AI og kunstig intilligens
Bekendtgørelsen fastsætter rammer for, hvornår Udbetaling Danmark må bruge kunstig intelligens til at understøtte SU-sagsbehandling. Den regulerer formål, typer af oplysninger, sikkerhed, offentliggørelse, opbevaring samt ikrafttrædelse.
Dokumentet er en bekendtgørelse, der fastlægger betingelserne for, at Udbetaling Danmark kan anvende kunstig intelligens eller lignende digitale løsninger til at understøtte sagsbehandlingen efter SU-loven. Hovedfokus er at beskrive: (1) anvendelsesområdet og formålet, (2) hvilke typer personoplysninger der kan behandles, (3) betingelserne for selve behandlingen, herunder nødvendighed i forbindelse med udvikling og drift, (4) informationskilder, (5) opbevaring og sletning, (6) krav til informations- og databeskyttelsessikkerhed samt risikovurderinger, og (7) offentliggørelse af anvendelsesområder samt ikrafttræden.
Konkret fremgår det, at Udbetaling Danmark kan bruge AI til behandling af personoplysninger i ansøgninger og anden sagsbehandling om statens uddannelsesstøtte, når det er nødvendigt for at understøtte sagsbehandlingen, og at formålet er at optimere sagsbehandlingsprocesserne. Udbetaling Danmark er dataansvarlig for behandlingen og skal sikre de registreredes rettigheder.
Bekendtgørelsen opregner, at følgende typer personoplysninger kan behandles via AI: navne-, adresse- og kontaktoplysninger, CPR-numre, uddannelsesoplysninger, helbredsoplysninger, beskæftigelses- og indkomstoplysninger, familieforhold, statsborgerskab, oplysninger om tidligere SU-tildelinger samt oplysninger om private-, sociale eller strafbare forhold.
Betingelserne for anvendelsen knytter sig til, at behandlingen må ske, når den er nødvendig for udvikling og drift af AI-løsninger, der kan understøtte sagsbehandling ved tildeling, beregning og tilbagebetaling af SU. Derudover må behandling ske til udvikling eller forbedring af metoder og modeller, der bruges i forbindelse med de nævnte sagsbehandlingsopgaver.
Sikkerhed og dokumentation er centralt: behandlingen skal ske med passende tekniske og organisatoriske sikkerhedsforanstaltninger, herunder kryptering og adgangsstyring, og myndigheden skal kunne påvise overholdelse. Der stilles krav om overholdelse af databeskyttelsesreglernes principper om sikkerhed samt databeskyttelse gennem design og standardindstillinger. Udbetaling Danmark skal udarbejde risikovurderinger, gennemføre foranstaltninger til at begrænse risici, kunne dokumentere databeskyttelsesoverensstemmelse og periodisk revidere de løsninger, der implementeres.
Der fastsættes også, at Udbetaling Danmark offentliggør på su.dk, i hvilke tilfælde AI eller lignende digitale løsninger anvendes. Informationskilder kan være Udbetaling Danmarks egne registre og ESDH-systemer, andre registre/systemer der indhentes fra i SU-sammenhæng samt offentligt tilgængelige informationskilder, og brugen skal ske i overensstemmelse med relevante regler. Opbevaringsreglerne angiver, at oplysninger opbevares så længe som nødvendigt for de formål, som behandlingen understøtter.
Endelig træder bekendtgørelsen i kraft 1. oktober 2026, og en tidligere bekendtgørelse om Uddannelses- og Forskningsstyrelsens anvendelse af AI til understøttelse af SU-sagsbehandling ophæves.