Forside › Sporsikring ved digital stalking · Gennemgået oktober 2026 · Af John Nielsen
Der findes ingen enkelt metode, der sikkert kan afgøre, om et billede, en lydfil eller en tekst er lavet med AI. En teknisk vurdering bygger på flere uafhængige spor, hvor kilden og konteksten normalt vejer tungest, og den skal være ærlig om usikkerheden. “Det kan ikke afgøres” er ofte det korrekte svar på dele af spørgsmålet.
Spørgsmålet dukker op i flere typer civile sager: billeder af skader, fotos af dokumenter, skærmbilleder af samtaler, lydoptagelser og tekster. Falske stemmer i telefonopkald og falske deltagere i videomøder er behandlet i Deepfake-stemme i telefonopkald og Deepfake i videomødet. Den ikke-tekniske introduktion findes på digitalbevissikring.dk. Her går vi ind i metoderne. Et ægte billede, der er efterbehandlet, vurderes i stedet efter Redigerede billeder: tekniske tegn.
Metoderne i overblik
- Kildeanalyse · Hvor kommer filen fra, og findes den på den angivne enhed? Ofte den stærkeste, men kræver adgang til kilden.
- Metadata · EXIF, XMP, kameramodel, software. Let at undersøge, men kan fjernes eller forfalskes.
- Indholdsmærkning · Content Credentials (C2PA) og vandmærker. Kan vise oprindelse direkte, men bruges ikke af alle og kan fjernes.
- Filstruktur · Kvantiseringstabeller, komprimering, filopbygning. Kan afsløre efterbehandling, men kræver referencemateriale.
- Visuel og fysisk analyse · Lys, skygger, perspektiv, refleksioner, tekst i billedet. Kan afsløre klare fejl, men bliver sværere med nye modeller.
- Detektionsmodeller · Statistiske mønstre fra generering. Hurtig indikation, men med falske positive og negative.
- Kontekst · Andre billeder, tidspunkter, position, øvrige beviser. Uafhængig støtte, men ikke altid til stede.
Kilden først
Den stærkeste vurdering kommer fra kilden. Et foto, der ligger i telefonens galleri med tilhørende databaseposter, miniaturebilleder, positionsdata og billeder taget lige før og efter, er meget svært at forfalske samlet. Telefonens fotodatabase registrerer typisk, hvornår billedet blev tilføjet, og ofte oplysninger, der kan skelne et kamerabillede fra et billede, der er gemt fra en app eller en browser. Android angiver fx tidspunktet for tilføjelsen og den app, der ejer filen. Hvilke felter der findes, afhænger af styresystem og version og skal kontrolleres i den konkrete database.
Et billede, der kun findes som en løsrevet fil sendt via en beskedapp, kan ikke vurderes på samme måde. Det er derfor værd at anmode om adgang til den enhed, billedet angiveligt er taget med, frem for at analysere den videresendte kopi. Udtræksmetoderne er beskrevet i udtræk fra mobiltelefoner.
Metadata
Kameraer og telefoner skriver typisk detaljerede metadata: model, objektiv, eksponering, tidspunkt og ofte position. Generatorer skriver normalt ikke den slags, eller de skriver egne felter. Men:
- beskedapps og sociale medier fjerner ofte metadata fra ægte billeder,
- metadata kan tilføjes eller ændres med almindelige værktøjer,
- fravær af metadata beviser ikke, at et billede er genereret,
- tilstedeværelse af kameradata beviser ikke, at det er ægte.
Metadata er derfor et spor, der skal holdes op mod andre spor. Uoverensstemmelser er mere sigende end enkelte felter, fx en kameramodel, der ikke understøtter den angivne opløsning.
Indholdsmærkning
Standarden C2PA (Content Credentials) gør det muligt at indlejre kryptografisk signerede oplysninger om oprindelse og redigering. Nogle kameraer, redigeringsprogrammer og AI-tjenester bruger den. En gyldig signatur er et stærkt spor, fordi den kan verificeres uafhængigt. Fravær af mærkning siger til gengæld intet, fordi de fleste filer ikke har den, og fordi mærkningen forsvinder ved mange former for genkomprimering.
Nogle generatorer indlejrer desuden usynlige vandmærker i selve billedets pixels. De kan kun påvises med udbyderens egne værktøjer, og et negativt resultat udelukker ikke andre generatorer.
Filstruktur og komprimering
Hver gang et billede gemmes som JPEG, komprimeres det igen. Kameraer, telefoner og programmer bruger forskellige kvantiseringstabeller og filopbygninger. En fil, hvis struktur ikke passer til den angivne kamera- eller telefonmodel, er blevet behandlet af et andet program. Det betyder ikke nødvendigvis manipulation; beskedapps og sociale medier genkomprimerer alt. Men det kan vise, at filen ikke er original, og sammenligning med referencebilleder fra samme model kan styrke eller svække en forklaring.
Detektionsværktøjer
Værktøjer, der vurderer sandsynligheden for, at indhold er genereret, kan bruges som indikation. Resultatet bør aldrig stå alene, fordi:
- nøjagtigheden falder ved nye generatorer, værktøjet ikke er trænet på,
- komprimering, skalering og beskæring påvirker resultatet,
- de giver en sandsynlighed, ikke et sporbart fund,
- leverandørerne oplyser sjældent fejlrater for netop den type materiale, sagen handler om.
Bruges et detektionsværktøj, skal version, indstillinger og resultat dokumenteres, og begrænsningerne skal stå i rapporten. Principperne for at kontrollere værktøjers output er beskrevet i verifikation af værktøjer.
Lyd
Ved lyd kan kildeanalyse kombineres med teknisk analyse. Kildesporene er telefonens optagelse, opkaldsliste, filens oprettelse og den app, der har lavet optagelsen. Den tekniske analyse ser på kodning, baggrundsstøj, rumklang, afbrydelser og overgange, hvor lyd kan være klippet sammen. Stemmekloning kan være svær at afsløre ud fra lyden alene, og en kort optagelse giver få holdepunkter. Kilden vejer derfor tungt.
Tekst
Det kan i praksis ikke afgøres sikkert, om en tekst er skrevet med AI ud fra teksten alene. Detektionsværktøjer til tekst har kendte problemer med falske positive, særligt for korte tekster og for skribenter, der ikke skriver på deres modersmål. Spor findes i stedet i processen: dokumentets versionshistorik, redigeringstid, kopiering af store tekstblokke på én gang og eventuel historik i AI-værktøjer. Se dokumentforfalskning: tekniske tegn for sporene i Office- og PDF-filer. Den juridiske side af tekstdetektion er beskrevet på digital-bevissikring.dk.
Skærmbilleder af samtaler
Et skærmbillede af en samtale kan fremstilles uden AI, med almindelig billedredigering eller med værktøjer, der efterligner en beskedapps udseende. Spørgsmålet er derfor sjældent, om AI er brugt, men om samtalen har fundet sted. Det afgøres bedst ved at finde samtalen i appens database på en af de involverede enheder eller i en eksport fra tjenesten. Selve skærmbilledet kan vurderes for statusbjælke, skrifttyper, tidsformat og layout i forhold til den angivne app- og styresystemversion, men det er svage spor sammenlignet med kilden.
Sikring af materialet
Før nogen analyse skal materialet sikres i den form, det er modtaget: originalfilen, ikke en kopi fra en mail, der kan være genkomprimeret. Beregn hashværdier, notér, hvem filen kommer fra og hvordan, og bevar også den besked eller mail, filen var vedhæftet. Hvis materialet findes flere steder, fx både på en telefon og i en cloudtjeneste, sikres alle versioner. Forskelle mellem dem kan i sig selv være et vigtigt spor, fordi de viser, hvor i kæden filen er ændret.
Formulering i rapporten
En ærlig vurdering skelner mellem:
- spor, der taler for, at indholdet er autentisk,
- spor, der taler for, at det er genereret eller manipuleret,
- forhold, der ikke kan vurderes ud fra det foreliggende materiale.
Konklusionen angives med en begrundet grad af sikkerhed og med en beskrivelse af, hvad der ville kunne ændre den, fx adgang til den oprindelige enhed. Undgå at lade et detektionsværktøjs procentsats blive til rapportens konklusion. Opbygningen er beskrevet i rapportskrivning.
Feltet udvikler sig hurtigt. Metoder, der virker i dag, kan være utilstrækkelige om et år, og omvendt kommer der nye muligheder for mærkning og verifikation. Angiv derfor i rapporten, hvornår vurderingen er foretaget, og med hvilke værktøjsversioner, så en senere læser kan sætte konklusionen i forhold til den viden, der var tilgængelig dengang.
Kilder og versioner
- Android Developers: MediaStore.MediaColumns, felter for mediefiler
- Apple Developer: PHAsset i PhotoKit
- C2PA: specifikation for Content Credentials
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Sporsikring ved digital stalking
Læs også: Tilknyttede enheder i WhatsApp, Messenger og Signal · Stalkerware og fjernadgang: tekniske spor på telefon, computer og konti
→ Sporsikring ved digital stalking · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
