Veileder
Skybaserte journalsystemer: Styring av KI og pasientdata i tannhelsen.
Overgangen fra lokale servere til skybaserte journalsystemer åpner for integrert kunstig intelligens. Dette flytter ikke ansvaret bort fra klinikken, men krever en ny form for institusjonell styring og dokumentasjon.
Skiftet til skyen og de regulatoriske kravene
Når journaldata forlater klinikkens fysiske server, endres risikobildet. Data behandles i infrastruktur klinikken ikke selv kontrollerer, og KI-funksjoner integreres ofte direkte i journalsystemet – tale-til-tekst, beslutningsstøtte og automatiserte forslag. GDPR stiller krav til dataminimering: kun opplysninger som er nødvendige for formålet skal behandles. EU AI Act stiller i tillegg krav til styring og dokumentasjon av KI-systemer som brukes på pasientdata.
Et sentralt spørsmål er hvem som trener sine KI-modeller på klinikkens pasientdata. Databehandleravtalen må eksplisitt regulere om og hvordan leverandøren kan bruke data til modelltrening. Klinikker som ikke har oversikt over egne datastrømmer, kan ikke svare på dette. Hvordan slik oversikt etableres, er beskrevet i vår metodikk for kartlegging av KI-bruk.
Acteras prinsipper for skybasert KI-bruk
Tre prinsipper må være etablert og dokumentert før klinikken tar i bruk et skybasert journalsystem med KI-funksjonalitet. Prinsippene gjelder uavhengig av leverandør.
1. System før verktøy
Valg av journalsystem skal følge av en dokumentert vurdering av klinikkens behov, risiko og ansvarsforhold – ikke av leverandørens funksjonsliste. Styringsstrukturen etableres før teknologien innføres.
2. Kartlegging av datastrømmer
Klinikken skal vite hvilke pasientdata som forlater virksomheten, hvor de behandles, hvilke KI-funksjoner som berører dem, og om data brukes til modelltrening. Kartleggingen dokumenteres og holdes oppdatert.
3. Tydelig ansvarsmatrise
Ansvarsdelingen mellom klinikk og leverandør skal være skriftlig og entydig: hvem er behandlingsansvarlig, hvem er databehandler, og hvor ligger det kliniske ansvaret for KI-generert innhold. Det kliniske ansvaret kan aldri flyttes til leverandøren.
Ofte stilte spørsmål
Er skybaserte journalsystemer lovlige for tannleger i Norge?
Hvem eier KI-beslutningene i et skybasert system?
Etabler dokumentert styring før systembyttet
Klinikker som vurderer skybaserte journalsystemer, bør ha styringsstrukturen på plass før kontrakten signeres. Actera bygger ansvarsmatrisen, kartleggingen og dokumentasjonen som gjør valget etterprøvbart.