I maj 2024 udtog Datatilsynet 25 skoler omfattet af lov om friskoler og private grundskoler og så efter, hvordan de behandler personoplysninger. Undersøgelsen handlede ikke om AI, men fundene peger på de steder, hvor dokumentationen typisk er mangelfuld, og hvor et AI-værktøj derfor gør problemet større.
Hvad Datatilsynet så på
Tilsynet undersøgte tre ting: hjemlen til at videregive personoplysninger, håndteringen af anmodninger om indsigt efter artikel 15 og håndteringen af anmodninger om sletning efter artikel 17.
Datatilsynet skriver selv, at det ikke har taget konkret stilling til, om de enkelte skoler har behandlet personoplysninger i strid med reglerne. Fundene er altså en beskrivelse af, hvordan det så ud på tværs af de 25 skoler, og ikke en afgørelse mod nogen af dem.
Fire ting, tilsynet fandt
Forældede privatlivspolitikker. Flere skoler havde stadig en passage om, at der kan opkræves betaling for at give indsigt. Den stemmer ikke længere med reglerne, og Datatilsynet opfordrede til at fjerne den.
Hjemlen var ikke skrevet ned. Skolerne beskrev ofte behandlingen som "nødvendig" uden at henvise til den bestemmelse, der gør den lovlig.
Samtykke brugt som standardsvar. Flere skoler byggede på samtykke i situationer, hvor et andet behandlingsgrundlag passer bedre. Samtykke kan trækkes tilbage, og det er sjældent det, en skole ønsker for oplysninger, den er nødt til at behandle.
Følsomme oplysninger uden undtagelse. Skolerne fik ikke tydeligt beskrevet, hvilken undtagelse i artikel 9 der gjorde det lovligt at behandle de særlige kategorier af oplysninger.
Hvorfor det hænger sammen med AI: alle fire fund handler om dokumentation af noget, skolen allerede gør. Tages et AI-værktøj i brug, kommer der en behandling mere, en leverandør mere og en oplysningspligt mere oven på et grundlag, der ikke var skrevet færdigt.
Det, der er anderledes hos jer
En kommunal skole indgår i en forvaltning. Der sidder en databeskyttelsesrådgiver, der er indkøbsaftaler, og der er som regel en fælles linje for, hvilke værktøjer skolerne må bruge.
På en fri eller privat skole ligger de samme opgaver hos skolen selv. Efter databeskyttelsesforordningen er skolen dataansvarlig for elevernes oplysninger. Det er skolen, der indgår databehandleraftalen med leverandøren, og bestyrelsen, der har den overordnede ledelse og skal kunne stå på mål for beslutningen.
Den korte vej fra beslutning til handling er en fordel, når en skole vil noget. Den betyder også, at ingen forvaltning opdager det, hvis arbejdet bliver liggende.
De AI-beslutninger, der kun kan træffes hos jer
Tre beslutninger kan kun træffes hos jer. De kommer fra hver sin kilde, og de har hver sin frist.
- Hvilke AI-værktøjer er godkendt? Ledelsen skal kunne fremvise listen, og medarbejderne skal kende den. Uden en liste bruger hver lærer det, hun selv har fundet.
- Må eleverne bruge AI til prøverelaterede produkter? Skolebestyrelsen bestemmer, hvilke hjælpemidler der er tilladt, når eleverne laver synopser og prøveoplæg i undervisningen. Styrelsen for Undervisning og Kvalitet anbefaler at sige nej. Reglerne står her.
- Hvem indgår aftalerne, og hvem læser dem? Databehandleraftalen skal fastlægge, at data kun bruges til skolens formål, ikke til modeltræning og ikke deles med tredjepart. De syv trin er beskrevet her.
Friheden i undervisningen gælder også her
En fri skole har et værdigrundlag, forældrene har valgt til. Den forskel betyder noget, når AI skal ind i undervisningen, fordi spørgsmålet om, hvad skolen vil med teknologien, kan besvares ud fra noget, skolen allerede har skrevet ned.
En skole med vægt på håndværk og fordybelse svarer anderledes end en skole med en international profil. Begge svar kan være rigtige. En AI-politik hentet fra en anden skole passer sjældent, når værdigrundlaget er et andet.
Spørgsmålet, der giver bestyrelsen retningen
Hvad står der i vores værdigrundlag, som AI enten understøtter eller trækker i den modsatte retning af? Svaret kan stå som første afsnit i en AI-politik, og det gør resten af beslutningerne lettere, fordi de kan måles op mod noget.
Fem ting, I kan gøre på et bestyrelsesmøde
- Læs skolens privatlivspolitik igennem, og se efter passagen om betaling for indsigt
- Bed ledelsen om listen over de AI-værktøjer, der bruges i dag
- Træf beslutningen om AI i prøverelaterede produkter, og skriv den ned
- Afklar, hvem der læser databehandleraftalerne, og hvem der gemmer dem
- Beslut, hvordan forældrene får besked, og hvornår
Ingen af punkterne kræver teknisk indsigt. De kræver, at nogen tager stilling, og at beslutningen står et sted, andre kan finde den.
Skal vi tage det med jeres bestyrelse?
Vi sparrer om AI-politik, GDPR-rammer og den plan, kollegiet skal igennem, ud fra jeres eget værdigrundlag.
Se kursus i AI til skolerKilder
- Datatilsynet har undersøgt de frie grundskolers behandling af personoplysninger, september 2024. Alle fire fund er herfra
- AI-miniguide: tillæg til vejledning om lovlig brug af kunstig intelligens, Børne- og Undervisningsministeriet, december 2025
- Brug af digitale hjælpemidler og kunstig intelligens ved folkeskolens prøver
Artiklen gennemgår offentligt tilgængelige tilsynsresultater og vejledninger og er ikke juridisk rådgivning.