For behandlere · Regelverk og KI

Regelverket for KI i helsetjenesten – hva som faktisk gjelder nå

Regelverket for KI i helsetjenesten omtales som om det nettopp har trådt i kraft. Det har det ikke – ikke her. KI-forordningen er ikke innlemmet i EØS-avtalen og binder ingen norsk behandler i dag. Det som binder deg, er regler du alt kjenner.

Oppdatert august 2026 10 min lesetid 11 kilder

Forordningen gjelder ikke her

EUs KI-forordning – forordning (EU) 2024/1689, ofte kalt AI Act – er merket som EØS-relevant. Det er ikke det samme som at den gjelder: rettsakten må først innlemmes ved beslutning i EØS-komiteen, og Stortingets samtykke må innhentes før ikrafttredelse.

EFTAs faktaark viser fire trinn. Bare det første er huket av: «under scrutiny for incorporation into the EEA Agreement». Ikke engang et utkast til komitébeslutning behandles.

Lovprosessen sier det samme. Utkast til KI-lov var på høring fra 30. juni 2025, og 4. august 2026 varslet regjeringen ny høring høsten 2026 med mål om Stortinget våren 2027. Ikrafttredelse er ikke datofestet. Verken forbudene i artikkel 5, kompetansekravet i artikkel 4, åpenhetspliktene i artikkel 50 eller høyrisikoreglene har rettsvirkning her.

Forordningen har likevel betydning her: leverandører som selger inn i EU må etterleve den, og kravene forplanter seg gjennom produktene.

Hva som gjelder i EU – og datoene

Forordningen trådte i kraft 1. august 2024, med trinnvis anvendelse. Tre datoer har passert: kapittel I og II fra 2. februar 2025 (kompetansekravet i artikkel 4 og forbudene i artikkel 5), generelle KI-modeller og sanksjoner fra 2. august 2025, åpenhetspliktene i artikkel 50 fra 2. august 2026.

Den fjerde datoen er endret. Forordning (EU) 2026/1744 – «Digital Omnibus on AI» – vedtatt 8. juli 2026, publisert 24. juli, i kraft 27. juli – utsatte høyrisikopliktene:

• Vedlegg III, frittstående systemer: fra 2. august 2026 til 2. desember 2027.
• Vedlegg I, KI i regulerte produkter som medisinsk utstyr: fra 2027 til 2. august 2028.

Uendret står artikkel 26 om pliktene til den som bruker systemet, og artikkel 86 om rett til forklaring.

Risikokategoriene og helse-KI

Forordningen sorterer systemer i fire nivåer etter hva de brukes til, ikke etter hvor avansert teknologien er – samme formålslogikk som i utstyrsregelverket.

Et transkriberingsverktøy i privat praksis treffes normalt ikke av vedlegg III – ikke fordi verktøyet er enkelt, men fordi punkt 5 er avgrenset til offentlige myndigheter og akuttmedisinsk triagering. Vurderingen ligger derfor i artikkel 6 nr. 1: er verktøyet medisinsk utstyr?

Pliktene for deg som bruker

Forordningen skiller mellom «provider», leverandøren som setter systemet på markedet, og «deployer», den som bruker det i yrkessammenheng. Kjøper du et verktøy, er du ibruktaker – en rolle med selvstendige plikter.

Artikkel 26 gjelder ibruktakere av høyrisikosystemer: ikke i Norge, og i EU først fra 2027 eller 2028. Hovedpunktene er likevel verdt å kjenne:

• Følge bruksanvisningen, og legge kontrollen til personer med «necessary competence, training and authority».
• Overvåke driften, varsle leverandøren ved alvorlig hendelse og stanse bruken ved risiko.
• Oppbevare automatisk genererte logger i minst seks måneder.
• Informere ansatte før systemet tas i bruk, og bruke leverandørens informasjon i DPIA-en.

To plikter i artikkel 50 ligger nærmere en liten praksis. Nr. 3 pålegger den som bruker følelsesgjenkjenning å informere dem som utsettes for det. Nr. 4 krever at KI-generert innhold merkes – men for tekst publisert for å informere offentligheten gjelder et unntak der innholdet har gjennomgått reell redaksjonell kontroll. En KI-assistert fagtekst du har gått gjennom, og som står i ditt navn, utløser altså ikke merkeplikt. Se markedsføringsreglene for helsepersonell.

Når verktøyet blir medisinsk utstyr

Dette regelverket gjelder i Norge nå og avgjør mest i praksis. MDR og IVDR er produktrettede og gjelder uansett profesjon. Kjernespørsmålet er om verktøyet har et medisinsk formål: å diagnostisere, forebygge, overvåke, behandle eller lindre.

Veilederen MDCG 2019-11 ble revidert 17. juni 2025. Rev.1 innfører begrepet «medical device artificial intelligence» (MDAI), utvider regel 11 til programvare som «informs clinical prognosis or prediction», og krever at hver modul vurderes selvstendig. At hovedfunksjonen er transkribering, fritar ikke en modul som foreslår koder.

Tabellen er vår tolkning, ikke en myndighetsuttalelse. For hybridverktøy finnes ingen avklaring.

Å ta i bruk noe som ikke er CE-merket

Plikten til CE-merking ligger på produsenten – du bryter ikke utstyrsregelverket ved å kjøpe noe. Men du kan bli produsent ved å endre formålet: bruker du et generelt verktøy systematisk til å vurdere symptomer eller foreslå tiltak, nærmer du deg å ha tillagt produktet et medisinsk formål. KI-vettregel 4: «Sjekk om KI-verktøyet er CE-merket, hvis du skal bruke det til medisinske formål.»

Spørsmålet er derfor ikke «er verktøyet CE-merket?», men «bruker jeg det til et medisinsk formål?». Er svaret ja og merkingen mangler, er verktøyet enten feilklassifisert eller brukt utenfor sitt formål. Ingen av delene er ditt lovbrudd etter MDR, men begge blir ditt problem i en tilsynssak og for ansvaret.

Det som faktisk binder deg i dag

Fjern KI-forordningen, og fire lag står igjen.

Forsvarlighetskravet i helsepersonelloven § 4 er en rettslig standard som flytter seg med faget. Tre ting følger av det: verktøyvalget er en faglig og ikke en innkjøpsmessig beslutning, du må forstå begrensningene godt nok til å oppdage feil, og å signere et notat du ikke har lest er brudd på § 4 uansett hva som skrev det. Kravet er dobbeltvirkende: blir KI-støtte alminnelig norm, kan det å ikke bruke den bli et spørsmål om forsvarlighet.

Journalføringsplikten i §§ 39 og 40 er også grunnlaget Helsedirektoratet peker på for at KI-transkribering er lovlig: behandlingsgrunnlaget er dokumentasjonsplikten, ikke samtykke. Det er utdypet i hvilke pasientopplysninger du kan dele med KI og i pasientjournal: lovkrav og systemvalg.

Er du ikke autorisert helsepersonell, er bildet et annet. Utøvere av alternativ behandling har taushetsplikt etter alternativ behandlingsloven § 4, men ingen journalplikt, og kan ikke bygge KI-bruk på dokumentasjonsplikten. Se alternativ behandling i Norge.

Normen og KI-vettreglene

Den ferskeste norske veiledningen kommer ikke fra Datatilsynet, men fra Helsedirektoratet og Normen. Faktaarket «Trygg bruk av KI i dokumentasjon av helsehjelp (tale-til-utkast)» fra 8. mai 2026 er hoveddokumentet, med ti kapitler om lovlighet, verktøyvalg, ansvar, samtykke og kvalitetssikring. Kravene er at bruken må være forsvarlig, at verktøyet må være «egnet og trygt», og at du må ha kontroll på det som havner i journalen. KI-vettreglene fra 15. september 2025 er ni korte regler; tre er juridiske: gi aldri fra deg sensitiv informasjon, sjekk CE-merking ved medisinske formål, vær åpen om KI-bruken.

Normen er likevel en bransjenorm, ikke en sertifiseringsordning – ingen leverandør kan legge fram samsvarssertifisering, bare en egenerklæring. Se GDPR og Normen i praksis.

Informasjonsplikten overfor pasienten

Skillet mellom hjemmel og anbefaling går i mildere retning enn mange tror.

Krav: Pasienten har rett til informasjon om innholdet i helsehjelpen etter pasient- og brukerrettighetsloven § 3-2, og virksomheten har informasjonsplikt etter personvernforordningen artikkel 13. Den dekker at et KI-verktøy brukes, hvem som er databehandler og hvor lenge noe lagres, og oppfylles enklest i personvernerklæringen.

Ikke krav: Normen-faktaarket av 8. mai 2026 er utvetydig: «Nei, det er ikke nødvendig å be pasienten om samtykke til bruk av tale-til-utkast i journalføringen.» Direktoratet legger til grunn at samtykke til helsehjelp omfatter KI-verktøy «på samme måte som bruk av annen teknologi».

Anbefaling: Direktoratet mener det «generelt er tillitsvekkende at helsepersonell informerer pasienter ved bruk av ny teknologi». Normen anbefaler at pasienten får vite hva systemet gjør, at ansvaret ligger hos deg, og at hun kan nekte – og nekter hun, dokumenterer du manuelt. Her ligger en spenning: faktaarket sier både at samtykke ikke er nødvendig og at pasienten kan nekte, uten å angi hjemmelen. Mest presist: grunnlaget er journalføringsplikten, men pasienten kan motsette seg.

Hvem fører tilsyn

Nkom er pekt ut som koordinerende markedstilsynsmyndighet for KI-forordningen, men skriver selv at «den nasjonale organiseringen i sin helhet ikke er bestemt enda». KI Norge – Digdir, Datatilsynet og Nkom – skal gi veiledning. Ingen myndighet er utpekt som KI-tilsyn for helsesektoren.

I dag er det tilsyn etter reglene som allerede gjelder. Statens helsetilsyn fører tilsyn med om forsvarlig helsehjelp ivaretas ved bruk av IKT-løsninger, og deltar i det nasjonale koordineringsprosjektet for KI. Men Helsetilsynet har ingen publiserte tilsynssaker om KI-bruk – de IKT-relaterte rapportene gjelder medisindispensere og IKT-bortfall. Det finnes altså ingen norsk tilsynspraksis om KI, bare alminnelig forsvarlighetspraksis.

Ett sted å henvende seg finnes: den tverretatlige veiledningstjenesten for KI i helse, med jurister fra Helsedirektoratet, Direktoratet for medisinske produkter og Helsetilsynet. Den svarer ikke på enkeltsaker, og Datatilsynet er ikke med.

De åpne spørsmålene

Fem spørsmål er reelt uavklarte.

• Når trer forordningen i kraft i Norge, og samlet? EØS-innlemmelsen er ikke påbegynt formelt, og hva som skjer med frister som alt har passert, er ubesvart.
• Hvor går grensen mellom tale-til-utkast og beslutningsstøtte? Moderne verktøy gjør begge deler samtidig, og Rev.1 gir ingen terskel.
• Blir du produsent ved å bruke et generelt verktøy medisinsk? Ikke avklart; ingen norsk praksis finnes.
• Må pasienten informeres når KI påvirker vurderingen? § 3-2 gir rett til informasjon om «innholdet i helsehjelpen», men om beslutningsstøtte er en del av det, er ikke besvart.
• Hva betyr «egnet og trygt verktøy» i Normens forstand? Kravet er reelt, men uoperasjonalisert: ingen sertifisering, ingen kriterier.

Fraværet av avklaring fjerner ikke ansvaret – det flytter det til deg. Svaret blir det samme hver gang: skriv ned hvilket verktøy du bruker, til hva, hvilket grunnlag du mener å ha, og hva du har spurt leverandøren om – og dater notatet. Forsvarlig bruk i det daglige er tema i bruksområder for KI i praksis og KI-opplæring for behandlere, det kliniske bildet i KI og legeyrket og å bruke KI som pasient. Oversikten fra før står i KI i journalnotater, skrevet før omnibusen.

Spørsmål og svar