Vejledning til bekendtgørelse om kommunernes behandling af personoplysninger med kunstig intelligens eller lignende digitale løsninger i beskæftigelsesindsatsen

Vejledning til bekendtgørelse om kommunernes behandling af personoplysninger med kunstig intelligens eller lignende digitale løsninger i beskæftigelsesindsatsen

Indledning

I bekendtgørelse nr. 101 af 20. januar 2026 om kommunernes behandling af personoplysninger med kunstig intelligens eller lignende digitale løsninger i beskæftigelsesindsatsen (bekendtgørelsen), er der fastsat regler om, at kommunerne inden for rammerne af databeskyttelsesforordningen og databeskyttelsesloven kan anvende kunstig intelligens og lignende digitale løsninger til understøttelse af den kommunale beskæftigelsesindsats, herunder om behandlingen af personoplysninger i forbindelse hermed.

Nationalt behandlingsgrundlag

Med bekendtgørelsen etableres der inden for den kommunale beskæftigelsesindsats en hjemmel, der sikrer, at kommunerne vil opfylde kravene efter databeskyttelsesforordningens artikel 6, stk. 1, litra c og e, samt artikel 9, stk. 2, litra g, om at der skal være et tilstrækkeligt klart nationalt grundlag for behandling af personoplysninger ved en offentlig myndigheds behandling af personoplysninger i en kunstig intelligensløsning eller en lignende digital løsning.

Kunstig intelligensløsninger og lignende digitale løsninger

Det fremgår af bekendtgørelsen, at den finder anvendelse ved behandlinger med ’kunstig intelligens’ og ’lignende digitale løsninger’.

Der er hverken i bekendtgørelsen, i bemyndigelsesbestemmelsen i § 52 a, stk. 2, i lov om organisering og understøttelse af beskæftigelsesindsatsen m.v. (LOB) eller i bemærkningerne til loven foretaget en afgrænsning af hvilke kunstig intelligensløsninger, som kommunerne kan anvende til at behandle personoplysninger i beskæftigelsesindsatsen.

Der er i lovens bemærkninger angivet en ikke udtømmende liste over, hvad en ”kunstig intelligensløsning” f.eks. kan være.

Efter bemærkningerne kan en kunstig intelligensløsning f.eks. være en løsning, der tilrettelægger sagsakter i form af autogenererede resuméer af borgersager m.v., strukturerer informationer, herunder om bl.a. borgeres forløb eller autogenererer referater fra samtaler med borgere.

For så vidt angår definitionen af kunstig intelligens, herunder hvordan bestemte typer af kunstig intelligens må og ikke må benyttes, henvises til AI-forordningen.

Begrebet ᾽lignende digitale løsninger’ dækker over løsninger, der har karakteristika svarende til kunstig intelligens, uden at en sådan løsning falder inden for definitionen af kunstig intelligens i AI-forordningen.

Begrebet ’lignende digitale løsninger’ sikrer dermed, at der tages højde for den teknologiske udvikling, således at nye teknologier, der minder om kunstig intelligens uden at opfylde de eksakte krav i AI-forordningen, vil være omfattet af bekendtgørelsens anvendelsesområde.

Når vejledningen nævner ”kunstig intelligens”, omfatter dette tillige ”lignende digitale løsninger”.

Til § 1, stk. 1 (anvendelsesområdet)

Efter bestemmelsen kan kommunerne anvende kunstig intelligens til samkøring og anden behandling af personoplysninger, når formålet er at understøtte sagsbehandlingen i den kommunale beskæftigelsesindsats efter § 3, stk. 2, i LOB.

Det betyder, at kunstig intelligens efter bestemmelserne i bekendtgørelsen alene kan anvendes til at understøtte sagsbehandlingen, og at kommunerne kun kan behandle personoplysninger med bekendtgørelsen som behandlingsgrundlag, hvis den konkrete behandling falder inden for definitionen af kommunal beskæftigelsesindsats i § 3, stk. 2, i LOB.

Beskæftigelsesindsatsen defineres efter LOB § 3, stk. 2, som opgaver efter lov om en aktiv beskæftigelsesindsats og visse opgaver herunder beskæftigelsesrettede opgaver over for borgere og virksomheder efter lov om aktiv socialpolitik, lov om sygedagpenge, lov om kompensation til handicappede i erhverv m.v. og integrationsloven.

Det fremgår af LOB § 3, stk. 4, at beskæftigelsesministeren fastsætter nærmere regler om, hvilke beskæftigelsesrettede opgaver i lov om aktiv socialpolitik, lov om sygedagpenge og integrationsloven der er omfattet af den kommunale beskæftigelsesindsats.

Regler fastsat i medfør heraf vil således også være en del af beskæftigelsesindsatsen.

I medfør af bestemmelsen er der ved bekendtgørelse om organisering og understøttelse af beskæftigelsesindsatsen m.v. fastsat regler i §§ 1-6 og §§ 8 og 9 om, hvad der er omfattet af beskæftigelsesindsatsen og hvilke opgaver, som kommunen skal varetage efter lov om kompensation til handicappede i erhverv m.v., lov om aktiv social politik, lov om sygedagpenge og integrationsloven.

Til § 1, stk. 2 (mønsterkendelse og profilering)

Efter bestemmelsen kan kommunerne behandle personoplysninger med kunstig intelligens med henblik på at foretage mønstergenkendelse og profilering, når formålet er at understøtte kommunernes sagsbehandling efter § 1, stk. 1.

Det følger af databeskyttelsesforordningens artikel 22, stk. 2, litra b, at registrerede kan blive gjort til genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering, hvis afgørelsen er hjemlet i EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt, og som også fastsætter passende foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder samt legitime interesser.

Da det imidlertid fremgår af bestemmelsen, at formålet med behandlingen skal være at understøtte kommunernes sagsbehandling, indebærer det, at kommunerne ikke efter bestemmelsen kan træffe afgørelser, der alene er baseret på automatisk behandling ved brug af profilering.

Ved automatisk behandling forstås en afgørelse, der alene er baseret på automatisk behandling uden en vis grad af faktisk og reel menneskelig involvering.

Der henvises også til den vejledende tekst til § 1, stk. 6.

Til § 1, stk. 3 (it-systemer)

Efter bestemmelsen kan kommunerne behandle personoplysninger med henblik på udvikling, idriftsættelse, drift m.v. af it-systemer, der anvender kunstig intelligens, når it-systemerne har til formål at understøtte kommunernes sagsbehandling efter § 1, stk. 1.

Til § 1, stk. 4 (metoder og modeller)

Efter bestemmelsen kan kommunerne behandle personoplysninger til brug for udvikling eller forbedring, herunder træning, af metoder og modeller, som bruges i forbindelse med de i stk. § 1, stk. 1-3, nævnte behandlinger.

Til § 1, stk. 5 (genanvendelse)

Efter bestemmelsen kan kommunerne genanvende personoplysninger, der behandles efter § 1, stk. 1-4, til en ny behandling med kunstig intelligens.

Kommunerne skal ved genanvendelse iagttage de foranstaltninger, som kræves for en ny behandling af personoplysninger, samt sikre, at kravene i bekendtgørelsens § 2 overholdes.

Det kan eksempelvis være, at en kommune først har behandlet personoplysninger med kunstig intelligens med det formål at bistå en borger med at registrere cv-oplysninger.

Kommunen genanvender herefter de cv-oplysninger, der er blevet behandlet med kunstig intelligens, til en ny behandling med kunstig intelligens, hvor formålet er at tilrettelægge og gennemføre et kontaktforløb.

Det betyder bl.a., at den dataansvarlige kommune skal sørge for, at den nye behandling med genanvendte personoplysninger fremgår af kommunens fortegnelser, at oplysningspligten efter databeskyttelsesforordningens artikel 13 eller artikel 14 samt efter denne bekendtgørelses § 2, stk. 4, iagttages, og at der er udarbejdet en privatlivsrisikovurdering, og om nødvendigt en konsekvensanalyse, for behandlingen.

Adgangen til at genanvende personoplysninger til en ny behandling med kunstig intelligens efter § 1, stk. 5, forudsætter, at den nye behandling falder inden for anvendelsesområdet i bekendtgørelsens § 1, stk. 1-4.

Der henvises til den vejledende tekst til § 2, stk. 1 og 2, samt stk. 4.

Til § 1, stk. 6 (automatiske afgørelser)

Efter bestemmelsen må kommunerne ikke på baggrund af bekendtgørelsen træffe afgørelser, der alene er baseret på automatisk behandling, herunder profilering.

Bestemmelsen er en gengivelse af databeskyttelsesforordningens artikel 22, stk. 1, og fastsætter, at kommunerne ved anvendelse af denne bekendtgørelse som behandlingsgrundlag i afgørelsessager skal sikre, at en automatisk behandling af personoplysninger med kunstig intelligens, eksempelvis i form af en algoritme, alene er sagsunderstøttende.

Afgørelsesbegrebet efter denne bestemmelse skal forstås i overensstemmelse med afgørelsesbegrebet i databeskyttelsesforordningens artikel 22, stk. 1.

Der henvises også til den vejledende tekst til § 1, stk. 2.

Til § 2, stk. 1 (dokumentationskrav)

Efter bestemmelsen skal kommunerne dokumentere anvendelsen af kunstig intelligens i sagsbehandlingen, herunder hvordan teknologien er blevet anvendt, og fra hvilken informationskilde personoplysningerne er blevet indhentet.

Der stilles ikke i bestemmelsen krav om dokumentationens form, herunder om dokumentationen skal fremgå af selvstændige dokumenter.

Det kan være hensigtsmæssigt for kommunerne, at de tilvejebringer dokumentationen i forbindelse med, at de løfter databeskyttelsesforordningens dokumentationskrav eksempelvis ved at indarbejde dokumentationen i kommunernes fortegnelser, privatlivsrisikovurderinger m.v.

En informationskilde kan eksempelvis være Det Fælles Datagrundlag (DFDG).

Hvis oplysningerne indhentes direkte hos en borger, kan ’borger’ angives som informationskilde.

Til § 2, stk. 2 (iagttagelse af databeskyttelsesreglerne)

Efter bestemmelsen skal kommunerne sikre, at behandlingen finder sted under iagttagelse af databeskyttelsesreglerne, herunder adgangsstyring og kryptering i overensstemmelse med databeskyttelsesforordningens artikel 5, stk. 1, litra f, gennemførelsen af passende tekniske og organisatoriske sikkerhedsforanstaltninger efter artikel 24 og 32 og databeskyttelse gennem design og standardindstillinger efter artikel 25, således at kommunerne er i stand til at opfylde deres databeskyttelsesretlige forpligtelser.

Bekendtgørelsen ændrer i øvrigt ikke på, at kommunernes udvikling, idriftsættelse, anvendelse mv. af konkrete løsninger, der anvender kunstig intelligens, skal ske i overensstemmelse med øvrig lovgivning, herunder forvaltningsloven og AI-forordningen, ligesom kommunerne i øvrigt skal sikre, at deres behandling lever op til de saglige og retssikkerhedsmæssige krav m.v., der stilles til den offentlige forvaltning.

Til § 2, stk. 3 (kommunernes databehandlere)

Efter bestemmelsen skal kommunerne ved anvendelse af en databehandler sikre, at behandlingen hos databehandleren opfylder kravene i § 2, stk. 1 og 2.

Den dataansvarlige kommune skal derudover sikre, at øvrige krav til anvendelsen af datahandlere overholdes, herunder kravene i databeskyttelsesforordningens artikel 28.

Til § 2, stk. 4 (oplysning om anvendelse af kunstig intelligens)

Efter bestemmelsen skal kommunerne sikre, at det tydeligt fremgår for den, hvis personoplysninger behandles, når kunstig intelligens anvendes.

Bestemmelsen skal sikre, at borgeren er bekendt med, at vedkommende personoplysninger bliver behandlet med kunstig intelligens.

Oplysningspligten efter bekendtgørelsens § 2, stk. 4, går således videre end den almindelige oplysningspligt efter databeskyttelsesforordningen, da den indeholder et eksplicit krav om at oplyse om anvendelsen af kunstig intelligens, hvilket ikke altid vil være et krav efter oplysningspligten i artikel 13 og artikel 14.

Der stilles ikke i bestemmelsen krav til i hvilken form, at oplysningen gives.

Det vil derfor bero på en konkret vurdering af de faktiske omstændigheder, og til hvilken behandling kunstig intelligens anvendes, hvordan oplysningspligten bedst opfyldes i det enkelte tilfælde.

I praksis kan oplysningspligten eksempelvis blive opfyldt ved at henvise til en privatlivspolitik, hvor oplysningen fremgår, eller ved at indsætte oplysningen i autosignaturen i de kommunale sagsbehandleres mail.

Det kan være hensigtsmæssigt for kommunerne, at oplysningen om anvendelse af kunstig intelligens gives i samme form og på samme tidspunkt, som oplysningerne efter databeskyttelsesforordningens artikel 13 eller 14 gives.