For behandlere · Regelverk
KI i praksis: journalnotater, transkribering og hva som faktisk er lov
Kunstig intelligens er allerede i bruk i norske behandlerpraksiser – til transkribering, til utkast til journalnotat, til epikriser og til pasientinformasjon. Spørsmålet er ikke om det skjer, men om det skjer lovlig. Denne gjennomgangen tar for seg hva som kreves for at bruk av KI på pasientopplysninger skal være i orden, hvorfor journalansvaret uansett er ditt, og hva som fortsatt er uavklart.
Ferskvare – les med dato i bakhodet
Dette feltet endrer seg raskere enn noe annet regelverk som treffer praksisen din. Teksten er oppdatert i august 2026. Enkelte spørsmål er fortsatt uavklarte, og de er merket som det. Kontroller alltid mot datatilsynet.no, Normen og Helsedirektoratets sider om kunstig intelligens før du tar en beslutning. Artikkelen anbefaler ingen navngitte verktøy.
Hva behandlere faktisk bruker KI til
Bruken i privat praksis følger et ganske forutsigbart mønster, og den er nesten alltid drevet av tidspress framfor teknologiinteresse:
- Transkribering av konsultasjoner – opptak som gjøres om til tekst, ofte med et strukturert notat på toppen.
- Utkast til journalnotat fra stikkord etter timen.
- Epikriser, henvisninger og attester – omskriving fra journal til brevform.
- Oversettelse av pasientinformasjon, eller av det pasienten har skrevet.
- Pasientrettet informasjonsmateriell og nettsidetekst.
- Sammendrag av lange journaler før en ny konsultasjon.
De tre første innebærer å behandle særlige kategorier av personopplysninger. Det gjør også den femte hvis eksemplene er hentet fra ekte pasienter. Bare den nest siste og deler av den femte er uproblematiske i utgangspunktet.
Kjerneproblemet: hvor opplysningene havner
I det øyeblikket du limer inn opplysninger om en pasient i et generelt KI-verktøy – en chattetjeneste, en transkriberingsapp, en oversettelsestjeneste – har du overført særlige kategorier av personopplysninger til en tjenesteleverandør du med stor sannsynlighet ikke har databehandleravtale med. Det er et brudd på personvernregelverket i seg selv, uavhengig av om noe kommer på avveie.
Og det stopper ikke der. Overføringen kan gå ut av EØS, opplysningene kan bli brukt til å trene modellen videre, og de kan bli lagret i logger du ikke har innsyn i eller kontroll over. Du kan ikke oppfylle pasientens rett til innsyn i noe du ikke vet hvor er, og du kan ikke slette det. Taushetsplikten etter helsepersonelloven § 21 er dessuten strengere enn personvernregelverket, og gjelder ved siden av: også det at en navngitt person er pasient hos deg, er taushetsbelagt.
Hva som kreves for at bruken skal være lovlig
Skal et KI-verktøy behandle pasientopplysninger, må alt på denne listen være på plass. Ikke det meste – alt.
| Krav | Hva det betyr i praksis |
|---|---|
| Databehandleravtale | Skriftlig avtale med leverandøren, med underleverandører navngitt, varslingsplikt ved brudd, og hva som skjer med data ved opphør. Uten avtale: ikke pasientopplysninger inn. |
| Behandlingsgrunnlag | Både et alminnelig grunnlag etter artikkel 6 og et unntak etter artikkel 9 for helseopplysninger. Se GDPR og Normen i praksis – samtykke er sjelden riktig grunnlag her. |
| Risikovurdering | Skriftlig, før du tar verktøyet i bruk. Hva kan gå galt, hvor sannsynlig, hvilken konsekvens for pasienten, hvilke tiltak. |
| DPIA | Vurdering av personvernkonsekvenser kreves ved sannsynlig høy risiko. Automatisk transkribering av konsultasjoner og systematisk bruk av KI på pasientdata er typiske eksempler. Sjekk Datatilsynets liste. |
| Hosting og overføring | Hvor ligger dataene? Går de ut av EØS, kreves eget overføringsgrunnlag og en vurdering av mottakerlandets regelverk. |
| Ingen trening på dine data | Skal stå skriftlig, ikke i en markedsføringstekst. Forbrukerversjoner av generelle KI-tjenester har ofte motsatt utgangspunkt. |
| Tilgangsstyring og logg | Egen konto per bruker, tofaktor, og logg over hvem som har sett hva – samme krav som til journalsystemet. |
| Samsvar med Normen | Krev dokumentert samsvar. «Vi er GDPR-kompatible» er ikke en dokumentasjon. |
Én setning som avgjør de fleste tilfellene
«Har jeg en skriftlig databehandleravtale med den som får se dette?» Er svaret nei, skal ingen pasientopplysninger inn i verktøyet – uansett hvor god funksjonen er, hvor mye tid den sparer, og hvor mange kolleger som allerede bruker den. Er svaret ja, gjenstår de sju andre punktene i tabellen, men da er du i det minste i riktig samtale med leverandøren.
Merk konsekvensen av tabellen: det er ikke KI-en som er problemet, det er leverandørforholdet. Et transkriberingsverktøy som er integrert i journalsystemet ditt, levert under en databehandleravtale som allerede dekker leverandørens underleverandører og med hosting i EØS, står i en helt annen stilling enn samme funksjon kjøpt som en frittstående app med et personlig abonnement.
KI-forordningen og norsk rett – status
EUs KI-forordning (AI Act) er EØS-relevant, men den gjelder ikke i Norge automatisk fordi den er vedtatt i EU. Et forslag til norsk KI-lov var på høring sommeren 2025, og Helsedirektoratets faktaark har lagt til grunn en ambisjon om at reglene skal gjelde i Norge fra august 2026. Status for innlemmelse og ikrafttredelse må kontrolleres når du leser dette – prosessen har vært forsinket flere ganger, og det er ikke gitt at alle deler trer i kraft samtidig.
Hovedtrekkene er de samme uansett. Forordningen deler KI-systemer i fire risikonivåer: uakseptabel risiko (forbudt), høy risiko (omfattende krav), begrenset risiko (krav om åpenhet) og minimal risiko. For helsetjenesten er særlig kategorien høy risiko relevant – blant annet KI integrert i medisinsk utstyr fra klasse IIa og oppover, systemer som brukes til å vurdere rett til offentlige helsetjenester, og systemer i nødmeldetjeneste og triagering.
Et alminnelig transkriberingsverktøy for journalnotat er neppe høyrisiko i forordningens forstand, men det kan bli det hvis det gir kliniske forslag. Og uansett klassifisering: personvernregelverket gjelder allerede i dag, fullt ut. Det er der terskelen ligger for de fleste av oss, ikke i KI-forordningen.
Det er ikke KI-forordningen som stopper deg i dag
En vanlig misforståelse er at bruk av KI i klinisk arbeid er lovlig fram til KI-forordningen trer i kraft. Det er feil. Personvernforordningen, helsepersonelloven, pasientjournalloven og Normen gjelder allerede, og de er de reglene som avgjør om du kan legge en konsultasjon inn i et skybasert verktøy. KI-forordningen kommer i tillegg – den erstatter ingenting.
Journalansvaret er ditt uansett
Uansett hvor godt verktøyet er: du signerer notatet, og du står ansvarlig for innholdet. Journalføringsplikten etter helsepersonelloven kapittel 8 er personlig, og kravet om at journalen skal inneholde relevante og nødvendige opplysninger og være forståelig for annet kvalifisert helsepersonell, gjelder uendret. Feil i et KI-generert notat er dine feil.
Praktisk betyr det tre rutiner som ikke kan hoppes over:
- Les hele notatet før du signerer. Ikke skum det. Feilene i maskingenerert tekst er ofte plausible, ikke åpenbare.
- Kontroller alt som er tall, navn, dose, dato, side og negasjon. «Ikke suicidal» og «suicidal» er tre bokstaver fra hverandre i en transkripsjon.
- Ikke la verktøyet skrive vurderingen din. Beskrivelse kan maskinen hjelpe med. Den kliniske vurderingen og begrunnelsen er din, og den er det som betyr noe ved tilsyn.
Se pasientjournal: lovkrav, systemvalg og oppbevaring for hva journalen skal inneholde, og klager og tilsynssaker for hva som faktisk etterspørres når noe går galt.
Konfabulering som klinisk risiko
Språkmodeller produserer tekst som er sannsynlig, ikke tekst som er sann. I klinisk sammenheng gir det en helt spesifikk risiko: notatet blir mer velformulert og fullstendig enn grunnlaget tillater. Modellen fyller inn det som pleier å stå der.
Typiske utslag: symptomer pasienten ikke har nevnt dukker opp fordi de hører til bildet; en negasjon forsvinner; et tidsforløp blir presist der pasienten var vag; en anamnese blir ryddig der samtalen var rotete. Ved transkribering av konsultasjoner kommer i tillegg feilhøring – navn, doser og fagtermer er de vanligste, og dialekt og bakgrunnsstøy gjør det verre.
Det farligste er ikke de åpenbare feilene. Det er de plausible. Et notat som ser riktig ut, blir ikke lest kritisk – verken av deg om tre måneder eller av den som overtar pasienten.
Opptak av konsultasjon: samtykke og informasjon
Skal du ta opp lyd fra en konsultasjon, må pasienten vite det og være enig. Selve helsehjelpen har sitt eget samtykkegrunnlag, men et lydopptak til bruk i et eksternt verktøy er noe annet enn journalføring, og det skal informeres om særskilt.
- Informer på forhånd, muntlig og med en setning i pasientinformasjonen på nettsiden. Ikke etterpå.
- Si hva som skjer med opptaket: hvem som behandler det, hvor det lagres, hvor lenge, og at det slettes etter at notatet er godkjent.
- Gjør det enkelt å si nei. Pasienten skal kunne reservere seg uten at det får konsekvenser for behandlingen, og du må ha en rutine som fungerer uten opptak.
- Slett opptaket når det ikke lenger er nødvendig. Selve journalnotatet skal bevares – råopptaket skal som hovedregel ikke bli liggende.
- Dokumenter at informasjon er gitt og at pasienten er enig.
Er det tredjepart til stede – tolk, pårørende, barn – gjelder informasjonsplikten dem også. Og i videokonsultasjon kommer opptak i tillegg til de kravene som allerede gjelder for selve plattformen; se videokonsultasjon: lovlig og praktisk oppsett.
Hva som er trygt å bruke KI til i dag
Det er fullt mulig å ha nytte av KI i praksisdriften uten å komme i nærheten av personvernproblemene. Skillelinjen er enkel: inneholder teksten opplysninger som kan knyttes til en person?
- Tekst uten pasientopplysninger. Rutinebeskrivelser, informasjonsskriv, avtaletekster, e-postmaler, samtykkeskjema – ingen personopplysninger involvert.
- Generell fagformidling. Sammendrag av en offentlig retningslinje, hjelp til å strukturere et foredrag, forklaring av et begrep i klarspråk.
- Utkast til nettsidetekst. Nyttig, men les fagblogg som synlighetskanal først: en maskingenerert fagtekst må gjennom en reell faglig gjennomgang før den publiseres i ditt navn, og markedsføringsreglene for helsepersonell gjelder uansett hvem som skrev teksten. Se markedsføringsreglene.
- Administrasjon. Regneark, tekst til leverandører, oppsett av rutiner, utkast til arbeidsavtale som deretter kvalitetssikres.
Vær like fullt oppmerksom på at «anonymisert» er vanskeligere enn det høres ut. En kasuistikk uten navn kan være fullt identifiserbar for den det gjelder og for folk i nærmiljøet, særlig på et lite sted. Sjelden diagnose pluss alder pluss yrke er ofte nok.
Sjekkliste før du tar et verktøy i bruk
Spørsmålet er sjelden «er KI lov?». Det er «har jeg en avtale med den som får se dette, vet jeg hvor det havner, og har jeg lest det jeg signerer?».
Ryddig drift, synlig praksis
Personvern, journal og verktøyvalg er grunnmuren i en praksis som tåler et tilsyn. Behandlingsnett er en uavhengig katalog med over 12 000 behandlere i 14 fagområder, og fungerer som én av flere synlighetskanaler ved siden av egen nettside og bedriftsprofil. Prøveperioden er 14 dager uten kostnad.
Spørsmål og svar
Kan jeg lime inn et journalnotat i en vanlig KI-chattetjeneste hvis jeg fjerner navnet?
Som hovedregel nei. Å fjerne navnet gir sjelden reell anonymitet – kombinasjonen av alder, diagnose, sted, yrke og forløp kan gjøre en person identifiserbar, særlig i et lite lokalmiljø. Så lenge opplysningene kan knyttes til en person, er de personopplysninger, og da gjelder alle kravene: databehandleravtale, behandlingsgrunnlag, kontroll på hosting og forbud mot bruk til trening.
Er det lov å transkribere konsultasjoner med KI?
Det kan være det, men bare med et verktøy der alt er på plass: databehandleravtale, behandlingsgrunnlag, hosting du kjenner, skriftlig bekreftelse på at data ikke brukes til trening, risikovurdering og trolig DPIA, samt informasjon til og enighet fra pasienten om opptaket. Med et forbrukerabonnement på en generell tjeneste er svaret nei.
Må jeg gjøre en DPIA?
Sannsynligvis, hvis KI-verktøyet behandler pasientopplysninger systematisk. En DPIA kreves når behandlingen sannsynligvis medfører høy risiko, og automatisk transkribering av konsultasjoner og systematisk bruk av kunstig intelligens på pasientdata er nettopp den typen eksempler som nevnes. Sjekk Datatilsynets liste over behandlinger som alltid krever DPIA før du innfører verktøyet, ikke etterpå.
Gjelder EUs KI-forordning i Norge nå?
Forordningen er EØS-relevant og skal gjennomføres i norsk rett, men den gjelder ikke automatisk fordi den er vedtatt i EU. Et forslag til norsk KI-lov var på høring sommeren 2025, med en uttalt ambisjon om at reglene skulle gjelde i Norge fra august 2026. Kontroller gjeldende status – prosessen har vært forsinket. Uansett gjelder personvernregelverket allerede fullt ut.
Hvem er ansvarlig hvis KI-en skriver noe feil i journalen?
Du. Journalføringsplikten er personlig, og du signerer notatet. Et KI-verktøy er et hjelpemiddel på linje med en diktafon – det flytter ikke ansvaret. Les hele teksten før signering, og kontroller særlig tall, doser, datoer, navn, side og negasjoner. Feilene i maskingenerert tekst er ofte plausible framfor åpenbare, og derfor lette å lese forbi.
Hva skal jeg spørre leverandøren om?
Om de har standard databehandleravtale, hvilke underleverandører som brukes og hvor de holder til, hvor data lagres fysisk, om data brukes til å trene modeller, hvor lenge logger oppbevares, hvem hos leverandøren som kan lese innholdet, hvordan de varsler ved brudd, hva som skjer med data ved oppsigelse, og om de kan dokumentere samsvar med Normen. Får du ikke skriftlige svar, er det svaret.
Kan jeg bruke KI til å skrive tekster til nettsiden min?
Ja, så lenge teksten ikke inneholder pasientopplysninger. Men to forbehold: du står faglig ansvarlig for alt som publiseres i ditt navn, og maskingenerert helsestoff inneholder ofte påstander som ikke holder. Markedsføringsreglene for helsepersonell krever at markedsføring er forsvarlig, nøktern og saklig – uansett hvem eller hva som skrev teksten.
Hva gjør jeg hvis jeg allerede har limt pasientopplysninger inn i et slikt verktøy?
Behandle det som et avvik. Stopp bruken, dokumenter hva som ble delt, om hvem, når og med hvilken tjeneste. Slett historikken i tjenesten der det er mulig og be om sletting der det ikke er det. Vurder risikoen for pasienten, og meld til Datatilsynet innen 72 timer dersom det er sannsynlig at bruddet medfører risiko. Dokumenter internt uansett utfall.
Kilder
- Datatilsynet. Anbefalinger for godt personvern i utvikling og bruk av kunstig intelligens.
- Datatilsynet. Sandkassen for kunstig intelligens – veiledning og publiserte prosjektrapporter, blant annet fra helsesektoren.
- Datatilsynet. Avvikshåndtering – 72-timersfristen og hva som skal meldes.
- Helsedirektoratet. KI-faktaark om KI-forordningen – risikokategorier og status for gjennomføring i Norge, oppdatert oktober 2025.
- Helsedirektoratet. Kunstig intelligens – personvern og informasjonssikkerhet, inkludert veiledning om helseopplysninger i skyen.
- Helsedirektoratet / Normen. Norm for informasjonssikkerhet og personvern i helse- og omsorgstjenesten – blant annet om sikkerhetsrisiko i systemer som benytter kunstig intelligens.
- Lovdata. Helsepersonelloven – § 21 om taushetsplikt og kapittel 8 om dokumentasjonsplikt.
Denne artikkelen er generell informasjon til behandlere og er ikke juridisk rådgivning. Feltet er i rask endring, og enkelte spørsmål er uavklarte per august 2026. Kontroller alltid mot gjeldende lovtekst på lovdata.no, mot Datatilsynets veiledninger, mot gjeldende versjon av Normen og mot din egen profesjons retningslinjer, og søk profesjonell bistand ved tvil. Artikkelen anbefaler ingen navngitte verktøy.
