Windows Recall og lokale AI‑funktioner som datakilde

Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen

Windows Recall tager løbende øjebliksbilleder af skærmen og gør dem søgbare lokalt på computeren. Hvis funktionen var slået til, kan den i en undersøgelse vise, hvad der stod på skærmen på et givet tidspunkt. Den kan samtidig rumme store mængder private og fortrolige oplysninger om både brugeren og tredjemand, og adgangen er bevidst låst til brugerens egen godkendelse. Recall er derfor en datakilde, der kræver afklaring af grundlag, adgangsvej og dataminimering, før nogen åbner den.

Hvad Recall er, teknisk set

Recall er en funktion på såkaldte Copilot+-computere, som har en indbygget NPU (neural processor). Funktionen gemmer med jævne mellemrum et billede af skærmen, kører tekstgenkendelse og billedanalyse lokalt og lægger resultatet i en søgbar database. Brugeren kan derefter søge i naturligt sprog efter noget, der har været vist, og bladre i en tidslinje.

Ifølge Microsofts dokumentation gælder blandt andet:

Funktionen er tilvalg. Der gemmes ikke øjebliksbilleder, før brugeren aktivt har valgt det, og på virksomhedsstyrede computere er Recall som udgangspunkt slået fra og fjernet, indtil en administrator tillader den via politik. En administrator kan ikke selv slå lagringen til for brugeren.
Øjebliksbilleder og database gemmes kun lokalt og er altid krypteret. Nøglerne beskyttes af TPM og bruges inden for en enklave i virtualiseringsbaseret sikkerhed (VBS). Adgang kræver Windows Hello-godkendelse med biometri af den bruger, der ejer dataene.
Brugeren kan udelukke programmer og websteder, sætte en grænse for lagerforbrug og en maksimal alder for øjebliksbilleder, og slette alt eller dele af historikken. På Enterprise- og Education-udgaver kan dette også styres via politik.
Filtrering af følsomme oplysninger, fx adgangskoder og betalingskortnumre, er slået til som standard, og privat browsing i understøttede browsere gemmes ikke.

Funktionen, dens indstillinger og politikker er ændret flere gange siden lanceringen, så status skal aflæses på den konkrete computer.

Funktionen har ændret sig betydeligt mellem forhåndsversionen og den frigivne version, og den kan ændre sig igen. Notér altid Windows-version og build ved sikringen, så det senere kan afgøres, hvilken adfærd der gjaldt.

Andre lokale AI-funktioner

Recall er den mest omfattende, men ikke den eneste lokale AI-kilde. Copilot-appen, AI-funktioner i indbyggede programmer og tredjepartsassistenter kan gemme samtalehistorik, cache eller indstillinger lokalt eller i en tilknyttet konto. Hvad der ligger lokalt, og hvad der kun ligger i skyen, varierer med program, version og kontotype. For Microsoft 365 Copilot ligger interaktionerne i tenantens egne data og ikke primært på computeren. → Copilot-interaktioner i Microsoft 365

Første spørgsmål: var funktionen overhovedet slået til?

Før nogen overvejer indholdet, skal det fastlægges, om Recall var aktiv. Det kan dokumenteres uden at åbne selve dataene:

Hardware: Er computeren en Copilot+-model? Uden den nødvendige hardware findes funktionen ikke.
Politik: Hvilke gruppepolitikker eller MDM-indstillinger gjaldt for Recall og øjebliksbilleder? Det kan ses i den forensiske kopi af registreringsdatabasen og i MDM-løsningens konfigurationshistorik. → MDM og Intune som datakilde
Funktionsstatus: Er den valgfri Windows-komponent installeret, og er der tegn på en database og et billedlager i brugerens profil?
Indstillinger: Lagerloft, maksimal alder og udelukkede programmer afgør, hvor langt tilbage data kan række, og hvad der aldrig blev gemt.

Disse oplysninger er ofte nok til at besvare et teknisk spørgsmål, fx om en påstand om “den så det på skærmen” overhovedet kan efterprøves.

Adgang kun ad lovlige veje

Recall er bygget, så dataene ikke kan læses uden den rette brugers godkendelse. Det er ikke en mangel ved undersøgelsen, men en egenskab ved kilden, som skal respekteres. De lovlige veje er:

Brugerens medvirken: Brugeren godkender med Windows Hello og viser eller eksporterer de relevante dele under kontrollerede forhold. Det kræver et klart samtykke eller et andet sikkert retsgrundlag og bør aftales skriftligt.
Afgrænsning på forhånd: Kun et bestemt tidsrum, bestemte programmer eller søgeord gennemgås. Resten åbnes ikke.
Retskendelse eller aftale mellem parterne: I en tvist kan parterne aftale, hvad der må gennemgås, og af hvem.

Der gives ingen vejledning i at omgå krypteringen eller godkendelsen. Kan dataene ikke åbnes lovligt, dokumenteres det, at kilden findes, og hvorfor den ikke er gennemgået. → Krypterede data: de lovlige adgangsveje

Sikring

Den forensiske kopi af disken medtager Recalls filer, men de er krypteret og knyttet til maskinen og brugeren. Det betyder i praksis:

Sikr den fulde kopi som normalt, så filer, tidsstempler og indstillinger er bevaret. Hash og bevislog som ved enhver anden sikring.
Dokumentér tilstanden på den tændte maskine, før den slukkes: logget ind eller ej, Recall-status og version. Er maskinen slukket, er det ikke sikkert, at indholdet senere kan åbnes uden for den oprindelige hardware.
Ved gennemgang med brugerens medvirken filmes eller protokolleres forløbet, og hvert eksporteret billede får tidspunkt, kilde og hash.
Undgå at bruge funktionen aktivt på originalen. Søgning og bladring kan ændre indekser og tidsstempler.

Billederne viser skærmen, ikke den underliggende fil eller besked. Et billede af et dokument eller en chat bør derfor så vidt muligt kobles til den originale kilde, fx dokumentet på disken eller beskeden i appens database.

Persondata og proportionalitet

Recall registrerer alt, hvad brugeren har haft på skærmen: private beskeder, helbredsoplysninger, netbank, kollegers og kunders data. Selv med filtre vil en fuld gennemgang næsten altid omfatte langt mere, end sagen handler om. Det stiller krav om:

en konkret begrundelse for, at netop denne kilde er nødvendig,
afgrænsning i tid og indhold,
teknisk adskillelse af private data under analysen,
at fund uden for opdraget håndteres efter en fast procedure.

Se den tekniske side af dataminimering her: → Dataminimering i forensic. Virksomhedens perspektiv på Copilot og AI-data er beskrevet på søstersitet: → Copilot i Microsoft 365: hvad kan den finde, og hvad gemmes?

Fejlkilder i fortolkningen

Skærm er ikke handling. At noget har været vist, betyder ikke, at brugeren har læst det, skrevet det eller sendt det. Et vindue kan stå åbent bag andre, eller en notifikation kan dukke op uden at blive læst.
Hvem sad ved maskinen? Recall knytter data til den bruger, der var logget ind, ikke til den person, der fysisk sad der.
Huller er normale. Udelukkede programmer, filtre, pauser, lagerloft og sletning giver huller. Fravær af et billede viser ikke, at noget ikke var på skærmen.
Tekstgenkendelse kan fejle. Søgeresultater bygger på maskinel genkendelse af tekst og billeder. Et søgeord, der ikke giver hit, kan stadig have været vist.
Tid og tidszone. Tidsstemplerne skal valideres mod andre kilder på maskinen, og tidszonen skal angives i rapporten.

Hvad kilden kan og ikke kan bevise

Recall kan vise, at et bestemt indhold blev vist på skærmen i en bestemt brugersession på et bestemt tidspunkt, hvis funktionen var slået til, og hvis billedet ikke er slettet. Den kan ikke alene vise, hvem der sad ved tastaturet, hvad personen gjorde med indholdet, eller hvor indholdet kom fra. Den bør derfor bruges som et supplement til de klassiske Windows-artefakter, ikke som erstatning for dem. → Windows-artefakter: LNK, jump lists, shellbags og USB

I rapporten

Beskriv Windows-version, Recall-status og indstillinger, hvordan adgang blev givet og af hvem, hvilken afgrænsning der blev aftalt, og hvilke billeder eller søgninger der indgår. Angiv for hvert anvendt billede tidspunkt, tidszone og hash. Det skal fremgå, hvad der bevidst ikke er gennemgået, så modparten kan se, at afgrænsningen er overholdt.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Windows-forensik

Læs også: Windows Search-indekset som datakilde · Print i Windows: spool-filer, PrintService-log og printserverens journal

→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik