GDPR og KI i helsetjenesten: dette må du vite som behandler

GDPR er ikke til hinder for å bruke KI i journalføringen. Behandlingen av pasientopplysninger har grunnlag i dokumentasjonsplikten, men virksomheten må ha databehandleravtale med leverandøren, vite hvor opplysningene behandles, slette lydopptak og råfil når notatet er ferdig og vurdere risikoen før verktøyet tas i bruk.

Her går vi gjennom reglene, med lenker til kildene. Artikkelen forklarer hva regelverket og Helsedirektoratet sier. Den er ikke juridisk rådgivning for din virksomhet.

Hvilke regler gjelder?

Faktaarket og Helsedirektoratets veiledningstjeneste for KI er de mest konkrete kildene. De bygger på reglene over. Hele gjennomgangen av faktaarket står i Er det lov å bruke KI til journalføring?

Hva er behandlingsgrunnlaget?

Helseopplysninger er en særlig kategori personopplysninger. GDPR artikkel 9 forbyr i utgangspunktet behandling av dem, men gjør unntak blant annet når opplysningene behandles for å yte helsehjelp, av personell med taushetsplikt (artikkel 9 nr. 2 bokstav h). I tillegg må behandlingen ha et grunnlag etter artikkel 6.

For KI i journalføringen har veiledningstjenesten svart: Grunnlaget er dokumentasjonsplikten i helsepersonelloven §§ 39 og 40, sammen med GDPR artikkel 6 nr. 1 bokstav c, d eller e og artikkel 9 nr. 2 bokstav h. Det har tre praktiske følger:

• Samtykke er ikke grunnlaget. Det kreves ikke særskilt samtykke fra pasienten til KI-verktøyet. Pasienten bør likevel informeres, se plakattekst og muntlig mal.
• Grunnlaget dekker journalføringen, ikke annen bruk. Lagring eller bruk av opplysningene til nye formål, for eksempel trening av modeller, krever et eget behandlingsgrunnlag.
• Helsepersonellet avgjør hva som skal inn. Bare relevante og nødvendige opplysninger skal i journalen.

Normen sier at behandlingsgrunnlaget skal dokumenteres, for eksempel i protokollen over behandlinger (Normen 4.1).

Hvem er behandlingsansvarlig, og hvem er databehandler?

Virksomheten som yter helsehjelpen, for eksempel legekontoret, klinikken eller kommunen, er behandlingsansvarlig. Normen bruker ordet dataansvarlig. Leverandøren av KI-verktøyet er som regel databehandler, fordi den behandler opplysningene på vegne av virksomheten.

Da kreves en skriftlig databehandleravtale etter GDPR artikkel 28. Normens faktaark 10 presiserer at det er nok at leverandøren lagrer opplysningene, og at kravet gjelder også når opplysningene er kryptert. Leverandøren kan bare bruke underleverandører (underdatabehandlere) med virksomhetens skriftlige tillatelse, og alle hos leverandøren som kan få tilgang til opplysningene, skal være underlagt taushetsplikt (Normen 5.7).

Ansvaret for pasientopplysningene ligger hos virksomheten selv om leverandøren gjør jobben. Normen sier at den dataansvarlige har ansvaret for at kravene til informasjonssikkerhet og personvern følges gjennom hele leveransekjeden.

Hva avtalen skal inneholde, står punkt for punkt i sjekklisten for databehandleravtale og DPIA.

Må data lagres i Norge eller EU/EØS?

Nei, ikke etter GDPR. Loven tillater overføring til land utenfor EØS når det finnes et gyldig overføringsgrunnlag etter GDPR kapittel V. Mange velger likevel leverandører som behandler data i EU/EØS, fordi det gjør vurderingen enklere.

Datatilsynet skriver at all overføring ut av EØS krever et særskilt grunnlag, og at virksomheten må vurdere om grunnlaget faktisk virker i praksis (Datatilsynet). De vanligste grunnlagene er:

• Beslutning om tilstrekkelig beskyttelsesnivå (adekvansbeslutning). EU-kommisjonen har godkjent enkelte land. For USA gjelder det bare virksomheter som er sertifisert under EU-U.S. Data Privacy Framework (Datatilsynets oversikt).
• Egnede garantier, typisk EUs standardkontrakter (standard personvernbestemmelser). Da må virksomheten også vurdere om garantiene virker i mottakerlandet, og eventuelt sette inn tilleggstiltak. Dette følger av Schrems II-dommen.

Tre ting er lette å overse:

1. Fjerntilgang kan være overføring. Datatilsynet nevner at fjerntilgang fra et datterselskap i samme konsern utenfor EØS regnes som overføring. Spør derfor også om support og drift.
2. Underleverandørene teller. Det holder ikke at hovedleverandøren er norsk. Spør hvor hver underleverandør behandler data.
3. Helsedirektoratet har en egen anbefaling. Faktaarket sier at opplysninger som behandles eller lagres i andre land, skal være i områder som ivaretar personvernet på en tilsvarende måte som Norge og EØS.

Normen krever i tillegg at virksomheten har oversikt over hvor data behandles geografisk når den bruker skytjenester (Normen 5.7.9).

Dataminimering og sletting

GDPR artikkel 5 krever at opplysningene er begrenset til det som er nødvendig (dataminimering), og at de ikke lagres lenger enn nødvendig (lagringsbegrensning). For tale-til-utkast har Helsedirektoratet gjort dette konkret:

• Lydopptak og råfil kan oppbevares til helsepersonellet har vurdert hva som er relevant og nødvendig, og notatet er skrevet.
• Når notatet er kvalitetssikret og ferdigstilt, er resten overskuddsinformasjon som må slettes. Faktaarket sier senest ved godkjenning i journal.
• Ingen data kan eller skal brukes til re-trening av modeller med grunnlag i dokumentasjonsplikten.
• KI kan dokumentere mer enn nødvendig. Det som ikke er relevant og nødvendig, skal ikke journalføres.

Spør leverandøren konkret når lyd, transkripsjon og utkast slettes, også i logger og sikkerhetskopier, og om dere kan slette selv.

Må vi gjennomføre en DPIA?

En vurdering av personvernkonsekvenser (DPIA) er påkrevd når behandlingen sannsynligvis gir høy risiko for pasientenes rettigheter og friheter (GDPR artikkel 35). Normen 3.5 sier at høy risiko blant annet kan oppstå ved bruk av ny teknologi og når helseopplysninger behandles i stor skala, og at vurderingen skal gjøres før behandlingen starter.

Datatilsynets liste over behandlinger som alltid krever DPIA, omfatter behandling med innovativ teknologi kombinert med minst ett annet kriterium, for eksempel særlige kategorier personopplysninger (Datatilsynet). Tale-til-utkast kombinerer helseopplysninger og ny teknologi. Datatilsynet anbefaler å gjennomføre en DPIA når det er tvil. Konkluderer dere med at den ikke trengs, bør begrunnelsen dokumenteres.

Uansett krever Normen en risikovurdering før dere tar i bruk et nytt system som behandler helseopplysninger. En kort DPIA-mal finner du i sjekklisten for databehandleravtale og DPIA.

Hva sier Normen 7.0?

Normen er helse- og omsorgssektorens bransjenorm for informasjonssikkerhet og personvern. Gjeldende versjon er 7.0, vedtatt 25. september 2025. Den gjelder for virksomheter som ved avtale har forpliktet seg til å følge den. Det viktigste for KI-verktøy:

• Risikovurdering før en ny behandling eller et nytt informasjonssystem tas i bruk (kapittel 3.4).
• DPIA ved sannsynlig høy risiko (kapittel 3.5).
• Krav til leverandøravtaler: databehandleravtale, godkjenning av underleverandører, og at leverandøren melder avvik uten ugrunnet opphold, så virksomheten kan overholde fristen på 72 timer for å melde brudd til Datatilsynet (kapittel 5.7).
• Oversikt over hvor data behandles geografisk ved bruk av skytjenester (kapittel 5.7.9).

Faktaarket om tale-til-utkast er et faktaark til Normen. For små kontorer har Normen også en veileder for små helsevirksomheter.

Hva gjør vi hvis noe går galt?

Et brudd på personopplysningssikkerheten kan for eksempel være at et notat havner i feil pasients journal, at et opptak ikke blir slettet, eller at uvedkommende får tilgang til verktøyet. Virksomheten skal melde brudd til Datatilsynet innen 72 timer etter at den ble kjent med det, med mindre det er usannsynlig at bruddet gir risiko for pasientenes rettigheter og friheter (GDPR artikkel 33). Normen krever at leverandøren melder avvik til virksomheten uten ugrunnet opphold, slik at fristen kan overholdes.

Lag derfor en enkel rutine på forhånd:

• Hvem på kontoret vurderer avvik og melder til Datatilsynet?
• Hvordan varsler leverandøren dere, og hvordan varsler dere leverandøren?
• Hvor føres avviket, slik at dere kan lære av det?

Faktaarket om tale-til-utkast ber også virksomheten følge opp avvik og erfaringer med verktøyet. Gjentakende feil i utkastene bør meldes til leverandøren. Er verktøyet medisinsk utstyr, har helsetjenesten i tillegg plikt til å melde alvorlige hendelser som har eller kan ha sammenheng med utstyret, på melde.no (DMP).

Pasientens rettigheter: informasjon og innsyn

• Informasjon. Pasienten har rett til informasjon om helsehjelpen, og virksomheten skal informere om hvordan personopplysninger behandles (GDPR artikkel 13). Helsedirektoratet anbefaler å informere om bruk av KI, for eksempel med en plakat på venterommet.
• Innsyn. Pasienten har rett til innsyn i journalen (pasient- og brukerrettighetsloven § 5-1) og i opplysninger om seg selv (GDPR artikkel 15). Lydopptak og råfil regnes som en del av journalen så lenge de finnes.
• Ønske om å slippe KI. Helsedirektoratet anbefaler å ta hensyn til pasienter som ikke ønsker at tale-til-utkast brukes, og å føre journal på vanlig måte.

Hva med KI-forordningen og EHDS?

GDPR gjelder uansett. EUs KI-forordning kommer i tillegg, men gjelder ikke i Norge ennå, se KI-forordningen for klinikere. Det europeiske helsedataområdet (EHDS) får gradvis betydning fra 2027, se EHDS for helsepersonell. Ingen av dem erstatter GDPR.

Sjekkliste: personvern før dere tar i bruk et KI-verktøy

1. Bruk et verktøy som er laget for dokumentasjon av helsehjelp, ikke et åpent KI-verktøy.
2. Inngå databehandleravtale, gjerne med utgangspunkt i Helsedirektoratets standardavtale.
3. Få oversikt over underleverandører og hvilke land opplysningene behandles i, også ved support og drift.
4. Kontroller overføringsgrunnlaget hvis noe behandles utenfor EØS.
5. Avklar slettetider for lyd, transkripsjon og utkast, og at ingenting brukes til trening.
6. Gjør en risikovurdering etter Normen, og en DPIA eller en dokumentert vurdering av hvorfor den ikke trengs.
7. Oppdater protokollen over behandlinger og personverninformasjonen til pasientene.
8. Informer pasientene, og ha en rutine for dem som sier nei.
9. Gi opplæring, og gå gjennom bruken på nytt når verktøyet endres.

Les leverandørens egen dokumentasjon før dere bestemmer dere. Skrift.md beskriver for eksempel databehandlingen på siden om datasikkerhet og oppgir: Data behandles i EU og brukes ikke til trening av KI-modeller. Sjekk alltid slike opplysninger mot databehandleravtalen.