Journalnummer: 2024-212-0371.
Resumé
Uddannelses- og Forskningsstyrelsen ønsker at udvikle og idriftsætte en AI-løsning, der bliver trænet på styrelsens indkomne og afgjorte handicaptillægsansøgninger samt den tilhørende dokumentation. AI-løsningen skal fungere som støtte i vurderingen af, om en ansøgning om handicaptillæg er vedlagt tilstrækkelig dokumentation.
Datatilsynet vurderer, at den behandling af personoplysninger, der finder sted ved udviklingen og driften af en AI-løsning, som udgangspunkt kan ske på baggrund af databeskyttelsesforordningens bestemmelse om myndighedsudøvelse (artikel 6, stk. 1, litra e) og forordningens bestemmelse om behandling, der er nødvendig af hensyn til væsentlige samfundsinteresser (artikel 9, stk. 2, litra g). Begge bestemmelser forudsætter dog et såkaldt supplerende nationalt retsgrundlag.
Udviklingen af løsningen
Behandling af personoplysninger til udvikling af løsningen kan efter Datatilsynets vurdering ske med henvisning til eksisterende bestemmelser i SU-loven og SU-bekendtgørelsen, der forpligter Uddannelses- og Forskningsstyrelsen til at træffe afgørelse om tillægsstipendium ved varig fysisk eller psykisk funktionsnedsættelse.
I forhold til oplysningspligten overfor de borgere, hvis historiske sager indgår i træningsdatasættet, har Uddannelses- og Forskningsstyrelsen bl.a. peget på:
- at der er tale om et større antal borgere (ca. 3.000),
- at det vil være ressourcekrævende at informere borgerne individuelt,
- at behandlingen af personoplysningerne er begrænset,
- at formålet med behandlingen er at forbedre sagsbehandlingstiden, og
- at behandlingen – ifølge styrelsen – ikke vurderes at have direkte konsekvenser for borgerne.
Datatilsynet konstaterer dog, at disse forhold ikke ændrer på, at oplysningspligten fortsat skal opfyldes hos de registrerede.
Driften af løsningen
Behandling af personoplysninger som led i driften af løsningen kan efter Datatilsynets vurdering ske med henvisning til eksisterende bestemmelser i SU-loven, SU-bekendtgørelsen og AI-SU-bekendtgørelsen.
Datatilsynet har navnlig lagt vægt på, at AI-SU-bekendtgørelsen tydeligt fastsætter, at behandling af personoplysninger kan finde sted i forbindelse med ansøgninger eller anden behandling af oplysninger vedrørende SU, når det er nødvendigt for at understøtte styrelsens sagsbehandling.
AI-SU-bekendtgørelsen indeholder ligeledes konkrete bestemmelser om bl.a. formålet med behandlingen, typen af personoplysninger, der behandles, og hvilke informationskilder der kan anvendes.
Udtalelse
1. Henvendelsen
Datatilsynet vender hermed tilbage på Uddannelses- og Forskningsstyrelsens (herefter ’styrelsen’) henvendelse til tilsynet af 17. juni 2024 vedrørende en AI-løsning, der skal fungere som støtte i forbindelse med vurderingen af, om en sag om tildeling af handicaptillæg er tilstrækkeligt oplyst.
I henvendelsen har styrelsen angivet, at styrelsen ønsker at modtage en vurdering af, om drift af AI-løsningen i det konkrete tilfælde, vil kræve et klarere supplerende retsgrundlag, eller om driften kan ske under henvisning til de eksisterende bestemmelser i SU-loven og SU-bekendtgørelsen.
Den 17. juni 2025 vedtog Folketinget en ændring SU-loven[1], således at der indførtes en § 39 a, der gør det muligt for Uddannelses- og Forskningsministeren at fastsætte regler om anvendelse af bl.a. kunstig intelligens til understøttelse af sagsbehandling efter loven. Den 1. juli 2025 trådte bekendtgørelse om Uddannelses- og Forskningsstyrelsens anvendelse af kunstig intelligens eller lignende digitale løsninger til at understøtte sagsbehandling efter SU-loven (herefter ’AI-SU-bekendtgørelsen’), i kraft.
I en telefonsamtale med Uddannelses- og Forskningsstyrelsen den 8. maj 2025 oplyste styrelsen, at den ønskede Datatilsynets vurdering af, om der er tilstrækkeligt supplerende retsgrundlag til idriftsættelsen af AI-løsningen i SU-loven, SU-bekendtgørelsen og AI-SU-bekendtgørelsen.
2. Supplerende retsgrundlag til drift af AI-løsningen
2.1. SU-loven, SU-bekendtgørelsen og AI-SU-bekendtgørelsen
Af § 7, stk. 3 i SU-loven følger, at der til uddannelsessøgende i videregående uddannelse eller i erhvervsuddannelse gives et tillægsstipendium, hvis de på grund af varig eller psykisk funktionsnedsættelse har meget betydelige begrænsninger i evnen til at påtage sig erhvervsarbejde.
Af SU-bekendtgørelsens § 36 fremgår det, at arten og graden af den uddannelsessøgendes funktionsnedsættelse, og dennes betydning for den uddannelsessøgendes evne til at påtage sig arbejde, skal indgå i styrelsens vurdering af, om der skal gives tillægsstipendium efter ansøgning efter lovens § 7, stk. 3.
Af SU-lovens § 39 a følger det, at Styrelsen kan fastsætte regler om anvendelse af kunstig intelligens eller lignende digitale løsninger til understøttelse af sagsbehandling efter SU-loven, herunder om behandling af personoplysninger i forbindelse hermed.
I AI-SU-bekendtgørelsen udnyttes hjemlen i SU-lovens § 39 a, således at det fremgår, af bekendtgørelsens § 1, at styrelsen kan anvende kunstig intelligens eller lignende digitale løsninger til behandling af personoplysninger indgivet i forbindelse med ansøgninger eller anden behandling af oplysninger vedrørende statens uddannelsesstøtte, når det er nødvendigt af hensyn til at understøtte styrelsens sagsbehandling.
Derudover fastsættes der i bekendtgørelsen krav og betingelser, som skal være opfyldt ved anvendelsen af løsningen til at behandle personoplysninger, herunder bl.a. krav til typen af personoplysninger, der behandles (§ 3), informationskilder (§ 7), opbevaring og sletning (§ 8) og sikkerhedsforanstaltninger (§ 9).
2.2. Driften af løsningen
Behandling af personoplysninger på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra e, kræver, at der foreligger et såkaldt supplerende retsgrundlag, som forpligter eller berettiger myndigheden til at udføre en bestemt myndighedsopgave. Det følger af forordningens artikel 6, stk. 2 og 3.
Det fremgår af databeskyttelsesforordningens artikel 9, stk. 1, at behandling af særlige kategorier af personoplysninger er forbudt.
Behandling af særlige kategorier af personoplysninger kan dog ske efter databeskyttelsesfor- ordningens artikel 9, stk. 2, litra g, hvis behandlingen er nødvendig af hensyn til væsentlige samfundsinteresser på grundlag af EU-retten eller medlemsstaternes nationale ret og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentlige indhold af retten til data- beskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registrere- des grundlæggende rettigheder og interesser.
En fravigelse af forbuddet i databeskyttelsesforordningens artikel 9, stk. 1, efter forordningens artikel 9, stk. 2, litra g, forudsætter, som det er tilfældet med artikel 6, stk. 1, litra e, at der foreligger et supplerende retsgrundlag.
I Datatilsynets vejledning om offentlige myndigheders brug af kunstig intelligens[2] fremgår følgende om kravene til det det supplerende retsgrundlag:
”Kravene til klarheden af det retsgrundlag, som skal danne baggrund for jeres behandling af personoplysninger ved drift af en AI-løsning, afhænger af, hvor indgribende behandlingen er for borgerne. Efter Datatilsynets opfattelse skal retsgrundlaget vurderes ud fra, hvor direkte og indgribende f.eks. en afgørelse eller aktivitet er for borgerne. Det gælder uanset, om aktiviteten er bebyrdende eller begunstigende. Retsgrundlaget skal stå i rimeligt forhold til det legitime formål, der forfølges, og behandlingen må ikke være mere indgribende end nødvendigt.
Efter Datatilsynets opfattelse stilles der forskellige krav til klarheden af det relevante retsgrundlaget [sic] til henholdsvis udvikling og drift af løsningen. […] [U]dvikling af en AI-løsning [medfører] som altovervejende udgangspunkt ikke direkte konsekvenser for borgerne. Derimod vil en AI-løsning i drift forventeligt generere forudsigelser, anbefalinger mv., som f.eks. skal være beslutningsstøtte for myndighedens sagsbehandlere. Det kan også være, at en AI-løsning skal træffe automatiske afgørelser over for borgerne. Konsekvenserne for borgerne er dermed ofte større, når AI-løsningen er i drift, og der stilles derfor højere krav til klarheden af det retsgrundlag, der danner baggrund for at anvende løsningen i drift.
I vurderingen af, om retsgrundlaget, som I har identificeret, er tilstrækkelig klart, bør I inddrage, hvilke oplysninger der behandles og om hvilke personer, herunder f.eks. sårbare borgere. Derudover skal I inddrage, om den pågældende forudsigelse, afgørelse mv., som AI-løsningen genererer, har indvirkning på borgerens økonomiske, uddannelsesmæssige, sociale, sundhedsmæssige eller lignende forhold. Indvirkningen kan være såvel positiv som negativ. Endelig bør I overveje, om den pågældende behandling, herunder den omstændighed at behandlingen sker ved anvendelse af AI, er forudsigelig og gennemsigtig for borgeren.”
Datatilsynet skal imidlertid bemærke, at databeskyttelsesreglerne er teknologineutrale. I en databeskyttelsesretlig kontekst er det afgørende således ikke, om en behandling af personoplysninger finder sted ved hjælp af en teknologi, der kan kategoriseres som ”kunstig intelligens”. I henhold til vurderingen af klarheden af det supplerende retsgrundlag er det afgørende, hvor indgribende den pågældende behandlingsaktivitet er for den registrerede.
2.3. Vurdering af hjemmelsgrundlag
Det er Datatilsynets vurdering, at drift af en AI-løsning, hvor der behandles personoplysninger og særlige kategorier af personoplysninger med henblik på at vurdere, om en ansøgning om handicaptillæg er vedlagt tilstrækkelig dokumentation, generelt kan ske på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra e, og artikel 9, stk. 2, litra g.
Behandling af personoplysninger til drift af løsningen kan efter Datatilsynets vurdering ske under henvisning til – og under forudsætning, af at der sker i overensstemmelse med – SU-lovens § 7, stk. 3, SU-bekendtgørelsens § 36 samt SU-lovens § 39 a og AI-SU-bekendtgørelsen.
Datatilsynet har herved navnlig lagt vægt på, at AI-SU-bekendtgørelsen klart foreskriver, at behandling af personoplysninger kan finde sted i forbindelse med ansøgninger eller anden behandling af oplysninger vedrørende SU, når det er nødvendigt af hensyn til at understøtte styrelsens sagsbehandling.
Selvom brugen af en AI-løsning, der anvendes med henblik på at vurdere, om en ansøgning om handicaptillæg er vedlagt tilstrækkelig dokumentation, kan have indvirkning på den registrerede økonomiske såvel som uddannelsesmæssige forhold og omfatter et ikkeubetydeligt omfang af særlige kategorier af oplysninger og oplysninger om sårbare borgere – og derfor sandsynligvis kan karakteriseres som en indgribende behandling, der indebærer høj risiko for den registreredes rettigheder og frihedsrettigheder – er det alligevel Datatilsynets vurdering, at de ovennævnte bestemmelser udgør et tilstrækkeligt retsgrundlag.
I Datatilsynets vurdering har det indgået, at AI-SU-bekendtgørelsen indeholder konkrete bestemmelser om bl.a. formålet med behandlingen og typen af personoplysninger, der behandles og informationskilder. Ligeledes indeholder bekendtgørelsen generelle bestemmelser om opbevaring og sletning, behandlingssikkerhed, databeskyttelse gennem design og standardindstillinger og konsekvensanalyse.
Dette fører samlet set til, at SU-lovens § 7, stk. 3, SU-bekendtgørelsens § 36 samt SU-lovens § 39 a og AI-SU-bekendtgørelsen, udgør et tilstrækkeligt retsgrundlag til at behandle personoplysninger og særlige kategorier af personoplysninger med henblik på at på at vurdere, om en ansøgning om handicaptillæg er vedlagt tilstrækkelig dokumentation.
Endelig bemærker Datatilsynet, at tilsynet ved denne udtalelse alene har taget stilling til klarheden af det supplerende retsgrundlag. Datatilsynet forudsætter således, at enhver behandling af personoplysninger foranlediget af en AI-løsning, der skal fungere som støtte i forbindelse med vurderingen af, om en sag om tildeling af handicaptillæg er tilstrækkeligt oplyst, sker i overensstemmelse med reglerne i databeskyttelsesforordningen og databeskyttelsesloven, herunder reglerne om dataminimering efter databeskyttelsesforordningens artikel 5, stk. 1, litra c.
[1] lovbekendtgørelse nr. 395 af 13. april 2023, som ændret ved lov nr. 674 af 17. juni 2025
[2] Datatilsynets vejledning om offentlige myndigheders brug af kunstig intelligens (Inden I går i gang), s. 31