Bekendtgørelse om Uddannelses- og Forskningsstyrelsens anvendelse af kunstig intelligens eller lignende digitale løsninger til at understøtte sagsbehandling efter SU-loven

Bekendtgørelse om Uddannelses- og Forskningsstyrelsens anvendelse af kunstig intelligens eller lignende digitale løsninger til at understøtte sagsbehandling efter SU-loven Bekendtgørelse om Uddannelses- og Forskningsstyrelsens anvendelse af kunstig intelligens eller lignende digitale løsninger til at understøtte sagsbehandling efter SU-loven I medfør af § 39 a i SU-loven, jf. lovbekendtgørelse nr. 395 af 13. april 2023, som ændret ved lov nr 674 af 17. juni 2025, fastsættes: Anvendelsesområde m.v. Uddannelses- og Forskningsstyrelsen (styrelsen) kan efter bestemmelserne i denne bekendtgørelse anvende kunstig intelligens eller lignende digitale løsninger til behandling af personoplysninger indgivet i forbindelse med ansøgninger eller anden behandling af oplysninger vedrørende statens uddannelsesstøtte, når det er nødvendigt af hensyn til at understøtte styrelsens sagsbehandling. Behandling af oplysninger efter denne bekendtgørelse har til formål at optimere sagsbehandlingsprocesser i styrelsen. Styrelsen er dataansvarlig myndighed for den behandling af personoplysninger, der sker ved hjælp af kunstig intelligens eller lignende digitale løsninger efter denne bekendtgørelse og er herunder ansvarlig for sikring af de registreredes rettigheder. Styrelsen kan behandle følgende typer af personoplysninger ved anvendelse af kunstig intelligens eller lignende digitale løsninger i medfør af denne bekendtgørelse: Navne-, adresse- og kontaktoplysninger. CPR-numre. Uddannelsesoplysninger. Helbredsoplysninger. Beskæftigelses- og indkomstoplysninger. Familieforhold. Statsborgerskab. Oplysninger om den uddannelsessøgendes tidligere SU-tildelinger. Oplysninger om private-, sociale- eller strafbare forhold. Betingelser for anvendelse af kunstig intelligens eller lignende digitale løsninger Behandling af oplysninger kan foretages af styrelsen, jf. lovens § 39 a, når det er nødvendigt for styrelsens udvikling og drift af kunstig intelligens eller lignende digitale løsninger, som kan understøtte styrelsens sagsbehandling ved tildeling, beregning og tilbagebetaling af uddannelsesstøtte efter SU-loven. Behandling kan foretages til brug for udvikling eller forbedring af metoder og modeller, som bruges i forbindelse med de i stk. 1 nævnte behandlinger. Behandling i medfør af § 4 skal finde sted under anvendelse af passende tekniske og organisatoriske sikkerhedsforanstaltninger, således at styrelsen, jf. § 2, og eventuelle databehandlere er i stand til at opfylde deres databeskyttelsesretlige forpligtelser, herunder ved kryptering og adgangsstyring. De dataansvarlige myndigheder skal til enhver tid kunne påvise, at stk. 1 overholdes. Styrelsen offentliggør på www.su.dk, i hvilke tilfælde styrelsen anvender kunstig intelligens eller lignende digitale løsninger til at understøtte sagsbehandlingen. Informationskilder Der kan behandles personoplysninger ved anvendelse af kunstig intelligens eller lignende digitale løsninger til at understøtte sagsbehandlingen fra følgende informationskilder: De registre og ESDH-systemer m.v., som styrelsen anvender ved tildeling, beregning og tilbagebetaling af uddannelsesstøtte. De registre, systemer m.v., som styrelsen indhenter oplysninger fra, jf. lovens § 39, stk. 1, ved tildeling, beregning og tilbagebetaling af uddannelsesstøtte. Offentligt tilgængelige informationskilder. Anvendelse af oplysninger fra kilder omfattet af stk. 1 skal ske i overensstemmelse med de regler, der måtte være fastsat herom ved lov eller i henhold til lov. Opbevaring og sletning af oplysninger Oplysninger, der behandles efter § 4, opbevares af styrelsen. Personoplysninger, der behandles ved anvendelse af kunstig intelligens eller lignende digitale løsninger til at understøtte sagsbehandlingen, opbevares så længe, det er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles. Sikkerhedsforanstaltninger Styrelsen er ansvarlig for at iagttage kravet i databeskyttelsesforordningens artikel 32 om behandlingssikkerhed under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, og skal gennemføre passende tekniske og organisatoriske foranstaltninger i den forbindelse. Styrelsen er ansvarlig for at iagttage kravet i databeskyttelsesforordningens artikel 25 om databeskyttelse gennem standardindstillinger. Styrelsen udarbejder risikovurderinger og gennemfører foranstaltninger for at begrænse eventuelle risici samt eventuel konsekvensanalyse. Styrelsen skal kunne påvise, at styrelsens behandling af oplysningerne er i overensstemmelse med databeskyttelsesforordningen, jf. databeskyttelsesforordningens artikel 24, stk. 1. Styrelsen reviderer periodisk de løsninger, som styrelsen implementerer efter denne bekendtgørelse, jf. databeskyttelsesforordningens artikel 23, stk. 2, litra d. Ikrafttræden m.v. Bekendtgørelsen træder i kraft den 1. juli 2025.