Psykoterapeuter och psykologer i Europa kontaktas i allt högre grad av leverantörer som erbjuder AI-baserade dokumentationsassistenter. Dessa utlovar minskad tid för journalföring efter terapisessioner. Lockelsen är påtaglig: dokumentationsbördan inom psykologisk och psykoterapeutisk praktik är betydande, och allt som frigör kognitiv och emotionell kapacitet för det kliniska arbetet är värt att undersöka. Men terapi är inte ett standardiserat patientbesök. Det som avslöjas i en terapisession – traumahistorik, suicidtankar, sexuell identitet, relationsvåld, psykotiska upplevelser – tillhör den mest känsliga delen av det personliga dataspektrumet. Innan någon terapeut i Europa inför en AI-dokumentationsassistent i sin praktik finns det juridiska, etiska och kliniska frågor som måste besvaras noggrant.

Varför AI-dokumentationsassistenter väcker särskilda frågor inom terapi

Dokumentationsutmaningen inom psykisk hälsa skiljer sig väsentligt från exempelvis en allmänläkare som registrerar ett blodtryck eller en fysioterapeut som noterar rörelseomfång. Terapisessioner genererar avslöjanden som patienter kanske aldrig delat med någon annan. Innehållet i dessa sessioner – det exakta språk patienten använder, de associationer som görs, de rädslor som uttrycks – är inte bara kliniskt känsligt. I många fall är det avgörande för den terapeutiska relationen i sig.

En AI-dokumentationsassistent som lyssnar på, transkriberar och strukturerar detta innehåll introducerar ett lager av databehandling som saknar motsvarighet i de flesta andra kliniska miljöer. En peer-reviewad narrativ översikt från 2025 i DIGITAL HEALTH fann att AI-verktyg (artificiell intelligens) inom psykisk hälsa ofta verkar i juridiska gråzoner vad gäller samtycke, dataanvändning och gränsöverskridande dataflöden. GDPR (dataskyddsförordningen) erbjuder endast grundläggande skydd och tar ännu inte hänsyn till de unika etiska och kliniska nyanserna i AI-baserade insatser inom psykisk hälsa.

De professionella skyldigheterna är lika komplexa. Terapeuter är bundna inte bara av dataskyddslagstiftning utan även av etiska koder från sina yrkesföreningar, sekretesskrav som är inneboende i deras terapeutiska inriktning, och i många europeiska länder, särskilda lagstadgade skydd för journalanteckningar inom psykisk hälsa som går utöver allmänna regler för hälsodata.

Hur GDPR tillämpas annorlunda på data om psykisk hälsa

Enligt GDPR-efterlevnad inom hälso- och sjukvård är data som avslöjar en persons hälsotillstånd redan en särskild kategori enligt artikel 9. Men innehållet i en terapisession går ännu längre. Det kan samtidigt beröra flera artikel 9-kategorier: hälsodata, uppgifter om sexuell läggning eller könsidentitet, data som avslöjar religiösa eller filosofiska övertygelser, och information om en persons psykiska tillstånd. Detta är inte en teoretisk poäng. Det har direkta konsekvenser för vilken rättslig grund en utövare kan stödja sig på när sessionens innehåll behandlas med hjälp av ett AI-verktyg.

Huvudregeln enligt artikel 9 är att behandling av särskilda kategorier av personuppgifter är förbjuden om inte något av ett begränsat antal undantag gäller. För de flesta terapidokumentationer är det aktuella undantaget antingen uttryckligt samtycke (artikel 9(2)(a)) eller behandling som är nödvändig för tillhandahållande av hälso- och sjukvård (artikel 9(2)(h)), kombinerat med artikel 9(3), som kräver att behandling enligt (h) utförs av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt.

I praktiken innebär detta att en terapeut inte kan åberopa "berättigat intresse" för att motivera att sessionsinnehåll matas in i ett AI-dokumentationsverktyg. Berättigat intresse är en grund som gäller för vanliga personuppgifter, inte för särskilda kategorier. Som noteras i en arXiv-översikt från 2025 om integritetsbevarande AI för psykisk hälsa får terapisessioner endast spelas in med uttryckligt, informerat patientsamtycke, med tydlig information om anonymisering, säker lagring och dataanvändning. Tröskeln är högre, dokumentationskraven strängare och konsekvenserna av fel allvarligare.

En praktisk konsekvens: terapeuter som är egenföretagare eller arbetar i små privata praktiker bär detta efterlevnadsansvar direkt. De är personuppgiftsansvariga. AI-leverantören, om denne behandlar data på terapeutens uppdrag, är personuppgiftsbiträde, och den juridiska relationen mellan parterna måste formaliseras i ett skriftligt personuppgiftsbiträdesavtal innan någon data delas.

Samtycke i terapi är inte detsamma som samtycke vid ett allmänläkarbesök

GDPR kräver att samtycke ges frivilligt, är specifikt, informerat och otvetydigt. I en terapeutisk relation kräver kravet på "frivilligt givet" särskild granskning. Patienter i terapi befinner sig ofta i en position av psykologisk sårbarhet och emotionellt beroende. Det finns en inneboende maktskillnad mellan terapeut och patient som inte förekommer på samma sätt vid exempelvis ett rutinmässigt allmänläkarbesök. Samtycke till AI-assisterad dokumentation i terapi måste hanteras med särskild omsorg för att säkerställa att det är genuint frivilligt.

American Psychological Associations etiska vägledning från 2025 om AI i psykologisk praktik betonar vikten av informerat samtycke och utövarens skyldighet att kritiskt utvärdera AI-genererat kliniskt innehåll innan det används. Även om denna vägledning har amerikanskt ursprung hänvisar europeiska yrkesföreningar ofta till den, och dess principer översätts direkt till europeiska etiska ramverk.

En giltig, GDPR-kompatibel samtyckesprocess för AI-dokumentation i terapi bör som minimum omfatta:

• En tydlig förklaring av vad AI-verktyget gör, specifikt att det lyssnar på, transkriberar och strukturerar sessionsinnehåll

• Identiteten på AI-leverantören och det land där data behandlas och lagras

• Vilken data som sparas, hur länge och vem som kan få tillgång till den

• Ett uttryckligt uttalande om att samtycke till AI-dokumentation är separat från samtycke till behandling, och att vägran eller återkallelse av samtycke inte påverkar kvaliteten på den vård som ges

• En mekanism för patienten att återkalla samtycke när som helst, med tydlig information om vad som händer med tidigare behandlad data vid återkallelse

Den sista punkten är avgörande. Om en patient återkallar samtycke och leverantören inte kan visa att deras data raderats från träningsdata, loggar eller behandlingssystem, kan utövaren stå inför ett efterlevnadsproblem som är svårt att åtgärda i efterhand.

Datalokalisering och behandling: vad du ska fråga din AI-leverantör

För europeiska terapeuter är datalokalisering inte en teknisk detalj, utan ett juridiskt krav. Enligt GDPR är överföring av personuppgifter utanför Europeiska ekonomiska samarbetsområdet begränsad om inte särskilda skyddsåtgärder finns (beslut om adekvat skyddsnivå, standardavtalsklausuler eller motsvarande mekanismer). Eftersom terapisessionsinnehåll är artikel 9-data, är kraven för att visa adekvat skydd vid tredjelandsöverföring särskilt höga.

Innan man väljer en AI-dokumentationsassistent bör utövare få tydliga skriftliga svar på följande frågor från varje leverantör:

• Var behandlas data? Sker ljudtranskribering på enheten, på servrar inom EU/EES eller i ett tredjeland?

• Var lagras data? Finns journalsystemet eller anteckningslagringen inom EU/EES?

• Agerar leverantören som personuppgiftsbiträde? Om ja, finns ett giltigt personuppgiftsbiträdesavtal innan någon data delas?

• Vad anger personuppgiftsbiträdesavtalet? Det bör täcka syftet och varaktigheten av behandlingen, arten och ändamålet med behandlingen, typen av personuppgifter och kategorier av registrerade, samt den personuppgiftsansvariges skyldigheter och rättigheter.

• Har leverantören ISO 27001-certifiering (en internationellt erkänd informationssäkerhetsstandard) eller motsvarande, och har en konsekvensbedömning avseende dataskydd genomförts för denna behandling?

• Används data för modellträning? Om sessionsinnehåll används för att träna eller finjustera AI-modeller utgör detta ett separat behandlingsändamål som kräver egen rättslig grund och, nästan alltid, uttryckligt samtycke.

En arXiv-översikt från 2025 om kliniska dataset för psykisk hälsa noterar att GDPR ställer strikta begränsningar på användning och delning av känslig hälsoinformation, vilket försvårar både skapandet av representativa dataset och implementeringen av AI-verktyg i psykoterapeutiska sammanhang. Behandla varje leverantör som är vag om datalokalisering eller ovillig att tillhandahålla ett skriftligt personuppgiftsbiträdesavtal som en betydande efterlevnadsrisk.

Den terapeutiska relationen och problemet med "tredje närvaro"

Utöver det juridiska ramverket finns en klinisk och etisk oro som inte har något enkelt regulatoriskt svar: förändrar närvaron av en AI-dokumentationsassistent, även om den verkar tyst i bakgrunden, den terapeutiska relationen?

Detta är ingen hypotetisk fråga. Den terapeutiska alliansen – alltså kvaliteten på samarbetet mellan terapeut och patient – är en av de mest robusta faktorerna för terapiresultat oavsett metod. Allt som påverkar en patients känsla av trygghet, förtroende eller vilja att öppna sig är kliniskt betydelsefullt. Vissa patienter, när de får veta att deras ord transkriberas och behandlas av ett AI-system, kan självcensurera. Andra kan känna sig tryggare om detta kommuniceras öppet. Effekten är inte enhetlig, och forskningen har ännu inte studerat detta på djupet i just kontexten AI-dokumentationsverktyg.

En banbrytande JAMA Psychiatry-studie publicerad i mars 2026, den största hittills om AI-skribenter i psykiatrisk dokumentation, fann att AI-skribenter inom primärvården ökade dokumentationen av neuropsykiatriska symtom, men var associerade med en signifikant lägre sannolikhet för dokumenterad psykiatrisk intervention (remiss, ny diagnos eller antidepressiv förskrivning) jämfört med samtidiga besök utan skribent (justerad oddsratio 0,83, 95 procents konfidensintervall, 0,72 till 0,95). Författarna påpekar att fler studier krävs för att avgöra om dessa förändringar påverkar patientutfall. Detta fynd visar inte på kausalitet, och studien genomfördes inom primärvården snarare än i specialiserad psykoterapimiljö. Det utgör dock en viktig varning mot att anta att mer dokumentation automatiskt leder till bättre klinisk vård.

Utövare bör utvärdera, före och under användning, om verktygets närvaro påverkar patienternas öppenhet eller kvaliteten på det terapeutiska mötet. Detta kan innebära att direkt fråga patienter om deras upplevelse, följa förändringar i sessionsinnehåll eller graden av öppenhet, och vara beredd att avbryta användningen av verktyget med vissa patienter om den kliniska bedömningen tyder på att det påverkar arbetet negativt.

Vad som ska ingå i journalanteckningarna, och vad som inte bör

AI-dokumentationsassistenter fattar inte beslut om dokumentation – det gör klinikern. Detta är inte bara en etisk princip utan också en juridisk. Som en juridisk vägledning för utövare klargör, bär klinikern fullt ansvar för noggrannheten i AI-genererade anteckningar. Ett AI-genererat utkast som sparas i journalsystemet utan granskning blir klinikerns dokument, med samma juridiska och professionella tyngd som en anteckning skriven helt manuellt.

I terapi är denna granskningsskyldighet särskilt viktig. Sessionsinnehåll som kan vara lämpligt att hålla i terapeutens minne, såsom en patients berättelse om ett tidigare misshandelsförhållande, uttryckt ambivalens kring självskada eller omnämnande av en namngiven tredje part, är inte nödvändigtvis lämpligt att registrera ordagrant i en strukturerad journalanteckning. Den anteckningen kan bli tillgänglig för andra vårdgivare, begäras ut av patienten eller användas i rättsliga sammanhang.

Utövare bör fastställa, före implementering, ett tydligt arbetsflöde för vad AI-assistenten får fånga och vad som ska granskas, redigeras eller tas bort innan anteckningen sparas. Särskild omsorg krävs för följande kategorier:

• Avslöjanden om skyddsbehov: Innehåll som kan utlösa anmälningsplikt bör dokumenteras med precision och enligt lokala skyddsprotokoll, inte lämnas till ett AI-utkast

• Tredjepartsidentifierare: Namn på personer som nämns av patienten (partner, familjemedlemmar, kollegor) bör i regel inte förekomma i strukturerade journalanteckningar

• Känsliga identitetsmarkörer: Sexuell läggning, könsidentitet, immigrationsstatus och liknande information som framkommer i sessionen kräver noggrann hantering – dess närvaro i en AI-genererad anteckning är inte alltid lämplig eller nödvändig

• Riskbedömningar: Dokumentation av suicidtankar, självskada eller risk för andra har särskild klinisk och juridisk betydelse och bör skrivas eller granskas med motsvarande omsorg

Forskning som använder naturlig språkbehandling av psykoterapianteckningar för suicidriskprediktion har visat att språket i terapianteckningar är kliniskt informativt, men också att det prediktiva värdet av sådan analys är begränsat och kontextberoende. Att AI-system kan extrahera meningsfull information ur terapianteckningar är just anledningen till att utövare måste vara medvetna om vad som förs in i dessa anteckningar från början.

Skyldigheter enligt nationell lagstiftning om psykisk hälsa och dataskydd

GDPR utgör en miniminivå, inte ett tak. Flera europeiska länder har antagit nationell lagstiftning som ställer ytterligare krav på behandling av data om psykisk hälsa, och utövare måste kontrollera sina skyldigheter enligt nationell lag innan de implementerar något AI-dokumentationsverktyg.

En icke uttömmande översikt av det nationella landskapet:

• Tyskland: Bundesdatenschutzgesetz (Federal Data Protection Act) kompletterar GDPR med ytterligare bestämmelser, och psykoterapeuter omfattas av strikta yrkessekretesskrav (Schweigepflicht) enligt §203 i strafflagen. Brott mot yrkessekretess, även genom bristfälliga databehandlingsrutiner, kan leda till straffrättsligt ansvar.

• Frankrike: Commission Nationale de l'Informatique et des Libertés (National Commission on Informatics and Liberty) har utfärdat särskild vägledning om behandling av hälsodata och har tillsyn över AI-system som hanterar sådana data. Franska utövare bör konsultera denna vägledning före införande.

• Nederländerna: Autoriteit Persoonsgegevens (nederländska dataskyddsmyndigheten) tillämpar GDPR med särskilt fokus på hälsodata. Nederländska psykoterapeuter omfattas även av WGBO (lagen om medicinska behandlingsavtal) och BIG-registerkrav.

• Irland: Data Protection Commission är tillsynsmyndighet och har varit aktiv i frågor om gränsöverskridande dataöverföring. Irländska utövare bör även känna till Mental Health Act 2001 och dess dokumentationskrav.

• Italien: Den italienska dataskyddsmyndigheten (Garante) har vidtagit åtgärder mot AI-företag som hanterar hälsodata, inklusive tillfälliga restriktioner och betydande böter. Italienska utövare bör granska Garantes beslut före införande av AI-dokumentationsverktyg.

Det praktiska rådet är enkelt: innan du inför något AI-dokumentationsverktyg, kontrollera dina skyldigheter med din nationella dataskyddsmyndighet, ditt professionella tillsynsorgan och din yrkesansvarsförsäkring.

Medicinteknisk produktreglering: när blir en AI-dokumentationsassistent en medicinteknisk produkt?

Gränsen mellan ett AI-dokumentationsverktyg och en medicinteknisk produkt är inte alltid tydlig, men det är avgörande eftersom de regulatoriska skyldigheterna skiljer sig markant.

Enligt EU AI Act och medicinteknisk produktreglering (MDR 2017/745) klassificeras programvara som medicinteknisk produkt om den är avsedd att användas för medicinska ändamål, inklusive diagnos, förebyggande, övervakning, prediktion eller behandling av sjukdom. En peer-reviewad analys från 2025 publicerad i European Heart Journal – Digital Health undersökte hur EU AI Act samverkar med medicinteknisk produktreglering för AI inom hälso- och sjukvård, och noterade att högrisk-AI-medicinteknik omfattas av dubbel reglering under båda ramverken, med motsvarande krav på transparens och bedömning.

För AI-dokumentationsassistenter i terapi är den relevanta skillnaden:

• Ett verktyg som endast transkriberar tal och strukturerar journalanteckningar, utan att tolka kliniskt innehåll, flagga risk eller ge kliniska rekommendationer, klassificeras generellt inte som medicinteknisk produkt enligt MDR.

• Ett verktyg som analyserar sessionsinnehåll för att flagga suicidrisk, föreslå diagnoser eller stödja kliniskt beslutsfattande kommer sannolikt att kräva klassificering enligt MDR och bedömning av överensstämmelse, och kan även klassificeras som högrisk-AI enligt EU AI Act.

EU AI Act-analysen från PMC noterar en särskild bestämmelse i skäl 29 som undantar AI-system som används för laglig psykologisk behandling med uttryckligt patientsamtycke. Detta undantag gäller förbjudna AI-metoder såsom emotionsigenkänning, inte de allmänna regulatoriska skyldigheterna för högrisk-AI-system. Utövare bör inte anta att ett AI-verktyg som används i terapi automatiskt är undantaget från MDR eller EU AI Act.

Innan du inför någon AI-dokumentationsassistent, fråga leverantören direkt: vad är den regulatoriska klassificeringen av detta verktyg enligt EU:s medicintekniska produktreglering och EU AI Act? En seriös leverantör bör kunna ge ett tydligt, dokumenterat svar.

En praktisk checklista före implementering för psykoterapiutövare

Följande steg utgör en minimistandard för due diligence innan man inför en AI-dokumentationsassistent i en terapipraktik i Europa. De är inte uttömmande, och utövare bör komplettera dem med råd från sin yrkesförening och juridisk rådgivare vid behov.

Due diligence av leverantör

• Bekräfta EU/EES-datalokalisering för både behandling och lagring

• Erhåll och granska ett undertecknat personuppgiftsbiträdesavtal innan någon data delas

• Verifiera ISO 27001-certifiering eller motsvarande säkerhetsnivå

• Bekräfta verktygets regulatoriska klassificering enligt EU:s medicintekniska produktreglering och EU AI Act

• Klargör om sessionsdata används för modellträning och på vilken rättslig grund

Samtycke och patientkommunikation

• Utveckla en skriftlig samtyckesprocess som är separat från allmänt behandlingssamtycke

• Säkerställ att samtyckesdokumentet förklarar vad verktyget gör, vem leverantören är, vart data går och hur länge den sparas

• Bekräfta att patienter kan avböja AI-dokumentation utan att det påverkar deras vård

• Etablera en tydlig process för hantering av återkallelse av samtycke, inklusive begäran om radering av data

Arbetsflöde för granskning av anteckningar

• Definiera vilka delar av sessionsinnehållet AI-assistenten får fånga

• Etablera ett obligatoriskt gransknings- och redigeringssteg innan någon AI-genererad anteckning sparas i journalsystemet

• Identifiera kategorier av innehåll (skyddsbehov, tredjepartsnamn, känsliga identitetsmarkörer, riskbedömningar) som kräver särskild omsorg eller manuell dokumentation

• Dokumentera granskningsarbetsflödet i din praktiks dataskyddspolicy

Regulatoriska och professionella skyldigheter

• Verifiera nationella krav med din dataskyddsmyndighet och ditt professionella tillsynsorgan

• Genomför en konsekvensbedömning avseende dataskydd – detta är obligatoriskt enligt GDPR artikel 35 för storskalig behandling av särskilda kategorier av personuppgifter, och starkt rekommenderat även för mindre praktiker

• Meddela din yrkesansvarsförsäkring och bekräfta att AI-assisterad dokumentation omfattas av din försäkring

Löpande övervakning

• Granska regelbundet om verktygets närvaro påverkar patienternas öppenhet eller kvaliteten på sessionerna

• Övervaka AI-genererade anteckningar för noggrannhet, fullständighet och lämplighet

• Håll dig uppdaterad om förändringar i EU AI Acts implementering, vägledning för medicinteknisk produktreglering och nationella regulatoriska utvecklingar

American Psychological Associations etiska vägledning tydliggör klinikerns ansvar: skyldigheten att kritiskt utvärdera AI-genererat kliniskt innehåll innan det används är inte en engångsbedömning utan en pågående professionell plikt. I terapisammanhang, där insatserna vid dokumentationsfel är höga och innehållet är särskilt känsligt, är denna plikt särskilt krävande.

Vanliga frågor

▶ Varför väcker AI-dokumentation i terapi andra frågor än i andra kliniska miljöer?

Terapisessioner genererar avslöjanden som patienter kanske aldrig delat med någon annan. Innehållet – traumahistorik, suicidtankar, sexuell identitet, relationsvåld – berör samtidigt flera särskilda kategorier av personuppgifter enligt artikel 9 i dataskyddsförordningen (GDPR). En peer-reviewad narrativ översikt från 2025 i DIGITAL HEALTH fann att AI-verktyg inom psykisk hälsa ofta verkar i juridiska gråzoner vad gäller samtycke, dataanvändning och gränsöverskridande dataflöden. Kombinationen av klinisk känslighet och regulatorisk komplexitet gör terapi till en väsentligt annorlunda miljö än exempelvis en allmänläkare som registrerar ett blodtryck.

▶ Vilken rättslig grund kan en terapeut förlita sig på när sessionens innehåll behandlas genom en AI-dokumentationsassistent?

Terapeuter kan inte förlita sig på berättigat intresse, som endast gäller för vanliga personuppgifter, inte särskilda kategorier. Den operativa grunden är vanligtvis antingen uttryckligt samtycke enligt artikel 9(2)(a) i GDPR, eller behandling som är nödvändig för tillhandahållande av hälso- och sjukvård enligt artikel 9(2)(h), kombinerat med artikel 9(3), som kräver att behandlingen utförs av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt. Tröskeln är högre än för allmänna hälsodata, dokumentationskraven är strängare och konsekvenserna av fel allvarligare.

▶ Vad måste en giltig samtyckesprocess för AI-dokumentation i terapi inkludera?

En GDPR-kompatibel samtyckesprocess bör innehålla en tydlig förklaring av vad AI-verktyget gör, identiteten på leverantören och det land där data behandlas och lagras, vilken data som sparas och hur länge, samt ett uttryckligt uttalande om att vägran eller återkallelse av samtycke till AI-dokumentation inte påverkar kvaliteten på den vård som ges. Det måste också finnas en mekanism för patienten att återkalla samtycke när som helst, med tydlig information om vad som händer med tidigare behandlad data vid återkallelse. Eftersom patienter i terapi ofta befinner sig i en position av psykologisk sårbarhet kräver kravet på "frivilligt givet" särskild granskning.

▶ Vilka frågor bör en terapeut ställa till en AI-leverantör innan någon sessionsdata delas?

Innan man väljer en AI-dokumentationsassistent bör utövare få skriftliga svar på följande: var behandlas och lagras data (specifikt om den stannar inom Europeiska ekonomiska samarbetsområdet), om leverantören agerar som personuppgiftsbiträde och om ett giltigt personuppgiftsbiträdesavtal finns, om leverantören har ISO 27001-certifiering eller motsvarande, om en konsekvensbedömning avseende dataskydd har genomförts, och om sessionsdata används för modellträning. Varje leverantör som är vag om datalokalisering eller ovillig att tillhandahålla ett skriftligt personuppgiftsbiträdesavtal bör betraktas som en betydande efterlevnadsrisk.

▶ Kan närvaron av en AI-dokumentationsassistent påverka den terapeutiska relationen?

Detta är en verklig klinisk oro. Den terapeutiska alliansen – kvaliteten på samarbetet mellan terapeut och patient – är en av de mest robusta faktorerna för terapiresultat. Vissa patienter, när de får veta att deras ord transkriberas och behandlas av ett AI-system, kan självcensurera. En banbrytande JAMA Psychiatry-studie publicerad i mars 2026, den största hittills om AI-skribenter i psykiatrisk dokumentation, fann att AI-skribenter var associerade med en signifikant lägre sannolikhet för dokumenterad psykiatrisk intervention jämfört med besök utan skribent. Utövare bör utvärdera, före och under användning, om verktygets närvaro påverkar patienternas öppenhet eller kvaliteten på det terapeutiska mötet.

▶ Vem är juridiskt ansvarig för noggrannheten i AI-genererade terapianteckningar?

Klinikern bär fullt ansvar. Ett AI-genererat utkast som sparas i journalsystemet utan granskning blir klinikerns dokument, med samma juridiska och professionella tyngd som en anteckning skriven helt manuellt. I terapi är denna granskningsskyldighet särskilt viktig eftersom sessionsinnehåll som kan vara lämpligt att hålla i terapeutens minne inte nödvändigtvis är lämpligt att registrera ordagrant i en strukturerad journalanteckning. Den anteckningen kan bli tillgänglig för andra vårdgivare, begäras ut av patienten eller användas i rättsliga sammanhang.

▶ Vilka kategorier av sessionsinnehåll kräver särskild omsorg vid granskning av AI-genererade anteckningar?

Utövare bör vara särskilt uppmärksamma på fyra kategorier. För det första bör avslöjanden om skyddsbehov som kan utlösa anmälningsplikt dokumenteras med precision och enligt lokala skyddsprotokoll, inte lämnas till ett AI-utkast. För det andra bör namn på tredje parter som nämns av patienten i regel inte förekomma i strukturerade journalanteckningar. För det tredje kräver känsliga identitetsmarkörer som sexuell läggning, könsidentitet och immigrationsstatus noggrann hantering. För det fjärde har dokumentation av suicidtankar, självskada eller risk för andra särskild klinisk och juridisk betydelse och bör skrivas eller granskas med motsvarande omsorg.

▶ Ger GDPR tillräckligt skydd för data om psykisk hälsa som behandlas av AI-verktyg?

GDPR utgör en miniminivå, inte ett tak. En peer-reviewad narrativ översikt från 2025 i DIGITAL HEALTH fann att GDPR endast erbjuder grundläggande skydd och ännu inte tar hänsyn till de unika etiska och kliniska nyanserna i AI-baserade insatser inom psykisk hälsa. Flera europeiska länder har infört nationell lagstiftning med ytterligare krav. Tyska psykoterapeuter omfattas av strikta yrkessekretesskrav enligt §203 i strafflagen, med straffrättsligt ansvar vid överträdelser. Frankrike, Nederländerna, Irland och Italien har var och en nationella dataskyddsmyndigheter med särskild vägledning eller tillsynsaktivitet för AI inom psykisk hälsa. Utövare bör kontrollera sina skyldigheter med nationell dataskyddsmyndighet och professionellt tillsynsorgan innan de inför något AI-dokumentationsverktyg.

▶ När blir en AI-dokumentationsassistent en medicinteknisk produkt enligt EU-lagstiftning?

Ett verktyg som endast transkriberar tal och strukturerar journalanteckningar, utan att tolka kliniskt innehåll eller ge kliniska rekommendationer, klassificeras generellt inte som medicinteknisk produkt enligt EU:s medicintekniska produktreglering (MDR 2017/745). Ett verktyg som analyserar sessionsinnehåll för att flagga suicidrisk, föreslå diagnoser eller stödja kliniskt beslutsfattande kommer sannolikt att kräva MDR-klassificering och bedömning av överensstämmelse, och kan även klassificeras som högrisk-AI enligt EU AI Act. En peer-reviewad analys från 2025 i European Heart Journal – Digital Health noterar att högrisk-AI-medicinteknik omfattas av dubbel reglering under båda ramverken. Utövare bör fråga varje leverantör direkt om verktygets regulatoriska klassificering enligt både MDR och EU AI Act.

▶ Krävs en konsekvensbedömning avseende dataskydd innan man implementerar en AI-dokumentationsassistent i en terapipraktik?

En konsekvensbedömning avseende dataskydd är obligatorisk enligt GDPR artikel 35 för storskalig behandling av särskilda kategorier av personuppgifter, och starkt rekommenderad även för mindre praktiker. Utöver detta bör utövare meddela sin yrkesansvarsförsäkring och bekräfta att AI-assisterad dokumentation omfattas av deras försäkring. Löpande skyldigheter gäller också: utövare bör regelbundet granska om verktygets närvaro påverkar patienternas öppenhet, övervaka AI-genererade anteckningar för noggrannhet och lämplighet, och hålla sig uppdaterade om förändringar i EU AI Acts implementering och nationella regulatoriska utvecklingar.