Cibello-app/docs/28-lärande-loop.md

Del 28 – Lärande-loop (ai_corrections → ai_training_bank)

Ingen AI är facit. Varje skanning där användaren granskar förslag blir ett träningsexempel — om hon samtycker. Detta dokument beskriver datakontraktet, samtyckesgätning och GDPR-radering.

Översikt

App → skanna → worker → AI-förslag → app (awaiting_confirmation)
                         ↓
              användaren granskar varje item
                         ↓
              POST /v1/scans/:id/confirm
                         ↓
           ai_corrections (ett rad per item)
                         ↓
         BUILD_TRAINING_SAMPLE (scheduler, 1×/vecka)
                         ↓
              ai_training_bank (cibello-ägt dataset)

ai_training_bank är den consenteda platsen för rikare data (bildreferens, förslag, korrigering). Analytics får aldrig innehålla PII eller råa bilder (se §56/§58).

Datakontrakt per skanning

Varje rad i ai_corrections representerar ett item från en skanning:

Fält	Innehåll
scanJobId	Källskanningen (scan_jobs.id).
taskType	T.ex. ANALYZE_FRIDGE_IMAGE, READ_RECEIPT.
aiOutput	Hela AI-raw-resultatet från scan_jobs.result.
proposal	Det specifika AI-förslag item:et kom från (detectedName, canonicalIngredientId, brand, estimatedQuantity, unit, bestBeforeDate, confidence, requiresConfirmation).
userCorrection	{ action: "accept" | "edit" | "reject" | "add", corrected?: {...} }
corrected (inbäddad)	Användarens slutgiltiga värden vid accept/edit/add: displayName, canonicalIngredientId, brand, quantity, unit, bestBeforeDate, useByDate.
imageS3Key	Första lagrade bildnyckeln från skanningen, endast om image_training-samtycke fanns vid bekräftelsen. Annars null.
modelVersion / promptVersion	Vilken modell och prompt som producerade förslaget.
consentSnapshot	{ anonymized_improvement: "granted"|"denied", image_training: "granted"|"denied", ... } som JSON vid bekräftelsetillfället.
createdAt	Tidsstämpel för bekräftelsen.

Åtgärder som sparas

• accept — positivt exempel. AI-förslaget var korrekt nog att användaren accepterade det oförändrat.
• edit — användaren ändrade något (namn, kvantitet, enhet, datum …).
• add — AI missade item:et helt; användaren lade till det manuellt.
• reject — AI hittade något som inte finns; användaren kastade det.

Alla fyra åtgärder sparas. Bara accept/edit/add leder till att ett inventory_items-rad skapas; reject gör det inte.

ai_training_bank

När BUILD_TRAINING_SAMPLE kör (veckoschema i worker) bankas rader med anonymized_improvement = granted till ai_training_bank:

Fält	Innehåll
correctionId	Referens till ai_corrections.id (cascade delete).
scanJobId	Källskanningen.
version	Dataset-version, t.ex. v1. Bumpar när formatet ändras.
taskType	Samma som källan.
imageS3Key	Kopierad från ai_corrections.image_s3_key (kan vara null).
proposal	AI-förslaget för just det item:et.
action	Användarens åtgärd.
corrected	Slutgiltiga värden, eller null vid reject.
modelVersion / promptVersion	Spårbarhet till modell/prompt.
consentSnapshot	Kopia av samtyckesläget.
exportedAt	När raden bankades.

Banken ägs av cibello och är versionerad. Ingen extern leverantör anropas under exporten — jobbet får aldrig kasta på grund av att AAMOS_MODE=gemini saknar EXPORT_TRAINING_SAMPLE-stöd.

Samtycke

Två separata samtycken styr vad som sparas och var:

1. anonymized_improvement — krävs för att överhuvudtaget banka till ai_training_bank. Utan detta lämnas ai_corrections kvar men raderna exporteras inte.
2. image_training — krävs för att imageS3Key ska sparas. Utan samtycke sparas endast textparet (proposal, corrected) och imageS3Key är null.

Samtyckessnapshoten sparas per rad så att framtida ändringar av användarens samtycke inte påverkar redan bankade data.

Retention

• ai_corrections: behålls så länge användarkontot finns. Underlättar support och debugging.
• ai_training_bank: behålls så länge användarkontot finns, om inte användaren återkallar samtycke — då raderas endast rader där consentSnapshot.anonymized_improvement = "denied" (i praktiken exporteras de aldrig).
• Träningsbilder (image_s3_key): raderas senast 90 dagar efter att de bankats till ai_training_bank, om användaren inte aktivt valt att spara sina bidrag längre. För användare som samtycker till långtidslagring (t.ex. för att förbättra modellen över tid) kan bilderna behållas så länge kontot finns, men aldrig längre än vad användaren samtyckt till. Vid återkallat image_training-samtycke raderas bilderna inom 30 dagar.
• Bilder som endast ingår i råa scan_jobs (inte bankade som träningsdata): raderas enligt samma 90-dagarspolicy eller när skanningen tas bort, beroende på vilket som inträffar först.

GDPR / kontoradering

DELETE /v1/me soft-deletar (anonymiserar) users-raden för att bevara referensintegritet i aggregat. Därför fyras inte FK-cascade från users till ai_corrections eller scan_jobs. Istället sker raderingen explicit:

1. Saml alla distinkta bildnycklar för användaren:
   • ai_corrections.image_s3_key
   • ai_training_bank.image_s3_key (via join mot ai_corrections)
   • scan_jobs.s3_keys
2. Radera varje nyckel i objektlagring med storage.deleteObject. S3-fel loggas och påverkar inte fortsatt radering.
3. Radera ai_corrections för userId. ai_training_bank försvinner automatiskt via correction_id ON DELETE CASCADE.
4. Radera scan_jobs för userId (även denna cascade fyrar inte vid soft-delete).
5. Fortsätt med hård radering av övrig persondata och anonymisera användarposten.

Verifiera alltid att kontoraderingstestet kontrollerar både ai_corrections, ai_training_bank, scan_jobs och att inga överblivna bildnycklar finns kvar i S3/mock-lagringen.

Inget PII i analytics

Träningsdatan (rikare bild+förslag+korrigering) finns endast i ai_corrections/ai_training_bank under samtycke. Analytics-events som AI_CORRECTED innehåller endast scanJobId, taskType och field (åtgärd), aldrig bilder, namn eller detaljerade värden.