Thought leadership för DPO, jurist, informationssäkerhet och IT i svensk hälso- och sjukvård.

Ingress

Dataskydd i vården handlar inte om att säga nej till ny teknik. Det handlar om att göra tekniken användbar utan att tappa kontroll på personuppgifter, spårbarhet och ansvar. Generativ AI kan ge bättre förberedelse, tydligare terminologi och snabbare flöden – oavsett om det gäller journaldokumentation, beslutsstöd eller språktjänster. Den blir trygg först när DPIA, biträdesavtal, loggar och styrning går från dokument till arbetssätt. Den här artikeln visar hur.

Innehåll

• Varför juridiken vinner på att bli konkret
• DPIA som styrdokument i vardagen
• Biträdesavtal som faktiskt går att följa upp
• Loggning, spårbarhet och åtkomstkontroller
• Dataminimering och ändamål som designprincip
• Underbiträden, modellleverantörer och dataresidens
• Incidenter och lärande utan skuld
• Sätt allt i arbete

Varför juridiken vinner på att bli konkret

GDPR upplevs ofta som teoretiskt. I vården blir den praktisk eller inte alls. När verksamhet och IT ser exakt vad som ska göras, av vem och med vilket bevis, sjunker friktionen. Det betyder att varje regel behöver en motsvarande rutin och en indikator. Rutin utan indikator blir hyllvärmare. Indikator utan rutin blir sifferlek. Nyckeln är spårbarhet. Om någon i efterhand kan se vad som hände, varför det hände och hur ni agerade, då finns förutsättningar för både tillit och förbättring.

DPIA som styrdokument i vardagen

En bra DPIA svarar på tre frågor: vilka risker finns, vilka kontroller finns och vilken evidens visar att kontrollerna fungerar.

• Avgränsa användningen. Beskriv vilka ärendetyper AI får stödja och vilka den inte ska röra vid. Skriv ut exempel. AI-stödd tolkning kan fungera för apoteksrådgivning men inte för psykiatriska bedömningar. AI kan förbereda terminologi för tolkar men inte ersätta mänsklig bedömning vid komplexa vårdsamtal.
• Koppla risk till kontroll. AI-hallucinationer hanteras med stickprov och åtgärdsloop. Obefogad datadelning hanteras med behörighetsmatriser, kryptering och åtkomstgranskningar.
• Koppla kontroll till evidens. Ange hur ofta stickprov görs, var resultaten lagras och hur åtgärder följs upp.
• Uppdatera efter verkligheten. Gör DPIA till en levande post i releaseprocessen. Varje ny modellversion eller nytt användningsfall kräver en snabb konsekvensbedömning.

När DPIA är ett arbetsdokument blir den den kortaste vägen till ja, inte skälet till nej.

Biträdesavtal som faktiskt går att följa upp

Ett tydligt DPA gör ansvar verkligt. Det ska gå att kontrollera utan juridisk filigran.

• Syfte och kategorier. Beskriv ändamål, datatyper och laglig grund med exempel. Om AI används för att matcha tolkar till uppdrag baserat på specialitet och tidigare kontinuitet, beskriv exakt vilka personuppgifter som behandlas och varför.
• Säkerhet i drift och test. Kräv separata miljöer, sanering av testdata och dokumenterade rutiner för radering.
• Transparens om underbiträden och modeller. Lista vilka aktörer som finns i kedjan, var de finns och vad de gör.
• Rätt till revision. Definiera hur en enkel revision går till, vilka loggar ni ska få se och inom vilken tid.
• Återgång vid fel. Gör det möjligt att avbryta eller backa versioner utan att hamna i förhandlingslimbo.

Ett DPA som går att läsa och utvärdera tillsammans med verksamheten får bättre efterlevnad.

Loggning, spårbarhet och åtkomstkontroller

Loggar är inte byråkrati. De är sättet att visa att integriteten värnas och att misstag inte upprepas.

• Vem, vad, när och varför. Logga händelser, beslutspunkter och systemrespons. Behåll personuppgifter i primärsystemet men spara anonymiserad metadata för revision. Om AI föreslår en tolk för ett onkologiskt samtal, logga att förslaget gjordes, vilken riskklassning som användes och om en människa godkände valet – men inte patientens identitet.
• Central insyn. Samla loggar i en kontrollerad yta där IS, IT och DPO kan granska utan att exponera patientdata.
• Åtkomst som process. In- och utpassering till AI-stödet ska granskas regelbundet. Dokumentera utfallet, åtgärda avvikelser, sätt en tidsgräns för nästa granskning.
• Säker spårbarhet. Se till att varje åtgärd i efterhand kan kopplas till en roll, en tidpunkt och ett ärende. Undvik fritext som underminerar tydligheten.

När spårbarhet fungerar minskar stressen i varje gränsfall. Teamet vet att det går att följa upp.

Dataminimering och ändamål som designprincip

Dataminimering blir stark när den styr användarupplevelsen.

• Styrd inmatning. Ersätt onödig fri text med fält som speglar behovet. Färre ord kan vara bättre dataskydd och högre kvalitet.
• Anonymiserad förberedelse. Låt AI skapa terminologi och struktur utan att ta del av identifierande uppgifter. En AI kan förbereda medicinska termer för ett tolkuppdrag inom ortopedi utan att veta patientens namn eller personnummer.
• Tydligt nej. Beskriv vad systemet inte får göra och spärrar som hindrar det.
• Kort livslängd där det går. Metadata för spårbarhet behöver inte leva lika länge som patientdata. Sätt rimliga retentionstider.

När ändamål och minimering sitter i gränssnittet blir rätt beteende det enklaste.

Underbiträden, modellleverantörer och dataresidens

AI-tjänster har ofta fler aktörer än traditionella system. Oklarheter här skapar onödig risk.

• Kedjan på ett blad. Rita flödet från beställare till AI-komponent och tillbaka. Skriv in vilka parter som hanterar vad.
• Residens och överföring. Redovisa var data behandlas, vilka överföringar som sker och vilket skydd som används.
• Versioner och ansvar. Dokumentera vem som ansvarar för modellbyten, hur de testas och hur återgång går till.
• Kommunikation vid ändring. Sätt tider och kanaler för förhandsinformation om byte av underbiträde eller modell.

Transparens gör att diskussionen kan handla om risk och nytta, inte om gissningar. När alla vet vilka aktörer som finns i kedjan kan ni fatta informerade beslut.

Incidenter och lärande utan skuld

Incidenter kommer att inträffa. En mogen organisation använder dem för att bli bättre.

• Klassning och tider. Definiera allvarlighetsgrader och svarstider. Koppla dem till MTTR och åtgärdspaket.
• Enkel rapportering. Sänk tröskeln. Gör det lätt att rapportera och att se vad som hände efteråt.
• Rotorsak och förbättring. Fokusera på processen, inte på individen. För in logik i ändringar och följ upp om de hade effekt.
• Extern kommunikation. Ha färdiga texter för patienter och media om det skulle behövas. Tydlighet byggs i förväg.

När ansvar och lärande går hand i hand blir både risk och oro hanterbara.

Sätt allt i arbete

Börja med ett konkret användningsfall där nyttan är tydlig och risken hanterbar. Skapa en kort DPIA som pekar ut risk, kontroll och evidens. Skriv ett DPA som ni kan leva med i vardagen. Aktivera loggar, sätt en enkel rutin för åtkomstgranskning och välj två kvalitetsmått som ni kan följa. Träna människa i loopen där risk finns och låt AI avlasta där risken är låg. När det fungerar i liten skala, skala upp med samma mönster.

AI blir trygg i vården när juridik, säkerhet och verksamhet drar åt samma håll. Då blir dataskydd inte en broms. Det blir en metod som gör innovation möjlig utan att patientens integritet går förlorad.

‍