I en privat klinik eller sundhedsvirksomhed ændrer tre regelsæt valget af sprogmodel: sundhedspersoners tavshedspligt, reglerne om patientjournaler og GDPR’s regler om helbredsoplysninger. Valget skal derfor starte med, hvilke oplysninger der kommer ind i tjenesten, og først derefter med, hvilken model der svarer bedst.
Artiklen handler om sprogmodeller brugt til arbejde omkring behandlingen: udkast til breve, opsummering af notater, svar på henvendelser og intern søgning. Den handler ikke om AI som medicinsk udstyr, og den offentlige sektor nævnes kun som eksempel. Reglerne er gengivet i kort form. Hvor teksten siger “efter vores læsning”, er det sitets tolkning, og spørgsmål om jeres egen klinik tager I med til en advokat.
Tavshedspligten
Efter sundhedslovens § 40, stk. 1, skal sundhedspersoner tie om helbredsforhold og andre fortrolige oplysninger, som de får kendskab til eller mistanke om i deres arbejde. Ordlyden er tjekket 8. november 2026 i LBK nr. 896 af 5. oktober 2026, som er den gældende udgave.
Loven nævner ikke AI-tjenester eller IT-leverandører. Efter vores læsning betyder tavshedspligten, at spørgsmålene om, hvem der kan se prompter og svar, og om de bruges til træning, skal være besvaret, før en sundhedsperson skriver patientoplysninger ind. Det flytter spørgsmålene frem i valget.
Journalen
Journalbekendtgørelsen (BEK nr. 1361 fra november 2025) stiller krav til journalen. Journalen bør føres elektronisk (§ 9). Behandlingssteder med bl.a. læger, tandlæger og kiropraktorer opbevarer journaler i mindst ti år, andre i mindst fem år, regnet fra seneste optegnelse (§ 35). Pligten påhviler behandlingsstedet (§ 37).
For valget betyder det efter vores læsning to ting. Et udkast fra en sprogmodel, der ender i journalen, bliver en del af den, og sundhedspersonen har ansvaret for indholdet. Og en AI-tjeneste er ikke et journalsystem. Bruges den til at opsummere eller skrive notater, skal resultatet over i journalen, og tjenestens egne logs bør ikke blive det sted, hvor oplysningerne reelt ligger.
Helbredsoplysninger efter GDPR
Helbredsoplysninger er særlige kategorier efter GDPR art. 9. Det kræver et særligt grundlag og skærper kravene til sikkerhed, til databehandleraftalen og til overførsel uden for EU. Hvad databehandleraftalen skal rumme ved AI, står på dpo-as-a-service.dk.
Vi har ikke fundet en dansk regel om, at sundhedsdata skal behandles i Danmark eller i EU. Det betyder ikke, at der ikke er en. Krav fra Datatilsynet og Sundhedsdatastyrelsen om sundhedsdata i cloud er ikke læst. Blandt Datatilsynets fokusområder for 2026 er AI i sundhed og pleje.
Det, der ændrer valget
Ud fra de tre regelsæt ser valget anderledes ud end i en almindelig virksomhed:
- Træning: tjenesten må ikke bruge prompter og svar til træning. Fravalget skal fremgå af aftalevilkårene. En indstilling, som en medarbejder selv kan ændre, er for svag.
- Opbevaring: hvor lang tid ligger samtalerne hos leverandøren, og hvilke medarbejdere dér har adgang? Kortere er lettere at forsvare.
- Placering og adgang: hvor sker beregningen, og hvorfra ydes support? En se-adgang fra et tredjeland er efter Datatilsynets cloudside en overførsel.
- Personlige konti: en medarbejder, der bruger en personlig konto, er uden for jeres aftale. Det er den hyppigste vej ind for helbredsoplysninger, og den lukkes med et valg, der er godt nok til, at folk vil bruge det.
Egen drift af en åben model kan være et svar, fordi data så bliver hos jer eller jeres driftsleverandør. Den kræver til gengæld folk, der kan drive den, og pligterne efter AI-forordningen følger med.
AI-forordningen
Medicinsk udstyr er en del af forordningens bilag I, og AI som sikkerhedskomponent i eller som medicinsk udstyr kan være højrisiko. Med AI-omnibussen, forordning (EU) 2026/1744, der er vedtaget, er starten for bilag I sat til 2. august 2028. En sprogmodel brugt til breve og notater er efter vores læsning ikke medicinsk udstyr. Grænsen er alligevel værd at kende. Den gennemgås for software på cto-as-a-service.dk.
Hvad det kræver, og hvad det koster at lade være
At afklare de fire punkter for en tjeneste tager en til to dage for den, der har ansvaret for IT og databeskyttelse i klinikken: læs vilkårene for planen, få svar fra leverandøren om opbevaring og support, og skriv ned, hvad medarbejderne må bruge tjenesten til. Hertil kommer en kort instruks til personalet.
Lader I være, bruger medarbejderne alligevel AI, og helbredsoplysninger ender i tjenester uden aftale. Det kan være et brud på tavshedspligten og et persondatabrud på én gang. Oprydningen kræver gennemgang af brug, eventuel anmeldelse og nye aftaler, og det kommer oven i den daglige drift.
Det skal I lade være med
- At lade medarbejderne finde egne løsninger · personlige konti ligger uden for jeres aftale.
- At bruge AI-tjenestens logs som journal · journalen har sine egne krav til opbevaring og ansvar.
- At skrive, at der intet krav er om placering · vi har ikke fundet et, og det er en anden påstand.
Det skal valget kunne vise
- ☐ At prompter og svar ikke bruges til træning i den plan, I køber.
- ☐ Opbevaringstid og adgang hos leverandøren.
- ☐ Hvor beregning og support sker.
- ☐ Hvad medarbejderne må bruge tjenesten til, og hvad der skal i journalen.
Kilder
- Sundhedsloven, LBK nr. 896 af 5. oktober 2026, § 40, https://www.retsinformation.dk/eli/lta/2026/896, læst 8. november 2026.
- Bekendtgørelse nr. 1361 af 24. november 2025 om autoriserede sundhedspersoners patientjournaler, §§ 9, 35 og 37, https://www.retsinformation.dk/eli/lta/2025/1361, læst november 2026.
- Datatilsynet, Cloud, https://www.datatilsynet.dk/regler-og-vejledning/cloud, læst 8. november 2026.
- Forordning (EU) 2024/1689 med ændringer ved forordning (EU) 2026/1744, bilag I og art. 113, https://publications.europa.eu/resource/celex/32026R1744, læst 8. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvilke oplysninger medarbejderne i dag skriver ind i AI-tjenester, og i hvilke tjenester.
Læs også: Medarbejderne bruger allerede AI: fra skygge til et valg · AI-forordningen: det, den ændrer ved valget af leverandør
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
