GDPR og AI i sundhedssektoren: Det skal din klinik have styr på

Må man overhovedet bruge AI til patientdata? Det korte svar er ja — men kun hvis behandlingen lever op til GDPR og de særlige krav, der gælder for helbredsoplysninger. Her er de spørgsmål, din klinik skal have svar på, før I tager et AI-værktøj i brug.

Helbredsoplysninger er særligt beskyttede

Patientdata hører til GDPR's "særlige kategorier" af personoplysninger og nyder den stærkeste beskyttelse i lovgivningen. Det betyder ikke, at AI er udelukket — det betyder, at kravene til behandlingsgrundlag, sikkerhed og dokumentation er skærpede. Klinikken er dataansvarlig, og AI-leverandøren er databehandler. Ansvarsfordelingen skal være på plads på skrift, før første konsultation optages.

Tjeklisten: Fem krav til din AI-leverandør

• Databehandleraftale. Ufravigelig. Aftalen skal beskrive, hvad der behandles, hvordan, hvor længe — og hvad der sker ved ophør. Hos FlowPilot underskrives den digitalt via portalen.
• Data i EU. Behandles data på servere i EU, eller sendes de til tredjelande? Kræv klar besked — "cloud" er ikke et svar. Dedikerede EU-servere er den rene løsning.
• Sletning. Hvor længe opbevares lydfiler og notater? Det rigtige svar er "kortest muligt": Lydfiler bør slettes umiddelbart efter behandling, og notater bør ikke arkiveres hos leverandøren — journalen bor i journalsystemet.
• Ingen modeltræning. Nogle leverandører forbeholder sig ret til at bruge kundedata til at forbedre deres modeller. Det er uacceptabelt for patientdata. Kræv et klart, kontraktligt nej.
• Kryptering. Data skal være krypteret både under overførsel og under opbevaring.

Patientens rettigheder

Patienten skal informeres om, at AI indgår i dokumentationen — særligt hvis konsultationen optages. Gør informationen kort og konkret: hvad optages, hvad bruges det til, hvornår slettes det. De fleste patienter oplever det som en fordel, at lægen kigger på dem i stedet for skærmen.

Lægens ansvar ændres ikke

GDPR handler om data — men det sundhedsfaglige ansvar følger autorisationsloven, og det flytter AI ikke på. Et AI-genereret notat er et udkast, indtil lægen har godkendt det. Vælg derfor systemer, der er bygget omkring godkendelsesprincippet, og hvor intet gemmes i journalen uden lægens aktive handling.

Kom godt fra start

Vælg en leverandør, der kan svare klart på alle fem punkter i tjeklisten — skriftligt. Kan de ikke det, så gå videre. Læs, hvordan FlowPilot har indrettet sig på sikkerhedssiden, eller skriv til os på info@flowpilot.dk, hvis du vil have svarene på skrift.

← Alle artikler