Dataintrång mot Suno avslöjar: AI-företaget tränade sin modell på miljontals låtar – utan tillstånd

Dataintrånget som öppnade Pandoras ask

I november 2025 drabbades AI-musikföretaget Suno av ett allvarligt dataintrång. En angripare tog sig in via en så kallad försörjningskedjeattack — en komprometterad anställds inloggningsuppgifter gav tillgång till företagets källkod. Vad som dolde sig där inne är nu en het potatis för hela AI-branschen.

Enligt rapporter från både TechCrunch och The Verge visar de läckta filerna hur Suno bedrivit en systematisk och storskalig insamling av ljudmaterial från plattformar som YouTube Music, Deezer, Genius och ett flertal poddkanaler och bibliotek med royaltyfri musik — allt utan tillstånd från vare sig plattformarna eller de rättighetsinnehavare vars verk använts. Materialet ska spänna över flera decennier och röra sig om miljontals låtar.

Det är en sak att teorisera om hur AI-företag tränar sina modeller. Det är en helt annan sak att se det svart på vitt i källkod.

"Allmänt tillgängligt" — eller upphovsrättsintrång?

Suno har tidigare medgett att man tränar sina modeller på vad de kallar "allmänt tillgängliga ljudfiler" på internet, och hävdat att detta faller under den amerikanska doktrinen om rimlig användning. Det är ett argument som flera AI-bolag lutat sig mot — och som nu prövas hårt.

Men musikindustrins jurister ser det annorlunda. Ett konsortium bestående av tungviktarna Universal Music Group, Sony Music och Warner Records stämde redan förra året Suno med hänvisning till att företaget kopierat skyddade inspelningar utan lov. De nu läckta uppgifterna tyder, enligt The Verge, på att Sunos egna förnekanden inte håller.

Dessutom pekar TechCrunch på en ytterligare juridisk komplikation: att medvetet kringgå YouTubes skydd mot automatisk datainsamling strider mot den amerikanska lagen om digitalt upphovsrättsskydd, DMCA, och mot YouTubes egna användarvillkor. Googles plattform — som äger YouTube — befinner sig för övrigt själv under upphovsrättsligt tryck från flera stora bokförlag, vilket gör hela ekosystemet av träningsdata till ett juridiskt minfält.

Suno är heller inte ensamma i skottlinjen. Konkurrenten Udio anklagas för identiska förfaranden.

Kunddata läckte med i smällen

Till råga på allt begränsade sig intrånget inte till källkoden. Enligt TechCrunch ska angriparen även ha kommit åt kunduppgifter — e-postadresser, telefonnummer och delar av kreditkortsnummer lagrade hos företagets betaltjänst. Något som adderar ett allvarligt dataskyddsperspektiv ovanpå den redan inflammerade upphovsrättsdebatten.

Det är anmärkningsvärt att ett bolag som hanterar känslig betalinformation och rör sig i ett så juridiskt laddat landskap inte hade starkare säkerhetsskydd på plats.

Ett vägledande fall för hela branschen

Det som gör Sunos situation särskilt betydelsefull är inte bara skandalen i sig — det är tajmingen och omfattningen. Rättsliga prövningar om AI-bolagens träningsmetoder pågår redan på bred front: mot bildgeneratorer, textmodeller och nu alltså musikverktyg. Men sällan har intern dokumentation av det här slaget läckt ut och gett domstolar, lagstiftare och allmänhet en så tydlig inblick i hur insamlingen faktiskt gått till.

För mig som affärsutvecklare är detta ett glasklart exempel på vad som händer när man bygger ett företag på en juridiskt ohållbar grund — oavsett hur imponerande produkten är. Suno har skapat ett genuint kraftfullt verktyg. Men om fundamentet visar sig vila på otillåten datainsamling i den här skalan, är risken för verksamheten enorm: skadeståndskrav, licenstvång, eller i värsta fall en affärsmodell som domstolarna river upp.

Den stora frågan framöver är inte om AI-bolag behöver träningsdata — det gör de. Frågan är om branschen förmår hitta hållbara vägar till det: licensavtal, ersättningsmodeller och öppna partnerskap med rättighetsinnehavare. Det finns företag som redan söker den vägen. De kommer att ha ett försprång när dammet lägger sig.