Deepfake-spridaren avslöjades av sin egen profilbild — när inför Sverige ett likvärdigt skydd för offren?

Digitala fotspår leder rakt till källan

När FBI nyligen genomförde de första gripandena under den amerikanska lagen Take It Down Act behövde utredarna knappt anstränga sig. Enligt Ars Technica räckte det med att besöka porrsajter och klicka på söktaggar som "AI" och "Deepfakes" för att snabbt identifiera de skyldiga.

Fallet med 20-årige Arturo Hernandez är talande. Han ska ha publicerat 113 album med AI-fabricerade sexuella bilder föreställande ungefär 50 kvinnor — innehåll som visats nästan en miljon gånger. Bland offren fanns politiker, skådespelerskor och musiker, men också privatpersoner från hans egen gymnasieskola i Texas. Trots att han registrerat sitt konto under smeknamnet "Ryan" använde han exakt samma smeknamn på Snapchat. Därifrån gick det snabbt: platsinformation, digitala fotspår och en IP-adress kopplad till hans iCloud-konto stängde cirkeln.

Den andre misstänkte, 51-årige Cornelius Shannon, var enligt åklagarna ännu mer slarvig. Han ska ha publicerat omkring 360 album som visats över två miljoner gånger — och det som slutligen avslöjade honom var att han använt ett eget fotografi som profilbild.

Lagen är ny, men mönstret är gammalt

Det är lätt att skratta åt grovheten i dessa misstag. Men jag tror vi missar poängen om vi stannar där. Det verkliga budskapet är inte att dessa specifika individer var oaktsamma — det är att den digitala infrastruktur vi alla rör oss i lämnar spår som är mycket svårare att radera än de flesta tror.

Varje inloggning, varje betalningstransaktion via PayPal, varje IP-adress kopplad till en molntjänst — allt detta bildar ett nät av bevis som kan vävas samman av en utredare med rätt befogenheter och rätt lagstiftning. Take It Down Act gav FBI just dessa befogenheter i USA. Och det är där Sverige borde lyssna noga.

Var står Sverige?

I dagsläget saknar Sverige en direkt motsvarighet till TIDA. Visst kan spridning av integritetskränkande material åtalas under befintlig lagstiftning — exempelvis lagen om olaga integritetsintrång — men AI-genererat material som föreställer verkliga personer befinner sig fortfarande i en juridisk gråzon. Tekniken har sprungit ifrån regelverket, vilket är ett välbekant mönster inom digital rätt.

EU:s AI-förordning, som träder i kraft stegvis, innehåller visserligen skrivningar om transparens kring syntetiskt innehåll, men den är inte utformad som ett straffrättsligt verktyg mot enskilda spridare. Det är en skillnad som spelar stor roll i praktiken.

Vad FBI:s fall demonstrerar är att lagstiftning faktiskt fungerar — inte minst som avskräckande kraft. När gärningsmän vet att digitala fotspår leder direkt till dem, och att lagen ger myndigheterna befogenhet att följa dessa spår, förändras riskkalkylen dramatiskt.

En möjlighet, inte bara ett problem

Jag är genuint entusiastisk över vad AI gör möjligt inom kreativitet, produktivitet och affärsutveckling. Men det är just därför jag anser att vi måste ta den här sidan av myntet på allvar. En teknik som saknar förtroende hos allmänheten kommer inte att nå sin fulla potential.

Det goda nyheterna är att verktygen för att skapa trygghet redan existerar — både tekniskt och juridiskt. FBI:s utredningar är ett bevis på att kombinationen av digital forensik och tydlig lagstiftning ger resultat. Sverige och EU har nu ett konkret amerikanskt exempel att lära av, anpassa och bygga vidare på.

Detta är inte ett argument mot AI. Det är ett argument för att vi bygger rätt fundament — så att transformationen kan fortsätta på hållbara villkor.