Cibello-app/docs/28-lärande-loop.md

# Del 28 – Lärande-loop (ai_corrections → ai_training_bank)

> Ingen AI är facit. Varje skanning där användaren granskar förslag blir ett
> träningsexempel — om hon samtycker. Detta dokument beskriver datakontraktet,
> samtyckesgätning och GDPR-radering.

## Översikt

```
App → skanna → worker → AI-förslag → app (awaiting_confirmation)
                         ↓
              användaren granskar varje item
                         ↓
              POST /v1/scans/:id/confirm
                         ↓
           ai_corrections (ett rad per item)
                         ↓
         BUILD_TRAINING_SAMPLE (scheduler, 1×/vecka)
                         ↓
              ai_training_bank (cibello-ägt dataset)
```

`ai_training_bank` är den consenteda platsen för rikare data
(bildreferens, förslag, korrigering). Analytics får aldrig innehålla PII
eller råa bilder (se §56/§58).

## Datakontrakt per skanning

Varje rad i `ai_corrections` representerar **ett item** från en skanning:

| Fält | Innehåll |
|---|---|
| `scanJobId` | Källskanningen (`scan_jobs.id`). |
| `taskType` | T.ex. `ANALYZE_FRIDGE_IMAGE`, `READ_RECEIPT`. |
| `aiOutput` | Hela AI-raw-resultatet från `scan_jobs.result`. |
| `proposal` | Det specifika AI-förslag item:et kom från (`detectedName`, `canonicalIngredientId`, `brand`, `estimatedQuantity`, `unit`, `bestBeforeDate`, `confidence`, `requiresConfirmation`). |
| `userCorrection` | `{ action: "accept" \| "edit" \| "reject" \| "add", corrected?: {...} }` |
| `corrected` (inbäddad) | Användarens slutgiltiga värden vid accept/edit/add: `displayName`, `canonicalIngredientId`, `brand`, `quantity`, `unit`, `bestBeforeDate`, `useByDate`. |
| `imageS3Key` | Första lagrade bildnyckeln från skanningen, **endast om** `image_training`-samtycke fanns vid bekräftelsen. Annars `null`. |
| `modelVersion` / `promptVersion` | Vilken modell och prompt som producerade förslaget. |
| `consentSnapshot` | `{ anonymized_improvement: "granted"\|"denied", image_training: "granted"\|"denied", ... }` som JSON vid bekräftelsetillfället. |
| `createdAt` | Tidsstämpel för bekräftelsen. |

### Åtgärder som sparas

- **`accept`** — positivt exempel. AI-förslaget var korrekt nog att användaren accepterade det oförändrat.
- **`edit`** — användaren ändrade något (namn, kvantitet, enhet, datum …).
- **`add`** — AI missade item:et helt; användaren lade till det manuellt.
- **`reject`** — AI hittade något som inte finns; användaren kastade det.

Alla fyra åtgärder sparas. Bara accept/edit/add leder till att ett
`inventory_items`-rad skapas; reject gör det inte.

## ai_training_bank

När `BUILD_TRAINING_SAMPLE` kör (veckoschema i worker) bankas rader med
`anonymized_improvement = granted` till `ai_training_bank`:

| Fält | Innehåll |
|---|---|
| `correctionId` | Referens till `ai_corrections.id` (cascade delete). |
| `scanJobId` | Källskanningen. |
| `version` | Dataset-version, t.ex. `v1`. Bumpar när formatet ändras. |
| `taskType` | Samma som källan. |
| `imageS3Key` | Kopierad från `ai_corrections.image_s3_key` (kan vara `null`). |
| `proposal` | AI-förslaget för just det item:et. |
| `action` | Användarens åtgärd. |
| `corrected` | Slutgiltiga värden, eller `null` vid reject. |
| `modelVersion` / `promptVersion` | Spårbarhet till modell/prompt. |
| `consentSnapshot` | Kopia av samtyckesläget. |
| `exportedAt` | När raden bankades. |

Banken ägs av cibello och är versionerad. Ingen extern leverantör
anropas under exporten — jobbet får aldrig kasta på grund av att
`AAMOS_MODE=gemini` saknar `EXPORT_TRAINING_SAMPLE`-stöd.

## Samtycke

Två separata samtycken styr vad som sparas och var:

1. **`anonymized_improvement`** — krävs för att överhuvudtaget banka till
   `ai_training_bank`. Utan detta lämnas `ai_corrections` kvar men raderna
   exporteras inte.
2. **`image_training`** — krävs för att `imageS3Key` ska sparas. Utan
   samtycke sparas endast textparet (`proposal`, `corrected`) och
   `imageS3Key` är `null`.

Samtyckessnapshoten sparas per rad så att framtida ändringar av
användarens samtycke inte påverkar redan bankade data.

## Retention

- `ai_corrections`: behålls så länge användarkontot finns. Underlättar
  support och debugging.
- `ai_training_bank`: behålls så länge användarkontot finns, om inte
  användaren återkallar samtycke — då raderas endast rader där
  `consentSnapshot.anonymized_improvement = "denied"` (i praktiken
  exporteras de aldrig).
- Bilder i lagring: följer samma regler som `imageS3Key` — sparas så
  länge kontot finns, raderas vid kontoradering.

## GDPR / kontoradering

Vid kontoradering (eller rätten att bli glömd):

- `users` → cascade delete → `ai_corrections` försvinner (FK `ON DELETE CASCADE`).
- `ai_corrections` → cascade delete → `ai_training_bank` försvinner (FK `ON DELETE CASCADE`).
- Bilder som refereras av `ai_corrections.imageS3Key` och
  `ai_training_bank.imageS3Key` måste raderas från lagring. Detta görs av
  en GDPR-raderingsprocessor (se Del 12) som läser bildnycklarna innan
  användarposten tas bort.

Verifiera alltid att kontoraderingstestet kontrollerar både
`ai_corrections`, `ai_training_bank` och att inga överblivna bildnycklar
finns kvar i S3/mock-lagringen.

## Inget PII i analytics

Träningsdatan (rikare bild+förslag+korrigering) finns endast i
`ai_corrections`/`ai_training_bank` under samtycke. Analytics-events som
`AI_CORRECTED` innehåller endast `scanJobId`, `taskType` och `field`
(åtgärd), aldrig bilder, namn eller detaljerade värden.