Din kollega i regionen har lige fået en idé: "Kan vi ikke bare køre patientnoterne gennem ChatGPT, så slipper vi for at skrive dem selv?" Spørgsmålet er forståeligt. Svaret kræver omtanke. For patientdata er ikke bare data. Det er den mest beskyttede kategori i hele GDPR. Den gode nyhed? Det kan lade sig gøre at bruge AI lovligt i sundhedssektoren. Du skal bare vide præcis, hvor linjerne går. Vil du se det samlede juridiske landskab for AI, kan du starte med vores komplette guide til AI, jura og compliance.
Indholdsfortegnelse
- Hvordan beskytter vi patientdata i AI-systemer?
- Hvad siger GDPR om følsomme helbredsoplysninger og AI?
- Kan vi bruge AI til at transskribere patientjournaler lovligt?
Hvordan beskytter vi patientdata i AI-systemer?
Det ærlige svar: ved aldrig at sende patientdata ud af huset, medmindre du har fuldstændig kontrol over, hvor de lander.
Forestil dig en IT-chef i en dansk sundhedsregion, der gerne vil bruge AI til at hjælpe lægesekretærer med at strukturere epikriser. Hvis hun bruger en gratis online-tjeneste, ryger patientens navn, CPR-nummer og diagnose potentielt til en server i USA, hvor dataene kan bruges til at træne fremtidige modeller. Det er ikke et hypotetisk scenarie. Det er præcis den fejl, som flere organisationer allerede har begået med andre typer følsomme data, som du kan læse mere om i vores artikel om datalækager gennem AI-prompts.
Den løsning, der faktisk fungerer, er at insource AI-infrastrukturen. En dansk sundhedsregion har gjort netop det: de valgte en lukket AI-model, som kører på et dansk datacenter. Ingen data forlader landets grænser. Ingen data bruges til modeltræning. Og der er indgået en vandtæt databehandleraftale med leverandøren. Resultatet er, at lægesekretærerne sparer tid, og patienterne beholder deres privatliv.
Tre konkrete krav du bør stille til enhver AI-løsning, der rører patientdata:
- Dataopbevaring i EU, helst Danmark. Spørg leverandøren direkte: "Hvor behandles mine data, og forlader de nogensinde EU?" Acceptér ikke svar som "vores primære servere er i EU". Underservices og underleverandører tæller med.
- Ingen modeltræning på jeres data. Det skal stå sort på hvidt i kontrakten, ikke blot fremgå af en generel privatlivspolitik. Ellers risikerer du, at patientoplysninger siver ind i en offentlig AI-model og dukker op i en anden kundes output.
- En databehandleraftale (DPA), der lever op til GDPR. Vores artikel om kravene til databehandleraftaler for AI-systemer guider dig igennem de specifikke punkter. Herunder hvad der skal stå om underdatabehandlere og slettefrister.
Hvad du konkret bør tjekke, inden du skriver under på en kontrakt med en AI-leverandør:
| Spørgsmål | Acceptabelt svar | Rødt flag |
|---|---|---|
| Hvor kører modellen? | "På vores egne servere i Danmark / EU" | "I skyen" uden nærmere specificering |
| Bruges vores data til træning? | "Nej, aldrig. det fremgår af DPA'en" | "Som standard nej, men.." |
| Hvem er jeres underdatabehandlere? | Komplet liste med lande og formål | "Det kan vi ikke oplyse" |
| Kan vi auditere jer? | "Ja, vi tilbyder tredjepartsrevisioner" | Ingen auditret nævnt i kontrakten |
Hvad siger GDPR om følsomme helbredsoplysninger og AI?
GDPR's Artikel 9 handler om "særlige kategorier af personoplysninger." Tænk på det som et ekstra sikkerhedsrum inde i banken. Almindelige persondata (navn, e-mail) ligger i den almindelige boks. Helbredsoplysninger, genetiske data og biometriske data ligger i den inderste boks med dobbeltlås. Dette understreger vigtigheden af korrekt risikoklassificering af AI-systemer.
Artikel 9 siger som udgangspunkt: det er forbudt at behandle den slags data. Men der er undtagelser, og det er dem, der gør det muligt at bruge AI i sundhedssektoren. De to vigtigste for jer er:
Udtrykkeligt samtykke (Artikel 9, stk. 2, litra a). Patienten har givet en klar, specifik accept af, at vedkommendes data behandles til et bestemt formål. Ikke en generel "jeg accepterer"-knap. Et gyldigt samtykke ser konkret sådan ud:
"Vi bruger et AI-system til at hjælpe vores lægesekretærer med at transskribere diktater til journalnotater. Systemet kører på lukkede servere i Danmark og bruger ikke dine oplysninger til at træne AI-modellen. Du kan til enhver tid bede os om at stoppe med at anvende AI i forbindelse med dine journaler."
En formulering som "vi anvender teknologiske hjælpemidler til at forbedre vores arbejdsgange" udgør ikke et gyldigt samtykke.
Nødvendigt for sundhedsbehandling (Artikel 9, stk. 2, litra h). Hvis AI-behandlingen er nødvendig for at yde sundhedspleje og udføres af en person med tavshedspligt, kan det være lovligt uden samtykke. Men "nødvendigt" er et stærkt ord. En diagnostisk AI, der analyserer røntgenbilleder som en integreret del af behandlingsgangen, falder typisk ind under denne undtagelse. Et AI-værktøj, der sorterer administrative henvendelser, gør typisk ikke.
Du kan ikke sætte et AI-system i drift og bagefter finde ud af, hvilken undtagelse du læner dig op ad. Du skal vide det, før du trykker på start. Og dokumentere det i jeres behandlingsaktivitetsfortegnelse, i jeres DPIA og i DPA'en med leverandøren.
Artikel 9 kræver desuden en Data Protection Impact Assessment (DPIA) ved behandling af helbredsoplysninger i stor skala. En DPIA skal indeholde:
- En beskrivelse af behandlingens formål og nødvendighed
- En vurdering af risici for de registrerede (patienterne)
- De foranstaltninger du har truffet for at imødegå risiciene
- En vurdering af, om restrisikoen er acceptabel
Datatilsynet har en skabelon du kan tage udgangspunkt i. Viser din DPIA en høj restrisiko, som du ikke kan mitigere, er du forpligtet til at konsultere Datatilsynet inden du igangsætter behandlingen.
Kan vi bruge AI til at transskribere patientjournaler lovligt?
Ja. Men kun hvis du gør det rigtigt.
En lægesekretær bruger typisk 30 til 45 minutter per epikrise. Med et AI-transskriberings-værktøj kan den tid halveres, fordi AI'en laver et førstekast, som sekretæren gennemgår og godkender. Den menneskelige gennemgang er ikke "nice to have". Den er et juridisk krav. GDPR kræver, at automatiserede processer med betydelige konsekvenser for en person altid kan overprøves af et menneske. Dette stiller store krav til gennemsigtighed i AI. En forkert transskriberet dosis eller diagnose kan have direkte konsekvenser for patientens behandling.
Her er en konkret opsætning, der fungerer:
1. Lægen dikterer som normalt via godkendt optageudstyr.
2. Lydfilen krypteres og sendes til AI-modellen,
som kører på lukket, dansk infrastruktur.
3. AI-modellen returnerer et transskriberet tekstudkast. ingen data lagres hos leverandøren.
4. Lægesekretæren åbner udkastet i journalsystemet,
gennemgår teksten linje for linje, retter fejl og godkender.
5. Lydfilen slettes automatisk efter X dage
(definer perioden i jeres databehandlingspolitik).
6. Den godkendte journal gemmes i det eksisterende
journalsystem under lægesekretærens initialer.
De fejl, du skal undgå:
- At bruge forbrugerversioner af AI-tjenester. ChatGPT, Gemini og lignende er designet til forbrugere. Deres standardindstillinger er ikke i overensstemmelse med GDPR for behandling af helbredsoplysninger, og de tilbyder typisk ikke de DPA-vilkår, du har brug for.
- At springe DPIA'en over. Transskribering af patientjournaler i stor skala er præcis det scenarie, GDPR's krav om DPIA er skrevet til.
- At lade AI'en godkende sit eget output. Journalen må ikke gemmes automatisk uden menneskelig godkendelse. Det er i strid med GDPR's krav om menneskelig kontrol med automatiserede processer.
- At glemme opbevaringstid på lydfiler. Lydfiler med patientdiktater er personoplysninger. Uden en automatisk slettefrist ophober du data uden hjemmel.
Sådan håndterer du medarbejdere, der finder deres egne løsninger:
Når du ikke tilbyder en sikker løsning, finder medarbejderne deres egne. De åbner et browservindue og taster ind i et gratis værktøj. Vores artikel om håndtering af Skygge-AI forklarer præcis den dynamik.
Den sikreste vej til AI i sundhedssektoren er ikke at forbyde det. Det er at gøre det rigtigt fra starten: vælg lukkede løsninger, stil krav til leverandøren, og sørg for, at medarbejderne forstår både mulighederne og grænserne.
En intern AI-politik skal som minimum indeholde:
- Hvilke AI-værktøjer er godkendt (og hvilke er eksplicit forbudt)
- Hvem der har ansvar for at godkende nye AI-systemer
- Hvad medarbejdere skal gøre, hvis de er i tvivl
- Hvad der sker, hvis politikken overtrædes
Vores artikel om en klar intern AI-politik giver dig en konkret skabelon at arbejde ud fra.
Ofte stillede spørgsmål
Bruno Poulsen er partner i Poulsen & Vinding, et konsulenthus der hjælper danske virksomheder og styrelser med at tage generativ AI i brug i den daglige drift. Han er senior underviser hos Bigum&Co gennem 10+ år og har siden 2023 stået bag AI-implementeringer, foredrag og workshops for blandt andre Lægemiddelstyrelsen, GS1 Danmark, Bornholms Højskole og 30+ bornholmske SMV’er via Business Center Bornholm. Skriver om praktisk anvendelse af AI-værktøjer, prompt engineering og hvordan ledelser kommer i gang mandag morgen kl. 08.00.
