DPIA for KI-verktøy på legekontoret: krav og arbeidsmal

En DPIA er en vurdering av konsekvensene en behandling av personopplysninger kan ha for pasientenes rettigheter og friheter. For et KI-verktøy må vurderingen ta utgangspunkt i den planlagte bruken på kontoret og dokumentasjonen fra leverandøren.

Når er DPIA påkrevd?

Etter GDPR artikkel 35 kreves DPIA før behandling som sannsynligvis medfører høy risiko. Kontroller først Datatilsynets liste over behandlinger som alltid krever DPIA. Listen omfatter innovativ teknologi kombinert med minst ett annet risikokriterium, eksempelvis helseopplysninger.

KI-behandling av pasientdata vil derfor ofte omfattes av denne plikten. Vurder den konkrete behandlingen mot listen, og deretter eventuell høy risiko ellers. Dette er mer presist enn en generell regel om at «to kriterier alltid er nok» for enhver behandling. At praksisen er liten, fritar den ikke fra DPIA-plikt når vilkårene er oppfylt.

Legekontoret beholder ansvaret selv om leverandør eller rådgiver hjelper til. En eksisterende vurdering kan gjenbrukes når behandlingen er tilstrekkelig lik, men kontoret må kontrollere at den dekker egen bruk. Vurderingen må gjennomgås når risikoen endrer seg.

Hva skal vurderingen inneholde?

GDPR artikkel 35 nr. 7 krever en beskrivelse av behandlingen, vurdering av nødvendighet og forholdsmessighet, risiko for de registrerte og tiltak som håndterer risikoen. Se Datatilsynets veiledning om innholdet i en DPIA.

Tabellene nedenfor er arbeidsforslag for kontoret. De inneholder spørsmål som må besvares med dokumentasjon, ikke ferdige konklusjoner om at en bestemt løsning har lav risiko.

1. Beskriv den faktiske arbeidsflyten

Tema	Opplysninger å samle inn
Bruk	Hvem skal bruke løsningen, til hvilke oppgaver og for hvilke pasientgrupper?
Innhold	Behandles lyd, journaluttrekk, bilder, transkripsjoner, instruksjoner eller KI-svar?
Dataflyt	Hvilke tjenester mottar hvert innholdselement, og når skjer eventuell pseudonymisering?
Tilgang	Hvem kan se pasientinnhold ved vanlig bruk, support og feilsøking?
Lagring	Hvilke frister gjelder for aktive data, mellomfiler, logger og sikkerhetskopier?
Avslutning	Hvordan kopieres nødvendig dokumentasjon til EPJ, og hva skjer når avtalen opphører?

Be om databehandleravtale, underleverandøroversikt og dokumentasjon av tiltakene. Henvis til de gjeldende dokumentversjonene i vurderingen.

2. Avklar grunnlag og nødvendighet

Helseopplysninger krever både behandlingsgrunnlag etter artikkel 6 og et relevant unntak etter artikkel 9, med nødvendig supplerende lovgrunnlag. Det er ikke tilstrekkelig å skrive «pasienten samtykker» eller «berettiget interesse» uten å vurdere vilkårene. Se Normens veiledning om behandlingsgrunnlag.

Beskriv hva kontoret ønsker å oppnå, og vurder hvor mye informasjon som trengs. Sammenlign eksempelvis opptak av hele samtalen med etterfølgende diktering eller manuell dokumentasjon. At en funksjon teknisk trenger lyd, beviser ikke alene at den valgte behandlingen er nødvendig og forholdsmessig.

Avklar også hvordan pasienten informeres. For tale-til-utkast har Normen egne råd om pasientinformasjon og reservasjon.

3. Vurder konkrete konsekvenser for pasientene

Mulig hendelse	Spørsmål til vurderingen
Uvedkommende får tilgang	Hvilket innhold blir eksponert, for hvem, og hvilke følger kan det få for pasienten?
Pasienten kan gjenkjennes	Kan kombinasjonen av hendelser, steder eller sjeldne opplysninger identifisere personen etter pseudonymisering?
Feil tekst føres i journalen	Hvordan kan feil oppstå, og hvordan oppdages de før teksten brukes videre?
Innhold blir liggende	Hvilke kopier finnes, og hvordan kontrolleres sletting hos hver tjeneste?
Opplysninger brukes videre	Kan avtalevilkår eller faktisk dataflyt åpne for andre formål enn kontoret har besluttet?

Angi sannsynlighet, konsekvens og begrunnelse med utgangspunkt i egen bruk. Marker manglende dokumentasjon som uavklart. Ikke kopier en forhåndsutfylt «lav risiko»-score fra markedsføring.

4. Beskriv tiltak og kontroller dem

For hvert risikoscenario: oppgi tiltak, ansvarlig, frist, dokumentasjon og forventet gjenværende risiko. Aktuelle tiltak å undersøke er tilgangsstyring, dataminimering, begrenset lagring, kontroll av KI-utkast og rutiner for avvik.

Skill mellom funksjoner leverandøren tilbyr og rutiner kontoret selv må følge. En lovnad om pseudonymisering dokumenterer for eksempel ikke at rålyd er pseudonymisert før talegjenkjenning. En region i EØS beskriver heller ikke alene hvem som kan få tilgang fra andre land. Datatilsynet beskriver at fjernaksess kan innebære overføring ut av EØS.

5. Ta stilling til om bruken kan starte

Samle konklusjonen, uløste spørsmål og tiltak som må være gjennomført før oppstart. Involver personvernombudet dersom virksomheten har et. Registrer hvem som har tatt beslutningen og hvilket bruksområde den gjelder.

Hvis behandlingen fortsatt innebærer høy risiko som ikke kan reduseres tilstrekkelig, kreves forhåndsdrøftelse med Datatilsynet. Terskelen er høy risiko; den er ikke begrenset til en egen kategori kalt «svært høy».

En utfylt DPIA erstatter ikke behandlingsgrunnlag eller andre krav. Sett også en rutine for å vurdere endringer i bruk, leverandører og dataflyt. En fast gjennomgangsdato kan hjelpe kontoret med oppfølgingen, men er ikke en universell årlig lovfrist.

DPIA og den norske KI-loven

Per 8. september 2026 er den norske KI-loven fortsatt under arbeid. Regjeringen varslet 4. august en ny høring høsten 2026, med ambisjon om lovforslag til Stortinget våren 2027. Det er derfor feil å omtale loven som innført i Norge i august 2026. Se regjeringens oppdatering om KI-loven.

DPIA-plikten følger allerede av GDPR. Den skal vurderes nå, uavhengig av fremdriften for KI-loven. Ikke legg til grunn at alle KI-verktøy har samme risikoklassifisering eller plikter etter KI-forordningen.

Dokumentasjon for Journalhjelp

Ved vurdering av Journalhjelp kan kontoret bruke vår databehandleravtale og personvernerklæring som underlag. Beskriv funksjonene dere faktisk vil bruke og kontroller dataflyt, lagring og egen kvalitetssikring. Leverandørdokumentene er underlag for vurderingen, og godkjenner ikke automatisk kontorets bruk.

Ofte stilte spørsmål

Må et lite legekontor gjøre DPIA for KI?

Størrelsen alene avgjør ikke. Sjekk Datatilsynets obligatoriske liste, som blant annet omfatter innovativ teknologi sammen med et annet risikokriterium, og vurder ellers om behandlingen sannsynligvis medfører høy risiko.

Kan vi gjenbruke en eksisterende DPIA?

Ja, dersom vurderingen gjelder tilstrekkelig lik behandling og dekker kontorets faktiske bruk. Legekontoret beholder ansvaret og må supplere det som mangler.

Er en utfylt DPIA nok til å starte?

Nei. Behandlingsgrunnlag og øvrige krav må være oppfylt, og nødvendige tiltak må være gjennomført. Ved gjenværende høy risiko som ikke kan reduseres tilstrekkelig, kreves forhåndsdrøftelse med Datatilsynet.