Hvor stor er risikoen for, at offentlige myndigheder utilsigtet giver amerikanske AI-tjenester adgang til følsomme sundhedsdata – og hvad ved forskningen om konsekvenserne?
Konklusion
Sundhedsdatastyrelsen kom ved en fejl til at give et amerikansk AI-værktøj adgang til interne data. Hændelsen er ikke enestående: Forskning viser, at brugen af cloud-baserede AI-tjenester i sundhedssektoren systematisk skaber risici for databeskyttelse, særligt når europæisk regulering møder amerikanske databehandlingspraksisser. Vi ved, at GDPR stiller klare krav, som mange AI-implementeringer endnu ikke lever op til. Vi ved ikke præcis, hvad der skete med de konkrete data hos Sundhedsdatastyrelsen. Og eksperter er uenige om, hvorvidt det offentliges nuværende it-indkøb overhovedet er gearet til at håndtere udfordringen strukturelt.
De vigtigste pointer:
- Sundhedsdatastyrelsen gav utilsigtet et amerikansk AI-værktøj adgang til interne data
- GDPR og amerikanske dataregler er grundlæggende uforenelige på centrale punkter ✓✓
- Cloud-baserede AI-tjenester er særligt svære at kontrollere og auditere i sundhedssektoren ✓
- Det offentliges it-indkøbsprocesser er ikke altid gearet til at håndtere disse risici ~
- Omfanget af faktisk skade fra denne type hændelser er svær at dokumentere efterfølgende ~
Det politiske spørgsmål
Offentlige myndigheder i Danmark bruger i stigende grad AI-værktøjer til at effektivisere arbejdet. Det er ikke kontroversielt i sig selv. Men når det drejer sig om sundhedsdata – nogle af de mest følsomme personoplysninger, der findes – opstår et konkret politisk spørgsmål: Kan vi stole på, at staten håndterer disse data forsvarligt, når de indlejres i digitale arbejdsgange med udenlandske teknologiudbydere?
Hændelsen hos Sundhedsdatastyrelsen, som Ingeniøren beskrev, illustrerer, at svaret ikke er givet på forhånd. En fejl i konfigurationen af et AI-værktøj betød, at interne data potentielt blev tilgængelige for en amerikansk tjeneste. Det rejser spørgsmål på mindst tre niveauer: om teknisk sikkerhed, om juridisk compliance (overholdelse af regler) og om politisk ansvar for offentlig it-indkøb.
Folketinget og regeringen har endnu ikke vedtaget en samlet national strategi for, hvordan offentlige myndigheder must håndtere netop dette dilemma: behovet for moderne AI-værktøjer versus forpligtelsen til at beskytte borgernes data.
Det empiriske spørgsmål bag
Det politiske spørgsmål hviler på et empirisk: Hvad ved vi faktisk om, hvor hyppigt den slags fejl sker, hvor alvorlige konsekvenserne er, og om nuværende regler er tilstrækkelige?
Det er ikke ligetil at svare på. Hændelser som den hos Sundhedsdatastyrelsen anmeldes ikke altid, og selv når de gør, er det svært at vurdere, om data faktisk er blevet brugt, kopieret eller videresolgt. Forskning på området trækker primært på data fra USA og fra sektorer med stærkere rapporteringspligt end den danske offentlige sektor.
Hvad ved vi
GDPR og amerikanske regler beskytter ikke data på samme måde ✓✓
Det er veldokumenteret, at EU's databeskyttelsesforordning, GDPR, og de amerikanske regler for databeskyttelse bygger på fundamentalt forskellige principper. En sammenlignende analyse fra 2024 viser, at GDPR hviler på et forudgående samtykke og princippet om dataminimering – altså at man kun må indsamle de data, der er strengt nødvendige – mens de amerikanske regler i langt højere grad er sektorspecifikke og tillader indsamling, medmindre borgeren aktivt fravælger det. Det betyder, at en amerikansk AI-tjeneste som udgangspunkt opererer efter en anden logik end den, GDPR kræver.
Sundhedsdata er særligt risikable i cloud-miljøer ✓
En international undersøgelse af globale rammer for sundhedsdataprivacy fra 2025 konkluderer, at cloud-baserede systemer i sundhedssektoren udgør en særlig risiko, fordi data er fragmenterede og distribuerede på tværs af systemer, som en enkelt organisation ikke fuldt ud kontrollerer. Det gælder i særdeleshed, når AI-tjenester behandler data i realtid, som det er tilfældet med mange produktivitetsværktøjer.
Compliance-krav skaber bedre datasikkerhed – men efterlevelsen halter ✓
En analyse fra 2024 af AI-implementeringer i den amerikanske sundhedssektor konkluderer, at organisationer med stærk compliance-kultur og klare databehandleraftaler faktisk opnår bedre datasikkerhed. Men den samme analyse peger på, at mange organisationer mangler de ressourcer og den ekspertise, der skal til for at implementere kravene korrekt i praksis. Det er næppe anderledes i den danske offentlige sektor.
Databrud i sundhedssektoren er hyppige og underrapporterede ✓
En gennemgang fra 2025 af cybersikkerhed og compliance i den amerikanske sundhedssektor dokumenterer, at databrud er udbredte, og at mange hændelser ikke rapporteres rettidigt eller fuldt ud. Selv om den amerikanske og danske kontekst er forskellig, peger mønstret på en strukturel udfordring: organisationer mangler ofte overblik over, præcis hvilke data der flyder igennem hvilke systemer.
Hvad ved vi ikke
Der er betydelige huller i vores viden.
Vi ved ikke, hvad der konkret skete med dataene hos Sundhedsdatastyrelsen. Ingeniørens artikel beskriver, at fejlen fandt sted, men ikke om data faktisk blev læst, gemt eller viderebehandlet af det amerikanske AI-værktøj. Det er en afgørende forskel juridisk og sikkerhedsmæssigt – men svaret er ikke offentligt tilgængeligt.
Vi ved ikke, hvor udbredt problemet er i resten af den danske offentlige sektor. Sundhedsdatastyrelsen er næppe den eneste myndighed, der bruger AI-produktivitetsværktøjer. Men der eksisterer ingen systematisk kortlægning af, hvilke myndigheder der bruger hvilke tjenester, og hvordan de er konfigureret.
Vi ved ikke, om nuværende tilsynsmekanismer er tilstrækkelige. Datatilsynet i Danmark fører tilsyn med GDPR-overholdelse, men det er uklart, om tilsynet har kapacitet og teknisk ekspertise til at holde trit med den hastige implementering af AI-værktøjer i det offentlige.
Vi ved ikke, om databehandleraftaler reelt beskytter. Selv om en organisation indgår en databehandleraftale med en AI-udbyder, er det et åbent spørgsmål, om aftalerne i praksis håndhæves, og om de dækker alle de måder, data faktisk behandles på i komplekse AI-systemer.
Hvad eksperter er uenige om
Er det primært et teknisk eller et organisatorisk problem? ~
Nogle eksperter argumenterer for, at hændelser som den hos Sundhedsdatastyrelsen primært skyldes tekniske fejlkonfigurationer, der kan løses med bedre it-governance og klarere procedurer. Andre mener, at problemet er strukturelt: offentlige organisationer har simpelthen ikke de kompetencer og ressourcer, der skal til for at implementere komplekse AI-systemer forsvarligt, og det kan ikke løses med en checkliste.
Er amerikanske AI-tjenester grundlæggende uforenelige med GDPR i sundhedssektoren? ~
Her er der reel faglig uenighed. En position er, at det er teknisk og juridisk muligt at bruge amerikanske AI-tjenester i overensstemmelse med GDPR, hvis man konfigurerer dem korrekt og indgår de rette aftaler. En anden position er, at de fundamentale forskelle mellem EU- og USA-regulering – dokumenteret i den komparative analyse fra 2024 – gør det ekstremt svært i praksis, særligt efter EU-Domstolens afgørelser om datatransfer til USA (Schrems I og II).
Bør det offentlige bruge europæiske alternativer? ⚖
Dette er delvist et værdispørgsmål. Argumentet for europæiske alternativer handler om suverænitet og regelefterlevelse. Argumentet imod handler om, at europæiske AI-tjenester ofte er teknologisk underlægne og dyrere. Her er eksperterne ikke så meget uenige om fakta som om, hvilken risiko man er villig til at acceptere, og hvem der skal bære omkostningen.
Er individuelle hændelser et symptom på systemfejl i offentlig it-indkøb? ~
Nogle eksperter peger på, at offentlige it-indkøb i Danmark – og Europa generelt – er struktureret på en måde, der prioriterer pris og funktionalitet over datasikkerhed. Indkøbsprocedurer er ikke designet til at stille de rigtige spørgsmål om, hvordan AI-tjenester faktisk behandler data. Andre mener, at problemet snarere er mangel på kompetencer hos de konkrete brugere og it-afdelinger, og at strukturerne er tilstrækkelige, hvis de bruges rigtigt.
Konklusion
Hændelsen hos Sundhedsdatastyrelsen er ikke en isoleret teknisk fejl. Den er et eksempel på en systematisk udfordring: Offentlige myndigheder implementerer AI-værktøjer i et tempo og på en måde, der ikke altid er foreneligt med de databeskyttelsesforpligtelser, de er underlagt.
Forskningen er klar på ét punkt: GDPR og amerikanske dataregimer er grundlæggende forskellige, og sundhedsdata er særligt følsomme i cloud-baserede systemer. Det er veletableret viden. Det er også veldokumenteret, at organisationer med stærk compliance-kultur klarer sig bedre – men at mange mangler ressourcer til at leve op til det.
Det, vi ikke ved, er mindst lige så vigtigt: Vi kender ikke omfanget af problemet på tværs af den danske offentlige sektor. Vi ved ikke, om tilsynet er tilstrækkeligt. Og vi ved ikke, om de databehandleraftaler, der indgås, reelt holder, hvad de lover.
Det politiske svar bør ikke være at forbyde AI-værktøjer i det offentlige. Men det bør heller ikke være at håbe, at det hele nok går godt. Det kræver systematisk kortlægning, kompetenceopbygning og et tilsyn, der kan holde trit med teknologiudviklingen. Alternativet er, at borgernes mest følsomme data forvaltes på tillid snarere end på viden.
Kilder
- Fejl hos Sundhedsdatastyrelsen: Kom til at give amerikansk AI-værktøj adgang til interne data – Ingeniøren
- Evaluating the Impact of Data Protection Compliance on AI Development and Deployment in the U.S. Health sector – Yowetu, Utomi & Osifowokan (2024)
- DATA PRIVACY LAWS AND COMPLIANCE: A COMPARATIVE REVIEW OF THE EU GDPR AND USA REGULATIONS – Bakare, Adeniyi & Akpuokwe (2024)
- Data privacy in healthcare: Global challenges and solutions – Conduah, Ofoe & Siaw-Marfo (2025)
- Strengthening Compliance with Data Privacy Regulations in U.S. Healthcare Cybersecurity – Balogun (2025)