En stämning som inte borde ha behövts

Den 29 juni 2026 slog en domare i södra distriktet i New York fast att Sony Music inte fick lägga till mer än 30 000 ljudinspelningar i det mål bolaget redan drev mot Udio. Tre veckor senare lämnade Sony in dem ändå, som en egen stämning. Handlingen kom in den 20 juli och åberopar 30 117 inspelningar.

Processuellt är det odramatiskt. Att en domstol säger nej till att utvidga ett pågående mål släcker inte anspråken, den tvingar bara käranden att öppna en andra front. Det som gör saken värd uppmärksamhet för den som driver verksamhet är räkneexemplet som följer. Den ursprungliga talan rörde 333 inspelningar. Det lagstadgade skadeståndet toppade där kring 50 miljoner dollar, ungefär 46 miljoner euro. Vid 30 117 inspelningar flyttas det teoretiska taket till omkring 4,5 miljarder dollar, cirka 4,2 miljarder euro.

Sony är dessutom numera ensamt kvar. Universal och Warner har båda träffat licensuppgörelser med Udio. Det har inte Sony, och det är just avsaknaden av förlikning som håller materialet från discovery i spel i stället för inlåst bakom en uppgörelse.

Så blev 333 till 30 117

Det intressanta är inte siffran utan var den kommer ifrån. Sony gick inte igenom internet för att sluta sig till vad en musikmodell rimligen har tränats på. Genom discovery i det första målet fick bolaget tillgång till Udios träningsdata, körde akustiska fingeravtryck mot den och identifierade hundratusentals av sina egna inspelningar. De 30 117 som åberopas i den nya stämningen är en delmängd av vad matchningen gav.

En träningskorpus är, visar det sig, en inventarieförteckning. Den meningen hade blivit motsagd för två år sedan. Modellbyggare beskrev rutinmässigt sina datamängder som för stora, för bearbetade och för sammanblandade för att gå att räkna upp, och argumentet hade viss tyngd så länge ingen hade tittat efter. Nu har någon tittat, med en hyllvara som musikbranschen använt för innehållsigenkänning i två decennier, och fått fram en lista med fem gällande siffror.

Ingenting av detta är specifikt för musik. Fingeravtryck fungerar på ljud därför att ljud går att fånga i robusta perceptuella hashvärden, men den generella förmågan, att matcha en känd katalog mot en korpus man har ålagts att lämna ut, går över till bild, video, text och kod med andra verktyg och samma rättsliga verkan.

Grunden som inte handlar om upphovsrätt

Stämningen för fram tre grunder. Två är vanligt intrång: inspelningar från tiden efter 1972 och inspelningar från tiden före 1972, skyddade enligt Music Modernization Act. Den tredje är av ett annat slag. Den gör gällande kringgående av tekniska skyddsåtgärder enligt Digital Millennium Copyright Act.

Kringgående är en grund som handlar om anskaffningen. Den frågar inte om träning på ett verk är omvandlande, om resultatet konkurrerar med originalet eller åt vilket håll fair use-kriterierna pekar. Den frågar hur svaranden tog sig förbi låset. Den skillnaden gör ett tyst men strukturellt arbete i det här målet, eftersom en svarande kan vinna diskussionen om vad träning är och ändå förlora på hur materialet samlades in.

Europeiska läsare bör inte avfärda det här som en amerikansk kuriositet. Utvinningsundantaget i upphovsrättsdirektivet från 2019, den bestämmelse de flesta bolag i unionen lutar sig mot när de skrapar data, är villkorat av laglig åtkomst och av att rättighetshavaren inte har förbehållit sig sina rättigheter i maskinläsbar form. Båda villkoren knyter an till anskaffningen. Terminologin skiljer sig åt på var sida om Atlanten, men tryckpunkten är densamma: hur ni fick tag i datan är en annan fråga än vad ni gjorde med den, och den besvaras först.

Varför det slutade vara ofarligt att inte veta vad man tränat på

I tre år har det praktiska svaret på en ursprungsfråga från en kund eller en tillsynsmyndighet varit en axelryckning utklädd till teknik. Korpusen är enorm, pipelinen kördes för flera år sedan, mellanresultaten sparades aldrig. Det svaret brukade fungera som försvar, därför att motparten ändå inte kunde kontrollera det.

Materialet från discovery i Udio-målet sätter stopp för det. När en rättighetshavare kan få ut korpusen och matcha den är den part som inte kan beskriva sin egen träningsdata inte skyddad av kunskapsluckan, utan helt enkelt den part som vet minst om sin egen exponering. Osäkerheten slutade vara en sköld och blev en oprissatt skuld, och den ligger i dag i böckerna hos varje bolag som har finjusterat på material det inte dokumenterade.

Regleringen pekar åt samma håll, den orsakar det inte. Den europeiska AI-förordningen kräver att leverantörer av modeller för allmänna ändamål offentliggör en tillräckligt detaljerad sammanfattning av det innehåll som använts vid träningen, och kommissionens tillsynsbefogenheter över de skyldigheterna blir möjliga att använda den 2 augusti 2026. Ett bolag som inte kan ta fram den sammanfattningen internt kommer inte heller kunna lägga fram den för en tillsynsmyndighet. Processen och regleringen ställer samma fråga från var sitt håll.

Skriv in ursprunget i avtalet, inte i antagandena

Tre konkreta förändringar, och ingen av dem kräver ett rättsutlåtande för att komma i gång. För det första: be i nästa modell- eller finjusteringsavtal om en skriftlig ursprungsgaranti som namnger de huvudsakliga datamängderna och anger vilka kontroller av rättighetsförbehåll som har gjorts, med ett skadeslöshetsåtagande kopplat till den. En leverantör som gärna beskriver sina data muntligt men inte avtalsvägen har redan sagt er något användbart.

För det andra: för en förteckning över allt ni finjusterar på själva, med källa, förvärvsdatum, åberopad licens eller åberopat undantag och uppgift om det fanns ett maskinläsbart förbehåll när materialet samlades in. Just det sista fältet är det som ingen för och det som utvinningsundantaget hänger på. Att rekonstruera det i efterhand är avsevärt svårare än att logga det direkt.

För det tredje: skilj de två frågorna åt i ert eget riskregister. Anskaffningens laglighet och träningens laglighet fallerar oberoende av varandra, och en modell kan vara ren i det andra avseendet och utsatt i det första. De flesta interna AI-riskbedömningar som skrevs före den här månaden behandlar dem som en enda post. De är två, och det är den första en kärande når med ett fingeravtryck.

Läs vidare: Rekordseed satsar på att robotar behöver data  |  Sunos träningsdata är nu en specificerad lista