AI-dokumentation i terapi: hvad europæiske behandlere skal vide

AI-dokumentationsassistenter kan lette den administrative byrde i terapipraksis – men terapisessioner producerer data i den mest følsomme ende af spektret: traumehistorier, selvmordstanker, seksuel identitet, vold i parforhold. Før en europæisk terapeut tager et sådant værktøj i brug, er der juridiske, etiske og kliniske spørgsmål, der kræver grundige svar.

Terapi er ikke bare et andet klinisk miljø

Dokumentationsudfordringen inden for mental sundhed adskiller sig grundlæggende fra andre kliniske sammenhænge. Det præcise sprog, en patient bruger, de associationer vedkommende laver, og de bekymringer vedkommende nævner udgør selve fundamentet for det terapeutiske forhold. En AI-dokumentationsassistent, der lytter til, transskriberer og strukturerer dette indhold, tilføjer et lag af databehandling uden sidestykke i de fleste andre kliniske sammenhænge. Det er forskelligt fra en praktiserende læge, der registrerer en blodtryksmåling, på næsten enhver måde der tæller juridisk og klinisk.

En fagfællebedømt narrativ gennemgang fra 2025 i DIGITAL HEALTH fandt, at AI-værktøjer inden for mental sundhed ofte opererer i juridiske gråzoner vedrørende samtykke, databrug og grænseoverskridende dataflow, og at GDPR kun tilbyder grundlæggende beskyttelse, der endnu ikke tager højde for de unikke etiske og kliniske nuancer ved AI-baserede interventioner inden for mental sundhed. Det er den mest direkte tilgængelige vurdering af, hvor reguleringen faktisk står. Terapeuter er desuden ikke kun bundet af databeskyttelseslovgivning, men også af faglige etiske kodeks og, i mange europæiske lande, af specifikke lovbestemte beskyttelser for journaler inden for mental sundhed, der går videre end de generelle regler for sundhedsdata.

Hvad GDPR faktisk kræver, og hvad det ikke tillader

Indholdet af en terapisession kan falde under flere kategorier i artikel 9 i GDPR inden for sundhedsvæsenet: sundhedsdata, data vedrørende seksuel orientering eller kønsidentitet, religiøse eller filosofiske overbevisninger og psykisk tilstand. Det har direkte konsekvenser for, hvilket lovligt grundlag en praktiserende kan anvende.

Udgangspunktet i artikel 9 er, at behandling af særlige kategorier af data er forbudt, medmindre én af en lukket liste af undtagelser finder anvendelse. For de fleste terapidokumentationer vil den relevante undtagelse enten være eksplicit samtykke (artikel 9(2)(a)) eller behandling, der er nødvendig for levering af sundhedsydelser (artikel 9(2)(h)), sidstnævnte kombineret med artikel 9(3), som kræver, at behandlingen udføres af eller under ansvar af en fagperson underlagt faglig tavshedspligt. En terapeut kan ikke støtte sig på "legitim interesse": det grundlag gælder for almindelige persondata, ikke for særlige kategorier. En arXiv-gennemgang fra 2025 om privatlivsbevarende AI inden for mental sundhed understreger, at terapisessioner kun må optages med eksplicit, informeret patientsamtykke og klare oplysninger om anonymisering, sikker opbevaring og databrug.

Terapeuter, der er selvstændige eller arbejder i små private praksisser, bærer dette overholdelsesansvar direkte som dataansvarlige. AI-leverandøren er databehandler, og det juridiske forhold skal formaliseres i en skriftlig databehandleraftale, inden nogen data deles.

Samtykke i terapi kræver særlig omhu

GDPR kræver, at samtykke gives frit, er specifikt, informeret og utvetydigt. I et terapeutisk forhold fortjener kravet om "frit givet" særlig opmærksomhed. Patienter befinder sig ofte i en psykologisk sårbar position med en følelsesmæssig afhængighed af terapeuten, og der er en iboende magtforskel, der ikke eksisterer på samme måde i en rutinekonsultation. American Psychological Associations etiske vejledning fra 2025 om AI i psykologisk praksis understreger vigtigheden af informeret samtykke og forpligter praktiserende til kritisk at vurdere AI-genereret klinisk indhold, inden det anvendes.

En gyldig, GDPR-kompatibel samtykkeproces for AI-dokumentation i terapi bør som minimum dække følgende punkter: en klar forklaring af, hvad AI-værktøjet gør; identiteten af AI-leverandøren og det land, hvor data behandles og opbevares; hvilke data der opbevares, hvor længe, og hvem der kan få adgang til dem; en eksplicit erklæring om, at det ikke påvirker kvaliteten af behandlingen, hvis patienten tilbageholder eller trækker sit samtykke; og en mekanisme, der giver patienten mulighed for at trække samtykke tilbage når som helst med en klar forklaring af, hvad der sker med tidligere behandlede data.

Det sidste punkt er afgørende og undervurderet i praksis. Hvis en patient trækker samtykke tilbage, og leverandøren ikke kan dokumentere, at dataene er slettet fra træningssæt, logfiler eller behandlingsinfrastruktur, kan den praktiserende stå med et overholdelsesproblem, der er vanskeligt at løse bagefter. Det er ikke givet, at leverandørens servicevilkår eller en standardiseret databehandleraftale adresserer dette tilstrækkeligt.

Hvad du skal spørge din AI-leverandør om, og hvorfor det er juridisk nødvendigt

For europæiske terapeuter er datalokation et juridisk krav. GDPR begrænser overførsel af persondata uden for Det Europæiske Økonomiske Samarbejdsområde (EØS), medmindre specifikke sikkerhedsforanstaltninger er på plads. Da terapisessionsindhold er artikel 9-data, er kravene til at dokumentere tilstrækkelig beskyttelse tilsvarende høje. En arXiv-gennemgang fra 2025 om kliniske datasæt inden for mental sundhed bemærker, at GDPR sætter strenge begrænsninger på brugen og delingen af følsomme sundhedsoplysninger, hvilket gør det vanskeligere at indføre AI-værktøjer i psykoterapeutiske sammenhænge.

Inden valg af leverandør bør praktiserende indhente klare skriftlige svar på fire spørgsmål. Første spørgsmål handler om datalokation: udføres lydtransskription på enheden, på servere inden for EU/EØS eller i et tredjeland, og er integrationen med journalsystemet placeret inden for EU/EØS? Andet spørgsmål vedrører databehandleraftalen: fungerer leverandøren som databehandler, og er der en kompatibel aftale på plads, der dækker emnet, varigheden, arten og formålet med behandlingen samt typen af persondata? Tredje spørgsmål drejer sig om sikkerhedscertificering: har leverandøren ISO 27001-certificering eller tilsvarende, og er der gennemført en konsekvensanalyse vedrørende databeskyttelse? Fjerde spørgsmål gælder modeltræning: bruger leverandøren sessionsdata til at træne eller finjustere AI-modeller? Det udgør et separat behandlingsformål, der kræver sit eget lovlige grundlag og næsten altid eksplicit samtykke.

Enhver leverandør, der er uklar om datalokation eller tilbageholdende med at levere en skriftlig databehandleraftale, udgør en betydelig overholdelsesrisiko.

Påvirker AI-assistentens tilstedeværelse det terapeutiske forhold?

Den terapeutiske alliance er en af de mest robuste forudsigere for terapiresultater på tværs af behandlingsformer. Alt, der påvirker en patients følelse af tryghed, tillid eller vilje til at åbne sig, er klinisk betydningsfuldt. Nogle patienter kan selvcensurere, når de får at vide, at deres ord transskriberes af et AI-system. Andre kan finde det beroligende, hvis det præsenteres åbent. Effekten varierer fra patient til patient, og det er netop derfor, det ikke er nok at indhente samtykke én gang og betragte spørgsmålet som afklaret.

En undersøgelse i JAMA Psychiatry offentliggjort den 1. marts 2026, den største til dato om AI-assistenter i psykiatrisk dokumentation, fandt, at AI-assistenter i primærsektoren øgede dokumentationen af neuropsykiatriske symptomer, men samtidig var forbundet med en signifikant lavere sandsynlighed for dokumenteret psykiatrisk intervention sammenlignet med besøg uden assistent (justeret odds ratio 0,83; 95 % konfidensinterval, 0,72 til 0,95). Undersøgelsen fastslår ikke årsagssammenhæng og blev gennemført i primærsektoren snarere end i specialiserede psykoterapeutiske sammenhænge, men resultaterne er værd at tage alvorligt: mere dokumentation fører ikke automatisk til bedre klinisk behandling.

Praktiserende bør løbende vurdere, både før implementering og undervejs, om værktøjets tilstedeværelse påvirker patientens åbenhed. Det kan betyde at spørge patienter direkte om deres oplevelse og være villig til at stoppe brugen af værktøjet med specifikke patienter, hvor den kliniske vurdering tilsiger det.

Hvad der skal ind i journalnotaterne, og hvad der ikke bør

AI-dokumentationsassistenter træffer ikke dokumentationsbeslutninger. Det gør klinikeren. Som en praksisorienteret juridisk forklaring gør klart, bærer klinikere det fulde ansvar for nøjagtigheden af AI-genererede notater. Et AI-genereret udkast, der gemmes i journalsystemet uden gennemgang, bliver klinikerens dokument med samme juridiske og faglige vægt som et notat skrevet helt i hånden.

Sessionsindhold, som terapeuten med rette kan have i baghovedet, er ikke nødvendigvis passende at registrere ordret i et struktureret journalnotat, der kan være tilgængeligt for andre sundhedsudbydere, blive genstand for en anmodning om indsigt eller anvendt i retssager. Forskning, der anvender naturlig sprogbehandling af psykoterapinotater til forudsigelse af selvmordsrisiko, har vist, at sproget i disse notater er klinisk informativt på måder, der rækker langt ud over det, terapeuten selv har til hensigt at kommunikere. Det understreger behovet for at skrive med omhu fra starten snarere end at betragte gennemgang af AI-udkastet som en let opgave.

Fire kategorier kræver særlig opmærksomhed ved gennemgang af AI-genererede notater. Beskyttelsesafsløringer, der kan udløse obligatoriske indberetningsforpligtelser, skal dokumenteres præcist i overensstemmelse med lokale protokoller. Navne på personer nævnt af patienten, det vil sige tredjepartsidentifikatorer, bør generelt ikke fremgå af strukturerede journalnotater. Følsomme identitetsmarkører som seksuel orientering, kønsidentitet og immigrationsstatus kræver omhyggelig vurdering af, om deres tilstedeværelse i et AI-genereret notat overhovedet er passende eller nødvendig. Endelig bærer risikovurderinger vedrørende selvmordstanker, selvskade eller risiko for andre specifik klinisk og juridisk vægt og bør skrives eller gennemgås med tilsvarende omhu.

Nationale forpligtelser og regulatorisk klassificering

GDPR sætter et minimum, ikke et maksimum. Flere europæiske lande har vedtaget national lovgivning med yderligere krav. I Tyskland er psykoterapeuter underlagt strenge faglige tavshedspligtsforpligtelser (Schweigepflicht) under §203 i straffeloven, og brud, herunder gennem utilstrækkelige databehandlingsordninger, kan medføre strafansvar. I Frankrig har den nationale databeskyttelsesmyndighed CNIL udstedt specifik vejledning om behandling af sundhedsdata og fører regulatorisk tilsyn med AI-systemer. I Holland håndhæver Autoriteit Persoonsgegevens GDPR med særlig opmærksomhed på sundhedsdata, og praktiserende er desuden underlagt WGBO og BIG-registerforpligtelser. I Irland har Data Protection Commission håndhævelsesmyndighed og har været aktiv i sager om grænseoverskridende dataoverførsler. I Italien har Garante truffet håndhævelsesforanstaltninger mod AI-virksomheder, der håndterer sundhedsdata, herunder midlertidige restriktioner og betydelige bøder.

Grænsen mellem et AI-dokumentationsværktøj og medicinsk udstyr er ikke altid tydelig. Under EU AI Act og medicinsk udstyrsforordningen (MDR 2017/745) klassificeres software som medicinsk udstyr, hvis den er beregnet til et medicinsk formål, herunder diagnose, overvågning eller behandling af sygdom. Et værktøj, der udelukkende transskriberer tale og strukturerer journalnotater, er generelt ikke klassificeret som medicinsk udstyr. Et værktøj, der analyserer sessionsindhold for at markere selvmordsrisiko, foreslå diagnoser eller understøtte klinisk beslutningstagning, vil sandsynligvis kræve MDR-klassificering og overensstemmelsesvurdering. Det kan tillige klassificeres som højrisiko-AI under EU AI Act, med dobbelt regulering under begge rammer til følge, som en fagfællebedømt analyse fra 2025 i European Heart Journal – Digital Health påpeger. En PMC-analyse af EU AI Act præciserer desuden, at en undtagelse i betragtning 29 for AI-systemer brugt i lovlig psykologisk behandling gælder for forbudte AI-praksisser som følelsesanerkendelse, ikke for de generelle regulatoriske forpligtelser for højrisiko-AI-systemer. Spørg leverandøren direkte: en seriøs leverandør bør kunne give et klart, dokumenteret svar om værktøjets klassificering under begge rammer.

Det praktiske råd er enkelt: tjek dine forpligtelser hos din nationale databeskyttelsesmyndighed, dit faglige tilsynsorgan og dit erhvervsansvarsforsikringsselskab, inden du indfører et AI-dokumentationsværktøj.

Minimumsstandard for due diligence før implementering

Følgende trin udgør en minimumsstandard for due diligence, inden en AI-dokumentationsassistent introduceres i en terapipraksis i Europa. De er ikke udtømmende, og praktiserende bør supplere dem med rådgivning fra deres faglige forening og juridisk rådgiver efter behov.

Leverandør due diligence

• Bekræft EU/EØS-datalokation for både behandling og opbevaring

• Indhent og gennemgå en underskrevet databehandleraftale, inden nogen data deles

• Verificer ISO 27001-certificering eller tilsvarende sikkerhedsniveau

• Bekræft værktøjets regulatoriske klassificering under EU's medicinsk udstyrsforordning og EU AI Act

• Afklar, om leverandøren bruger sessionsdata til modeltræning, og på hvilket lovligt grundlag

Samtykke og patientkommunikation

• Udarbejd en skriftlig samtykkeproces, der er adskilt fra det generelle behandlingssamtykke

• Sørg for, at samtykkeerklæringen forklarer, hvad værktøjet gør, hvem leverandøren er, hvor data opbevares, og hvor længe de gemmes

• Bekræft, at patienter kan afvise AI-dokumentation uden nogen indflydelse på deres behandling

• Etabler en klar proces til håndtering af tilbagetrækning af samtykke, herunder anmodninger om sletning af data

Arbejdsgang for notatgennemgang

Definer først, hvilke dele af sessionsindhold AI-assistenten må opfange. Etabler derefter et obligatorisk gennemgangs- og redigeringstrin, inden et AI-genereret notat gemmes i journalsystemet. Identificer de kategorier af indhold, herunder beskyttelsesafsløringer, tredjepartsnavne, følsomme identitetsmarkører og risikovurderinger, der kræver særlig opmærksomhed eller manuel dokumentation. Dokumentér gennemgangsarbejdsgangen i din praksis' databeskyttelsespolitik.

Regulatoriske og faglige forpligtelser

• Verificer nationale krav hos din databeskyttelsesmyndighed og dit faglige tilsynsorgan

• Gennemfør en konsekvensanalyse vedrørende databeskyttelse, som er obligatorisk under GDPR artikel 35 for storstilet behandling af særlige kategorier af data og stærkt tilrådeligt selv for mindre praksisser

• Underret dit erhvervsansvarsforsikringsselskab og bekræft, at AI-assisteret dokumentation er dækket af din police

Løbende overvågning

• Vurdér regelmæssigt, om værktøjets tilstedeværelse påvirker terapeutisk åbenhed eller kvaliteten af sessioner

• Overvåg AI-genererede notater for nøjagtighed, fuldstændighed og hensigtsmæssighed af indhold

• Hold dig opdateret om ændringer i EU AI Act-implementering, vejledning om medicinsk udstyrsforordning og nationale regulatoriske udviklinger

Ofte stillede spørgsmål

▶ Hvorfor rejser AI-dokumentation i terapi andre bekymringer end i andre kliniske sammenhænge?

Terapisessioner kan i én enkelt samtale producere data, der falder under flere særlige kategorier i artikel 9 i GDPR på samme tid: sundhedsdata, seksuel orientering, religiøse overbevisninger og psykisk tilstand. Det er en kombination, der næsten aldrig opstår i en rutinekonsultation, og som gør det lovlige grundlag for behandling væsentligt mere komplekst at fastlægge.

▶ Hvilket lovligt grundlag kan en terapeut støtte sig på, når de behandler sessionsindhold gennem en AI-dokumentationsassistent?

Grundlaget er enten eksplicit samtykke under artikel 9(2)(a) eller nødvendig sundhedsydelse under artikel 9(2)(h) kombineret med artikel 9(3). Legitim interesse er udelukket for særlige kategorier. Et praktisk problem opstår, når en patient trækker samtykke tilbage: terapeuten skal da kunne dokumentere, at data faktisk er slettet hos leverandøren.

▶ Hvad skal en gyldig samtykkeproces for AI-dokumentation i terapi omfatte?

Processen skal være adskilt fra det generelle behandlingssamtykke og dække leverandørens identitet, datalokation, opbevaringsperiode og hvad der sker med data ved tilbagetrækning. Formulér det skriftligt, og gennemgå det mundtligt ved sessionens start, så patienten reelt forstår det frem for blot at underskrive.

▶ Hvilke spørgsmål skal en terapeut stille en AI-leverandør, før de deler sessionsdata?

Kræv skriftlige svar på fem punkter: datalokation for behandling og opbevaring, om der foreligger en underskrevet databehandleraftale, ISO 27001-certificering eller tilsvarende, om der er gennemført en konsekvensanalyse vedrørende databeskyttelse, og om sessionsdata bruges til modeltræning. Mundtlige forsikringer er ikke tilstrækkelige.

▶ Kan tilstedeværelsen af en AI-dokumentationsassistent påvirke det terapeutiske forhold?

Ja. En JAMA Psychiatry-undersøgelse fra marts 2026 fandt, at AI-assistenter var forbundet med en signifikant lavere sandsynlighed for dokumenteret psykiatrisk intervention (justeret odds ratio 0,83). Undersøgelsen etablerer ikke årsagssammenhæng og er fra primærsektoren, men resultatet er en konkret grund til at spørge patienter direkte om deres oplevelse undervejs.

▶ Hvem er juridisk ansvarlig for nøjagtigheden af AI-genererede terapinotater?

Klinikeren bærer det fulde ansvar. Et gemt AI-udkast har samme juridiske vægt som et håndskrevet notat. Overvej at dokumentere gennemgangsarbejdsgangen i praksissens databeskyttelsespolitik, så det fremgår, at hvert notat er gennemgået og godkendt af en navngiven fagperson.

▶ Hvilke kategorier af sessionsindhold kræver særlig omhu ved gennemgang af AI-genererede notater?

Fire kategorier kræver skærpet opmærksomhed: beskyttelsesafsløringer med obligatoriske indberetningsforpligtelser, tredjepartsnavne nævnt af patienten, følsomme identitetsmarkører som seksuel orientering og immigrationsstatus, samt risikovurderinger vedrørende selvmordstanker eller selvskade. Forskning i naturlig sprogbehandling af psykoterapinotater viser, at sproget i disse notater er klinisk informativt på måder, der rækker langt ud over terapeutens hensigt.

▶ Giver GDPR tilstrækkelig beskyttelse for data om mental sundhed behandlet af AI-værktøjer?

GDPR er et udgangspunkt. Nationalt niveau varierer betydeligt: tyske psykoterapeuter risikerer strafansvar under §203 i straffeloven ved brud på tavshedspligten, mens Italiens Garante allerede har truffet håndhævelsesforanstaltninger mod AI-virksomheder, der håndterer sundhedsdata. Tjek kravene hos din nationale databeskyttelsesmyndighed og dit faglige tilsynsorgan, inden du implementerer.

▶ Hvornår bliver en AI-dokumentationsassistent til medicinsk udstyr under EU-lovgivning?

Grænsen går ved det tilsigtede formål. Ren transskription og strukturering af notater udløser typisk ikke MDR-klassificering. Analyse af sessionsindhold med henblik på at markere selvmordsrisiko eller foreslå diagnoser gør det. Spørg leverandøren om klassificering under både MDR 2017/745 og EU AI Act, og bed om dokumentation frem for en mundtlig vurdering.

▶ Er en konsekvensanalyse vedrørende databeskyttelse påkrævet før implementering af en AI-dokumentationsassistent i en terapipraksis?

Den er obligatorisk under GDPR artikel 35 ved storstilet behandling af særlige kategorier og tilrådeligt selv for mindre praksisser. Underret også dit erhvervsansvarsforsikringsselskab skriftligt, og få bekræftet, at AI-assisteret dokumentation er dækket af din police, inden du tager værktøjet i brug.