Apple stævnet for iClouds påståede rolle i CSAM-distribution

West Virginia går efter Apple: iCloud og påstande om CSAM

West Virginias justitsminister (Attorney General) JB McCuskey har annonceret et søgsmål mod Apple, hvor staten anklager selskabet for i årevis “bevidst” at have tilladt, at iCloud bliver brugt til at lagre og distribuere CSAM (child sexual abuse material). Ifølge McCuskey har Apple valgt at “gøre ingenting” — og bagatelliseret problemet med henvisning til brugernes privacy.

Sagen læner sig blandt andet op ad en indleveret stævning (PDF), hvor der påstås, at Apple internt skulle have omtalt sig selv som en særlig effektiv platform til distribution af ulovligt materiale, samtidig med at Apple ifølge West Virginia indrapporterer færre CSAM-fund end peers som Google og Meta. Staten kræver både punitive damages og et påbud (injunctive relief), der tvinger Apple til at implementere “effektive” CSAM-detektionstiltag.

Konflikten kort: Børnesikkerhed vs. privatliv (og hvem der har ansvaret)

McCuskeys centrale pointe er, at Apple ikke kan fremstille sig som en “passiv rørpost” for ulovligt materiale, fordi Apple kontrollerer hele økosystemet: hardware (iPhone, iPad, Mac), software (iOS, iPadOS, macOS) og cloud-infrastruktur (iCloud, Apple ID). Når Apple ejer hele stakken, lyder argumentet, er det et aktivt valg ikke at gøre mere.

Apples modargument, som vi har set i flere variationer de seneste år, er, at aggressive scanning- og detektionsværktøjer i brugerdata risikerer at skabe nye angrebsflader og underminere den krypteringsmodel, der i praksis beskytter almindelige brugere mod datatyveri, afpresning og overvågning.

Hvorfor netop iCloud Photos er brændpunktet

I 2021 annoncerede Apple nye “child safety features”, herunder et system til at detektere kendt CSAM i billeder lagret i iCloud Photos. Planen blev mødt af massiv kritik — ikke kun fra “digital rights”-miljøet, men også fra sikkerhedsforskere og en del af Apples egne kunder — fordi teknikken (uanset intention) kan opfattes som en skabelon til bredere scanning af privat indhold.

Apple valgte senere at droppe implementeringen. Begrundelsen var blandt andet, at et værktøj til scanning af private iCloud-data ville kunne “skabe nye threat vectors” for dataindbrud og misbrug. I 2024 blev Apple i øvrigt også sagsøgt af en gruppe potentielle ofre med krav i milliardklassen, netop med henvisning til, at fravalget af CSAM-overvågning skulle have forårsaget løbende skade.

Hvad West Virginia konkret vil have Apple til at gøre

Søgsmålet søger et retsligt påbud til at “implementere effektive CSAM-detektionstiltag”. Og det er her detaljen bliver afgørende: Der er en kæmpe forskel på at rapportere det, man allerede finder, og at opbygge nye mekanismer, der aktivt scanner eller matcher indhold i cloud-lagring.

West Virginia rammer Apple på et reputationsmæssigt ømt punkt: Apple markedsfører sig konsekvent som privacy-first — men staten argumenterer for, at privacy for alle i praksis også kan blive privacy for forbrydere, hvis man ikke samtidig har robuste sikkerheds- og rapporteringsprocesser.

Det efterlader Apple i et felt, hvor enhver teknisk løsning straks får politiske konsekvenser. En løsning, der er stærk mod CSAM, kan opfattes som svag for privatliv. Og en løsning, der er stærk for privatliv — fx mere end-to-end encryption (E2EE) og funktioner som Advanced Data Protection — kan politisk blive set som en hindring for håndhævelse og rapportering.

Min vurdering: Derfor er det her mere end “endnu en Apple-retssag”

Det mest interessante her er ikke, at Apple bliver sagsøgt — det sker jævnligt, og “Apple Lawsuits” er nærmest sin egen kategori. Det interessante er, at sagen tester en grænse, som techbranchen stadig ikke har en fælles standard for: Hvor meget ansvar kan man juridisk pålægge en platform for ulovligt indhold, hvis platformen samtidig bygges til at gøre indholdet utilgængeligt for alle andre end brugeren?

Hvis West Virginia får medhold i formuleringer, der i praksis kræver scanning/detektion som produktkrav, kan det få ringe i vandet langt ud over Apple: Google Drive, WhatsApp, Messenger, og alle cloud storage-aktører vil stå med samme designproblem. Omvendt: Hvis Apple vinder, kan det blive læst som en blåstempling af, at stærkere privacy-arkitektur kan være et legitimt svar — også når det gør rapporteringsarbejde vanskeligere.

Og så er der den praktiske dimension, som ofte drukner i principperne: “Effektiv CSAM-detektion” er ikke en enkelt knap. Det handler om hash-matching, false positives/negatives, appelprocesser, grænseoverskridende jurisdiktion, og hvem der i sidste ende får adgang til hvilke signaler. Kort sagt: Sagen kan tvinge Apple til at vælge mellem dårlige muligheder — og vælge offentligt.

Hvad betyder det for dig som Apple-bruger?

På kort sigt: sandsynligvis ingenting i din daglige brug af iPhone, iPad eller Mac. Men på mellemlang sigt kan retssager som denne påvirke, hvilke privacy- og sikkerhedsfunktioner Apple tør rulle ud globalt, hvordan iCloud-lagring designes, og hvilke kompromiser der lægges ind i fremtidige versioner af iOS og macOS.

Hvis du vil følge flere Apple-nyheder om privatliv, sikkerhed og iCloud, kan du løbende søge hos We❤️Apple. Og hvis du alligevel er i gang med at optimere hverdagsopsætningen, giver det mening at kigge på praktisk beskyttelse af din enhed: et godt cover (se iPhone-covers) og essentials som opladere kan være det mindst kontroversielle sikkerhedstiltag, du foretager i år.

Næste skridt i sagen bliver afgørende for, om domstolen reelt vil definere et teknisk krav til Apple — eller om den nøjes med at vurdere Apples eksisterende rapporterings- og kontrolmekanismer. Uanset udfaldet er det endnu et bevis på, at den store kamp i Apple-økosystemet lige nu ikke handler om megapixels eller M-chips, men om hvor grænsen går mellem kryptering, sikkerhed og samfundsansvar.