AI i helsevesenet får innsyn i 325 millioner journaler

Nøkkelpunkter per 9. september 2026:

• Epic-koblingen er lesetilgang. ChatGPT Health kan hente pasientdata fra et journalsystem med over 325 millioner pasienter, men skriver ingenting tilbake (TechCrunch).
• 99,1 prosent trygge svar er leverandørens egen evaluering av 27 kliniske bruksområder, ikke en klinisk validering av din arbeidsflyt (OpenAI, 2026).
• Medisinsk programvare er høyrisiko. AI Act krever risikoreduserende systemer, høykvalitetsdata, tydelig brukerinformasjon og menneskelig tilsyn (EU-kommisjonen).
• EHDS trådte i kraft i 2025 og endrer hvordan helsedata deles og gjenbrukes i Europa, også for norske aktører (EU-kommisjonen).
• Gevinsten er reell, men ujevn. AI kan kutte kostnaden i legemiddelutvikling med opptil 50 prosent, i en bransje der bare 10 prosent av legemidler når markedet (builtin.com).

---

Hva Epic-integrasjonen faktisk gir tilgang til

OpenAI har koblet ChatGPT Health til Epic, journalsystemet som inneholder data for over 325 millioner pasienter (TechCrunch). Det betyr ikke at OpenAI har fått se samtlige av disse journalene. Det betyr at en kliniker, i en autorisert kontekst, kan hente inn pasientdata i en ChatGPT-samtale og stille spørsmål til dem. Forskjellen mellom de to setningene er hele saken, og den forsvinner nesten alltid i overskriftene.

For norske ledere er dette relevant lenge før produktet er tilgjengelig her. Det som skjer nå, er at en generell språkmodell flyttes inn i den kliniske arbeidsflyten via journalsystemet, ikke via et frittstående verktøy. Det er den samme bevegelsen norske helseaktører må ta stilling til, uansett leverandør. Og det er den bevegelsen som utløser de tyngste kravene i europeisk regelverk.

Epic er infrastruktur, ikke et enkeltsykehus

Epic er et av verdens største systemer for elektronisk pasientjournal, og pasienttallet leverandøren oppgir, beskriver hvor mange pasienter som finnes i systemet totalt, ikke hvor mange som blir eksponert for AI. Når en leverandør kobler seg på Epic, kobler den seg på en standardisert måte å hente journaldata på. Tilgangen styres av den enkelte helseorganisasjonen, ikke av plattformen. Det er nettopp derfor koblingen er strategisk viktig: den gjør distribusjon til hundrevis av sykehus til en konfigurasjonsjobb i stedet for hundrevis av integrasjonsprosjekter.

Den samme logikken gjelder i Norge. Journalsystemene er få og store, og den dagen en AI-kobling godkjennes mot en av dem, endres spredningshastigheten dramatisk. Det er en fordel for gjennomføring og en risiko for styring. Et vedtak som i praksis gjelder tusenvis av klinikere, bør ikke tas som et IT-vedtak.

Autorisert pasientkontekst, ikke fri tilgang

OpenAI beskriver funksjonen som at autorisert pasientkontekst fra Epic bringes inn i ChatGPT for Healthcare (OpenAI, 2026). Ordet «autorisert» gjør mye arbeid. Det innebærer at det er organisasjonen som definerer hvilke roller som kan hente hva, og at hver henting knyttes til en identifisert bruker.

Produktet leveres med rollebasert tilgang, single sign-on og revisjonslogger (OpenAI, 2026). Det er de tre kontrollene enhver revisor vil spørre etter først. De er nødvendige, men de er ikke tilstrekkelige for europeisk bruk, og de sier ingenting om behandlingsgrunnlag, dataminimering eller hvor dataene faktisk befinner seg.

Healthcare Public Data er en helt annen type tilgang

Samtidig med journalkoblingen lanserte OpenAI en Healthcare Public Data-plugin som samler ni offisielle offentlige helsekilder (OpenAI, 2026). Kildene inkluderer blant annet ClinicalTrials.gov, CMS Coverage, RxNorm, DailyMed og PubMed (TechCrunch). Dette er offentlig kunnskap, ikke pasientdata.

Skillet er viktig fordi de to funksjonene har helt ulik risikoprofil. Å slå opp i et offentlig legemiddelregister er en informasjonsoppgave. Å hente en identifiserbar pasients journal inn i en modell er en behandling av helseopplysninger i særlig kategori. Mange virksomheter behandler dette som ett produktvalg. Det er to.

Lesetilgang, skrivetilgang og hvorfor skillet avgjør risikoen

Integrasjonen gir kun lesetilgang til helsejournalene, og AI-en skriver ingenting tilbake (TechCrunch). Det er en bevisst produktbeslutning, og den er den viktigste enkeltdetaljen i hele lanseringen. Den avgjør hvor feil kan havne, og hvem som fanger dem opp.

Hva skrivetilgang ville endret

Med skrivetilgang blir modellens output en del av den permanente journalen. Da forplanter en feil seg videre til alle som leser journalen senere, inkludert andre systemer som bygger på den. Med lesetilgang stopper feilen i samtalen mellom modellen og klinikeren, og klinikeren er fortsatt den som formulerer det som føres inn.

Det betyr ikke at feilen er ufarlig. En sammenfatning som utelater en allergi eller feiltolker en medikasjonshistorikk kan påvirke en beslutning like effektivt som en feil journalnotat. Men den etterlater ikke et spor som andre behandler som fakta. Risikoen er innelukket, ikke fjernet.

Lav risikoprofil er ikke lav risiko

Alura mener at lesetilgang til journal har en lavere risikoprofil enn skrivetilgang, men at den fortsatt utløser en full vurdering av behandlingsgrunnlag og personvernkonsekvenser før pilot. Å lese en journal inn i et AI-system er i seg selv en behandling av helseopplysninger. Grunnlaget for den behandlingen må være på plass før første prompt, ikke etter første evaluering.

I praksis betyr det at «det er jo bare lesing» ikke er et argument som holder i en personvernkonsekvensvurdering. Spørsmålet er ikke om systemet endrer journalen. Spørsmålet er om det er lovlig å eksponere opplysningene for systemet i det hele tatt, og om pasienten kunne forutse det.

---

Les også: 40 millioner spør ChatGPT om helse, men diagnosen bommer. OpenAI melder at 40 millioner bruker ChatGPT til helse hver dag.

---

Et rammeverk for å vurdere AI mot pasientdata

De fleste vurderinger av AI i helse kollapser fordi de blander sammen fem spørsmål som må besvares hver for seg. Datatypen, formålet, autonomigraden, regelverkssporet og leverandørkjeden har ulike eiere og ulike svar. Når de behandles samlet, ender diskusjonen i «vi må vente på avklaring», og ingenting skjer.

Lag	Spørsmålet som må besvares	Typisk feil	Hvem eier svaret
Datatype	Er dataene identifiserbare helseopplysninger, pseudonymiserte eller offentlige?	Behandler alt som «pasientdata» og stopper alt	Personvernombud
Formål	Er bruken administrativ, beslutningsstøttende eller diagnostisk?	Beskriver diagnostisk støtte som «effektivisering»	Fagansvarlig lege
Autonomi	Foreslår systemet, eller handler det uten mellomledd?	Antar at menneskelig kontroll skjer av seg selv	Klinikkleder
Regelverksspor	Er dette høyrisiko-AI, medisinsk utstyr, eller begge?	Sjekker kun GDPR og glemmer AI Act	Juridisk
Leverandørkjede	Hvem er databehandler, og hvor prosesseres dataene?	Aksepterer HIPAA-samsvar som svar	Innkjøp

Datatype først, alt annet etterpå

Rekkefølgen er ikke tilfeldig. Datatypen avgjør om resten av vurderingen i det hele tatt er nødvendig. Et verktøy som kun slår opp i offentlige helsedatasett, som pluginen med de ni offisielle kildene (OpenAI, 2026), utløser ingen behandling av helseopplysninger om pasienter overhodet.

Det gir en reell snarvei. Mange av de tidsbesparelsene klinikere etterspør, ligger i oppslag, oppsummering av forskning og utforming av pasientinformasjon. Ingen av delene krever journaltilgang. De krever tilgang til kunnskap, og det er en langt enklere vurdering.

Autonomigraden avgjør regelverkssporet

EU-kommisjonen plasserer medisinsk programvare eksplisitt blant høyrisiko-AI-systemene, med krav om risikoreduserende systemer, høykvalitetsdata, tydelig brukerinformasjon og menneskelig tilsyn (EU-kommisjonen). Om ditt verktøy havner i den kategorien, avhenger av hva det gjør, ikke av hva leverandøren kaller det.

En modell som oppsummerer en journal for en lege som deretter tar beslutningen, ligger i en annen posisjon enn en modell som foreslår behandling. Grensen er glidende og under avklaring, og det er nettopp derfor autonomigraden må dokumenteres i arbeidsflyten. Skriv ned hva systemet gjør, hva mennesket gjør, og hva som skjer når de er uenige.

Praktisk: dette avklarer du før første pilot

Et pilotprosjekt i helse feiler sjelden på teknologien. Det feiler på at ingen har skrevet ned hvem som er ansvarlig når modellen tar feil. Under er de tre portene som må passeres før en klinisk pilot starter, i den rekkefølgen som faktisk holder når revisor kommer.

Port	Kravet	Dokumentasjonen som må foreligge	Typisk tidsbruk
1. Grunnlag	Lovlig behandlingsgrunnlag for helseopplysninger	Vurdering av grunnlag, taushetsplikt og pasientinformasjon	Uker
2. Datastrøm	Kjent prosesseringssted og databehandleravtale	Databehandleravtale, dataflytkart, overføringsvurdering	Uker
3. Tilsyn	Dokumentert menneskelig kontroll i arbeidsflyten	Rollebeskrivelse, avviksrutine, logg over overstyringer	Dager

Hvilket behandlingsgrunnlag har du

Helseopplysninger er en særlig kategori personopplysninger, og samtykke er sjelden det praktiske grunnlaget i klinisk drift. De fleste norske aktører må forankre bruken i det samme grunnlaget som resten av helsehjelpen, og da må AI-bruken ligge innenfor formålet som allerede er definert. Det er ikke en formalitet. Det avgjør om pilot i det hele tatt er mulig uten ny hjemmel.

Skriv grunnlaget ned i en setning som en klinikkleder kan gjenta uten å lese den opp. Klarer dere ikke det, er grunnlaget ikke avklart. Da er piloten et juridisk eksperiment, ikke et fagligt et.

Hvor ligger dataene, og hvem er databehandler

OpenAI åpner for at organisasjoner med en Business Associate Agreement kan bruke ChatGPT Work, Codex, apper og koblinger i arbeidsområdet for samsvarende arbeidsflyter (TechCrunch). En BAA er et amerikansk instrument under HIPAA. Den er ikke en databehandleravtale etter GDPR, og den løser ikke spørsmålet om overføring ut av EØS.

Det du trenger er en databehandleravtale, et dataflytkart som viser hvor prosesseringen skjer, og en vurdering av eventuell tredjelandsoverføring. Spør konkret om prosesseringssted per funksjon, ikke per produkt. Svaret er ofte ulikt for modellkall, logging og støtteprosesser.

Hvordan dokumenteres tilsyn og feilrate

Menneskelig tilsyn må være synlig i arbeidsflyten, ikke i en policy. Det betyr et definert punkt der en navngitt rolle godkjenner eller avviser modellens output, og en logg over hvor ofte det skjer. Uten den loggen har dere ingen data på om tilsynet faktisk utøves eller bare er beskrevet.

Definer også hva som teller som feil før dere starter. En modell som oppsummerer feil, utelater relevant informasjon eller gir et trygt men ubrukelig svar, feiler på tre ulike måter. Måler dere bare det første, får dere en pen rapport og et falskt bilde.

Markedet rundt OpenAI for Healthcare

Journalkoblingen er ikke et enkeltstående grep. Den er siste ledd i en produktpakke som ble presentert som OpenAI for Healthcare, et sett med produkter for helseorganisasjoner som omfatter både ChatGPT for Healthcare og API (OpenAI, 2026). Det signaliserer at helse behandles som et eget marked med egne kontrakter, ikke som en bruksmåte av det generelle produktet.

Fra forbrukerprodukt til institusjonsprodukt

ChatGPT for helse ble rullet ut til alle amerikanske forbrukere før institusjonsproduktet kom (TechCrunch). Rekkefølgen er verdt å legge merke til. Bruken kom først, og strukturen kom etterpå. Det er den samme rekkefølgen de fleste norske virksomheter opplever internt, der ansatte tar i bruk verktøy før styringen er på plass. Vi har beskrevet den dynamikken i en gjennomgang av utrulling i stor skala.

Volumet forklarer hvorfor. ChatGPT mottar rundt 300 millioner helserelaterte spørsmål hver uke (TechCrunch). Etterspørselen etter helsesvar fra en språkmodell er allerede der, uavhengig av om helsevesenet har tatt stilling til den.

Tidlige partnere og hva det betyr

ChatGPT for Healthcare beskrives som tilgjengelig og under distribusjon til flere ledende institusjoner (OpenAI, 2026), og API-et oppgis å være i bruk hos tusenvis av organisasjoner for HIPAA-kompatible formål. Lanseringspartnere er et markedsføringssignal, ikke en kvalitetsgaranti. De forteller at noen har akseptert vilkårene, ikke at vilkårene passer for deg.

For norske aktører er det mer nyttig å spørre hvilke av disse institusjonene som opererer under europeisk regelverk. Svaret er foreløpig ingen av dem i særlig grad. Det gjør referansene mindre overførbare enn de ser ut. Bakgrunnen om selskapet bak ChatGPT er nyttig når kontraktsvilkårene skal leses.

Tallene bak 99,1 prosent og hva de ikke sier

OpenAI oppgir at leger har vurdert responsene som trygge i nær sagt alle tilfeller, basert på 4 363 vurderinger på tvers av 27 kliniske bruksområder (OpenAI, 2026). TechCrunch gjengir det samme arbeidet som over 4 300 svar fra leger (TechCrunch). Andelen er høy, den er publisert, og den er leverandørens egen.

Måltall	Lansering av OpenAI for Healthcare	Epic-oppdateringen
Leger i nettverket	260 lisensierte leger	Ikke oppgitt som antall
Modellutdata gjennomgått	600 000	700 000
Vurderinger fra leger	Ikke oppgitt	4 363
Omfang	30 fokusområder	27 kliniske bruksområder
Geografi og språk	60 land	60 land, 49 språk, 26 spesialiteter
Trygghetsandel	Ikke oppgitt	99,1 prosent

Hvordan evalueringen er satt opp

Legenettverket beskrives som 60 land, 49 språk og 26 medisinske spesialiteter, med 700 000 modellresponser gjennomgått (OpenAI, 2026). Bredden er reell og uvanlig for en leverandørevaluering. Den sier likevel ikke noe om hvordan modellen oppfører seg i din avdeling, med dine pasienter og din journalstruktur.

I en separat evaluering ble nøyaktigheten vurdert for fem tilkoblede datakilder, der 93 prosent av responsene ble vurdert som «god» eller bedre for hver kilde (OpenAI, 2026). Det er et annet mål enn trygghet, og det er lavere. Legg merke til at de to tallene ofte siteres om hverandre.

Tallene spriker mellom kildene

Lanseringssiden oppgir 260 lisensierte leger, 600 000 modellutdata og 30 fokusområder (OpenAI, 2026). Epic-oppdateringen oppgir 700 000 gjennomgåtte responser og 27 bruksområder. Dette er ikke nødvendigvis motstridende, men det er to ulike datasett presentert med samme autoritet.

Poenget er ikke å ta leverandøren i en feil. Poenget er at et enkelttall fra en pressemelding ikke er et valideringsgrunnlag. Når to publikasjoner fra samme kilde spriker på antall og omfang, bør en innkjøper be om metodebeskrivelsen, ikke om en oppdatert prosentandel.

Trygt er ikke det samme som riktig

«Trygg» er en lavere terskel enn «klinisk korrekt». Et svar som anbefaler å kontakte lege er trygt uansett tilstand, og det bidrar til en høy trygghetsandel uten å hjelpe klinikeren. Skal du bruke tallet, bør du vite hvor mange av responsene som var både trygge og faglig nyttige.

At restrisikoen er reell, illustreres av at en pastor i Florida har saksøkt selskapet med påstand om at ChatGPT ga en nesten dødelig anbefaling (TechCrunch). En prosentandel på nittitallet betyr at feilene er sjeldne, ikke at de er borte. I helse er det de sjeldne feilene som definerer risikobildet. Vi har sett på treffsikkerheten nærmere i en gjennomgang av diagnosetreffsikkerhet.

Kostnad og gevinst: hvor AI flytter penger i helsesektoren

Diskusjonen om AI i helse handler ofte om klinisk beslutningsstøtte, men det er ikke der de største dokumenterte gevinstene ligger i dag. De ligger i legemiddelutvikling, i administrasjon og i å unngå skader som allerede skjer. Det er også der forretningscaset er lettest å forsvare uten å røre en eneste identifiserbar journal.

Område	Referansetall	Hva AI påvirker	Modenhet
Legemiddelutvikling	1,3 milliarder dollar i snitt gjennom kliniske studier	Målidentifisering og designoptimalisering	Høy
Suksessrate legemidler	10 prosent når markedet	Tidligere frasortering av kandidater	Middels
Kostnadsreduksjon	Opptil 50 prosent i utviklingsløpet	Færre blindveier, raskere iterasjon	Middels
Pasientsikkerhet	400 000 innlagte med forebyggbar skade årlig	Datahåndtering og tidlig varsling	Lav til middels
Robotassistert kirurgi	94 til 100 prosent suksessrate	Presisjon og standardisering	Etablert

Legemiddelutvikling er det tydeligste regnestykket

Å føre et legemiddel gjennom kliniske studier koster i gjennomsnitt 1,3 milliarder dollar, og bare 10 prosent av legemidlene når markedet (builtin.com). Med den strukturen betaler enhver forbedring i frasortering seg raskt. Anslaget er at AI kan redusere kostnadene i legemiddelutvikling med opptil 50 prosent.

EU-kommisjonen peker på det samme mekanisk: AI akselererer medisinoppdagelse ved å identifisere mål og optimalisere design av medisinske produkter (EU-kommisjonen). Det er ikke et norsk SMB-case direkte. Men det forklarer hvorfor kapitalen strømmer inn, og hvorfor leverandørene har råd til å bygge helseprodukter i denne skalaen.

Pasientsikkerhet er den andre store posten

Rundt 400 000 innlagte pasienter lider årlig av forebyggbar skade, og 100 000 dødsfall følger av slik skade (builtin.com). Tallene er amerikanske og skal ikke overføres direkte til norske forhold. De illustrerer likevel hvor stort rommet for forbedring er i datahåndtering og tidlig varsling.

På den etablerte enden av skalaen ligger robotassistert kirurgi, med en suksessrate på 94 til 100 prosent ifølge Cleveland Clinic (builtin.com). AI brukes også til å forutsi sykdomsutbrudd ved å analysere ulike datasett (EU-kommisjonen). Bredden i bruksområder er stor, men modenheten varierer kraftig mellom dem.

---

Les også: AI i helsevesenet: slik transformerer kunstig intelligens norsk helse. Slik forandrer AI diagnostikk, pasientbehandling og administrasjon i norsk helsevesen.

---

AI Act og medisinsk programvare som høyrisikosystem

AI-loven har som mål å fremme ansvarlig utvikling og bruk av AI i EU, og den deler systemer inn etter risiko (EU-kommisjonen). Helse ligger tungt i høyrisikokategorien. For norske aktører betyr det at kravene kommer via EØS, og at planleggingen bør starte før verktøyet er valgt.

Trinn i innfasingen	Tidsrom etter ikrafttredelse	Hva det gjelder
Forbud	Seks måneder	Forbudte AI-praksiser får effekt
GPAI-bestemmelser	12 måneder	Regler for generelle AI-modeller
Full anvendelse	2 år	Loven er fullt anvendelig
Innebygde systemer	36 måneder	AI i regulerte produkter, som medisinsk utstyr

Hva høyrisiko faktisk krever

Høyrisikosystemer, og medisinsk programvare nevnes eksplisitt, må oppfylle krav om risikoreduserende systemer, høykvalitetsdata, tydelig brukerinformasjon og menneskelig tilsyn (EU-kommisjonen). Fire krav, og ingen av dem er teknologiske i utgangspunktet. De handler om hvordan systemet styres, dokumenteres og forklares.

«Høykvalitetsdata» er det kravet flest undervurderer. Det gjelder ikke bare treningsdataene til leverandøren. Det gjelder også dataene du selv mater inn, og journaldata er notorisk ustrukturerte. Et system som får dårlig input, produserer dårlig output uansett hvor god modellen er.

Tidslinjen du planlegger mot

Innfasingen er trappevis. Forbudene fikk effekt etter seks måneder, GPAI-bestemmelsene etter 12 måneder, loven er fullt anvendelig etter 2 år, og reglene for AI innebygd i regulerte produkter gjelder etter 36 måneder (EU-kommisjonen). Kommisjonen ventet å ferdigstille en Code of Practice for generelle AI-modeller i april 2025.

Den lengste fristen gjelder nettopp det sporet mange helseprodukter havner i, altså AI innebygd i regulert medisinsk utstyr. Det gir pusterom, men det gir også en felle. Utsettelsen gjelder samsvarskravene, ikke personvernkravene. GDPR gjelder i dag.

Menneskelig tilsyn er et lovkrav, ikke en formulering

Alura mener at menneskelig tilsyn ikke er en formalitet i helse, men et lovkrav som må være dokumentert i arbeidsflyten fra dag en. Forskjellen mellom en policy som sier at legen alltid kontrollerer, og en arbeidsflyt som beviser at legen kontrollerte, er forskjellen mellom å bestå og å stryke i en tilsynssak.

Konkret: definer hvem som har tilsynsrollen, hva vedkommende faktisk skal se på, hvor lang tid det tar, og hvordan overstyringer logges. Hvis tilsynet krever mer tid enn AI-en sparer, har dere funnet ut noe viktig før dere skalerte. Det er et godt utfall av en pilot, ikke et nederlag.

EHDS og hva det europeiske helsedataområdet betyr

Det europeiske helsedataområdet, EHDS, trådte i kraft i 2025 (EU-kommisjonen). Det er en av de tre regelverkspilarene Kommisjonen selv trekker fram for AI i helse, sammen med AI Act og produktansvarsdirektivet. Der AI Act regulerer systemet, regulerer EHDS dataene.

Primærbruk og sekundærbruk

EHDS skiller mellom bruk av helsedata i behandlingen av pasienten selv, og gjenbruk av data til forskning, innovasjon og styring. Skillet er avgjørende for AI, fordi treningsdata og beslutningsstøtte havner på ulike sider av grensen. Et verktøy som bruker journaldata til å hjelpe den aktuelle pasienten er noe annet enn et verktøy som bruker de samme dataene til å forbedre modellen.

For en norsk aktør betyr det at leverandørspørsmålet «brukes våre data til trening?» ikke er et paranoid spørsmål. Det er et spørsmål som avgjør hvilket regelverksspor dere befinner dere i. Svaret må stå i avtalen, ikke i en markedsføringstekst.

Hva norske aktører bør forberede nå

EHDS forutsetter at helsedata kan deles på en strukturert og standardisert måte. Aktører med data låst i fritekstfelt og lokale formater vil bruke mer tid på tilrettelegging enn på AI. Dataarbeidet er ikke en forberedelse til AI-prosjektet. Det er AI-prosjektet, i praksis, de første tolv månedene.

OECD følger implementeringen av EUs koordinerte AI-plan med et eget kapittel om helse (OECD). Poenget for en norsk leder er ikke rapportens detaljer, men at implementeringstakten varierer sterkt mellom land. Å vente på at «Europa avklarer» er å vente på noe som skjer ujevnt over flere år.

Markedsobservasjon: HIPAA møter europeisk regelverk

Hele helseproduktet fra OpenAI er bygget rundt HIPAA-samsvar, og API-et markedsføres mot tusenvis av organisasjoner med HIPAA-kompatible arbeidsflyter (OpenAI, 2026). Det er logisk gitt hvor markedet er størst. Det er også der friksjonen oppstår når produktet skal til Europa.

HIPAA-samsvar svarer ikke på det europeiske spørsmålet

Alura mener at norske helseaktører bør måle AI-verktøy mot AI Act sine krav til høyrisikosystemer, ikke mot HIPAA, selv når leverandøren markedsfører HIPAA-samsvar. De to regelverkene stiller ulike spørsmål. HIPAA regulerer i hovedsak hvem som kan se opplysningene og hvordan de sikres. AI Act regulerer systemets egenskaper, dokumentasjon og tilsyn.

Et produkt kan være fullt HIPAA-samsvarende og likevel mangle det som kreves for lovlig bruk i EØS: teknisk dokumentasjon, logging egnet for tilsyn, informasjon til bruker om systemets begrensninger, og et definert tilsynspunkt. Å be om HIPAA-dokumentasjon er ikke feil. Å stoppe der er det.

Hva du bør kreve av leverandøren

Be om fire ting skriftlig: prosesseringssted per funksjon, om data brukes til modelltrening, hvilken dokumentasjon som finnes for AI Act-samsvar, og hvordan revisjonsloggene kan eksporteres til deres eget system. De tre første avgjør om avtalen er mulig. Den fjerde avgjør om dere kan bevise noe i ettertid.

Enterprise-kontroller som rollebasert tilgang, single sign-on og revisjonslogger er en god start (OpenAI, 2026). Men kontroller som bare finnes inne i leverandørens plattform, er ikke tilstrekkelig for en norsk internkontroll. Loggene må kunne leses av noen som ikke er kunde hos leverandøren.

Vanlige feil norske helseaktører gjør

Mønstrene gjentar seg på tvers av foretak, kommuner og private klinikker. Ingen av dem skyldes manglende kompetanse. De skyldes at AI-prosjekter organiseres som IT-prosjekter, mens risikoen er klinisk og juridisk.

Å pilotere på ekte pasientdata først

Alura mener at man bør starte med bruksområder uten identifiserbare pasientdata, som oppslag i offentlige helsedatasett, før journalsystemer kobles til. Grunnen er praktisk, ikke prinsipiell. Dere lærer det meste om modellens styrker og svakheter uten å bruke seks måneder på et behandlingsgrunnlag først.

Offentlige kilder gir rikelig med testflate. En plugin som samler ni offisielle helsekilder dekker legemiddelinformasjon, kliniske studier og forskningslitteratur (OpenAI, 2026). Klarer ikke verktøyet å levere nytte der, kommer det ikke til å levere nytte på journaldata heller.

Å forveksle leverandørens evaluering med egen validering

En trygghetsandel målt på tvers av 27 kliniske bruksområder i et internasjonalt legepanel sier lite om norsk klinisk praksis, norske retningslinjer og norsk journalspråk (TechCrunch). Leverandørens evaluering er en forutsetning for å komme i betraktning. Den er ikke en erstatning for egen testing.

Sett opp minst femti reelle, avidentifiserte caser fra egen praksis før beslutning. La to klinikere vurdere uavhengig. Det er en beskjeden investering sammenlignet med å oppdage svakhetene etter utrulling, og det er den eneste dokumentasjonen som holder overfor eget fagmiljø.

Å plassere ansvaret hos IT alene

Når AI-prosjektet eies av IT, blir spørsmålene tekniske: integrasjon, sikkerhet, drift. Spørsmålene som avgjør om prosjektet overlever et tilsyn er kliniske og juridiske: hvem tar beslutningen, hva er grunnlaget, hvordan dokumenteres tilsynet. Uten en fagansvarlig lege og en juridisk eier i prosjektgruppen mangler dere svarene når de trengs.

Den motsatte feilen er like vanlig. Når personvernombudet eier prosjektet alene, blir svaret nei på alt, og virksomheten mister også de bruksområdene som er trivielle å godkjenne. Balansen krever at begge sitter ved bordet fra start.

Ofte stilte spørsmål om AI, journaldata og personvern

Under er spørsmålene som går igjen når norske helseaktører vurderer AI mot pasientdata. Svarene er generelle og erstatter ikke en juridisk vurdering av det konkrete tiltaket.

Kan norske sykehus ta i bruk ChatGPT for Healthcare i dag?

Produktet er lansert med amerikansk regelverksforankring, og journalkoblingen gjelder Epic (OpenAI, 2026). Uten en databehandleravtale etter GDPR, avklart prosesseringssted og dokumentasjon rettet mot AI Act, er ikke bruk mot identifiserbare norske pasientdata forsvarlig i dag. Bruk mot offentlige helsedatasett er en helt annen vurdering.

Er HIPAA-samsvar nok for norske helsedata?

Nei. HIPAA er amerikansk sektorlovgivning og dekker ikke GDPR-kravene til behandlingsgrunnlag, dataminimering og overføring ut av EØS. En Business Associate Agreement er ikke en databehandleravtale (TechCrunch). Behandle HIPAA-dokumentasjon som ett bilag blant flere, ikke som konklusjonen.

Regnes en AI-assistent for klinikere som høyrisikosystem?

EU-kommisjonen nevner medisinsk programvare eksplisitt som eksempel på høyrisiko-AI (EU-kommisjonen). Om en generell assistent faller inn, avhenger av bruken. Et verktøy som oppsummerer administrativ tekst ligger annerledes an enn et verktøy som påvirker diagnose eller behandling. Klassifiseringen følger funksjonen, ikke produktnavnet.

Hva betyr EHDS for en liten klinikk?

EHDS trådte i kraft i 2025 og legger rammer for både primærbruk og sekundærbruk av helsedata i Europa (EU-kommisjonen). For en liten aktør er den praktiske konsekvensen krav til struktur og standardformater i egne data. Det arbeidet lønner seg uansett om AI-planene realiseres eller ikke.

Hvor bør en norsk helseaktør starte?

Start der dataene ikke er identifiserbare. Oppslag i offentlige registre, litteratursøk, utkast til pasientinformasjon og intern dokumentasjon gir målbar tidsbesparelse uten å utløse den tunge vurderingen. Bygg kompetansen der i tre til seks måneder, og bruk tiden parallelt på behandlingsgrunnlag og databehandleravtale for neste steg. Vi har samlet en bredere gjennomgang av AI i norsk helse.

Oppsummering og neste steg

Epic-koblingen flytter det tekniske og kommersielle bildet, ikke det regulatoriske. Den viser at generelle språkmodeller nå flytter inn i journalsystemene, og at leverandørene bygger egne helseprodukter med egne kontrakter. Den viser også hvor stor avstanden er mellom amerikansk og europeisk regelverksforankring.

Rekkefølgen som holder

Avklar datatypen før alt annet. Bygg de første erfaringene på offentlige data, der ingen pasient kan identifiseres. Kjør behandlingsgrunnlag og databehandleravtale som et parallelt spor mens verktøyet testes, ikke som en forutsetning for å begynne å lære. Og mål mot AI Act sine fire krav, ikke mot leverandørens markedsmateriell.

Menneskelig tilsyn hører hjemme i arbeidsflyten fra første dag (EU-kommisjonen). Legges det til i ettertid, blir det en kontrollrutine ingen rekker. Legges det inn fra start, blir det en del av hvordan verktøyet brukes.

Slik ser en forsvarlig pilot ut

En pilot med tolv til tjue klinikere, et avgrenset bruksområde uten identifiserbare pasientdata, en definert feildefinisjon og en logg over overstyringer gir dere beslutningsgrunnlag på et kvartal. Den koster lite, den er lett å stoppe, og den produserer dokumentasjon dere trenger uansett neste steg.

Det som ikke fungerer, er å vente. Etterspørselen finnes allerede blant klinikere og pasienter, og volumet av helsespørsmål til allmenne modeller viser hvor bevegelsen går (TechCrunch). Valget står ikke mellom AI og ingen AI. Det står mellom styrt bruk og ustyrt bruk. Et verktøy som brukes uten rammer i dag, er en avviksmelding i morgen. Gode formuleringstips finnes i vår oversikt over smarte ChatGPT-triks.

I Alura jobber vi med norske bedrifter på tvers av bransjer: finans, helse, bygg, e-handel, industri. Vi vet hva som fungerer i din sektor og hva som ikke gjør det, fordi vi har bygget løsninger der allerede.

Bestill en bransje-vurdering: vi presenterer hva andre i din sektor faktisk gjør med AI, hva som gir avkastning, og hvor du har uutnyttede muligheter. Uforpliktende.

Kilder

• TechCrunch. ChatGPT Health adds Epic integration for clinicians to import patient data
• OpenAI (2026). Healthcare organizations can now connect EHR and ... - OpenAI
• EU-kommisjonen. Artificial Intelligence in healthcare - Public Health
• builtin.com. AI in Healthcare: Uses, Examples & Benefits | Built In
• OpenAI (2026). Vi presenterer OpenAI for Healthcare
• OECD. AI in healthcare: Progress in Implementing the European Union Coordinated Plan on Artificial Intelligence (Volume 2)