AI plukker ansatte i Skatteministeriet ud til intern kontrol
Hvert år bliver en snæver gruppe ansatte i Skatteministeriets koncern plukket ud til ekstra kontrol af deres egne skatteforhold. Udvælgelsen sker ikke tilfældigt. En model, som Skatteforvaltningen kalder Compliance Medarbejderkontrol, og som i systemet også går under navnet Complipy Borger, beregner sandsynligheden for fejl på medarbejdernes oplysningsskemaer og peger ud, hvem der skal undersøges nærmere.
Den praksis er nu under lup. Datatilsynet meddelte 4. november, at det har indledt tilsyn med to konkrete AI-løsninger i den offentlige sektor: den nævnte medarbejderkontrol i Skatteforvaltningen og Region Midtjyllands beslutningsstøtte Fokuspatienter i Psykiatrien. Begge sager handler om, om personoplysninger behandles efter databeskyttelsesreglerne, og om roller og ansvar er på plads.
Fem procent udtages, to procent peget ud af modellen
Skattesagen er startet blandt andet efter en klage. Ifølge Datatilsynets høringsbrev af 29. oktober har Udviklings- og Forenklingsstyrelsen forklaret processen sådan: først udtages fem procent af medarbejderstaben til en nærmere gennemgang hvert år; derefter peger Complipy Borger op til to procent ud som særligt risikable for fejl på skemaet. Udsøgningen tager udgangspunkt i alle, der i det foregående år har fået løn i koncernen. Formålet er ifølge Skatteforvaltningens egen konsekvensanalyse at sikre, at medarbejderne overholder skattelovgivningen, og at organisationen fremstår pålidelig udadtil.
Konsekvensanalysen indrømmer selv mangler
Konsekvensanalysen, som personskattedirektøren i Skattestyrelsen godkendte 13. december 2024, er i sig selv en del af sagen. Den beskriver, at der ikke er foretaget en risikovurdering efter databeskyttelsesforordningens artikel 32 for selve Compliance Medarbejderkontrol, og at medarbejderne ikke konkret er blevet oplyst om, at der sker profilering. Analysen vurderer selv, at gennemsigtigheden ikke er tilstrækkelig. Datatilsynet beder nu Skatteforvaltningen bekræfte status på risikovurdering, underretning, dataflow og rollefordeling med eventuelle leverandører.
AI-forordningens forbud er med i Skat-sagen
I samme tilsyn kigger Datatilsynet også på forbudt AI-praksis efter EU’s AI-forordning. Tilsynet er siden august 2025 udpeget som markedsovervågningsmyndighed for to bestemmelser i forordningens artikel 5, litra d og g. Det er første gang, den dobbelte hat – databeskyttelse og AI-forbud – synligt sættes på en konkret, igangværende offentlig AI-løsning i Danmark.
Fokuspatienter skal forebygge bæltefiksering
Den anden sag ligger i psykiatrien. Fokuspatienter i Psykiatrien bruges som beslutningsstøtte. Systemet skal hjælpe personalet med at spotte, hvornår en patient er i øget fare for at ende i bælte, så behandlingen kan sættes ind tidligere og tvang forhåbentlig undgås. Datatilsynet stødte på løsningen, da tilsynet i 2023 kortlagde, hvordan offentlige myndigheder bruger AI. I et høringsbrev af 28. oktober beder tilsynet Region Midtjylland om at dokumentere, om der er lavet en databeskyttelseskonsekvensanalyse, hvordan ansvaret er fordelt mellem region og leverandører, og hvordan dataflowet ser ud. Regionen havde allerede sendt en udtalelse 24. juni; nu kræves en supplerende besvarelse inden for fire uger.
Samme spørgsmål om DPIA og roller i begge sager
Fælles for begge tilsyn er spørgsmålene om konsekvensanalyse og om, hvem der er dataansvarlig for hvilke trin. Jura360 opsummerer det som en gennemgang af behandlingsgrundlag, håndtering af følsomme oplysninger, dataminimering og transparens, plus hvordan beslutningsstøtten bruges i praksis. ComplianceTech på Ingeniørens platformside fremhæver samme skel: det ene tilsyn efter klage, det andet udvalgt fra tilsynets egen kortlægning.
Signalet til offentlige IT-afdelinger
For de offentlige IT- og juridiske afdelinger er signalet konkret. En DPIA, der selv indrømmer mangler, er ikke en formalitet, man kan parkere. Når en model profilerer ansatte eller patienter, skal de registrerede kunne gennemskue det, og når leverandører indgår i dataflowet, skal rollefordelingen stå sort på hvidt. AI-forordningens forbud gør desuden, at en intern kontrolmodel ikke længere kun vurderes efter GDPR.
Bundlinjen
Datatilsynet har endnu ikke truffet afgørelse. Det har åbnet sagerne og bedt om dokumentation. For Skatteforvaltningen og Region Midtjylland betyder det, at de næste uger handler om at kunne pege på, hvad der er analyseret, hvem der ejer hvilke data, og hvor mennesket stadig træffer den egentlige beslutning.
Kilder
- Datatilsynet: Datatilsynet undersøger offentlige myndigheders brug af AI (4. november 2026)
- Datatilsynet: Høringsbrev til Skatteforvaltningen (29. oktober 2026)
- Datatilsynet: Høringsbrev til Region Midtjylland (28. oktober 2026)
- Jura360: Datatilsynet undersøger offentlige myndigheders brug af AI (4. november 2026)
- ComplianceTech / Ingeniøren: Kan have overtrådt loven: Datatilsynet gransker AI-projekter hos to offentlige myndigheder (4. november 2026)
