Journalnummer: 2024-212-0371.
Resumé
Uddannelses- og Forskningsstyrelsen ønsker at udvikle og idriftsætte en AI-løsning, der bliver trænet på styrelsens indkomne og afgjorte handicaptillægsansøgninger samt den tilhørende dokumentation. AI-løsningen skal fungere som støtte i vurderingen af, om en ansøgning om handicaptillæg er vedlagt tilstrækkelig dokumentation.
Datatilsynet vurderer, at den behandling af personoplysninger, der finder sted ved udviklingen og driften af en AI-løsning, som udgangspunkt kan ske på baggrund af databeskyttelsesforordningens bestemmelse om myndighedsudøvelse (artikel 6, stk. 1, litra e) og forordningens bestemmelse om behandling, der er nødvendig af hensyn til væsentlige samfundsinteresser (artikel 9, stk. 2, litra g). Begge bestemmelser forudsætter dog et såkaldt supplerende nationalt retsgrundlag.
Udviklingen af løsningen
Behandling af personoplysninger til udvikling af løsningen kan efter Datatilsynets vurdering ske med henvisning til eksisterende bestemmelser i SU-loven og SU-bekendtgørelsen, der forpligter Uddannelses- og Forskningsstyrelsen til at træffe afgørelse om tillægsstipendium ved varig fysisk eller psykisk funktionsnedsættelse.
I forhold til oplysningspligten overfor de borgere, hvis historiske sager indgår i træningsdatasættet, har Uddannelses- og Forskningsstyrelsen bl.a. peget på:
- at der er tale om et større antal borgere (ca. 3.000),
- at det vil være ressourcekrævende at informere borgerne individuelt,
- at behandlingen af personoplysningerne er begrænset,
- at formålet med behandlingen er at forbedre sagsbehandlingstiden, og
- at behandlingen – ifølge styrelsen – ikke vurderes at have direkte konsekvenser for borgerne.
Datatilsynet konstaterer dog, at disse forhold ikke ændrer på, at oplysningspligten fortsat skal opfyldes hos de registrerede.
Driften af løsningen
Behandling af personoplysninger som led i driften af løsningen kan efter Datatilsynets vurdering ske med henvisning til eksisterende bestemmelser i SU-loven, SU-bekendtgørelsen og AI-SU-bekendtgørelsen.
Datatilsynet har navnlig lagt vægt på, at AI-SU-bekendtgørelsen tydeligt fastsætter, at behandling af personoplysninger kan finde sted i forbindelse med ansøgninger eller anden behandling af oplysninger vedrørende SU, når det er nødvendigt for at understøtte styrelsens sagsbehandling.
AI-SU-bekendtgørelsen indeholder ligeledes konkrete bestemmelser om bl.a. formålet med behandlingen, typen af personoplysninger, der behandles, og hvilke informationskilder der kan anvendes.
Udtalelse
1. Henvendelsen
Uddannelses- og Forskningsstyrelsen (herefter ’styrelsen’) har den 11. januar 2024 anmodet om Datatilsynets vurdering af, om styrelsen inden for rammerne af databeskyttelsesreglerne kan udvikle en AI-løsning, som skal fungere som støtte i forbindelse med vurderingen af, om en sag er tilstrækkeligt oplyst.
2. Datatilsynets vurdering
Det er Datatilsynets vurdering, at udvikling og træning af en AI-løsning, hvor der behandles personoplysninger og særlige kategorier af personoplysninger med henblik på at vurdere, om en ansøgning om handicaptillæg er vedlagt tilstrækkelig dokumentation, kan ske på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra e, jf. artikel 6, stk. 3, og artikel 9, stk. 2, litra g.
Behandling af personoplysninger til udvikling og gentræning af løsningen kan efter Datatilsynets vurdering ske under henvisning til de eksisterende bestemmelser i SU-loven og SU-bekendtgørelsen, der forpligter styrelsen til at træffe afgørelse om tillægsstipendium på grund af varig fysisk eller psykisk funktionsnedsættelse.
Nedenfor redegøres nærmere for denne vurdering.
3. Baggrunden for vurderingen
3.1. Om projektet
Styrelsen har oplyst, at de, i samarbejde med cBrain, ønsker at udvikle en AI-løsning til automatiseret screening af indkomne handicaptillægssager.
Styrelsen har oplyst, at formålet med projektet er at udvikle en AI-løsning, der kan identificere, hvorvidt en ansøgning om handicaptillæg er vedlagt tilstrækkelig dokumentation. AI-løsningen skal fungere som støtte til vurdering af, om den mængde og type af dokumentation, der er vedlagt, er tilstrækkelig for sagens behandling. Hvis AI-løsningen konkluderer, at sagen ikke er vedlagt tilstrækkelig dokumentation, lægges sagen til manuel screening, og der anmodes om yderligere dokumentation fra ansøgeren.
Styrelsen har endvidere oplyst, at AI-løsningen ikke bruges som beslutningsstøtte, men kun i forbindelse med den indledende screening af den vedlagte dokumentation.
Om træningsdatasættet har styrelsen oplyst, at løsningen vil blive trænet på indkomne og afgjorte handicaptillægsansøgninger samt disses dokumentation. Træningsdatasættet vil derfor bestå af de personoplysninger, som styrelsen behandler i forbindelse med behandlingen af en handicaptillægssag.
Styrelsen har oplyst, at følgende personoplysninger behandles i denne forbindelse:
- Borgerens navn, personnummer og kontaktoplysninger,
- uddannelsesoplysninger,
- indkomstoplysninger,
- oplysninger om hvorvidt borgeren tidligere har fået SU, tillægsklip og handicaptillæg,
- oplysninger om beskæftigelse,
- oplysninger om helbred, private og sociale forhold,
- andre oplysninger som er relevante ved tildeling af handicaptillæg.
Styrelsen har tillige oplyst, at udviklingen af løsningen vil ske på baggrund af data fra ca. 3.000 borgeres historiske sager, og at fremtidige ansøgninger vil indgå i den løbende træning af løsningen.
Datatilsynet lægger til grund, at udvikling af AI-løsningen vil indebære behandling af personoplysninger, herunder særlige kategorier af personoplysninger f.eks. helbredsoplysninger.
3.2. Udvikling af løsningen
Styrelsen har oplyst, at udviklingen af løsningen vil ske på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra e, og artikel 9, stk. 2, litra g.
Behandling af personoplysninger på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra e, kræver, at der foreligger et såkaldt supplerende retsgrundlag, som forpligter eller berettiger myndigheden til at udføre en bestemt myndighedsopgave. Det følger af forordningens artikel 6, stk. 2 og 3.
Det fremgår af databeskyttelsesforordningens artikel 9, stk. 1, at behandling af særlige kategorier af personoplysninger er forbudt.
Behandling af særlige kategorier af personoplysninger kan dog ske efter databeskyttelsesforordningens artikel 9, stk. 2, litra g, hvis behandlingen er nødvendig af hensyn til væsentlige samfundsinteresser på grundlag af EU-retten eller medlemsstaternes nationale ret og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentlige indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser.
En fravigelse af forbuddet i databeskyttelsesforordningens artikel 9, stk. 1, efter forordningens artikel 9, stk. 2, litra g, forudsætter, som det er tilfældet med artikel 6, stk. 1, litra e, at der foreligger et supplerende retsgrundlag.
Datatilsynet har i sin udtalelse af 17. november 2023 til Københavns Kommune nærmere redegjort for kravene til det supplerende retsgrundlag til behandling af personoplysninger som led i udvikling træning af AI-løsninger.[1] Disse krav fremgår af afsnit 3.2. i udtalelsen.
Styrelsen har oplyst følgende om det supplerende retsgrundlag:
”Behandling af ansøgers personoplysninger følger SU-loven, herunder særligt § 7, stk. 3 og SU-bekendtgørelsen § 35, stk. 1-4, samt de generelle regler og principper for offentlig forvaltning.
Af SU- lovens § 7, stk. 3 fremgår:
- 7. Uddannelsesstøtte gives som: […] Stk. 3. Sammen med stipendium og studielån eller sammen med slutlån gives et stipendium som tillæg til uddannelsessøgende i videregående uddannelse eller i erhvervsuddannelse, som på grund af varig fysisk eller psykisk funktionsnedsættelse har meget betydelige begrænsninger i evnen til at påtage sig erhvervsarbejde.
Af SU-bekendtgørelsen fremgår:
- 35. Styrelsen kan bestemme, at der gives tillægsstipendium efter lovens § 7, stk. 3, ud fra
1) en vurdering af arten og graden af funktionsnedsættelsen, og
2) en vurdering på baggrund af vurderingen i nr. 1 af funktionsnedsættelsens betydning for den uddannelsessøgendes evne til at påtage sig erhvervsarbejde.
Stk. 2. Styrelsen kan til brug ved afgørelsen af, om der kan gives tillægsstipendium efter lovens § 7, stk. 3, indhente en sagkyndig udtalelse om vurderingen efter stk. 1.
Stk. 3. Styrelsen kan tildele tillægsstipendium efter lovens § 7, stk. 3, for en kortere periode end støttetiden, jf. lovens § 17, stk. 1 og 2, hvis det på afgørelsestidspunktet er sandsynliggjort, at arten og graden af den uddannelsessøgendes funktionsnedsættelse er varig, men at dette ikke er endeligt fastslået.
Stk. 4. Det er en forudsætning for fortsat at modtage tillægsstipendium, at den uddannelsessøgende opfylder betingelserne i lovens § 7, stk. 3.”
Styrelsen har overordnet henvist til, at de efter de nævnte bestemmelser er forpligtet til at behandle personoplysninger som led i håndteringen af ansøgninger om handicaptillæg.
3.3. Vurdering af hjemmelsgrundlag til udvikling og træning
Det er Datatilsynets vurdering, at udvikling af en AI-løsning, hvor der behandles personoplysninger og særlige kategorier af personoplysninger med henblik på at på at vurdere, om en ansøgning om handicaptillæg er vedlagt tilstrækkelig dokumentation generelt, kan ske på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra e, og artikel 9, stk. 2, litra g.
Behandling af personoplysninger til udvikling af løsningen kan efter Datatilsynets vurdering ske under henvisning til de eksisterende bestemmelser i SU-loven og SU-bekendtgørelsen, der forpligter styrelsen til at træffe afgørelse om tillægsstipendium på grund af varig fysisk eller psykisk funktionsnedsættelse.
Datatilsynet har herved navnlig lagt vægt på, at udviklingen af løsningen ikke indebærer direkte konsekvenser for borgerne. Offentlige myndigheder kan således ofte inden for rammerne af den lovgivning, der forpligter eller berettiger myndigheden til at udføre en bestemt opgave, designe, udvikle og teste AI-løsninger, som kan understøtte myndigheden i at varetage denne opgave.
Som led i vurderingen af, om en AI-løsning skal udvikles, bør myndigheder dog foretage en samlet vurdering af hele livscyklussen for AI-løsningen for at sikre, at myndighederne også har identificeret et eventuelt behandlingsgrundlag for at sætte løsningen i drift efterfølgende, eller om det som led i udviklingsprojektet er nødvendigt at tage skridt til at tilvejebringe et behandlingsgrundlag til drift af løsningen, f.eks. ved at der fra lovgivers side tages stilling til, om der skal fastsættes klare nationale regler, der kan udgøre det nødvendige supplerende retsgrundlag efter databeskyttelsesforordningens artikel 6, stk. 2 og 3, til drift af løsningen.
4. Oplysningspligten
Det fremgår af databeskyttelsesforordningens artikel 13, stk. 1-2, at den dataansvarlige skal give den registrerede en række oplysninger om behandlingen. Disse oplysninger skal gives på det tidspunkt, hvor personoplysningerne indsamles.
Endvidere fremgår det af forordningens artikel 13, stk. 3, at hvis den dataansvarlige agter at viderebehandle personoplysninger til et andet formål end det, hvortil de er indsamlet, giver den dataansvarlige forud for denne viderebehandling den registrerede oplysninger om dette andet formål samt andre relevante oplysninger.
Databeskyttelsesforordningens artikel 13, stk. 1-3, finder imidlertid ikke anvendelse, hvis og i det omfang den registrerede allerede er bekendt med oplysningerne.
Det fremgår af databeskyttelseslovens § 22, stk. 1, at bestemmelserne i databeskyttelsesforordningens artikel 13, stk. 1-3 ikke gælder, hvis den registreredes interesse i oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv.
Af databeskyttelseslovens § 23 fremgår, at oplysningspligten efter databeskyttelseslovens artikel 13, stk. 3, ikke finder anvendelse, når offentlige myndigheder viderebehandler personoplysninger til et andet formål end det, hvortil de er indsamlet, og viderebehandlingen sker på baggrund af regler fastsat efter lovens § 5, stk. 3.
Styrelsen har ikke oplyst et retsgrundlag, som efter databeskyttelseslovens § 23 kan undtage styrelsen fra at opfylde oplysningspligten, og Datatilsynet har heller ikke kunne identificere et sådant retsgrundlag.
Styrelsen har oplyst, at de ønsker at opfylde oplysningspligten overfor borgere, hvis historiske sager vil indgå i træningsdatasættet, gennem et opslag på styrelsens særlige hjemmeside vedrørende uddannelsesstøtte (su.dk).
Styrelsen har begrundet denne fremgangsmåde med, at der er tale om et større antal borgere (ca. 3.000), at det vil være ressourcekrævende at informere borgerne individuelt, at behandlingen af personoplysningerne er begrænset, at formålet med behandling er at forbedre sagsbehandlingstiden, og at behandlingen ikke vurderes at have direkte konsekvenser for borgerne.
Det er Datatilsynets vurdering, at disse hensyn ikke kan begrunde, at oplysningspligten ikke opfyldes direkte hos de registrerede.
Datatilsynet har lagt vægt på, at styrelsen har de fornødne oplysninger om de registrerede for at kunne kontakte dem og har mulighed for at meddele de registrerede de oplysninger, der kræves, ved brug af digital eller fysisk post.
5. Bemærkninger til drift af løsningen
Datatilsynet bemærker, at styrelsen ikke på nuværende tidspunkt har foretaget en endelig vurdering af bl.a. lovligheden af drift af AI-løsningen. Datatilsynet finder dog anledning til at komme med nedenstående bemærkninger til brug for styrelsens vurdering af lovligheden af AI-løsningen i drift.
Datatilsynet bemærker, at brug af AI-løsninger ikke generelt kan siges at være indgribende overfor borgeren. Imidlertid vil brug af AI-løsninger til løsningen eller understøttelsen af løsningen af myndighedsopgaver, der er borgerrettede, ofte være indgribende for borgerne. Det gælder bl.a. når sådanne løsninger bruges som beslutningsstøtte i administrativ sagsbehandling.
AI-løsningen har efter det oplyste ikke til hensigt at bruges som beslutningsstøtte ved afgørelsen af sager om handicaptillæg, men udelukkende som en indledende screening af, om en ansøgning er vedhæftet tilstrækkelig dokumentation. Behandlingen har derfor ikke direkte betydning for ansøgernes mulighed for at få tildelt handicaptillæg.
Dog taler behandling af store mængder personoplysninger, herunder særlige kategorier af personoplysninger, for at anse behandlingen for indgribende. Det er bl.a. ofte tilfældet ved brug af AI-løsninger. Desuden har brug af AI som led i sagsbehandlingen, som det er tilfældet i denne sag, en betydning for, hvor klart det supplerende nationale retsgrundlag skal være. Det skyldes, at brug af AI bl.a. medfører, at AI-løsninger kan lære, finde sammenhænge og gennemføre sandsynlighedsanalyser og drage konklusioner langt ud over det, som en fysisk sagsbehandler ville være i stand til. Brug af AI i administrativ sagsbehandling er dermed grundlæggende forskellig fra den traditionelle sagsbehandling, som har været normen hidtil.
Derudover bemærkes, at det må tillægges vægt, at den målgruppe, hvis personoplysninger ønskes behandlet – borgere, som helbredsmæssigt befinder sig i en situation, som nødvendiggør handicaptillæg for at gennemføre en uddannelse – er en sårbar målgruppe.
På den baggrund er det Datatilsynets vurdering, at der kræves et relativt klart supplerende nationalt retsgrundlag til driften af AI-løsningen.
Herudover skal styrelsen være opmærksom på, at såfremt behandlingen sandsynligvis indebærer høj risiko for fysiske personers rettigheder og frihedsrettigheder, skal der forud for behandlingen foretages en konsekvensanalyse. Dette er efter Datatilsynets opfattelse ofte tilfældet ved udvikling og drift af AI-løsninger.
Datatilsynet henviser til afsnit 6 i tilsynets vejledning om offentlige myndigheders brug af kunstig intelligens for en nærmere gennemgang af, hvornår der skal foretages en konsekvensanalyse, og tilsynets skabelon til gennemførelse af konsekvensanalyse af AI-løsninger.[2]
[1] Datatilsynets udtalelse til Københavns Kommune af 17. november 2023, j.nr. 2023-212-0015: https://www.datatilsynet.dk/afgoerelser/afgoerelser/2023/nov/udtalelse-om-behandlingsgrundlag-til-udvikling-og-drift-af-ai-loesning-inden-for-sundheds-og-omsorgsomraadet
[2] Datatilsynets skabelon til gennemførelse af konsekvensanalyse vedrørende AI-løsninger: Skabelon til konsekvensanalyse ved AI.xlsx (live.com)