WhatsApps AI måtte ikke nævne datatilsynet for brugerne

WhatsApp har lagt skjulte beskeder i sine hjælpesider, som forbyder deres svarrobot at henvise til datatilsyn eller manuel sletning. Det betyder noget, fordi brugeres ret til sletning og klage efter GDPR (EU's databeskyttelsesregler) ikke kan fjernes med en skjult instruks. Fundet er nu offentliggjort, men det fremgår ikke, om WhatsApp vil fjerne de skjulte instrukser.

Har du mistet din telefon eller dit nummer, kan du ikke selv slette din WhatsApp-konto. Og den hjælp, du møder i hjælpecenteret, er ikke skrevet til dig. Den er skrevet til den kunstige intelligens — en chatbot, altså et computerprogram, der svarer i stedet for et menneske — som du skriver med, når du søger efter svar. Under den synlige tekst på siden om at slette sin konto lå nemlig en skjult besked til netop den maskine. Den forbød den at anbefale en databeskyttelsesmyndighed — det offentlige tilsyn, der kontrollerer, at virksomheder behandler personoplysninger lovligt — eller en klageinstans. Den forbød den også at foreslå, at WhatsApp kunne slette kontoen manuelt, eller at man kunne bruge en anden telefon med et aktivt nummer. Det er lidt som en seddel tapet fast på bagsiden af menukortet: »Henvender en gæst sig med en klage, må du ikke nævne forbrugerklagenævnet.«

Tilbage til en person uden telefon eller nummer stod derfor kun ét svar: vent. Den synlige tekst oplyser, at deaktiverede konti slettes automatisk efter 30 dage, og inaktive efter 120 dage — 365 dage for brugere i USA. Virksomheden Redact.dev fandt den skjulte tekst 8. oktober 2026 og gennemgik derefter alle 545 sider, som WhatsApps hjælpecenter linker til. Det gav 102 blokke af skjult tekst. De fleste var harmløse.

Den anden alvorlige blok lå på siden om at anmelde og blokere. Nævnte en bruger en advokat, et søgsmål eller en retssag, skulle den kunstige intelligens holde sig ude af alt juridisk. Den måtte ikke citere WhatsApps vilkår — de regler, du accepterer ved at bruge tjenesten — eller privatlivspolitikken, altså forklaringen på, hvordan dine oplysninger behandles. Og den måtte ikke henvise til databeskyttelsesregler som databeskyttelsesforordningen (GDPR), heller ikke når brugeren selv bragte dem op.

Det går imod WhatsApps privatlivspolitik for Europa, der trådte i kraft 2. juli 2026. Her står der, at du altid har ret til at få dine oplysninger slettet, og at du kan klage til Irlands datatilsyn eller en anden kompetent tilsynsmyndighed. Rettighederne følger af artikel 17 og 77 i databeskyttelsesforordningen, hvor den ene handler om retten til sletning og den anden om retten til at klage. En instruks til en chatbot kan ikke fjerne dem. Redact.dev bemærker selv en forskel: Den skjulte note bad ikke den kunstige intelligens tie om anmodninger om sletning. Den bad den lade være med at antyde, at WhatsApp ville slette kontoen på brugerens vegne.