Vet du hvor pasientsamtalen havner?
Sikkerhetsansvarlige i norske helseforetak har allerede begynt å peke på at KI-tjenester i egne datasentre kan være et fornuftig valg for å ivareta informasjonssikkerhet, personvern og beredskap. Det er en vurdering som bør veie tungt når helseregionene nå gjør sine valg.
Annonse kun for helsepersonell
En pasient sitter i en psykiatrisk konsultasjon. Hun forteller om et samlivsbrudd, søvnløshet, tanker hun ikke har delt med noen andre. Et KI-system lytter, transkriberer og genererer et journalutkast. Behandleren sparer 30 minutter. Pasienten merker at legen er mer til stede.
Det er den gode historien. Men det er en annen historie som sjelden fortelles: Hvor havner opptaket? Hvem prosesserer det? Under hvilken jurisdiksjon?
De fleste klinikere kan ikke svare på dette. Og det er ikke deres feil.
Rundt halvparten av norske fastleger bruker nå ulike KI-verktøy i sin kliniske hverdag. Mange av disse tjenestene kjører på amerikanske skyplattformer — Microsoft Azure, Amazon Web Services — eller bruker modeller fra selskaper som OpenAI. Det betyr at pasientens mest sårbare øyeblikk prosesseres av infrastruktur underlagt amerikansk jurisdiksjon.
En pasient som deler sine mest sårbare erfaringer i en konsultasjon, gjør det i tillit til at informasjonen behandles forsvarlig.
CLOUD Act gir amerikanske myndigheter hjemmel til å kreve tilgang til data som lagres eller prosesseres av amerikanske selskaper — uavhengig av hvor i verden dataene befinner seg. Nasjonal sikkerhetsmyndighet advarer i «Risiko 2026» eksplisitt om konsentrasjonsrisikoen ved at 97 prosent av norske statlige etater er avhengige av utenlandske skytjenester. Da Microsoft og Amazon opplevde betydelige driftsproblemer i oktober 2025, ble konsekvensene tydelige for millioner av brukere.
Dette er ikke et teknisk detaljspørsmål. Det er et spørsmål om forsvarlig praksis.
Annonse kun for helsepersonell
Klinikere må stille andre spørsmål
Når en avdeling vurderer et KI-verktøy, handler diskusjonen nesten alltid om funksjonalitet: Sparer det tid? Fungerer det i arbeidsflyten? Er kvaliteten god nok? Dette er viktige spørsmål. Men de er ikke tilstrekkelige.
Som klinikere og teknologer mener vi at følgende spørsmål bør stilles ved enhver innføring av KI i pasientnært arbeid:
Hvor prosesseres dataene? Skjer det i Norge, i Europa, eller på servere underlagt amerikansk jurisdiksjon? Svaret har direkte konsekvenser for hvem som i ytterste konsekvens kan kreve tilgang.
Hva skjer hvis leverandøren endrer vilkår? Microsoft stengte nylig tilgangen til hovedanklageren ved Den internasjonale straffedomstolen i Haag — basert på amerikansk lov. Når hundrevis av behandlere er avhengige av et system i sin daglige praksis, er det en sårbarhet å være prisgitt en leverandør som kan endre vilkårene ensidig.
Kan vi bytte ut systemet? Helseregionene gjør nå store innkjøpsvalg for KI-verktøy — valg som vil legge føringer i flere år fremover. Når et system er integrert i klinisk praksis og brukes daglig av hundrevis av behandlere, er byttekostnaden i seg selv et argument for status quo — uansett hva leverandøren gjør. Desto viktigere at kravene til infrastruktur, jurisdiksjon og leverandøruavhengighet stilles før avtalene signeres, ikke etter.
Har vi sporbarhet? EU AI Act stiller krav til sporbarhet for høyrisikosystemer i helsesektoren. Kan du dokumentere hvilken modellversjon som genererte et spesifikt journalutkast, og hvordan dataene ble behandlet? Med en lukket, skybasert tjeneste er svaret ofte nei.
Alternativene finnes
Annonse kun for helsepersonell
Det finnes i dag europeiske språkmodeller som kan driftes lokalt, på norsk infrastruktur,uten at pasientdata deles med modelleverandøren. Kombinert med norskspråklige modeller kan hele kjeden driftes av norske fagmiljøer, med full kontroll over alle ledd. KI- basert journalføring kjører allerede i produksjon på norske sykehus — på dedikert infrastruktur i Norge, med kommunikasjon over Norsk helsenett.
Sikkerhetsansvarlige i norske helseforetak har allerede begynt å peke på at KI-tjenester i egne datasentre kan være et fornuftig valg for å ivareta informasjonssikkerhet, personvern og beredskap. Det er en vurdering som bør veie tungt når helseregionene nå gjør sine valg.
Pasienten fortjener å vite
En pasient som deler sine mest sårbare erfaringer i en konsultasjon, gjør det i tillit til at informasjonen behandles forsvarlig. Den tilliten er grunnmuren i klinisk praksis. Hvis vi ikke kan svare pasienten på hvor samtalen havner og hvem som kan få tilgang, har vi et problem som handler om noe mer grunnleggende enn teknologi.
Debatten om digital suverenitet har nådd Stortinget, Dagsrevyen og forsidene. Men i sykehuskorridorene og på legekontorene, der KI-verktøyene faktisk brukes, er den knapt begynt.
Det er på tide at den starter — hos oss som bruker verktøyene, hos oss som velger dem inn, og hos oss som har ansvaret for pasientene.
Interessekonflikter: Kronikkforfatterne representerer Vidd Medical. Vidd Medical tilbyr KI-drevne verktøy til helsetjenesten.
