# Del 28 – Lärande-loop (ai_corrections → ai_training_bank) > Ingen AI är facit. Varje skanning där användaren granskar förslag blir ett > träningsexempel — om hon samtycker. Detta dokument beskriver datakontraktet, > samtyckesgätning och GDPR-radering. ## Översikt ``` App → skanna → worker → AI-förslag → app (awaiting_confirmation) ↓ användaren granskar varje item ↓ POST /v1/scans/:id/confirm ↓ ai_corrections (ett rad per item) ↓ BUILD_TRAINING_SAMPLE (scheduler, 1×/vecka) ↓ ai_training_bank (cibello-ägt dataset) ``` `ai_training_bank` är den consenteda platsen för rikare data (bildreferens, förslag, korrigering). Analytics får aldrig innehålla PII eller råa bilder (se §56/§58). ## Datakontrakt per skanning Varje rad i `ai_corrections` representerar **ett item** från en skanning: | Fält | Innehåll | | -------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `scanJobId` | Källskanningen (`scan_jobs.id`). | | `taskType` | T.ex. `ANALYZE_FRIDGE_IMAGE`, `READ_RECEIPT`. | | `aiOutput` | Hela AI-raw-resultatet från `scan_jobs.result`. | | `proposal` | Det specifika AI-förslag item:et kom från (`detectedName`, `canonicalIngredientId`, `brand`, `estimatedQuantity`, `unit`, `bestBeforeDate`, `confidence`, `requiresConfirmation`). | | `userCorrection` | `{ action: "accept" \| "edit" \| "reject" \| "add", corrected?: {...} }` | | `corrected` (inbäddad) | Användarens slutgiltiga värden vid accept/edit/add: `displayName`, `canonicalIngredientId`, `brand`, `quantity`, `unit`, `bestBeforeDate`, `useByDate`. | | `imageS3Key` | Första lagrade bildnyckeln från skanningen, **endast om** `image_training`-samtycke fanns vid bekräftelsen. Annars `null`. | | `modelVersion` / `promptVersion` | Vilken modell och prompt som producerade förslaget. | | `consentSnapshot` | `{ anonymized_improvement: "granted"\|"denied", image_training: "granted"\|"denied", ... }` som JSON vid bekräftelsetillfället. | | `createdAt` | Tidsstämpel för bekräftelsen. | ### Åtgärder som sparas - **`accept`** — positivt exempel. AI-förslaget var korrekt nog att användaren accepterade det oförändrat. - **`edit`** — användaren ändrade något (namn, kvantitet, enhet, datum …). - **`add`** — AI missade item:et helt; användaren lade till det manuellt. - **`reject`** — AI hittade något som inte finns; användaren kastade det. Alla fyra åtgärder sparas. Bara accept/edit/add leder till att ett `inventory_items`-rad skapas; reject gör det inte. ## ai_training_bank När `BUILD_TRAINING_SAMPLE` kör (veckoschema i worker) bankas rader med `anonymized_improvement = granted` till `ai_training_bank`: | Fält | Innehåll | | -------------------------------- | -------------------------------------------------------------- | | `correctionId` | Referens till `ai_corrections.id` (cascade delete). | | `scanJobId` | Källskanningen. | | `version` | Dataset-version, t.ex. `v1`. Bumpar när formatet ändras. | | `taskType` | Samma som källan. | | `imageS3Key` | Kopierad från `ai_corrections.image_s3_key` (kan vara `null`). | | `proposal` | AI-förslaget för just det item:et. | | `action` | Användarens åtgärd. | | `corrected` | Slutgiltiga värden, eller `null` vid reject. | | `modelVersion` / `promptVersion` | Spårbarhet till modell/prompt. | | `consentSnapshot` | Kopia av samtyckesläget. | | `exportedAt` | När raden bankades. | Banken ägs av cibello och är versionerad. Ingen extern leverantör anropas under exporten — jobbet får aldrig kasta på grund av att `AAMOS_MODE=gemini` saknar `EXPORT_TRAINING_SAMPLE`-stöd. ## Samtycke Två separata samtycken styr vad som sparas och var: 1. **`anonymized_improvement`** — krävs för att överhuvudtaget banka till `ai_training_bank`. Utan detta lämnas `ai_corrections` kvar men raderna exporteras inte. 2. **`image_training`** — krävs för att `imageS3Key` ska sparas. Utan samtycke sparas endast textparet (`proposal`, `corrected`) och `imageS3Key` är `null`. Samtyckessnapshoten sparas per rad så att framtida ändringar av användarens samtycke inte påverkar redan bankade data. ## Retention - `ai_corrections`: behålls så länge användarkontot finns. Underlättar support och debugging. - `ai_training_bank`: behålls så länge användarkontot finns, om inte användaren återkallar samtycke — då raderas endast rader där `consentSnapshot.anonymized_improvement = "denied"` (i praktiken exporteras de aldrig). - **Träningsbilder (`image_s3_key`)**: raderas senast **90 dagar efter att de bankats** till `ai_training_bank`, om användaren inte aktivt valt att spara sina bidrag längre. För användare som samtycker till långtidslagring (t.ex. för att förbättra modellen över tid) kan bilderna behållas så länge kontot finns, men aldrig längre än vad användaren samtyckt till. Vid återkallat `image_training`-samtycke raderas bilderna inom 30 dagar. - Bilder som endast ingår i råa `scan_jobs` (inte bankade som träningsdata): raderas enligt samma 90-dagarspolicy eller när skanningen tas bort, beroende på vilket som inträffar först. ## GDPR / kontoradering `DELETE /v1/me` soft-deletar (anonymiserar) `users`-raden för att bevara referensintegritet i aggregat. Därför fyras **inte** FK-cascade från `users` till `ai_corrections` eller `scan_jobs`. Istället sker raderingen explicit: 1. Saml alla distinkta bildnycklar för användaren: - `ai_corrections.image_s3_key` - `ai_training_bank.image_s3_key` (via join mot `ai_corrections`) - `scan_jobs.s3_keys` 2. Radera varje nyckel i objektlagring med `storage.deleteObject`. S3-fel loggas och påverkar inte fortsatt radering. 3. Radera `ai_corrections` för `userId`. `ai_training_bank` försvinner automatiskt via `correction_id ON DELETE CASCADE`. 4. Radera `scan_jobs` för `userId` (även denna cascade fyrar inte vid soft-delete). 5. Fortsätt med hård radering av övrig persondata och anonymisera användarposten. Verifiera alltid att kontoraderingstestet kontrollerar både `ai_corrections`, `ai_training_bank`, `scan_jobs` och att inga överblivna bildnycklar finns kvar i S3/mock-lagringen. ## Inget PII i analytics Träningsdatan (rikare bild+förslag+korrigering) finns endast i `ai_corrections`/`ai_training_bank` under samtycke. Analytics-events som `AI_CORRECTED` innehåller endast `scanJobId`, `taskType` och `field` (åtgärd), aldrig bilder, namn eller detaljerade värden.