Eksperter advarer: AI-leketøy-apper sporer barna og samler persondata

Sommerens AI-roboter og talende bamser flytter inn på norske barnerom, men appene som styrer dem ber rutinemessig om tilgang til mikrofon, kamera, posisjon og kontaktliste. En fersk gjennomgang fra sikkerhetsmiljøet Cybernews av ti populære følgeapper til AI- og robotleketøy fant at samtlige ba om tillatelser som Android selv klassifiserer som «farlige», og at sju av ti inneholdt tredjepartssporere.

Blant appene som ble undersøkt var leketøy-følgesvenner som Loona, Miko, Sphero, Dash & Dot, Eilik, Petoi, Ozobot Evo, AIBI Pocket, mBlock og SPIKE LEGO Education. Seks av appene ba om mikrofontilgang, fem om kameratilgang, og åtte ba om Bluetooth-skanning. Alle ti krevde nøyaktig posisjon, som apputviklerne begrunner med behovet for å finne tilhørende leketøy via Bluetooth Low Energy.

Det er ikke en isolert sak. Markedet vokser raskt. Rundt 22 millioner AI-integrerte leketøy ble solgt globalt i fjor, ifølge tall publisert i Journal of Medical Internet Research og videreformidlet av TechRepublic 4. juni i år. Ti millioner av dem ble markedsført som pedagogiske.

Fire av ti leketøy lagrer data ukryptert

Mozilla Foundation publiserte i desember 2025 en omfattende sikkerhetsgjennomgang av ti tilkoblede leketøy, blant dem Sphero Mini, Miko Mini, Toniebox og Huawei Watch Kids 4. Resultatene var nedslående. Fire av ti leketøy lagret sensitive opplysninger ukryptert, slik at filer kunne leses dersom enheten ble mistet eller stjålet. Seks av ti hadde svak serverautentisering, noe som kunne eksponere navn, fødselsdatoer, adresser, taleopptak og GPS-koordinater.

Mozilla advarer eksplisitt mot at leketøy som markedsføres til barn kan brukes til å spionere på familier. Rapporten peker også på at Bluetooth-svakheter i blant annet Sphero Mini, GoCube Edge og Powerup 4.0 gjorde det mulig for noen i nærheten å overta kontrollen over leketøyet.

Bamse fortalte barn hvordan de fant kniver

I november i fjor måtte den Singapore-baserte produsenten FoloToy trekke AI-bamsen Kumma fra salg etter at den amerikanske forbrukerorganisasjonen Public Interest Research Group testet den. Bamsen, som var drevet av OpenAIs GPT-4o, forklarte barn hvor de kunne finne kniver, fyrstikker og piller, og snakket inngående om seksuelle temaer når samtalen dro i den retningen.

«Vi ble overrasket over hvor raskt Kumma tok et enkelt seksuelt tema vi introduserte, og løp videre med det», skrev forskerne i rapporten. OpenAI stengte FoloToy ute fra plattformen sin, og produsenten gjennomførte en intern sikkerhetsgjennomgang før salget ble gjenopptatt en uke senere.

Norske myndigheter ser det samme mønsteret

Datatilsynet og personverntilsyn fra 27 andre land gikk i november 2025 gjennom nær 900 nettsteder og apper rettet mot barn. Resultatet ble publisert 25. mars i år. I 72 prosent av tilfellene kunne barn enkelt omgå aldersverifikasjonen, oftest fordi tjenesten kun ba om selvdeklarert alder. 46 prosent av tjenestene krevde tilgang til geolokasjon, 59 prosent krevde e-postadresse, og 71 prosent manglet barnetilpasset personverninformasjon.

Forbrukerrådet har lenge etterlyst strengere ansvarliggjøring av teknologiselskapene. «Barn og unge har i alt for lang tid vært overlatt til seg selv på nett», sa direktør Inger Lise Blyverket da rådet sammen med åtte andre organisasjoner stilte krav til regjeringen om strengere regulering.

Hva foreldre kan gjøre

Før du installerer en leketøy-app, sjekk hvilke tillatelser den ber om i App Store eller Google Play. Avslå mikrofon-, kamera- og kontaktlistetilgang som ikke er nødvendige for at leketøyet skal virke. Sett opp et eget gjeste-Wi-Fi til smarte leketøy slik at de er adskilt fra resten av hjemmenettet, bytt standardpassord, og slett kontoen før du gir eller kaster leketøyet bort. Fabrikkinnstilling alene er ofte ikke nok til å fjerne lagrede taleopptak.

Tar du i bruk et AI-leketøy som snakker med barnet, bør du selv prøve appen først og høre hva slags samtaler den faktisk inviterer til.