forskningsetisk egenevaluering)

NESH bemerker at selv om dette er en generell utfordring ved all lagring av forskningsdata, reiser bruken av både KidAd-appen og KI-verktøyet særskilte spørsmål om digital infrastruktur og cybersikkerhet. Prosjektet er svært inngripende, innebærer omfattende overvåking av telefoner, og samler inn store mengder informasjon og overskuddsinformasjon både om deltakerne og tredjepersoner, som kan inneholde sensitive opplysninger, private samtaler og finansielle detaljer. Data skal lagres og deles på tvers av institusjoner og ulike applikasjoner (inkl. tredjepartsleverandører, skylagring, autentisering etc.), noe som øker risikoen for uautorisert adgang. Og det er ikke klart om data skal brukes til videre andre formål, for eksempel til trening av KI-verktøyet.

NESH mener at prosjektet kan karakteriseres som høyrisiko, og komiteen synes ikke at mulig risiko for skade og belastning er kommunisert klart og tydelig i informasjonsskrivene til deltakerne. For eksempel står det eksplisitt i den tekniske beskrivelsen av appen fra WHO at data også skal brukes til trening av KI-verktøyet, og forskerne er klar over utfordringen: «Dette har vi også muntlig formidlet til WHO i flere møter. De har ikke vist noen motvilje til dette og uttrykker ingen interesse for å bruke dataen vi samler inn.» Dette er for det første ikke tilstrekkelig for å hindre gjenbruk for andre formål, og for det andre er denne risikoen ikke kommunisert i informasjonsskrivene. I informasjonsskrivene står det også at «Skjermbildene blir automatisk lastet opp i en sikker kryptert elektronisk mappe – en skylagringstjeneste som driftes av OsloMet.» Det virker betryggende, men det fremgår også at data via appen og KI-verktøyet blir lagret av WHO, før de kan overføres til forskerne. Igjen er beskrivelsen av risiko ikke dekkende, og det reiser også juridiske spørsmål om gjenbruk og dataportabilitet. NESH stiller tilsvarende spørsmål ved formuleringer i informasjonsskrivene som; «Vi vil bare bruke opplysningene om deg til formålene vi har fortalt om i dette skrivet» og «Bildene vil alltid lagres trygt, og det vil kun være forskerne som ser bildene».

Både barn og foreldre må være informert om mulig risiko knyttet til bruk av app og KI-verktøy. Det er ikke forsvarlig å underkommunisere høy risiko i forbindelse med forespørsel om deltakelse

c)     Samtykke

Med henvisning til WHOs egen beskrivelse av appen, omtalt ovenfor, mener NESH at det juridiske behandlingsgrunnlaget bør være eksplisitt samtykke (art. 6 (1) a). Det gjelder både barn og foreldre. I tillegg har forskerne en forskningsetisk informasjonsplikt (NESH 2023, 15) og må innhente forskningsetisk samtykke til å delta i forskning (NESH 2023, 16). Gyldigheten av det etiske samtykket forutsetter at deltakerne er tilstrekkelig informert, også om mulig risiko. Dersom informasjonen er misvisende, vil samtykket ikke være tilstrekkelig informert.

Det er store utfordringer knyttet til indirekte involverte i prosjektet. Appen driver, med henvenders egne ord, «omfattende overvåking av telefoner», og det vil i praksis bli samlet inn bilder og informasjon også om andre personer (NESH 23. Privatliv og familieliv; 26. Direkte og indirekte berørte). Også disse vil bli eksponert, både for innsamling av sensitive opplysninger og for risiko ved bruk av app og KI-verktøy, uten mulighet til å få informasjon eller gi samtykke. «Dette er et onde dersom man gjennomfører metoden vi bruker», skriver henvender, som det er angivelig den eneste måten å måle reklametrykket mot ungdom: «Derfor er det viktig å gjennomføre dette til tross av [at] tredjepersoner ikke har samtykket.»

NESH mener at denne argumentasjonen ikke er forsvarlig. Forskerne kan kanskje håndtere etiske utfordringer ved rensing og tolkning av materialet, men informasjonen er allerede samlet inn, med den risiko som bruken av appen og KI-verktøyet medfører. Forskerne har et forskningsetisk ansvar både ved valg av metode og ved bruk av KI-verktøy.

Konklusjon 

NESH fraråder at prosjektet gjennomføres slik det er planlagt med bruk av KidAd-appen og KI-verktøy. Konklusjonen er primært trukket på bakgrunn av prosjektets risiko og manglende informasjon om risiko. I tillegg stiller komiteen spørsmål ved forholdsmessigheten mellom risiko og samfunnsnytte, sett opp mot prosjektets metodiske begrensninger.

NESH understreker at forskerne har et forskningsetisk ansvar både ved valg av metode og ved bruk av KI-verktøy. Dersom det innebærer stor usikkerhet og risiko, er det ikke forsvarlig å benytte disse verktøyene.

Ansvarlig bruk av KI forutsetter uansett at forskere informerer tilstrekkelig om risiko og usikkerhet knyttet til bruk av slike nye metoder og teknologier.