Patientdata och amerikanska AI-tjänster i vården
Ja, men bara med tydliga förbehåll. Patientdata är känsliga personuppgifter, så vårdgivaren måste kunna visa var data lagras, transiteras och bearbetas, vilken rättslig mekanism som bär en eventuell tredjelandsöverföring och hur riskerna hanteras. I praktiken börjar de flesta med flöden utan direkta patientuppgifter och ställer skriftliga krav på datahanteringen innan känsliga data övervägs.
Frågan ställs i varje region och på varje privat vårdgivare just nu: AI kan avlasta dokumentation, sammanfattning och administration – men de starkaste modellerna kommer från amerikanska leverantörer, och patientdata hör till de känsligaste uppgifter GDPR känner. Svaret är inte ett blankt nej. Det är ett ja med förbehåll, i rätt ordning och med dokumentationen på plats.
Utgångsläget: patientdata kräver full spårbarhet
Patientuppgifter är känsliga personuppgifter enligt GDPR:s artikel 9. Det höjer kraven på hela kedjan: innan en amerikansk AI-tjänst ens övervägs för vårddata måste leverantörsvalet kunna visa tre saker.
- Var data faktiskt behandlas. Inte bara var den lagras, utan var den transiteras och – viktigast – var inferensen sker, alltså själva beräkningen när modellen läser och besvarar en förfrågan.
- Vilken rättslig mekanism som bär överföringen. Sker någon del av behandlingen i USA, eller kan amerikansk personal komma åt data, behövs en giltig överföringsmekanism och en dokumenterad analys av den.
- Hur riskerna hanteras. En konsekvensbedömning (DPIA) är i praktiken obligatorisk när hälsodata möter ny teknik.
Kan leverantören inte svara skriftligt på var lagring, transit och inferens sker är utredningen klar: den vägen är inte redo för patientdata.
HIPAA-avtal är en signal – inte ett svar
Amerikanska leverantörer möter ofta vårdfrågan med sina inhemska konstruktioner. Anthropic erbjuder HIPAA-anpassade avtal (BAA) på begäran, och OpenAI hanterar motsvarande via en godkänd healthcare-nivå. Det säger något positivt: leverantören har processer för vårddata och är van vid reglerade kunder.
Men HIPAA är amerikansk vårdlagstiftning. Ett BAA ersätter inte en enda del av GDPR-analysen – rättslig grund, överföringsmekanism, biträdesavtal och DPIA måste fortfarande finnas på plats enligt europeiska regler. Behandla HIPAA-stödet som ett mognadsbevis att väga in, aldrig som ett godkännande att luta sig mot.
AI-förordningen kan höja ribban ytterligare
GDPR är inte den enda regelmassan. EU:s AI-förordning klassar vissa hälsorelaterade användningar som högrisk enligt bilaga III, och för högrisksystem gäller skärpta krav på riskhantering, dokumentation och mänsklig kontroll. Offentliga vårdgivare ska dessutom göra en konsekvensbedömning för grundläggande rättigheter – FRIA enligt artikel 27 – innan ett högrisksystem tas i drift.
Klassningen beror på användningen, inte på tekniken i sig. Ett skrivstöd för administrativa texter är något helt annat än ett system som påverkar triagering eller vårdbeslut. Definiera därför exakt vad AI:n ska göra innan juridiken bedöms – annars bedöms fel sak.
Den pragmatiska vägen: börja där patientdata inte finns
Det praktiska misstaget är att börja i den känsligaste änden. Ordningen som fungerar ser ut så här:
| Steg | Vad som ingår |
|---|---|
| 1. Flöden utan patientuppgifter | Utkast till patientinformation, rutindokument, utbildningsmaterial, intern kunskapssökning i icke-känsligt material |
| 2. Skriftliga krav på plats | Zero data retention eller dokumenterat modifierad övervakning, besked om lagring, transit och inferens, underbiträdeslista |
| 3. Skärpta tekniska villkor | Kundkontrollerade krypteringsnycklar där det erbjuds, EU-behandling som aktiv konfiguration, loggning och åtkomstkontroll |
| 4. Först nu: känsliga flöden | DPIA klar, eventuell FRIA klar, pilot med begränsad omfattning och löpande granskning |
Ett konkret scenario: en vårdcentral låter AI skriva utkast till kallelsebrev, patientbroschyrer och interna rutiner – texter helt utan patientuppgifter. Under tiden utreder verksamheten juridiken för journalnära flöden, ställer de skriftliga kraven till leverantören och bygger vana vid granskning och kvalitetskontroll. När det känsliga steget väl prövas finns både kompetensen och pappersspåret.
Vi på Weapp bygger AI-lösningar enligt samma princip: nyttan först där riskerna är låga, och arkitektur som klarar skärpta krav när användningen växer.
Datera bedömningen – vägledningen rör sig
Tillsynsvägledningen kring AI i vården utvecklas löpande, både från svenska tillsynsmyndigheter och på EU-nivå. Det som bedöms som en godtagbar konstruktion i dag kan behöva omprövas efter nästa vägledning eller avgörande.
Skriv därför datum på varje bedömning, notera vilka besked och versioner av leverantörsvillkor den bygger på, och bestäm en omprövningspunkt – till exempel årligen eller vid varje väsentlig villkorsändring. En daterad analys som revideras är ett starkt skydd vid granskning. En odaterad analys som ingen äger är nästan lika illa som ingen alls. Osäker på var er organisation står? Hör av dig så hjälper vi till att strukturera bedömningen.
Vanliga frågor
Är det förbjudet för vården att använda amerikanska AI-tjänster?
Nej, det finns inget generellt förbud. Men patientdata är känsliga personuppgifter enligt GDPR, och vårdgivaren måste kunna visa rättslig grund, en giltig mekanism för eventuella tredjelandsöverföringar och en dokumenterad riskanalys. Kraven är höga – men de går att uppfylla med rätt konfiguration och dokumentation.
Vad är ett HIPAA BAA och räcker det i Sverige?
Ett Business Associate Agreement är ett amerikanskt vårdavtal som reglerar hur en leverantör hanterar patientdata enligt HIPAA. Att en leverantör erbjuder BAA är en signal om mognad för vårddata, men det ersätter inte GDPR-analysen – svensk vård måste ändå bedöma rättslig grund, överföringar och risker själv.
Måste vi göra en DPIA innan vi inför AI i vården?
I praktiken ja. Behandling av hälsodata med ny teknik är ett typexempel på när en konsekvensbedömning enligt GDPR krävs. Därtill kan offentliga vårdgivare behöva göra en konsekvensbedömning för grundläggande rättigheter, FRIA, enligt AI-förordningen innan ett högrisksystem tas i drift.
Vilka AI-flöden kan vården börja med?
Flöden utan direkta patientuppgifter: utkast till patientinformation, administrativa texter, sammanfattning av riktlinjer och rutiner, kodstöd för IT-avdelningen. De ger organisationen erfarenhet, rutiner och beslutsunderlag utan att känsliga uppgifter exponeras.
Vad ska vi kräva av leverantören innan patientdata övervägs?
Skriftliga besked om var lagring, transit och inferens sker, zero data retention eller dokumenterat modifierad övervakning, kundkontrollerade krypteringsnycklar där det erbjuds samt en komplett underbiträdeslista. Marknadsföringssidor och muntliga försäkringar räcker inte som underlag.