Et nyt udkast til en AI‑hjemmelslov skal give offentlige myndigheder en generel databeskyttelsesretlig hjemmel til at udvikle og anvende AI‑systemer ved behandling af personoplysninger som led i opgavevaretagelsen. Forslaget omfatter blandt andet beslutningsstøtte, men omfatter ikke fuldautomatiske afgørelser efter databeskyttelsesforordningens artikel 22.
Hjemmelsforslag for AI i det offentlige og afgrænsning til artikel 22
Datatilsynet anerkender, at flere tidligere bemærkninger er indarbejdet i det nye udkast. Afgrænsningen mod artikel 22 tydeliggør, at loven ikke i sig selv autoriserer automatiske afgørelser uden menneskelig involvering.
Hjemmelen ændrer ikke på, at myndigheder fortsat skal identificere et gyldigt behandlingsgrundlag og iagttage almindelige forvaltningsretlige rammer, når AI anvendes til sagsbehandling eller understøttende funktioner.
Databeskyttelseskrav ud over hjemlen: sikkerhed, rettigheder og overførsler
Datatilsynet understreger, at lovhjemmel kun er én brik. Før behandling påbegyndes, skal krav om behandlingssikkerhed, de registreredes rettigheder, tredjelandsoverførsler og håndtering af formålsforskydning være afklaret. Det indebærer som udgangspunkt risikovurderinger og eventuelt konsekvensanalyse (DPIA) samt passende tekniske og organisatoriske foranstaltninger.
Tilsynet peger på paralleller til brug af servicebaserede løsninger som cloud og anbefaler at anvende myndighedens eksisterende vejledninger om udvikling af AI og cloud, tilgængelige på datatilsynet.dk. Se vejledningerne om udvikling af AI og cloud.
Lær om regulering af teknologi på kurset om digital forvaltning og AI
Læs mere her →Proces og transparens: høring, aktindsigt og næste skridt
Høringssvaret er afgivet som led i det lovforberedende arbejde og er oversendt til ressortministeriet. Anmodninger om aktindsigt behandles derfor af Forsknings‑, Uddannelses‑ og Digitaliseringsministeriet efter almindelige regler.
Datatilsynet forventer, at relevant materiale offentliggøres på høringsportalen i forbindelse med fremsættelsen. Myndigheder bør i mellemtiden planlægge compliance‑arbejdet, så efterlevelse af GDPR kan dokumenteres ved ibrugtagning af AI‑løsninger.
