Guideline 5.1.2: tredjeparts-AI, ATT och datadelning

Guideline 5.1.2 är Apples regel om användning och delning av personuppgifter. Punkt (i) kokar ner till tre krav: säg vilka data som skickas, namnge tredje parten som tar emot dem, AI inräknat, och få ett uttryckligt samtycke innan något skickas. För annonsspårning måste det samtycket gå via App Tracking Transparency-förfrågan (ATT).

Jag fick det här avslaget på Clic, min app som gör om en produkt till slides med AI. Den här guiden handlar om tredjeparts-AI, ATT och integritetsetiketterna. Integritetspolicyn och behörighetsförfrågningarna hör till guideline 5.1.1.

Vad säger guideline 5.1.2?

5.1.2, ”Data Use and Sharing”, kommer efter 5.1.1 i avsnittet ”Privacy” i App Review Guidelines. Punkt (i) står för de flesta avslagen. Den gällande texten, uppdaterad den 8 juni 2026, säger bland annat:

• ”You must clearly disclose where personal data will be shared with third parties, including with third-party AI, and obtain explicit permission before doing so.”
• ”You must receive explicit permission from users via the App Tracking Transparency APIs to track their activity.”
• Appen får inte kräva att en systemfunktion, som notiser, plats eller spårning, aktiveras för att ge tillgång till en funktion, ett innehåll eller en belöning.

På ren svenska: du delar ingenting utan att ha sagt det och fått samtycke. Regeln säger också att en app som delar data utan samtycke kan tas bort från försäljning, och att utvecklaren kan uteslutas ur programmet.

De andra punkterna gäller mer specifika fall:

Punkt	Vad den förbjuder
5.1.2(ii)	Att återanvända data för ett annat syfte utan nytt samtycke
5.1.2(iii)	Att i smyg bygga en profil eller avanonymisera
5.1.2(iv)	Att bygga en kontaktdatabas eller lista installerade appar
5.1.2(v)	Att kontakta personer från kontakterna utan att användaren bett om det
5.1.2(vi)	Att använda hälsodata, hemautomation eller ansiktsdata för marknadsföring
5.1.2(vii)	Att dela Apple Pay-data för annat än att leverera tjänsten

Vad som har ändrats för tredjeparts-AI

Den 13 november 2025 förtydligade Apple 5.1.2(i) i en uppdatering av reglerna: du måste tydligt ange var personuppgifter delas med tredje part, ”including with third-party AI”, och få ett uttryckligt tillstånd innan. Versionen från den 8 juni 2026 behåller den meningen.

Ett avslagsmeddelande som publicerades i februari 2026 på Apples forum visar vad som förväntas. Appen ”does not clearly explain what data is sent, identify who the data is sent to, and ask the user's permission before sharing the data”. Samma meddelande kräver att integritetspolicyn också nämner delningen med en tredjeparts-AI.

Att gå via din egen server ändrar ingenting: om din server skickar fotot vidare till OpenAI så hamnar fotot hos OpenAI. Arkitekturen i guiden om API-nycklar i en Expo-app skyddar din nyckel, inte användaren. Samtycket behövs fortfarande.

Mitt avslag på Clic: skärmen fanns, policyn gjorde det inte

Den 16 september 2026 avvisar Apple Clic med hänvisning till 5.1.1(i) och 5.1.2(i). Samtyckesskärmen för AI fanns ändå i appen, och granskaren hade tagit sig förbi den: hens anonyma konto och genereringar låg i databasen före avslaget. Felet låg online: den publicerade policyn var den gamla versionen, som bara nämnde OpenAI en gång.

Åtgärden, utan nytt build: en policy som namnger OpenAI, i USA, och listar per läge vad som skickas dit. Till det kommer de möjliga leverantörerna när användaren kopplar in egna API-nycklar, ett åtagande om att varje leverantör skyddar data minst lika väl som policyn, och en sammanfattning på engelska för granskaren. Samma inskickning gick iväg igen den 21 september 2026, med uppdaterade granskningsanteckningar.

Clics samtyckesskärm, ord för ord

Det här visas före första genereringen. Använd det som mall: byt ut leverantören och listan mot dina egna.

• Överrubrik, i versaler: ”Före din första generering”.
• Rubrik: ”Clic skapar dina slides med OpenAI:s AI”.
• Text: ”För att analysera din produkt och generera dina bilder skickar Clic följande till OpenAI, sin AI-leverantör:”.
• Lista: ”Dina svar på briefen och länkarna du lägger till”; ”Fotona du importerar, inklusive avatar och referenser”; ”De genererade bilderna, som sparas på Clics server för dina mappar”.
• En notis: ”Med egna API-nycklar skickas detta till leverantören du har kopplat in.”
• En länk till integritetspolicyn.
• Två knappar: ”Jag godkänner och fortsätter” och ”Avböj”.

Om användaren avböjer visar appen ”Ingenting har skickats” och skärmen kommer tillbaka vid nästa försök. För att dra tillbaka sitt samtycke raderar användaren sina data i inställningarna, som 5.1.1(ii) kräver: skärmen kommer då tillbaka före varje ny sändning.

Blanda inte ihop den här skärmen med den som visas före en systembehörighet. Före en förfrågan om kameraåtkomst vill Apple ha en enda knapp, ”Fortsätt”, som öppnar iOS-förfrågan, enligt sina designriktlinjer. AI-samtycket har ingen systemförfrågan bakom sig. Det är din skärm som samlar in samtycket: den behöver ett riktigt val, godkänna eller avböja.

En sista fälla: granskaren måste se skärmen. En utvecklare fick avslag flera gånger för att hans skärm berodde på en felinställd flagga, enligt hans tråd på forumet: ”We were not presented with the consent prompt on launch or anywhere else in the app.” Testa på en nyinstallation och skriv i granskningsanteckningarna när skärmen visas.

ATT: när spårningsförfrågan är obligatorisk

För Apple betyder spårning att koppla ihop data från din app med data från andra företags appar, webbplatser eller platser, för riktad annonsering eller annonsmätning. Att dela data med en datamäklare räknas också. Definitionen finns på sidan User Privacy and Data Use.

Så fort din app, eller en SDK du har lagt in, gör det:

• måste förfrågan från ramverket App Tracking Transparency visas före all insamling som används för spårning;
• förklarar nyckeln NSUserTrackingUsageDescription varför, och om den saknas kan buildet avvisas, som jag förklarar i guiden om ITMS-90683;
• utan samtycke är annonsidentifieraren noll, och du spårar inte användaren på annat sätt: Apple förbjuder att man härleder data från enheten för att identifiera den;
• ansvarar du för de SDK:er du bäddar in: ”Developers are responsible for all code included in their apps.”

Du får inte kräva spårning för att låsa upp en funktion eller en belöning: 5.1.2(i) förbjuder det. Apples FAQ om ATT svarar ”No” på den frågan och hänvisar till samma regel. Däremot får du förklara varför du ber om spårning innan du visar förfrågan, så länge du är transparent.

Det typiska avslaget: appen samlar in spårningsdata utan att någonsin visa ATT-förfrågan. I ett publicerat avslagsmeddelande föreslår Apple två vägar ut. Antingen deklarerar du spårningen i App Store Connect och lägger till ATT-förfrågan före all insamling, och skriver i granskningsanteckningarna var den visas. Eller så tar du bort spårningen.

I EU aviserar Apple en annan version av förfrågan från och med iOS 27.2. I Frankrike, Tyskland, Italien, Polen och Rumänien kommer bara den versionen att finnas. Fallen där samtycke krävs ändras inte.

Integritetsetiketterna i App Store Connect

Avsnittet App Privacy fyller i etiketterna på din appsida: insamlade data, data kopplade till användaren, data som används för spårning. Reglerna finns på sidan App Privacy Details. Tre saker är viktiga för en app med AI:

• Du deklarerar också vad dina partner samlar in: analys-SDK:er, annonsnätverk, externa leverantörer vars kod finns i din app.
• Att samla in har en exakt betydelse: att skicka datan från enheten och spara den längre än det tar att besvara förfrågan. Bilderna som din server sparar räknas som insamlade. Om du är osäker på vad din AI-leverantör sparar, deklarera.
• Du kan rätta när som helst: ”you do not need to submit an app update in order to change your answers”. Ett avslag som bara gäller etiketterna löser du alltså utan nytt build.

Vilket samtycke för vilken tredje part

Tabellen jag använder för mina appar. Den ersätter varken Apples text eller GDPR.

Tredje part som tar emot datan	Samtycke att be om	Var det ska deklareras
Tredjeparts-AI: OpenAI, Gemini, Claude	Din samtyckesskärm, före första sändningen	Policy, etiketter, granskningsanteckningar
Analys och diagnostik, utan annonser	Samtycke till insamling, 5.1.1(ii), och GDPR	Policy och etiketter
Annonsnätverk eller attribution kopplad till andra appar	ATT-förfrågan före all spårningsinsamling	Etiketter för ”spårning”, ATT-text, policy
Datamäklare	ATT-förfrågan	Etiketter för ”spårning” och policy

För att fylla i den, utgå från koden, inte från minnet: lista varje nätverksanrop från appen och din server, med vilken data som skickas, mottagaren och syftet. För själva policyn finns metoden i integritetspolicy för en app.

Vad du svarar Apple efter ett 5.1.2-avslag

Två fall. Om orsaken ligger online, policy eller etiketter, rättar du, svarar, och samma inskickning går iväg igen utan build: det var det jag gjorde för Clic. Om orsaken ligger i appen, skärmen saknas eller data skickas före samtycket, behövs ett nytt build.

Om din app inte skickar något till en tredjeparts-AI har Apples meddelande täckt det fallet: svara och bekräfta det, och lägg till informationen i avsnittet App Review Information i App Store Connect.

Annars svarar du på engelska genom att svara på App Reviews meddelande. En mall att anpassa, här för en app som Clic:

Hello,

Thank you for your review.

The app sends the user's brief, imported photos and
generated images to OpenAI, a third-party AI service,
to create slides.

- Before the first AI request, a dedicated screen names
  OpenAI, lists the data sent and asks for explicit
  consent. Nothing is sent if the user declines.
- The privacy policy describes this sharing, with an
  English summary: [URL]
- The App Privacy information in App Store Connect matches.

How to verify: install the app and start a first
generation. The consent screen appears before any data
is sent.

Best regards,

Checklistan för 5.1.2 före inskickning

• Varje tredje part som tar emot personuppgifter är namngiven, AI inräknat.
• Samtyckesskärmen visas före första sändningen, namnger leverantören och listar datan.
• Att avböja skickar ingenting, och appen säger det.
• Samtycket kan dras tillbaka i appen.
• Skärmen visas på en nyinstallation, och granskningsanteckningarna säger var.
• Policyn online och etiketterna beskriver samma sändningar, partner inräknade.
• Om appen eller en SDK spårar användaren visas ATT-förfrågan före all spårningsinsamling.
• Ingen funktion eller belöning är beroende av spårning eller notiser.

Kontrollera ditt underlag före Apple

Apple Review Kit samlar min checklista före inskickning, mina åtgärdade avslag och två Claude Code-skills som granskar ditt projekt och din appsida och sedan förbereder ditt svar om Apple avvisar appen. Vill du ha ett mänskligt öga, boka en timme med mig: vi går igenom din app, din policy och dina etiketter tillsammans. Hela tillvägagångssättet finns på sidan app avvisad av Apple, och de andra vanliga orsakerna i varför Apple avvisar en app.

Om du förbereder din första release, gör din gratis diagnos: den sätter stegen i rätt ordning och skickar dig min checklista mot avslag från Apple. Startsidan visar hur du skapar en mobilapp med AI, utan att glömma vad granskningen kontrollerar.

Ingen kan garantera att Apple godkänner din app. Det jag kan göra är att hjälpa dig undvika ett 5.1.2-avslag som jag själv redan har betalat för med en granskningsrunda.

Vanliga frågor

Vad betyder ”Guideline 5.1.2(i) - Legal - Privacy - Data Use and Sharing”?

Det är regelns fullständiga rubrik i Apples meddelande. Den signalerar att personuppgifter delas utan tydlig information eller utan samtycke: till en tredjeparts-AI, en annons-SDK eller en annan tjänst. Den kommer ofta tillsammans med 5.1.1(i), som gäller integritetspolicyn.

Behövs samtycke för att använda OpenAI:s API i en app?

Ja, så fort personuppgifter skickas till OpenAI: det användaren skriver, foton, röst, dokument. Sedan november 2025 nämner regeln uttryckligen tredjeparts-AI. Namnge leverantören, säg vad som skickas och få ett uttryckligt samtycke före första sändningen, även om anropet går via din server.

Måste en AI som körs på iPhonen deklareras?

Om ingenting lämnar enheten sker ingen delning med tredje part, och då behövs inget samtycke enligt 5.1.2(i), enligt min tolkning. Apple har inte skrivit det svart på vitt. Så fort någon del av behandlingen skickas till en leverantör gäller regeln för tredjeparts-AI.

Får man tvinga användaren att godkänna spårning för att låsa upp en funktion?

Nej. 5.1.2(i) förbjuder att kräva att spårning, notiser eller plats aktiveras för att få tillgång till en funktion, ett innehåll eller en belöning. ATT-förfrågan måste vara ett riktigt val, och appen respekterar ett nej.

Behövs ett nytt build efter ett 5.1.2-avslag?

Inte alltid. En ofullständig policy eller felaktiga etiketter rättas online, och samma inskickning går iväg igen. En samtyckesskärm som saknas eller visas efter sändningen kräver ett nytt build.

Vad är skillnaden mellan 5.1.1 och 5.1.2?

5.1.1 gäller insamling och lagring: integritetspolicy, behörigheter, konto. 5.1.2 gäller vad du gör med datan sedan: delning med tredje part, AI inräknat, annonsspårning, återanvändning. Ett och samma avslag hänvisar ofta till båda.