Drift af AI-løsning til SU-sagsbehandling godkendt: Tilstrækkeligt supplerende retsgrundlag for behandling af følsomme oplysninger

Uddannelses- og Forskningsstyrelsen (styrelsen) anmodede Datatilsynet om en vurdering af det supplerende retsgrundlag for udvikling og drift af en AI-løsning. Løsningen skulle trænes på historiske sager om handicaptillæg og fungere som beslutningsstøtte for sagsbehandlere ved at vurdere, om nye ansøgninger var vedlagt tilstrækkelig dokumentation. Sagerne indeholder særlige kategorier af personoplysninger (helbredsoplysninger) vedrørende varig fysisk eller psykisk funktionsnedsættelse.

Behandlingsgrundlag og krav til hjemmel

Datatilsynet fastslog, at behandling af personoplysninger til dette formål som udgangspunkt kan ske i henhold til Databeskyttelsesforordningen artikel 6, stk. 1, litra e (myndighedsudøvelse) og Databeskyttelsesforordningen artikel 9, stk. 2, litra g (væsentlige samfundsinteresser). Begge bestemmelser kræver dog et supplerende nationalt retsgrundlag, jf. Databeskyttelsesforordningen artikel 6, stk. 2 og 3.

Udvikling af AI-løsningen og oplysningspligt

I forhold til udviklingen af løsningen, hvor historiske sager (ca. 3.000 borgere) indgik i træningsdatasættet, henviste styrelsen til eksisterende bestemmelser i SU-loven og SU-bekendtgørelsen som hjemmel. Styrelsen argumenterede for, at individuel information af borgerne ville være ressourcekrævende, og at behandlingen ikke havde direkte konsekvenser for dem. Datatilsynet konstaterede dog, at:

• Disse forhold ikke ændrer på, at oplysningspligten fortsat skal opfyldes hos de registrerede.

Retsgrundlag for drift

Styrelsen ønskede specifikt en vurdering af, om driften af AI-løsningen kunne ske under henvisning til de eksisterende bestemmelser i SU-loven § 7, stk. 3 og SU-bekendtgørelsen § 36, suppleret af den nye SU-lovens § 39a og den dertilhørende AI-SU-bekendtgørelse. Datatilsynet bemærkede, at kravene til klarheden af det supplerende retsgrundlag er højere, når AI-løsningen er i drift, da konsekvenserne for borgerne ofte er større, selvom databeskyttelsesreglerne er teknologineutrale.

Datatilsynet udtalte, at der forelå et tilstrækkeligt supplerende retsgrundlag for driften af AI-løsningen, som skulle understøtte sagsbehandlingen af handicaptillæg.

Tilstrækkeligt supplerende retsgrundlag

Datatilsynet vurderede, at behandlingen af personoplysninger og særlige kategorier af personoplysninger i forbindelse med driften af AI-løsningen kunne ske i overensstemmelse med og .