ChatGPT og pasientdata: Hvorfor fastleger bruker det, og hva du bør gjøre i stedet

Du vet det ikke er greit. Men du gjør det likevel.

Du limer inn et utdrag fra journalen i ChatGPT for å få hjelp med en legeerklæring. Eller du ber den oppsummere en lang epikrise. Kanskje fjerner du navnet først. Kanskje ikke.

Du er ikke alene. I samtaler med over 40 norske fastleger hører vi det samme mønsteret: Leger bruker ChatGPT med pasientopplysninger for å få hjelp med dokumentarbeid. En lege sa det rett ut: «Bruker ChatGPT selv om han vet det ikke er greit.»

Denne artikkelen forklarer hva som faktisk skjer med pasientdataene når du bruker ChatGPT, hva norsk lov sier, og hvilke alternativer som gir deg dokumentarbeid med avklart dataflyt og avtale.

Hvorfor fastleger bruker ChatGPT

Det er ikke latskap eller uansvarlig oppførsel. Legene som bruker ChatGPT gjør det fordi de har et konkret behov for dokumenthjelp:

• Oppsummering av lange journaler. Å lese gjennom 15 år med pasienthistorikk for å skrive en legeerklæring tar 30-60 minutter. ChatGPT gjør det på sekunder.
• Utkast til legeerklæringer. NAV-skjemaer krever lange fritekstbeskrivelser av funksjonsevne, behandlingshistorikk og prognose. ChatGPT kan lage et utkast basert på journalutdrag.
• Strukturering av notater. Noen bruker ChatGPT til å rydde i ustrukturerte konsultasjonsnotater.
• Oversettelse av medisinsk sjargong. Å formulere kompleks medisin i et språk NAV-saksbehandlere forstår er tidkrevende.

Fellesnevneren er tid. Fastleger bruker i gjennomsnitt 14 timer i uken på administrativt arbeid. NAV-erklæringer alene kan ta 30 minutter til en time per stykk. Når presset er stort nok, velger mange pragmatisme over regelverk.

Hva skjer egentlig med pasientdataene i ChatGPT?

Dataflyten avhenger av produkt, plan og innstillinger. En privat ChatGPT-konto, ChatGPT Business, Enterprise og API-tjenester har ikke identiske vilkår.

Modelltrening

Forbrukertjenesten har innstillinger for å slå av bruk av samtaler til trening. Business og Enterprise bruker ikke virksomhetsinnhold til trening som standard. Det er ikke riktig at Enterprise er det eneste unntaket. Se OpenAIs virksomhetsvilkår for data og datakontroller.

Behandlingsregion og avtale

OpenAI tilbyr europeiske alternativer for lagring og behandling til kvalifiserte virksomhetskunder. Det gjør en generell «USA-only»-beskrivelse feil, men etablerer ikke europeisk behandling for enhver konto eller funksjon.

Virksomheten må kontrollere den konkrete tjenestens databehandleravtale, underleverandører, tilgang, sletting og eventuelle tredjelandsoverføringer. En innstilling som slår av trening, avgjør ikke alene om pasientopplysninger kan brukes i tjenesten.

De konkrete risikoene

GDPR-brudd

Virksomheten må vurdere den konkrete behandlingen og avtalen. Eldre tilsynssaker mot en leverandør avgjør ikke alene om en bestemt konfigurasjon kan brukes på legekontoret.

Når du som fastlege limer pasientopplysninger inn i ChatGPT, er det du som er behandlingsansvarlig for de dataene. Det må avklares hvilken databehandleravtale som gjelder, og om behandlingen krever en vurdering av personvernkonsekvenser (DPIA). Dette kan ikke avgjøres ut fra produktnavnet alene.

Re-identifisering

Selv om du fjerner navn og fødselsnummer, kan kombinasjonen av diagnose, behandlingshistorikk, alder og kjønn være nok til å identifisere en pasient. Helsedirektoratets rapport påpeker at «moderne beregningskapasitet gjør re-identifisering stadig enklere, særlig for store datasett med mange variabler.»

Helsepersonelloven

Helsepersonelloven § 4 krever at du utøver yrket forsvarlig. Tidsskriftet for Den norske legeforening skrev i november 2025 at «bruk av ChatGPT til medisinske formål kan være uforsvarlig og i strid med helsepersonelloven § 4.» De slår også fast at ChatGPT og lignende generative språkmodeller «ikke anses som medisinsk KI, selv om en lege velger å bruke dem i sin medisinske virksomhet.»

Tilsynssak

Brudd på personvernregelverket kan føre til tilsynssak fra Helsetilsynet og eventuelt reaksjoner fra Datatilsynet. Se den oppdaterte KI-forordningsguiden for norsk lovprosess; august 2026 var ikke en bekreftet norsk ikrafttredelsesdato.

«Men jeg anonymiserer jo dataene først»

Mange leger forsøker å fjerne personopplysninger manuelt før de limer inn tekst i ChatGPT. Det er bedre enn å ikke gjøre det, men det løser ikke problemet:

Manuell anonymisering er upålitelig. Du glemmer lett et navn, en adresse, en arbeidsgiver eller et familienavn som står i en bisetning. Under tidspress øker risikoen.

Kombinasjoner kan identifisere. «58 år gammel kvinne med MS, diagnostisert i 2019, bor alene med to barn» kan være nok til å identifisere pasienten, selv uten navn.

Det er fortsatt en overføring. Selv anonymiserte data som overføres til en skyløsning utenfor EØS krever en vurdering av om dataene virkelig er anonyme. GDPR setter en høy terskel for hva som regnes som anonyme data.

Avtalen må dekke bruken. Kontroller virksomhetens avtale med leverandøren. Ikke anta at en privat konto har samme avtalegrunnlag som en virksomhetstjeneste.

Hva er alternativet?

Sammenlign den konkrete planen og arbeidsflyten. Et produktnavn eller merkelappen «medisinsk KI» avgjør ikke databehandling eller kvalitet.

Egenskap	ChatGPT	Dedikerte dokumentverktøy
Modelltrening	Avhenger av plan og innstillinger; virksomhetsdata brukes ikke som standard	Kontroller leverandørens vilkår
Behandlingsregion	Europeiske alternativer finnes for kvalifiserte virksomhetskunder	Kontroller valgt plan og underleverandører
Databehandleravtale	Tilgjengelig for virksomhetstjenester	Kontroller avtalen for produktet
Kilder og dokumentmaler	Avhenger av funksjon og innsendt grunnlag	Varierer mellom leverandører og planer
Feil i utkast	Må kontrolleres	Må kontrolleres

Kilder: OpenAI om virksomhetsdata og europeisk datalagring. For konkrete dokumentverktøy, se vår kildebelagte sammenligning.

Hva bør et trygt verktøy tilby?

Når du vurderer KI-verktøy for legekontoret, bør dere undersøke følgende forhold:

1. Datalagring i Norge eller EØS. Helseopplysninger skal ikke forlate EØS uten spesielle garantier.
2. Deidentifisering. Undersøk hva som fjernes, på hvilket trinn og hvilke opplysninger som fortsatt behandles.
3. Databehandleravtale. Du trenger en skriftlig avtale med leverandøren som regulerer behandlingen.
4. Kort lagringstid. Data bør slettes automatisk etter kort tid (timer eller dager, ikke permanent).
5. Kildeangivelse. Alle KI-svar bør vise hvor informasjonen kommer fra, slik at du kan verifisere.
6. Norsk medisinsk terminologi. Verktøyet bør forstå ICPC-2-koder, norske legemiddelnavn og NAV-skjemaer.

Bruk gjerne sjekklisten i guiden om databehandleravtale for KI-verktøy når du vurderer alternativer til generelle språkmodeller.

For en grundig sammenligning av dedikerte medisinske KI-verktøy, se vår oversikt over AI-verktøy for fastleger.

OpenAI har også lansert egne helseprodukter. For den oppdaterte vurderingen av hva ChatGPT for helsepersonell i Norge betyr for fastleger, se den nye 2026-guiden.

Trenger du KI-hjelp med pasientdata, uten personvernrisiko?

Journalhjelp søker i pasientjournalen, oppsummerer historikk og lager redigerbare NAV-skjemautkast med dokumenterte opplysninger og vurderinger legen selv oppgir. Pasientinnhold behandles i EØS og slettes automatisk fra aktive systemer senest etter 24 timer. Se hvordan skjemautfylling fungerer eller les mer om vår personvernpraksis.

Sjekkliste: Bruker du KI trygt med pasientdata?

• Har verktøyet databehandleravtale?
• Lagres data i Norge eller EØS?
• Fjernes personopplysninger automatisk før KI-prosessering?
• Slettes data automatisk etter bruk?
• Er verktøyet designet for helsesektoren (ikke en generell chatbot)?
• Har du informert pasienten om at KI brukes (jf. pasientsamtykke)?
• Er det gjort en DPIA (vurdering av personvernkonsekvenser)?
• Oppfyller verktøyet kravene i KI-forordningen?

Svarer du «nei» på noen av disse punktene, bør du vurdere om bruken er forsvarlig.

Ofte stilte spørsmål

Er det ulovlig å bruke ChatGPT med pasientdata?

Det kan ikke avgjøres ut fra navnet ChatGPT alene. Virksomheten må ha lovlig behandlingsgrunnlag og avklare avtaler, sikkerhet, innstillinger og eventuelle tredjelandsoverføringer for den konkrete bruken.

Hva om jeg fjerner alle navn og fødselsnummer først?

Andre opplysninger og kombinasjoner kan fortsatt gjøre pasienten identifiserbar. Å fjerne navn og fødselsnummer etablerer ikke automatisk at materialet er anonymt.

Kan jeg bruke ChatGPT Enterprise eller API-versjonen trygt?

Virksomhetstjenester har andre vilkår enn forbrukerkontoer, blant annet ingen modelltrening som standard og muligheter for europeisk databehandling. Det er likevel nødvendig å vurdere den valgte tjenesten og arbeidsflyten konkret.

Finnes det KI-verktøy laget for pasientdokumentasjon?

Ja. Flere leverandører tilbyr journalnotater, dokumentutkast og journaloppsummering. Avtaler, behandlingsregion, kilder og maler varierer. Se sammenligningen i denne artikkelen.

Les mer

• AI-verktøy for fastleger: Komplett sammenligning 2026
• KI-forordningen for fastleger: Alt du trenger å vite
• AI hallusinering i helsevesenet: Slik unngår du feil
• Pasientsamtykke for AI-opptak: Guide
• Kvalitetssikring av AI-journalnotater
• Helsedirektoratets rapport om store språkmodeller
• Datatilsynets side om ChatGPT