DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

Udvalget for Digitalisering og It 2023-24
DIU Alm.del Bilag 88
Offentligt

Brug af kunstig intelligens i

den offentlige sektor

Kortlægning

Oktober 2023

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

Indhold

1.1

1.2

Introduktion

Baggrund

Konklusion

2.1

2.2

2.3

Formål, metode og afgrænsning

Formål

Metode

Afgrænsning

3.1

3.2

3.3

Myndigheders brug af kunstig intelligens

Udbredelse af kunstig intelligens

Anvendelsesområde

Behandlingsgrundlag

3.3.1

3.3.2

Personoplysninger

Særlige kategorier af personoplysninger

3.4

Konsekvensanalyse

Bilag 1: Spørgeramme

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

1. Introduktion

1.1 Baggrund

Udviklingen og udbredelsen af kunstig intelligens er vokset eksponentielt gennem de seneste

par år og har været genstand for en lang række initiativer og strategier fra såvel dansk som

international side. Mest markant af disse er muligvis EU-Kommissionens forslag om en forord-

ning om kunstig intelligens, som anerkender det store potentiale og mulighederne i kunstig

intelligens inden for en lang række områder, men samtidig påpeger, at kunstig intelligens –

afhængig af teknologiens brug – kan skabe risici og skade offentlige interesser og rettigheder.

I Danmark peger bl.a. Institut for Menneskerettigheder på, at brugen af kunstig intelligens i

den offentlige forvaltning kan medføre særlige udfordringer for rettigheder og retssikkerhed,

der kræver særlige tiltag rettet mod teknologiens brug.

Samtidig giver Institut for Menneske-

rettigheder på en lang række anbefalinger, der skal sikre en mere rettighedsbaseret tilgang til

brugen af kunstig intelligens.

Databeskyttelsesreglerne indeholder allerede i dag regler, der skal overholdes ved udvikling

og brug af kunstig intelligens. Derfor nedsatte Datatilsynet – i forlængelse af rapporten fra

Institut for Menneskerettigheder – en intern projektgruppe på tværs af tilsynets fagenheder,

som fik til opgave at se nærmere på kunstig intelligens og databeskyttelse i en bred kontekst.

Projektgruppens arbejde skulle konkret udmønte sig i:

•

Vejledning, herunder skabeloner og paradigmer, der kan benyttes ved udvikling og

brug af kunstig intelligens-løsninger. Datatilsynet vil på den måde forsøge at itale-

sætte, hvordan en lang række af de krav, der allerede i dag gælder for behandling af

personoplysninger, skal appliceres i forbindelse med brug af kunstig intelligens.

Kortlægning af brugen af kunstig intelligens-løsninger på tværs af den offentlige sek-

tor med henblik på, at Datatilsynet på sigt kan følge op på, at kravene til databeskyt-

telse bliver overholdt, når kunstig intelligens anvendes. Datatilsynets fokus på det of-

fentlige Danmark skyldes mængden og typen af oplysninger, der behandles i den

offentlige forvaltning, ligesom borgerne ikke har valgfrihed med hensyn til offentlige

myndigheders behandling af deres personoplysninger, som det er tilfældet ved private

virksomheder. Endelig varetager offentlige myndigheder ofte funktioner, der har afgø-

rende betydning for borgerne, f.eks. udbetaling af offentlige ydelser og levering af

hjemme- og sygepleje.

•

1.2 Konklusion

Brugen af kunstig intelligens blandt offentlige myndigheder er endnu ikke vidt udbredt.

Blandt de løsninger, der anvendes, har myndigheder foretaget de grundlæggende over-

vejelser, f.eks. identificeret en hjemmel til behandling af personoplysninger, men har

vanskeligere ved at iagttage de mere komplekse krav i databeskyttelsesreglerne, f.eks.

at gennemføre konsekvensanalyser.

Undersøgelsen viser, at brugen af kunstig intelligens endnu ikke er vidt udbredt blandt offent-

lige myndigheder. Kun cirka en fjerdedel af de adspurgte myndigheder bruger mindst én kun-

stig intelligens-løsning.

Blandt de anvendte løsninger bruges kunstig intelligens for nuværende primært til at optimere

og effektivisere ”manuelle” opgaver, f.eks. fakturering og post- og journaliseringsprocesser. I

det omfang myndighederne benytter kunstig intelligens, drejer det sig om standardløsninger

1 Institut for Menneskerettigheder, Når algoritmer sagsbehandler – Rettigheder og retssikkerhed i offentlige myndigheders

brug af profileringsmodeller, oktober 2021,

https://menneskeret.dk/udgivelser/naar-algoritmer-sagsbehandler-rettigheder-rets-

sikkerhed-offentlige-myndigheders-brug

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

eller samme specialudviklede løsning, der bruges af flere myndigheder. Samtidig har myndig-

hederne vanskeligt ved at identificere, hvornår en løsning skal betragtes som kunstig intelli-

gens.

Med hensyn til behandling af personoplysninger har myndighederne overvejende identificeret

et relevant behandlingsgrundlag, hvilket er positivt. Behandling af personoplysninger er grund-

læggende ikke lovlig, hvis der ikke findes et behandlingsgrundlag i databeskyttelsesforordnin-

gen eller anden lovgivning. Det er også et krav efter databeskyttelsesreglerne, at myndighe-

derne skal være i stand til at påvise, at behandlingen er lovlig, dvs. oplyse det relevante be-

handlingsgrundlag over for Datatilsynet. I en række tilfælde har myndighederne identificeret et

behandlingsgrundlag, der – efter Datatilsynets opfattelse – ikke er passende, ligesom en

række myndigheder i enkelte tilfælde ikke har været i stand til at pege på et behandlingsgrund-

lag.

En række myndigheder behandler derudover såkaldte særlige kategorier af personoplysnin-

ger, f.eks. om helbredsforhold, ved brug af kunstig intelligens. Det tyder på, at myndigheder

har vanskeligt ved at vurdere, om deres brug af AI-løsninger omfatter behandling af særlige

kategorier af personoplysninger, og i givet fald at identificere en relevant undtagelse til forbud-

det mod at behandle sådanne kategorier af oplysninger.

Endelig viser undersøgelsen generelt, at myndighederne ikke i tilstrækkeligt omfang overhol-

der kravet om at foretage en konsekvensanalyse eller kravet om, at konsekvensanalysen skal

gennemføres, inden de iværksætter behandlingen af personoplysninger.

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

2. Formål, metode og afgrænsning

2.1 Formål

Formålet med undersøgelsen var at opnå viden om, hvor udbredt brugen af kunstig intelligens-

løsninger er blandt offentlige myndigheder, og hvilke juridiske overvejelser myndighederne har

gjort sig i den forbindelse.

Undersøgelsen har først og fremmest angået, hvilke eventuelle løsninger myndighederne har

taget i brug og til hvilke formål. For det andet har undersøgelsen omfattet, om myndighederne

har identificeret en hjemmel – et såkaldt behandlingsgrundlag – for at behandle borgernes

personoplysninger ved brug af kunstig intelligens.

For det tredje har undersøgelsen skullet give Datatilsynet et indblik i udbredelsen af kunstig

intelligens i den offentlige sektor og de enkelte myndigheders modenhed med hensyn til data-

beskyttelsesreglerne. Undersøgelsens resultater vil således indgå som en del af overvejel-

serne om Datatilsynets fremadrettede tilsynsaktiviteter.

Endelig har undersøgelsen haft til hensigt at italesætte de opmærksomhedspunkter og krav,

der følger af databeskyttelsesreglerne ved brugen af kunstig intelligens. Dette skal bl.a. ses i

lyset af, at databeskyttelsesreglerne altid gælder ved behandling af personoplysninger. Reg-

lerne vil derfor også finde anvendelse sideløbende med den kommende forordning om kunstig

intelligens, der specifikt vil regulere brugen af kunstig intelligens.

2.2 Metode

Undersøgelsen blev gennemført som en spørgeskemaundersøgelse, hvor Datatilsynet bad

myndighederne om at svare på en række spørgsmål om deres (eventuelle) brug af AI-løsnin-

ger.

Spørgsmålene til myndighederne var ledsaget af en række hjælpetekster. Myndighederne

havde derudover mulighed for at kontakte Datatilsynet med henblik på at afklare, hvordan

spørgsmålene skulle forstås. Datatilsynet var i dialog med de myndigheder, der rettede hen-

vendelse for at afklare tvivlsspørgsmål mv. Det var dog ikke alle myndigheder, der benyttede

sig af denne mulighed. Myndighedernes besvarelser er derfor baseret på deres egen vurdering

af spørgsmålene.

Spørgerammen bestod af to indledende spørgsmål, der var ledsaget bl.a. af en definition på

kunstig intelligens. Afhængig af svaret på disse spørgsmål skulle myndighederne besvare

yderligere 14 konkrete spørgsmål. Spørgsmålene var både af kvalitativ og kvantitativ karakter

og skulle besvares af myndighederne for hver enkelt løsning, som myndigheden benytter.

Myndigheden skulle således selv ud fra den angivne definition vurdere, om deres anvendte

løsninger var omfattet af undersøgelsen.

Eftersom kunstig intelligens ikke er et entydigt defineret begreb eller koncept, tog Datatilsynet

udgangspunkt i den definition af kunstig intelligens, som fremgår af Det Europæiske Råds

generelle indstilling af 6. december 2022 (udkastets artikel 3, nr. 1)

”et system, som er udformet med henblik på at fungere med elementer af autonomi, og

som på grundlag af data og input fra maskiner og/eller mennesker udleder, hvordan et

givet sæt mål kan nås ved hjælp af maskinlæring og/eller logiske og videnbaserede til-

gange, og som producerer systemgenereret output såsom indhold (generative AI-

Se bilag 1: Spørgeramme

3 Rådet for Den Europæiske Union, Interinstitutionel sag 2021/0106(COD), Forslag til Europa-Parlamentets og Rådets for-

ordning om harmoniserede regler for kunstig intelligens (retsakten om kunstig intelligens) og om ændring af visse af Unionens

lovgivningsmæssige retsakter – Generel indstilling (den 6. december 2022):

https://data.consilium.europa.eu/doc/document/ST-

15698-2022-INIT/da/pdf

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

systemer), forudsigelser, anbefalinger eller beslutninger, der påvirker de miljøer, som AI-

systemet interagerer med”.

Myndighederne blev præsenteret for denne definition indledningsvis, hvor de overordnet skulle

svare på, om de benyttede kunstig intelligens-løsninger. Datatilsynet præciserede samtidigt,

at definitionen bl.a. betød, at rene Robotic Process Automation-løsninger (RPA-løsninger),

som er menneskeligt konfigureret med en fast logik, ikke betragtes som kunstig intelligens.

2.3 Afgrænsning

Undersøgelsen omfattede alle 98 kommuner, de fem regioner samt alle ministerier og deres

styrelser og institutioner. Sammenlagt omfattede undersøgelsen 191 myndigheder. Det bety-

der, at undersøgelsen ikke omfattede samtlige myndigheder, som efter forvaltningsloven kan

henføres til

den offentlige forvaltning,

idet navnlig selvejende institutioner, der har en drifts-

overenskomst med en kommune, ikke indgik.

Ligeledes indgik visse mindre statslige institutioner ikke i undersøgelsen. Med hensyn til disse

har Datatilsynet foretaget afgrænsningen ud fra en konkret og skønsmæssig vurdering af,

hvilke myndigheder der kunne forventes at benytte kunstig intelligens.

Regionerne

Datatilsynet har ikke modtaget svar fra de fem regioner om regionernes brug af kunstig

intelligens inden undersøgelsens afslutning.

Datatilsynet har i den forbindelse været i dialog med regionerne, der oplyser, at regi-

onerne har et stort systemlandsskab, som er vanskeligt at kortlægge. Det skyldes bl.a.

den uklare definition af kunstig intelligens, som fortsat er under forhandling blandt EU’s

institutioner. Regionerne har derfor ikke kunne besvare Datatilsynets spørgsmål inden

tidsfristen.

Regionerne har derfor – efter aftale med Datatilsynet – medio september 2023 sendt

en overordnet beskrivelse af, inden for hvilke områder regionerne benytter kunstig

intelligens. Datatilsynet vil følge op på dette materiale. Det betyder dog, at regionernes

brug af kunstig intelligens ikke indgår i denne rapport.

Undersøgelsen var derudover målrettet myndighedernes brug af kunstig intelligens-løsninger

som led i deres myndighedsudøvelse. Det betyder, at myndighedernes eventuelle brug af kun-

stig intelligens-løsninger som led i deres rolle som arbejdsgiver eller tilsvarende ikke har ind-

gået i undersøgelsen.

Endelig bemærker Datatilsynet, at tilsynet ikke har foretaget en selvstændig juridisk vurdering

af myndighedernes besvarelse. Alle svarene er baseret på myndighedens egen vurdering af

databeskyttelsesreglerne.

Mulige fejlkilder

Datatilsynet har identificeret flere mulige fejlkilder, der kan påvirke undersøgelsens resultat.

Det omfatter blandt andet:

•

Myndighederne har ud fra den angivne definition selv skullet identificere og beskrive

de løsninger, som efter myndighedens opfattelse var omfattet af undersøgelsen. Der

kan derfor være løsninger, som burde indgå i undersøgelsen, men ikke gør det og

modsætningsvis. Det kan skyldes forskellige vurderinger myndighederne imellem af,

hvilke løsninger der skal anses som kunstig intelligens. Det kan også skyldes et

manglende internt overblik over, hvilke løsninger myndigheden benytter i organisati-

onen.

I en række af spørgsmålene er indgået begreber, som myndighederne kan have vur-

deret forskelligt. Det kan bl.a. være adskillelsen af, hvornår en kunstig intelligens-

løsning er i henholdsvis træning og drift, eller hvad der skal forstås ved ”sårbare per-

soner”, der er en ikke-udtømmende kategori af borgere. Det kan også være tilfældet,

•

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

•

at myndighederne har vurderet begrebet ”personoplysninger” forskelligt og derfor ikke

har beskrevet en løsning, der i princippet var omfattet af undersøgelsen.

Endelig beror svaret på enkelte spørgsmål på juridiske vurderinger, som kan være

foretaget forskelligt blandt myndighederne.

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

3. Myndigheders brug af kunstig

intelligens

3.1 Udbredelse af kunstig intelligens

Igennem de seneste år har der været en række eksempler på offentlige myndigheders brug af

kunstig intelligens. Et omtalt eksempel er den såkaldte Gladsaxe-model, hvor Gladsaxe kom-

mune arbejdede på at udvikle en løsning, der kunne hjælpe med at opspore børn med en

særlig risiko for udsathed og mistrivsel. Ligeledes har regionerne og kommunerne siden 2020

modtaget støtte til en række særligt udvalgte projekter – de såkaldte

signaturprojekter

– der

har til formål at afprøve anvendelsen af kunstig intelligens i den offentlige sektor.

Datatilsynets kortlægning viser, at 51 af de 191 adspurgte myndigheder bruger en eller flere

kunstig intelligens-løsninger som led i deres myndighedsudøvelse. Derudover viser undersø-

gelsen, at myndighederne, der bruger AI-løsninger, sammenlagt bruger 129 AI-løsninger. Det

betyder, at hver myndighed i gennemsnit bruger 2,5 AI-løsninger som led i deres opgavevare-

tagelse.

Bruger I AI?

Myndighedsfordeling

Fordeling af løsninger

27%

Stat

35%

Nej

73%

Kom-

mune

65%

Stat

48%

Kom

mun

52%

Figur 1

Figur 2

Figur 3

Knap trefjerdele af de adspurgte myndigheder bruger dermed efter egen vurdering ikke AI-

løsninger, der behandler personoplysninger. Blandt de myndigheder, der bruger mindst én AI-

løsning, udgør kommunerne 65 % af disse myndigheder, mens de statslige myndigheder ud-

gør de resterende 35 % (figur 2).

Undersøgelsen viser samtidig, at mens de statslige myndigheder kun udgør lidt over en tred-

jedel af de myndigheder, der bruger AI-løsninger, er det de statslige myndigheder, der bruger

flest løsninger. Statslige myndigheder tegner sig således for 48 % af alle de løsninger, der er

omfattet af undersøgelsen (figur 3), mens de øvrige 52 % af løsningerne benytter i kommu-

nerne. Statslige myndigheder, der bruger AI, bruger dermed i gennemsnit 3,4 løsninger, mens

det tilsvarende gennemsnit for kommunernes vedkommende er 2 løsninger.

Endelig viser undersøgelsen, at myndighederne har vanskeligt ved at identificere, hvornår en

løsning udgør kunstig intelligens helt eller delvis, f.eks. indeholder kunstig intelligens som del-

komponenter.

Et eksempel herpå er, at en række kommuner har oplyst, at de benytter chatbotten

MUNI,

som

hjælper borgerne med rådgivning og vejledning på kommunernes hjemmeside, f.eks. ved at

lede borgerne til de relevante hjælpetekster og formularer på hjemmesiden. Konkret har ni

kommuner oplyst, at de bruger den pågældende løsning. Ifølge Den Digitale Hotline, der er et

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

tværkommunalt fællesskab, og som bl.a. stiller

MUNI

til rådighed for de deltagende kommuner,

er der imidlertid 31 kommuner, der benytter løsningen.

3.2 Anvendelsesområde

Som en del af undersøgelsen er myndighederne blevet bedt om at beskrive, hvilke formål

myndighederne bruger AI til. På baggrund af disse beskrivelser har Datatilsynet identificeret

en række gennemgående formål og kategoriseret løsningerne i seks forskellige kategorier

samt en opsamlingskategori.

Kategori af løsning

Fakturering og indkøb

Kontrol- og tilsynsvirksomhed

Logistik

Post- og journaliseringsprocesser

Praktisk understøttelse af sagsbehandling

Vejledning på hjemmeside, telefonisk mv.

Øvrige

Total

Kommune

Stat

Total

129

Tabellen viser fordelingen af de AI-løsninger, som myndighederne anvender, på tværs af de

forskellige kategorier. Myndighederne har ikke selv svaret på, hvilken kategori løsningerne

skal henføres til. Kategoriseringen er foretaget af skønsmæssigt af Datatilsynet som led i ef-

terbehandling af datagrundlaget.

Øvrige

16%

Fakturering og

indkøb

Vejledning på

hjemmeside,

telefonisk mv.

10%

Kontrol- og

tilsynsvirksom

hed

32%

Praktisk

understøttelse af

sagsbehandling

19%

Logistik

Post- og

journaliseringspr

ocesser

Figur 4

Undersøgelsen viser, at anvendelsen af kunstig intelligens blandt offentlige myndigheder i vidt

omfang bruges til at løse manuelle og tidskrævende opgaver såsom håndtering af fakturaer,

Det Digitale Fællesskab, Medlemskommuner:

https://dendigitalehotline.dk/velkommen-til-ddh/ddh-medlemskommuner/

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

sortering af post og journalisering samt praktisk understøttelse af sagsbehandling som f.eks.

praksissøgning og anonymisering i aktindsigter. Løsninger, der bruges til sådanne formål, ud-

gør 37 % af alle anvendte løsninger. Derudover benytter myndighederne lidt over en tredjedel

af alle AI-løsninger i kontrol- og tilsynsøjemed.

Kategorier af løsninger

Som nævnt har Datatilsynet foretaget en skønsmæssig kategorisering af de løsninger,

som myndighederne har oplyst, at de bruger. Beskrivelsen af, hvad der ligger bag de

enkelte kategorier, findes nedenfor.

Fakturering og indkøb

En række kommuner benytter forskellige typer af standardsoftware, der er baseret på

eller understøttet af AI, til at håndtere fakturaer. Løsningerne sikrer automatisk bogfø-

ring af modtagne og betalte fakturaer for at lette kommunens manuelle arbejde. Løs-

ningerne behandler i den forbindelse eventuelle personoplysninger, der fremgår af

fakturaerne.

Kontrol- og tilsynsvirksomhed

En af de typer af opgaver, som AI-løsninger er særligt velegnede til at løse, er at frem-

søge afvigelser. AI-løsninger bruges derfor bl.a. af statslige myndigheder såsom Ud-

betaling Danmark og Skatteforvaltningen til at kontrollere og forebygge snyd med ud-

betaling af sociale ydelser og betaling af skat. Derudover bruger andre myndigheder,

der har en tilsynsforpligtelse inden for andre områder, AI-løsninger til at identificere

borgere eller virksomheder, der skal udtages til nærmere kontrol.

Logistik

Kategorien dækker navnlig over kommuners brug af løsninger til optimering af den

kommunale flådestyring og kørselsmønstre. Se nedenfor om ”FleetOptimiser” for en

nærmere beskrivelse.

Post- og journaliseringsprocesser

Det er en fast opgave for langt de fleste myndigheder at modtage og håndtere skriftlige

henvendelser. Myndigheder bruger i dag mange ressourcer på at modtage, sortere og

journalisere indgående post og e-mails. En del myndigheder har taget AI-løsninger i

brug for at løse denne opgave. Nogle løsninger kan bl.a. sikre, at relevante henven-

delser straks videresendes til rette interne postkasse, ligesom andre løsninger kan

sortere og journalisere indkomne henvendelser. Dette kan bidrage til, at borgeres sa-

ger behandles hurtigere, at fejlfordelt post leveres korrekt, og at dokumenter journali-

seres rettidigt.

Praktisk understøttelse af sagsbehandling

Kategorien dækker over en række forskellige AI-værktøjer, der samlet set understøtter

myndighedernes sagsbehandling.

Det omfatter bl.a. løsninger, der kan finde tidligere praksis inden for en bestemt sags-

kategori for at understøtte sagsbehandleren i at træffe ens og korrekte afgørelser.

Kategorien omfatter også værktøjer, der assisterer sagsbehandlere med anonymise-

ring af dokumenter i forbindelse med håndtering af aktindsigtsanmodninger. Endelig

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

omfatter kategorien enkelte specialiserede løsninger, der bistår med løsningen af spe-

cifikke myndighedsopgaver, f.eks. analyse af dokumenter.

Løsninger, der

praktisk

understøtter sagsbehandlingen, omfatter efter Datatilsynets

opfattelse ikke løsninger, der genererer beslutningsforslag til afgørelser eller på anden

vis varetager sagsbehandling.

Vejledning på hjemmeside, telefonisk mv.

Myndigheder har en forpligtelse til at vejlede borgerne. Det sker bl.a. telefonisk og via

myndighedens hjemmeside(r). I den forbindelse har nogle myndigheder f.eks. imple-

menteret AI-løsninger som led i myndighedens telefonbetjening. Løsningerne kan be-

svare og viderestille opkald, så borgerne hurtigere kan få kontakt til den relevante

afdeling eller medarbejder. Samtidig giver løsningerne mulighed for, at borgerne kan

få svar på simple spørgsmål alle døgnets timer. Derudover har en række myndigheder

implementeret chatrobotter baseret på AI på myndighedens hjemmeside. Chatrobot-

ten kan hjælpe borgerne med at få svar på gængse spørgsmål og pege borgerne i

retning af den rigtige information på myndighedens hjemmeside.

Øvrige

En del af de løsninger, der bruges af myndighederne, falder ikke i nogen af de oven-

stående kategorier. Det drejer sig f.eks. om enkelte løsninger, der udarbejder beslut-

ningsforslag som led i sagsbehandling

, eller løsninger, der bruges til statistikproduk-

tion.

Samtidig viser undersøgelsen, at der er visse forskelle på tværs af kommune og stat i forhold

til, hvilke formål løsningerne anvendes til.

Antal løsninger

15 20 25 30

Fakturering og indkøb

Kontrol- og tilsynsvirksomhed

Logistik

Post- og journaliseringsprocesser

Praktisk understøttelse af sagsbehandling

Vejledning på hjemmeside, telefonisk mv.

Øvrige

Kommune

Stat

Figur 5

Det er således primært de statslige myndigheder, der bruger AI-løsninger som led i kontrol-

og tilsynsvirksomhed. Specifikt tegner Skatteforvaltningen og Udbetaling Danmark sig for 83

% af det samlede antal løsninger, der bruges i kontrol- og tilsynsøjemed.

5 Se bl.a. signaturprojekterne ”Kunstig intelligens til understøttelse af visitation af genoptræningsforløb” og ”Hurtigere sags-

behandling ved bevilling af kropsbårne hjælpemidler”, der begge er nærmere beskrevet her:

https://digst.dk/digital-transforma-

tion/signaturprojekter/

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

Udbetaling Danmark

Udbetaling Danmark, der er en offentlig myndighed under ATP, udbetaler hvert år so-

ciale ydelser, økonomiske tilskud og ordningen på vegne af det offentlige til danske

borgere, herunder f.eks. familieydelser, boligstøtte og pension. Dette medfører en for-

pligtelse til at kontrollere, at der sker korrekt udbetaling – både i forhold til fejludbeta-

linger og eventuel svig.

Derfor har Udbetaling Danmark et datadrevet set-up, som gør brug af kunstig intelli-

gens, der gør det muligt mere præcist at udføre kontrol med, om ydelses- og lønmod-

tagere modtager korrekte ydelser. Udbetaling Danmarks

Fælles Dataenhed

blev etab-

leret i forlængelse af aftalen om kommunernes økonomi for 2015 og ikrafttrædelse af

nye regler i lov om Udbetaling Danmark i maj 2015.

Skatteforvaltningen

Skatteforvaltningen har generelt til opgave at sikre, at borgere og virksomheder beta-

ler korrekte skatter og afgifter til tiden.

Som led i varetagelsen af denne opgave bruger Skatteforvaltningen systemer, der

f.eks. gør det lettere at udføre en risikobaseret kontrol. Statistiske analyser giver Skat-

teforvaltningens sagsbehandlere en prioriteret og risikobaseret liste over, hvem det

statistisk set vil være mest hensigtsmæssigt at kontrollere. Myndigheden kan dermed

hurtigt og effektivt identificere de borgere og virksomheder, som ud fra de eksisterende

mønstre i data med størst sandsynlighed har til hensigt at omgå reglerne, ligesom det

er muligt at identificere de borgere og virksomheder, der har størst risiko for at begå

fejl.

Det er derimod overvejende kommuner, der benytter AI-løsninger til at understøtte deres post-

og journaliseringsprocesser, ligesom det udelukkende er kommuner, der bruger AI som led i

fakturering og indkøb og til logistiske formål.

Undersøgelsen viser, at særligt kommuner er fælles om at bruge de samme AI-løsninger som

led i deres opgavevaretagelse inden for en lang række af de ovennævnte kategorier. Et ek-

sempel på det er løsningen FleetOptimiser, som udgør 6 af de 7 anvendte løsninger i katego-

rien ”Logistik”.

FleetOptimiser

En del af kommunernes myndighedsopgaver, der består i at levere services til bor-

gere, indebærer transport af forskellig art, f.eks. i forbindelse med ældrepleje. Trans-

porten betyder, at der bliver kørt mange kilometer, bruges meget tid og samtidig har

en klimabelastning ved udledning af CO2.

Med afsæt i signaturprojektet ”Intelligent flådestyring og klimasmarte kørselsmønstre”

har en række kommuner udviklet løsningen FleetOptimiser.

Løsningen anvender optimeringsalgoritmer baseret på kunstig intelligens og analyse-

rer lokationsdata med henblik på at optimere økonomi og klimabelastning ved at for-

bedre kørselsmønstre, ruter og tildelingen af køretøjer til ture.

6 Læs mere om signaturprojekter med kunstig intelligens i kommuner og regioner på Digitaliseringsstyrelsens hjemmeside:

https://digst.dk/digital-transformation/signaturprojekter/

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

Løsningen giver mulighed for at afprøve forskellige flådesammensætninger og få for-

slag til en optimal sammensætning af flåde ud fra forskellige parametre. Det kan f.eks.

være maksimal reduktion af CO2, økonomiske hensyn eller større brug af cykler.

Løsningen behandler navnlig lokationsoplysninger om de registrerede. Køretøjerne

overvåges via GPS, hvilket kan knyttes bl.a. til de kommunale medarbejdere, der fører

køretøjet.

En yderligere kategori, hvor kommunerne i vidt omfang bruger samme AI-løsninger, er ”Fak-

turering og indkøb”. Her anvender kommunerne standardsoftware til at automatisere kommu-

nernes fakturahåndtering. Løsningerne behandler primært oplysninger om de bogføringsmæs-

sige forhold, og der behandles alene personoplysninger, som eventuelt – mere eller mindre

tilfældigt – måtte fremgå af fakturaer mv.

Derudover viser undersøgelsen også, at myndighederne bruger AI-løsninger til at effektivisere

og forbedre deres post- og journaliseringsprocesser. Alle de anvendte løsninger i denne kate-

gori er løsninger, der sorterer og fordeler indkommen post. Af de 11 løsninger, der bruges på

tværs af myndighederne, er 6 af løsningerne en implementering af ”SmartMail”, der også er et

af de såkaldte signaturprojekter.

SmartMail

Projektet har til formål at udbrede en løsning, der kan bidrage til at nedsætte sagsbe-

handlingstiden for borgere og samtidig sikre gennemsigtighed i sagsbehandlingen i

kommuner ved at optimere post- og journaliseringsprocesser.

Kommunerne bruger i dag mange ressourcer på at modtage, sortere og journalisere

indgående post og mails. Mange kommuner har etableret forskellige fordelingssyste-

mer og regelbaserede logikker til at optimere disse processer. Der er dog fortsat et

potentiale i at gøre processerne mere intelligente og automatiserede. Dette kan bi-

drage til, at borgeres sager behandles hurtigere, at fejlfordelt post leveres korrekt og

at dokumenter journaliseres rettidigt.

Ved brug af kunstig intelligens kan post og e-mails fra borgere og virksomheder leve-

res til rette modtager første gang og journaliseres hurtigere, hvilket giver kortere sags-

behandlingstid til gavn for borgerne. Medarbejdere vil desuden opleve at bruge mindre

tid på journalisering og i højere grad koncentrere sig om faglige opgaver. For kommu-

nerne vil det medføre ressourcebesparelser i post- og journalfunktioner.

Datatilsynets bemærkninger

Undersøgelsen tegner et billede af visse tendenser blandt offentlige myndigheders

brug af kunstig intelligens:

For nærmere information henvises til Aarhus Kommunes projektside om FleetOptimiser:

https://fleetoptimiser.aarhus.dk/

8 Teksten er et udsnit af projektbeskrivelserne af SmartMail 1 og 2 fra Digitaliseringsstyrelsens hjemmeside:

https://digst.dk/di-

gital-transformation/signaturprojekter/

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

•

Brugen af AI er endnu ikke vidt udbredt. For nuværende bruges kunstig intel-

ligens primært til at optimere og effektivisere ”manuelle” opgaver, f.eks. fak-

turering og post- og journaliseringsprocesser.

Myndighederne, herunder særligt kommunerne, bruger i vidt omfang stan-

dardsoftware eller løsninger, der er udviklet på tværs af flere kommuner (og

eventuelt efterfølgende udbredt til yderligere kommuner).

Endelig indikerer undersøgelsen, at myndighederne kan have vanskeligt ved at iden-

tificere, hvornår en løsning skal betragtes som kunstig intelligens.

3.3 Behandlingsgrundlag

3.3.1 Personoplysninger

Enhver behandling af personoplysninger kræver et behandlingsgrundlag.

Myndighederne er

derfor også blevet bedt om at svare på, om de har identificeret et behandlingsgrundlag i data-

beskyttelsesreglerne eller andetsteds for myndighedernes behandling af personoplysninger i

de anvendte AI-løsninger.

Efter Datatilsynets opfattelse udgør udvikling og drift af AI-løsninger to adskilte aktiviteter.

Myndighederne er derfor blevet bedt om at svare på, om de har identificeret et behandlings-

grundlag for henholdsvis udvikling og drift af løsningerne.

0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100%

Fakturering

Kontrol- og tilsynsvirksomhed

Logistik

Post- og journaliseringsprocesser

Praktisk understøttelse af sagsbehandling

Vejledning på hjemmeside, telefonisk mv.

Øvrige

Samtykke

Kontrakt

Retlig forpligtelse

Myndighedsudøvelse

Ved ikke

Figur 6

Undersøgelsen viser, at langt størstedelen af myndighederne har vurderet, at behandling af

personoplysninger ved udvikling og drift af AI-løsninger sker som led i deres offentlige myn-

dighedsudøvelse.

9 Læs mere om ”Hvornår må du behandle personoplysninger?” på Datatilsynets hjemmeside:

https://www.datatilsy-

net.dk/hvad-siger-reglerne/grundlaeggende-begreber/hvornaar-maa-du-behandle-personoplysninger

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

Et mindretal har peget på, at de ikke ved, hvilket behandlingsgrundlag der ligger til grund for

behandlingen af personoplysninger. Ligeledes har enkelte myndigheder peget på, at person-

oplysninger behandles på baggrund af en retlig forpligtelse og har f.eks. henvist til forvaltnings-

loven som den retlige forpligtelse, som myndigheden er underlagt. Endelig har enkelte andre

myndigheder oplyst, at behandlingen er nødvendig for at opfylde en kontrakt med den regi-

strerede.

Datatilsynets bemærkninger

Det er efter Datatilsynets opfattelse generelt positivt, at størstedelen af myndighe-

derne har identificeret, at deres behandling af personoplysninger sker som led i deres

myndighedsudøvelse.

Undersøgelsen giver dog fortsat anledning til at fremhæve:

•

Myndigheder skal identificere et behandlingsgrundlag. Behandling af person-

oplysninger er grundlæggende ikke lovlig, hvis der ikke findes et behandlings-

grundlag i databeskyttelsesforordningen eller anden lovgivning. Det er også

et krav efter databeskyttelsesreglerne, at myndighederne skal være i stand til

at påvise, at behandlingen er lovlig, dvs. oplyse det relevante behandlings-

grundlag over for Datatilsynet.

Myndighederne er sjældent underlagt retlige forpligtelser med hensyn til be-

handling af personoplysninger. En lang række af de retlige forpligtelser, som

myndigheder er underlagt, udgør ikke en retlig forpligtelse til at behandle per-

sonoplysninger i databeskyttelsesreglernes forstand. Det gælder bl.a. forvalt-

ningslovens bestemmelser om notat- og journaliseringspligt. Disse regler in-

deholder en så stor skønsbeføjelse for myndighederne, at reglerne ikke kan

siges at være en bestemt retlig forpligtelse til at behandle specifikke typer af

personoplysninger.

Myndighedernes behandlingsgrundlag er ligeledes sjældent ”af hensyn til op-

fyldelse af en kontrakt”. Det skyldes, at dette behandlingsgrundlag forudsæt-

ter, at der er tale om en kontrakt med den registrerede, dvs. borgeren. Det vil

ikke være tilfældet, hvis kommunen, for at levere f.eks. et høreapparat til en

borger som led i sine kommunale forpligtelser, betaler en faktura fra leveran-

døren af høreapparatet. Selvom borgeren er modtageren af ydelsen, er bor-

geren ikke aftalepart i forholdet mellem leverandøren og kommunen.

•

3.3.2 Særlige kategorier af personoplysninger

Visse kategorier af personoplysninger anses efter databeskyttelsesreglerne som særligt be-

skyttelsesværdige. Det er derfor som udgangspunkt forbudt at behandle oplysninger om race

eller etnisk oprindelse, politisk overbevisning, religiøs eller filosofisk overbevisning, fagfore-

ningsmæssige tilhørsforhold, genetiske data, biometriske data med henblik på entydig identi-

fikation, helbredsoplysninger, samt oplysninger om seksuelle forhold eller seksuel orientering

Der findes dog en række undtagelser til det generelle forbud mod at behandle sådanne oplys-

ninger. Som led i undersøgelsen er myndighederne derfor også blevet bedt om at svare på,

om de har identificeret en sådan undtagelse, hvis de behandler særlige kategorier af person-

oplysninger.

10 Se nærmere herom i afsnit 5.2.1 i Datatilsynets vejledning om offentlige myndigheders brug af kunstig intelligens.

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

Fakturering

Kontrol- og tilsynsvirksomhed

Logistik

Post- og journaliseringsprocesser

Praktisk understøttelse af sagsbehandling

Vejledning på hjemmeside, telefonisk mv.

Øvrige

Samtykke

10% 20% 30% 40% 50% 60% 70% 80% 90% 100%

Arbejds-, sundheds- og socialretlige forpligtelser

Vitale interesser

Væsentlige samfundsinteresser

Samfundsinteresser inden for folkesundhed

Videnskabeligt øjemed (DBL § 10)

Retskrav

Social- og sundhedsomsorg

Videnskabeligt øjemed (artikel 9, stk. 2, litra i)

Ved ikke

Figur 7

Figur 7 viser efter Datatilsynets opfattelse, at myndighederne har mere vanskeligt ved at iden-

tificere den relevante undtagelse i databeskyttelsesforordningen, som gør det muligt at be-

handle særlige kategorier af personoplysninger.

Datatilsynets bemærkninger

Undersøgelsen indikerer, at offentlige myndigheder kan have vanskeligt ved at vur-

dere, om deres brug af AI-løsninger omfatter behandling af særlige kategorier af per-

sonoplysninger, og i givet fald at identificere en relevant undtagelse til forbuddet mod

at behandle sådanne kategorier af oplysninger.

Der forekommer en ikke uvæsentlig variation i vurderingen blandt de myndigheder,

som i øvrigt har svaret, at de bruger samme AI-løsninger, herunder f.eks. i kategori-

erne fakturering, logistik og vejledning på hjemmeside.

Efter Datatilsynets opfattelse kan det skyldes:

•

at myndighederne har vanskeligt ved at vurdere, hvornår oplysninger bliver

omfattet af

særlige kategorier

af oplysninger, og/eller

hvilken undtagelse i databeskyttelsesreglerne der er relevant.

Datatilsynet vil på den baggrund undersøge, hvordan tilsynet kan afklare disse pro-

blemstillinger.

3.4 Konsekvensanalyse

Hvis en behandling af personoplysninger sandsynligvis vil indebære en høj risiko for fysiske

personers rettigheder og frihedsrettigheder, skal der foretages en konsekvensanalyse vedrø-

rende databeskyttelse forud for behandlingen.

En konsekvensanalyse vedrørende databeskyttelse er et værktøj, som gør myndigheden i

stand til at arbejde med de risici, som en behandlingsaktivitet kan indebære, på en systematisk

måde. Konsekvensanalysen skal omfatte:

•

en beskrivelse af behandlingen af personoplysninger,

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

•

en vurdering af behandlingens nødvendighed og proportionalitet, og

en håndtering af de risici for borgernes rettigheder og frihedsrettigheder, som behand-

lingen af personoplysninger medfører.

Det er Datatilsynets opfattelse, at behandling af personoplysninger som led i udvikling og/eller

drift af AI-løsninger næsten altid vil udløse flere af de kriterier, der er udslagsgivende for, om

der skal gennemføres en konsekvensanalyse. Det skyldes:

•

at AI anses som såkaldt ”ny teknologi”, hvilket udgør et af kriterierne i Datatilsynets

liste over aktiviteter, der altid er underlagt kravet om en konsekvensanalyse

, og

at udvikling og/eller drift af AI ofte indebærer (i) behandling af særlige kategorier af

oplysninger, (ii) behandling af oplysninger om sårbare personer eller (iii) behandling

af personoplysninger i stort omfang, hvilket er tre øvrige kriterier der fremgår af Artikel

29-gruppens retningslinjer om konsekvensanalyse.

Derfor er myndighederne også blevet bedt om at svare på, i hvilket omfang de har gennemført

en konsekvensanalyse i tilknytning til deres brug af AI-løsninger, og hvornår i processen med

at implementere den pågældende løsning, de har gennemført konsekvensanalysen.

100%75% 50% 25% 0%

27%

40%

Nej, men vi er i gang

Indledningsvis

Under træning/udvikling, men inden drift

26%

Efter idriftsættelse

Ikke relevant

Nej, det har vi ikke overvejet at gøre

Nej, men vi er i gang

Nej, vi har vurderet, at det ikke er

nødvendigt

Figur 9

Figur 8

Det fremgår af undersøgelsen, at myndighederne har gennemført en konsekvensanalyse for

40 % af alle løsninger, og at myndighederne stadig er i gang med konsekvensanalysen for lidt

over en fjerdedel (26 %) af alle løsninger. Det betyder, at myndighederne ikke har gennemført

en sådan analyse for 34 % af alle løsninger.

Af figur 9 fremgår, hvornår i processen de myndigheder, som enten har svaret ”Ja” eller ”Nej,

men vi er i gang”, har udarbejdet konsekvensanalysen. Heraf fremgår, at for 80 % af alle løs-

ninger har myndighederne først gennemført en konsekvensanalyse efter de har iværksat be-

handlingsaktiviteten, ligesom myndighederne for 34 af løsningerne fortsat er i gang med at

gennemføre analysen. Dermed har myndighederne samlet set ikke gennemført analysen ret-

tidigt for 88 % af de løsninger, hvor myndighederne selv har vurderet, at det er nødvendigt.

11 Datatilsynets liste, der er udarbejdet i medfør af databeskyttelsesforordningens artikel 35, stk. 4, kan findes

her.

12 Artikel 29-gruppens retningslinjer for konsekvensanalyse vedrørende databeskyttelse (DPIA) og bestemmelse af, om be-

handlingen ”sandsynligvis” indebærer en høj risiko” i henhold til forordning (EU) 2016/679, WP248.

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

Myndighederne har også svaret på, hvilke typer af personoplysninger de behandler ved brug

af AI-løsninger, hvor mange borgere det drejer sig om, og om borgerne kan siges at være

såkaldte sårbare personer

Når disse oplysninger sammenholdes med antallet af myndigheder, der ikke har gennemført

en konsekvensanalyse, viser undersøgelsen, at 32 af de 44 myndigheder, som ikke har over-

vejet at gennemføre en konsekvensanalyse eller som har vurderet, at det ikke er nødvendigt,

opfylder mindst ét yderligere af de kriterier, der er udslagsgivende for, om kravet om at gen-

nemføre en konsekvensanalyse er udløst. Med andre ord har 73 % af de myndigheder, som

ikke har gennemført en konsekvensanalyse, rent faktisk været forpligtede efter databeskyttel-

sesreglerne til at gennemføre en konsekvensanalyse.

Datatilsynets bemærkninger

Undersøgelsen viser, at myndighederne ikke i tilstrækkeligt omfang overholder kravet

om at foretage en konsekvensanalyse eller kravet om, at konsekvensanalysen skal

gennemføres, inden behandlingen iværksættes.

Datatilsynet indskærper derfor:

•

at myndigheder skal være særligt opmærksomme på, at der (næsten) altid

skal gennemføres en konsekvensanalyse ved udvikling og/eller drift af AI-

løsninger, og

at konsekvensanalysen skal gennemføres inden behandling af personoplys-

ninger, dvs. inden udvikling af den pågældende AI-løsning sættes i gang.

•

Datatilsynet vil på baggrund af undersøgelsen indgå i dialog med myndighederne om

årsagerne til deres manglende gennemførelse af konsekvensanalyser.

13 Datatilsynet forstår ved sårbare personer bl.a. børn, ældre, patienter og andre lignende persongrupper, der kan være særligt

udsatte i relation til behandling af deres personoplysninger.

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

Bilag 1: Spørgeramme

Bruger I AI-løsninger som led i myndighedens opgavevaretagelse?

a. Ja

b. Nej

Hvor mange AI-løsninger benytter I?

a. 0-30

Angiv en titel på AI-løsningen

Beskriv kort jeres AI-løsning, herunder formålet med brug af løsningen

Angiv antal personer, der behandles oplysninger om ved brug af AI-løsningen for så

vidt angår træningsfasen, dvs. inden idriftsættelsen

a. 0 personer / Ingen personoplysninger

b. Færre end 1.000 personer

c. 1.000-10.000 personer

d. Flere end 10.000 personer

e. Ikke relevant / Ved ikke

Angiv antal personer, der behandles oplysninger om i AI-løsningen for så vidt angår

idriftsættelsesfasen, dvs. efter træningsfasen

a. 0 personer / Ingen personoplysninger

b. Færre end 1.000 personer

c. 1.000-10.000 personer

d. Flere end 10.000 personer

e. Ikke relevant / Ved ikke

Hvilke kategorier af personoplysninger behandles i AI-løsningen for så vidt angår træ-

ningsfasen, dvs. inden idriftsættelsen?

a. Kontaktoplysninger

b. Lokationsdata

c. Væsentlige sociale problemer

d. Økonomiske forhold

e. Uddannelsesforhold

f. Ansættelses-/arbejdsforhold

g. Race og/eller etnicitet

h. Politisk overbevisning

i. Religiøs eller filosofisk overbevisning

j. Fagforeningsmæssigt tilhørsforhold

k. Genetiske og/eller biometriske personoplysninger

l. Helbredsoplysninger

m. Seksuelle forhold og/eller orientering

n. Personnummer

o. Strafbare forhold

p. Andre personoplysninger end ovenstående kategorier

Hvilke kategorier af personoplysninger behandles i AI-løsningen for så vidt angår

idriftsættelsesfasen, dvs. efter træningsfasen?

a. Kontaktoplysninger

b. Lokationsdata

c. Væsentlige sociale problemer

d. Økonomiske forhold

e. Uddannelsesforhold

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

Ansættelses-/arbejdsforhold

Race og/eller etnicitet

Politisk overbevisning

Religiøs eller filosofisk overbevisning

Fagforeningsmæssigt tilhørsforhold

Genetiske og/eller biometriske personoplysninger

Helbredsoplysninger

Seksuelle forhold og/eller orientering

Personnummer

Strafbare forhold

Andre personoplysninger end ovenstående kategorier

Hvilket retligt grundlag har I identificeret til behandlingen af personoplysninger i AI-

løsningen for så vidt angår træningsfasen, dvs. inden idriftsættelsen?

a. Artikel 6, stk. 1, litra a (samtykke)

b. Artikel 6, stk. 1, litra b (kontrakt)

c. Artikel 6, stk. 1, litra c (retlig forpligtelse)

d. Artikel 6, stk. 1, litra d (vitale interesser)

e. Artikel 6, stk. 1, litra e (myndighedsudøvelse)

f. Artikel 6, stk. 1, litra f (interesseafvejning)

g. Artikel 9, stk. 2, litra a (samtykke)

h. Artikel 9, stk. 2, litra b (arbejds-, sundheds- og socialretlige forpligtelser)

i. Artikel 9, stk. 2, litra c (vitale interesser)

j. Artikel 9, stk. 2, litra d (nonprofit)

k. Artikel 9, stk. 2, litra e (offentliggjort af den registrerede selv)

l. Artikel 9, stk. 2, litra f (retskrav)

m. Artikel 9, stk. 2, litra g (væsentlige samfundsinteresser)

n. Artikel 9, stk. 2, litra h (social- og sundhedsomsorg)

o. Artikel 9, stk. 2, litra i (samfundsinteresser inden for folkesundhed)

p. Artikel 9, stk. 2, litra j (videnskabeligt øjemed)

q. Databeskyttelseslovens § 8 (strafbare forhold)

r. Databeskyttelseslovens § 10 (videnskabeligt øjemed)

s. Databeskyttelseslovens § 11 (personnummer)

t. Ved ikke

10) Supplerende retsgrundlag, hvis jeres behandlingsgrundlag er databeskyttelsesforord-

ningens artikel 6, stk. 1, litra e, eller artikel 9, stk. 2, litra b, g, h, i eller j.

11) Hvilket retligt grundlag har I identificeret til behandlingen af personoplysninger i AI-

løsningen for så vidt angår driftsfasen, dvs. efter træningsfasen?

a. Artikel 6, stk. 1, litra a (samtykke)

b. Artikel 6, stk. 1, litra b (kontrakt)

c. Artikel 6, stk. 1, litra c (retlig forpligtelse)

d. Artikel 6, stk. 1, litra d (vitale interesser)

e. Artikel 6, stk. 1, litra e (myndighedsudøvelse)

f. Artikel 6, stk. 1, litra f (interesseafvejning)

g. Artikel 9, stk. 2, litra a (samtykke)

h. Artikel 9, stk. 2, litra b (arbejds-, sundheds- og socialretlige forpligtelser)

i. Artikel 9, stk. 2, litra c (vitale interesser)

j. Artikel 9, stk. 2, litra d (nonprofit)

k. Artikel 9, stk. 2, litra e (offentliggjort af den registrerede selv)

l. Artikel 9, stk. 2, litra f (retskrav)

m. Artikel 9, stk. 2, litra g (væsentlige samfundsinteresser)

n. Artikel 9, stk. 2, litra h (social- og sundhedsomsorg)

o. Artikel 9, stk. 2, litra i (samfundsinteresser inden for folkesundhed)

p. Artikel 9, stk. 2, litra j (videnskabeligt øjemed)

q. Databeskyttelseslovens § 8 (strafbare forhold)

r. Databeskyttelseslovens § 10 (videnskabeligt øjemed)

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

Databeskyttelseslovens § 11 (personnummer)

Ved ikke

12) Supplerende retsgrundlag, hvis jeres behandlingsgrundlag er databeskyttelsesforord-

ningens artikel 6, stk. 1, litra e, eller artikel 9, stk. 2, litra b, g, h, i eller j.

13) Behandler I oplysninger om sårbare personer ved brug af AI-løsningen?

a. Ja

b. Nej

c. Ved ikke

14) Hvordan bruges AI-løsningen?

a. Beslutningsstøtte over for borgerne

b. Beslutningsstøtte med hensyn til organisering, ressourcefordeling mv.

c. Automatiske afgørelser over for borgerne

d. Automatiske beslutninger om organisering, ressourcefordeling mv.

e. Ingen af delene

15) Har I gennemført en konsekvensanalyse af AI-løsningen?

a. Ja

b. Nej, men vi er i gang

c. Nej, vi har vurderet, at det ikke er nødvendigt

d. Nej, det har vi ikke overvejet at gøre

e. Ved ikke

16) Hvornår i processen har I gennemført konsekvensanalysen?

a. Indledningsvis, det vil sige i begyndelsen af processen og inden trænin-

gen/udviklingen af løsningen gik i gang

b. Under trænings-/udviklingsfasen, men inden idriftsættelse af løsningen

c. Efter idriftsættelse af løsningen

d. Ikke relevant

17) Hvem har udviklet AI-løsningen?

a. Myndigheden selv

b. I samarbejde med andre

c. Udelukkende andre

18) Har I vurderet rolle- og ansvarsfordelingen, hvis AI-løsningen er udarbejdet i samar-

bejde med en eller flere eksterne leverandører?

Kortlægning

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

Brug af kunstig intelligens i den offentlige sektor

Eftertryk med kildeangivelse er tilladt

Udgivet af:

Datatilsynet

Carl Jacobsens Vej 35

2500 Valby

T 33 19 32 00

[email protected]

datatilsynet.dk

DIU, Alm.del - 2023-24 - Bilag 88: Datatilsynets rapport fra oktober 2023: "Brug af kunstig intelligens i den offentlige sektor"

Datatilsynet

Carl Jacobsens Vej 35

2500 Valby

T 33 19 32 00

[email protected]

datatilsynet.dk