Høringssvar: Lovforslag om udvikling og anvendelse af AI ved behandling af personoplysninger

KL bakker op om lovforslaget, der giver den længe efterspurgte supplerende hjemmel til, at offentlige myndigheder kan udvikle og anvende AI-systemer til behandling af alle typer af personoplysninger. KL finder det positivt, at hjemlen i lovforslagets § 3, stk. 1, udtrykkeligt omfatter muligheden for at foretage profilering til brug for bl.a. beslutningsstøtte.

Det er endvidere positivt, at lovhjemlen efter KL’s opfattelse omfatter alle myndighedsopgaver i kommunerne – både myndighedsafgørelser og faktisk forvaltningsvirksomhed.

KL er imidlertid opmærksom på, at lovforslaget er svar på én blandt flere problemstillinger. Øvrige compliancekrav er fortsat uforandrede, hvilket også fremgår af bemærkningerne til lovforslaget.

Med lovforslaget signaleres der vilje til at gøre det muligt for myndigheder at udvikle og anvende AI-løsninger bredt.

KL’s hovedbudskaber

• KL bakker op om lovforslagets formål, som giver kommuner og andre offentlige myndigheder det efterspurgte supplerende hjemmelsgrundlag for bred anvendelse af AI-løsninger med alle kategorier af personoplysninger på tværs af fagområder, herunder til brug for beslutningsstøtte.

• KL er enig i, at det er nødvendigt, at der indføres en bemyndigelsesbestemmelse, som kan fungere som en ventil-bestemmelse, der sikrer muligheden for, at ministre på de respektive ressortområder kan udstede bekendtgørelser, hvis der opstår behov for det.

• KL foreslår, at der udpeges en koordinerende enhed, som sikrer ensartede vurderinger på tværs af ministerområder og fungerer som ét samlet kontaktpunkt for kommuner og andre myndigheder ved spørgsmål om lovens anvendelse og behovet for eventuel supplerende regulering og vejledning, samt sikrer standardisering af eventuel supplerende regulering.

• KL bemærker, at lovforslagets beskrivelse af grænsen mellem beslutningsstøtte og fuldautomatiske afgørelser er uklar og efterlader kommunerne med en betydelig usikkerhed, når de skal udvikle og tage nye AI-systemer i brug. Der er derfor allerede ved lovens ikrafttræden behov for tydelige rammer og vejledning for brugen og grænserne for brugen af beslutningsstøtte.

• KL bakker op om muligheden for proportionale begrænsninger af de registreredes rettigheder inden for rammerne af databeskyttelsesforordningen, forudsat at borgernes rettigheder og de nødvendige retssikkerhedsgarantier samtidig sikres.

Nedenfor følger KL’s bemærkninger til konkrete dele af lovforslaget.

Bemærkninger til § 2 om definitioner

Lovforslaget retter sig mod udvikling og anvendelsen af AI-systemer, som de er defineret i AI-forordningen. Det er væsentligt, at loven er smidig i forhold til den teknologiske udvikling og i forhold til forekomsten af nye digitale løsninger, som relaterer sig til AI og til eksisterende mere simple AI-systemer, for at sikre, at der også er hjemmel til at udvikle og anvende sådanne løsninger.

KL foreslår, at det sikres, at loven er teknologineutral i forhold til AI-systemer, sådan at loven i sit anvendelsesområde også favner løsninger der minder om AI-systemer. Dette fokus på lignende digitale løsninger benyttes allerede i bekendtgørelsen om kommunernes behandling af personoplysninger med kunstig intelligens i beskæftigelsesindsatsen. Her dækker begrebet ”lignende digitale løsninger” over løsninger, der har karakteristika svarende til kunstig intelligens, uden at en sådan løsning falder inden for definitionen af kunstig intelligens i AI-forordningen. Begrebet ”lignende digitale løsninger” sikrer dermed, at der tages højde for den teknologiske udvikling, således at nye teknologier, der minder om kunstig intelligens uden at opfylde de eksakte krav i AI-forordningen, vil være omfattet. Det anbefales derfor, at ”lignende digitale løsninger” tilføjes definitionen med henblik på at sikre, at der ikke opstår asymmetri på tværs af fagområder og lovgivninger.

Definition af beslutningsstøtte

Begrebet beslutningsstøtte, der står beskrevet i lovens § 2, stk. 4, er søgt afgrænset i lovforslagets bemærkninger. Det fremgår bl.a. heraf, at begrebet allerede i dag anvendes på sundhedsområdet, og begrebet derfor skal forstås i overensstemmelse hermed. KL foreslår, at det i bemærkningerne bliver uddybet, hvordan begrebet anvendes på andre områder, som fx sundheds- og beskæftigelsesområderne for at tydeliggøre og sikre, at der ikke opstår uhensigtsmæssige og i værste fald modstridende forståelser af begrebet beslutningsstøtte.

Uklar grænse mellem beslutningsstøtte og fuldautomatiske afgørelser

KL finder det positivt, at hjemlen i lovforslagets § 3, stk. 1, udtrykkeligt omfatter muligheden for at foretage profilering til brug for beslutningsstøtte. Lovforslaget giver ikke mulighed for fuldautomatiserede afgørelser. KL bemærker, at det ikke kan udelukkes, at der på sigt kan være behov for denne mulighed på konkret afgrænsede områder, hvor det vurderes hensigtsmæssigt.

Ift. forskellene mellem beslutningsstøtte og fuldautomatiske afgørelser eller væsentlige tiltag fremgår det af de specielle bemærkninger til § 2, nr. 4, og til § 3, stk. 1, at det må forventes, at fremtidig praksis vil sætte denne grænse. Altså hvad der kræves af menneskelig involvering for at AI-støtte til sagsbehandling mv. kan kategoriseres som beslutningsstøtte og ikke som en fuldautomatisk afgørelse. Lovforslaget giver ikke en klar beskrivelse af denne grænse, og det kan efterlade kommunerne med en betydelig usikkerhed, når de skal udvikle og tage nye AI-systemer i brug. Udfordringen bliver bl.a., hvilke sikkerhedsforanstaltninger der er nødvendige for at undgå såkaldt ”automation bias”, hvis AI-systemets forslag bliver lagt ukritisk til grund, i stedet for at gennemgå en reel efterprøvelse af sagsbehandleren. Der er derfor allerede ved lovens ikrafttræden behov for tydelig vejledning om grænserne for brugen af beslutningsstøtte.

Bemærkninger til § 3 om udvikling og anvendelse af AI-systemer ved behandling af personoplysninger

Hjemmel til behandling af alm. personoplysninger, følsomme oplysninger og oplysning om strafbare forhold

KL finder det positivt, at kommunerne får supplerende hjemmel til anvendelse af AI-systemer til behandling af personoplysninger. KL har forstået lovforslaget sådan, at § 3, stk. 1, giver hjemmel til behandling af både almindelige personoplysninger efter databeskyttelsesforordningens artikel 6, stk. 1, litra e, særlige kategorier af personoplysninger (følsomme oplysninger) efter artikel 9, stk. 1, og oplysninger om strafbare forhold efter artikel 10. KL anmoder om, at denne forståelse kommer til at fremgå endnu tydeligere af bemærkningerne til § 3, stk. 1, så der ikke kan opstå tvivl om forståelsen. KL foreslår, at det præciseres i lovbemærkningerne, at den foreslåede hjemmel eksempelvis vil kunne anvendes til det beslutningsstøtteværktøj i Københavns Kommune, som Datatilsynet tog stilling til den 17. november 2023 (journalnummer 2023-212-0015), forudsat at kommunen overholder de øvrige gældende compliancekrav.

Det er endvidere positivt, at anvendelsesområdet siden første høringsrunde er blevet udvidet til at omfatte den fulde ordlyd af databeskyttelsesforordningens artikel 6, stk. 1, litra e, således at myndigheder og organer, der løser opgaver i samfundets interesse, også er omfattet af lovens anvendelsesområde, og ikke kun myndigheder og organer, der løser opgaver, der henhører under offentlig myndighedsudøvelse.

KL vurderer, at det bør stå klarere, hvad ”efter anden lovgivning” omfatter i § 3, stk. 1, og at det sikres, at behandlinger, der foretages på grundlag af kollektive overenskomster, også dækkes af den foreslåede hjemmel. Hvis Digitaliseringsstyrelsen vurderer, at kollektive overenskomster kan rummes inden for formuleringen ” efter anden lovgivning” bør kollektive overenskomster nævnes i lovbemærkningerne. Det bør også fremgå klart af lovbemærkningerne, at behandlingen på grundlag af ulovbestemte regler som fx kommunalfuldmagten, anstaltsforhold og andre almindelige ulovbestemte retsgrundsætninger er omfattet af ”efter anden lovgivning”.

Oplysninger, som myndighederne behandler

Det bør i de almindelige bemærkninger om gældende ret beskrives i hvilket omfang myndighederne kan udvikle AI-systemer på grundlag af offentligt tilgængelige personoplysninger, fra fx Sprogteknologi.dk. Det samme gælder med hensyn til udvikling af AI-systemer, som ikke kræver, at den dataansvarlige selv råder over de samlede datasæt, men flere dataansvarlige kan udvikle på det samme AI-system uden at dele egne datasæt (fødereret læring), som beskrevet i Datatilsynets vejledning ”Offentlige myndigheders brug af kunstig intelligens – inden I går i gang”, fra 2023. Som lovbemærkningerne er formuleret i høringsudkastet, beskrives det alene, hvad man ikke kan. Det kan føre til usikkerhed om, hvilke data offentlige myndigheder kan indsamle på grundlag af anden regulering eller på grundlag af andre metoder.

Nødvendig bemyndigelsesbestemmelse med risiko for uklar retstilstand

KL forstår forslagets § 3, stk. 2, sådan, at bestemmelsen ikke etablerer det supplerende behandlingsgrundlag for følsomme personoplysninger og oplysninger om strafbare forhold, som er etableret i lovens § 3, stk. 1, men er tænkt som en bemyndigelsesbestemmelse for vedkommende ressortministre til i visse tilfælde, hvis det viser sig at være behov herfor at udstede bekendtgørelse om ”passende og specifikke foranstaltninger”, hvor der behandles følsomme personoplysninger eller oplysninger om strafbare forhold.

KL noterer sig, at der ikke er beskrevet en generel pligt til at udstede bekendtgørelser, men at behovet skal vurderes konkret. Efter dialog med kommunerne kan KL konstatere, at der er usikkerhed om rækkevidden og forståelsen af samspillet mellem § 3, stk. 1 og 2. Det bør derfor præciseres i lovbemærkningerne, hvornår bemyndigelsesbestemmelsen er tænkt anvendt.

Hvis intentionen er, at det er en snæver ”ventil”-bestemmelse, fordi passende og specifikke foranstaltninger er dækket i det compliancearbejde, der allerede finder sted ved myndighederne, og bestemmelsen derfor kun skal anvendes helt undtagelsesvist, bør det fremgå klart af bemærkningerne. Hvis bestemmelsen er tiltænkt de tilfælde, hvor der opstår behov for en tværgående bekendtgørelse, der dækker flere ressortområder, og som skal hjælpe myndigheder med at fastsætte tværgående og fælles passende og specifikke minimumsforanstaltninger til brug for et større AI-system, der kan anvendes på tværs af fx alle kommunerne, vil det også være hjælpsomt, at det fremgår tydeligt af bemærkningerne.

KL foreslår, at der udpeges en koordinerende enhed, som fx Den Digitale Taskforce for Kunstig Intelligens, som skal koordinere og sikre ensartede vurderinger på tværs af relevante ministerområder og fungere som ét samlet kontaktpunkt for kommuner og andre myndigheder ved spørgsmål om lovens anvendelse og behovet for eventuel supplerende regulering.

Hvis der udstedes bekendtgørelser efter § 3, stk. 2, anbefaler KL desuden, at der så vidt muligt anvendes en ensartet model på tværs af ressortområder. Det vil understøtte en mere ensartet implementering af loven og reducere risikoen for retlig usikkerhed.

AI-loven skal suppleres af vejledningsindsats

KL finder det væsentligt, at lovforslaget følges op af en klar og praksisnær vejledning. Loven giver myndighederne den længe efterspurgte lovhjemmel, men løser ikke en lang række vanskelige spørgsmål om samspillet med bl.a. sektorlovgivningen, databeskyttelsesretten, AI-forordningen og forvaltningsretten, som myndighederne skal kunne håndtere i praksis, hvorfor det er nødvendigt, at det omsættes til klare, ensartede og operationelle krav.

Udfordringer med eksempelvis gennemsigtighed, kvalitetssikring, saglighed og ligebehandling samt effektiv menneskelig kontrol ved brug af AI er fælles anliggender, der kræver fælles løsninger. Vejledning bør derfor tydeliggøre og samtænke, hvilke krav myndighederne skal opfylde og hvordan, når AI-løsninger udvikles og tages i brug. Det vil bidrage til en ensartet fortolkning af reglerne og mindske den retlige usikkerhed. Vejledning bør derfor samtænke de mange krav, og bør foreligge samtidig med lovens ikrafttræden, så kommunerne fra start har et klart og sikkert grundlag for at anvende de nye muligheder. KL bidrager gerne til at tilrettelægge vejledningsindsatsen, herunder med konkrete kommunale cases, så vejledningen tager afsæt i de spørgsmål og udfordringer, kommunerne møder i praksis.

Bemærkninger til § 4 om undtagelse til den registreredes rettigheder

KL noterer, at lovforslagets § 4 bemyndiger ressortministrene til ved bekendtgørelse at fastsætte begrænsninger i de registreredes rettigheder efter databeskyttelsesforordningens artikel 12 og 15-21 inden for rammerne af artikel 23.

KL støtter muligheden for nødvendige og proportionale begrænsninger, når borgernes rettigheder og de nødvendige retssikkerhedsgarantier samtidig sikres. KL efterlyser, at der i bemærkninger til lovforslaget eller i en supplerende vejledning laves en tydelig beskrivelse af, i hvilke situationer på de kommunale områder bemyndigelsen kunne forventes anvendt, og hvilke hensyn der kan begrunde begrænsningerne, da det er KL’s vurdering, at mulighederne uden nærmere regulering vil være meget begrænsede.

Bemyndigelsen omfatter ikke oplysningspligten efter databeskyttelsesforordningens artikel 13 og 14. Bemærkningerne henviser i stedet til, at databeskyttelseslovens § 22, stk. 2, giver tilstrækkelig mulighed for at fravige oplysningspligten i konkrete projekter. KL efterlyser konkrete eksempler på sådanne AI-projekter, herunder hvilke offentlige hensyn der kan begrunde undtagelse, og hvordan disse skal afvejes over for borgernes interesse i at blive informeret.

KL ønsker desuden, at det skal klargøres, hvordan oplysningspligten i praksis forudsættes håndteret ved AI-systemer, der indebærer behandling af oplysninger om et stort antal registrerede, herunder under hvilke betingelser generel information, fx via kommunes hjemmeside, kan træde i stedet for individuel underretning. Dette kan med fordel tydeliggøres i bemærkningerne til lovforslaget.

KL står til rådighed for nærmere uddybning af vores bemærkninger til lovforslaget.