AI-dokumentationsverktyg inom europeisk folkhälsa: vad administratörer behöver veta

AI-dokumentationsverktyg fångar upp talade kliniska möten och omvandlar dem till strukturerade journalanteckningar som klinikern sedan granskar. Verktygen ställer inga diagnoser och ger inga kliniska rekommendationer. Den skillnaden är avgörande, eftersom den avgör vilka regulatoriska krav som gäller och hur ett pilotprojekt bör läggas upp.

Vad verktygen gör och vad evidensen visar

I ett kommunalt folkhälsosammanhang genomför en hälsoarbetare ett patientbesök som vanligt. Verktyget lyssnar, transkriberar och skapar ett utkast till anteckning. Klinikern granskar och godkänner utkastet innan det förs in i journalsystemet. Kommunala hälsoprogram, hemsjukvårdsbesök, uppföljningar inom psykisk hälsa, rehabiliteringssessioner och BVC-besök, har dokumentationskrav som ofta är stora till volymen, repetitiva till sin struktur och spridda över en utspridd personalstyrka utan konsekvent administrativt stöd.

Det praktiska värdet handlar om tid. En sex veckor lång pilot i Farsunds kommun i Norge, där tjugo anställda i tre vårdteam deltog, visade att den totala dagliga dokumentationstiden minskade från ungefär tre timmar till tio till femton minuter. Det resultatet är anmärkningsvärt, men det kommer från ett litet pilotprojekt med självrapporterade data, och liknande begränsningar gäller för de flesta publicerade utvärderingar på det här området. Den metodologiskt starkaste studien som finns tillgänglig är en förregistrerad observationsstudie vid Capio/Ramsay Santé-anläggningar i Sverige. Den utvärderade en AI-medicinsk assistent över 375 000 journalanteckningar och följde SQUIRE-rapporteringsriktlinjerna, ett standardiserat ramverk för kvalitetsförbättringsarbete inom vården, och visade på konsekventa minskningar i självrapporterad dokumentationstid över flera vårdnivåer. Objektiv mätning av dokumentationskvalitet och felfrekvenser saknas fortfarande i den publicerade litteraturen. Administratörer bör bygga in sådan mätning i sin egen pilotdesign.

Fyra regulatoriska ramverk och vilket som kräver mest uppmärksamhet

AI-dokumentationsverktyg berörs av fyra regulatoriska ramverk samtidigt: den allmänna dataskyddsförordningen (GDPR), EU:s AI-förordning, förordningen om medicintekniska produkter (MDR) och reglerna för offentlig upphandling. De måste hanteras parallellt. Av dessa är GDPR det ramverk som i praktiken ställer flest tidskritiska krav på kommunen innan ett pilotprojekt ens kan starta, och det är också det ramverk där misstag är svårast att rätta till i efterhand.

EU:s AI-förordning, som trädde i kraft i augusti 2024, klassificerar AI-system som används för diagnos, behandlingsbeslut eller kliniskt beslutsstöd som högrisk. Ett verktyg vars enda funktion är att transkribera och strukturera möten, utan att ge kliniska rekommendationer, hamnar i en annan riskklass. Administratörer bör begära en skriftlig motivering från leverantören om hur verktyget klassificeras och kontrollera att det inte innehåller beslutsstödsfunktioner som skulle höja riskklassen. Förordningen ställer också krav på öppenhet: om AI-system används under patientbesök måste patienterna informeras om det.

MDR gäller för programvara som är avsedd för medicinskt syfte. Ett verktyg vars enda funktion är transkribering och strukturering räknas i allmänhet inte som en medicinteknisk produkt. Men om verktyget kan flagga kliniska avvikelser eller föreslå diagnoser kan det falla inom MDR:s tillämpningsområde. Administratörer bör begära en skriftlig motivering om hur leverantören klassificerar verktyget enligt MDR, kontrollera om det har CE-märkning som medicinteknisk produkt och i så fall under vilken klass, samt ta reda på om leverantören har ett kvalitetsledningssystem certifierat enligt ISO 13485.

GDPR kräver att kommuner fastställer en rättslig grund för att behandla hälsodata innan något pilotprojekt inleds. Hälsodata är en särskild kategori enligt artikel 9. Tre skyldigheter är tidskritiska. Före pilotprojektet: genomför en konsekvensbedömning avseende dataskydd (DPIA), vilket är obligatoriskt enligt artikel 35 när ny teknik behandlar hälsodata. Under pilotprojektet: begränsa datainsamlingen till vad som är nödvändigt och säkerställ att leverantören inte använder patientdata för att träna sina modeller utan uttryckligt tillstånd. Efter pilotprojektet: upprätthåll register över behandlingsaktiviteter och säkerställ att de registrerades rättigheter kan utövas. Ett undertecknat databehandlingsavtal enligt artikel 28 måste finnas på plats innan någon data delas med leverantören.

Datalokalisering: vad leverantören måste bekräfta skriftligt

För de flesta europeiska folkhälsoorgan tillåter nationella dataskyddsregler inte att hälsodata behandlas utanför EU eller Europeiska ekonomiska samarbetsområdet (EES). Många kommunala upphandlingspolicyer kräver dessutom en uttrycklig skriftlig bekräftelse på att data lagras inom EU.

Administratörer bör inhämta skriftlig bekräftelse från leverantören om var ljuddata behandlas vid transkribering, var strukturerade anteckningar lagras och hur länge, om underleverantörer är involverade och var de befinner sig, samt om data i något skede överförs utanför EU eller EES, även för modellträning eller kvalitetssäkring. Leverantörer som använder infrastruktur utanför EES ska ange vilken rättslig mekanism som används för överföringen, till exempel standardavtalsklausuler.

Det europeiska hälsodatarummet (EHDS), som trädde i kraft 2025, inför ytterligare infrastruktur för att dela hälsodata över landsgränser inom EU. Hur EHDS samverkar med nationella krav på datalokalisering är ännu inte fullt ut klarlagt, och administratörer bör följa det genomförandet noga.

Upphandling: tröskelvärden, specifikationer och avtalsvillkor

AI-dokumentationsverktyg som kommunala folkhälsoorgan köper in omfattas av EU:s regler för offentlig upphandling enligt direktiv 2014/24/EU. För kommunala och regionala myndigheter är tröskelvärdet för tjänstekontrakt 215 000 euro exklusive moms, ett värde som revideras vartannat år och alltid bör kontrolleras mot den senaste delegerade förordningen. Kontrakt över tröskelvärdet kräver ett formellt anbudsförfarande. Under tröskelvärdet gäller nationella upphandlingsregler, men även dessa inköp bör följa en dokumenterad konkurrensutsatt process för att uppfylla revisionskraven.

De tekniska specifikationerna ska beskriva funktionella krav och krav på regelefterlevnad: realtidstranskribering på relevant språk, strukturerad utdata som är kompatibel med det befintliga journalsystemet, lagring av data inom EU, efterlevnad av GDPR, dokumentation om att verktyget uppfyller EU:s AI-förordning och ISO 27001-certifiering. Specifikationerna får inte peka ut en enskild leverantörs produkt, vilket är förbjudet enligt direktivet. Avtalsvillkoren bör innehålla tydliga bestämmelser om vem som äger data, exitklausuler som gör det möjligt att hämta ut data utan orimliga kostnader, samt revisionsrättigheter som ger kommunen möjlighet att kontrollera att leverantören följer avtalet under hela kontraktstiden.

OECD har konstaterat att de flesta EU-hälsosystem saknar särskilda ersättningsstrukturer för AI-verktyg och lyft fram gemensamma inköpsmodeller som ett sätt att nå en mer rättvis utplacering. Kommuner som överväger att samordna upphandlingen med grannkommuner bör bedöma om en sådan modell kan minska utvärderingskostnaderna och stärka förhandlingspositionen.

Hur man strukturerar ett lågriskpilotprojekt

Farsunds kommuns sex veckor långa pilot, begränsad till tre vårdteam med tjugo deltagare, gav tydliga och mätbara resultat. Det visar att en smal, tidsbegränsad design räcker för att fatta ett välgrundat beslut om breddinförande. Att försöka täcka in hela organisationen från start ökar den regulatoriska exponeringen utan att ge bättre beslutsunderlag.

Innan pilotprojektet startar behövs skriftligt godkännande från tre funktioner: dataskyddsombudet (DPIA slutförd), upphandlingsansvarig (kontrakt och databehandlingsavtal på plats) och den kliniska ledaren (kliniskt styrningsramverk överenskommet). Dessa godkännanden ska dokumenteras. Framgångskriterierna ska fastställas i förväg: dokumentationstid per besök, personalens skattningar av hur lätt verktyget är att använda, felfrekvenser i genererade anteckningar och patientåterkoppling.

Personalutbildning är inte valfritt. WHO:s europeiska regionkontor publicerade en rapport om AI inom hälso- och sjukvård, den första heltäckande översikten över alla 27 EU-medlemsstater, och den pekar ut personalutbildning och AI-kompetens som några av de viktigaste faktorerna för ett lyckat AI-införande. All deltagande personal behöver förstå hur verktyget fungerar, vilket granskningsansvar de har och hur de rapporterar fel. Patienterna måste informeras om att verktyget används och vad det gör, på ett lättbegripligt språk och på de språk som talas av den patientgrupp som betjänas. En exitplan ska också finnas på plats som tydligt anger vad som händer med data, anteckningar och åtkomsträttigheter om pilotprojektet avbryts.

Vad man ska kontrollera självständigt när man bedömer en leverantör

Följande punkter ska kontrolleras självständigt och får inte accepteras enbart utifrån leverantörens marknadsföringsmaterial:

• ISO 27001-certifiering: begär det aktuella certifikatet och kontrollera att dess omfattning täcker de system som används för att behandla hälsodata.

• GDPR-databehandlingsavtal: granska avtalet mot kraven i artikel 28 och säkerställ att det återspeglar de faktiska behandlingsaktiviteterna.

• Status som medicinteknisk produkt: om leverantören hävdar att verktyget har CE-märkning, begär en försäkran om överensstämmelse och kontrollera vilket anmält organ som är inblandat.

• Bekräftelse av datalokalisering: begär skriftlig bekräftelse om var data behandlas och lagras i varje skede, inklusive hos underleverantörer.

• Fråga uttryckligen om patientdata från utplaceringen kommer att användas för att träna eller finjustera modellen, och om det går att välja bort det.

• Begär referenser eller publicerad evidens från utplaceringar i offentlig sektor eller kommunala hälsomiljöer i Europa. Kollegialt granskade eller förregistrerade studier väger tyngre än leverantörens egna fallstudier.

• Bekräfta att verktyget fungerar korrekt på det eller de språk som klinisk personal använder, inklusive regionala dialekter och klinisk terminologi som är specifik för det nationella hälsosystemet.

Behovet av intern utvärderingsförmåga är konkret och omedelbart. En kollegialt granskad studie om upphandling av hälsoteknik i svenska kommuner visade att kommunerna använder evidens på ett inkonsekvent sätt i sina upphandlings- och utvärderingsbeslut, och att den befintliga nationella vägledningen är otillräcklig. Det innebär att leverantörens egna underlag i praktiken riskerar att bli det enda beslutsunderlaget, vilket är en uppenbar intressekonflikt. En crossover-randomiserad kontrollerad studie som utvärderar AI-assisterad klinisk kodning i Sverige och Norge, genomförd av Norsk senter for e-helseforskning, ger en användbar metodologisk referens för hur en rigorös utvärderingsstudie kan utformas. Administratörer kan använda den som riktmärke när de bedömer kvaliteten på den evidens som leverantörer presenterar.

Intern samordning: upphandling, juridik och klinisk ledning

I kommunala miljöer arbetar upphandling, juridik och dataskydd samt klinisk ledning inte alltid tillsammans i vardagen, och var och en av dem har olika huvudfrågor. Att involvera dataskyddsombudet tidigt, innan en leverantör väljs, förhindrar den vanliga situationen där en föredragen leverantör identifieras och sedan inte klarar dataskyddsbedömningen. Det kliniska ärendet bör formuleras i operativa termer: kliniska ledare engagerar sig lättare i ett förslag som fokuserar på minskad dokumentationsbörda än ett som handlar om teknikadoption i allmänhet. Upphandlingsteamet behöver en tydlig sammanfattning av vilka skyldigheter som gäller och vad som är leverantörens respektive kommunens ansvar. Varje beslut, att gå vidare, pausa eller utesluta en leverantör, ska dokumenteras med en motivering.

Norges nationella AI-plan för hälso- och sjukvård, som leds av Helsedirektoratet, syftar uttryckligen till att skala upp AI inom både kommunal vård och specialistvård. Verkliga utplaceringar, som Vestre Viken helseforetaks AI-utrullning som betjänar 22 kommuner och ungefär 500 000 invånare, visar att AI-dokumentationsverktyg tas på allvar på policynivå. Kommuner som inleder ett pilotprojekt nu gör det inom ett aktivt policylandskap, inte i ett vakuum.

Framväxande utvärderingsstandarder i Europa

Det finns ingen enskild överenskommen standard för att utvärdera AI-dokumentationsverktyg i folkhälsomiljöer, men bilden klarnar. Europeiska kommissionens SHAIPED-projekt, som lanserades i mars 2025, testar AI-modellutveckling och validering med hjälp av HealthData@EU-infrastrukturen. WHO Europas rapport från april 2026, som bygger på data från alla 27 EU-medlemsstater, visade att 81 procent av medlemsstaterna aktivt involverar berörda parter i AI-styrning och att majoriteten redan använder AI-verktyg i kliniska miljöer.

De mest trovärdiga utvärderingarna delar flera egenskaper: protokollet är förregistrerat, validerade instrument för användbarhet används tillsammans med tidsmätningar, patienternas erfarenheter ingår, leverantörens evidens granskas av en oberoende part och negativa fynd redovisas öppet. Det öppna källkodsverktyget Berta för dokumentation, som utplacerades på 105 anläggningar av 198 akutläkare mellan november 2024 och juli 2025, är ett exempel på en transparent utvärdering med offentligt dokumenterad metodik som möjliggör extern granskning. Den typen av transparens bör vara miniminivån när administratörer bedömer den evidens en leverantör presenterar.

Det regulatoriska landskapet förändras snabbt. Nationella hälsomyndigheter och dataskyddsmyndigheter publicerar allt oftare AI-specifik vägledning, och vad som är bästa praxis i mitten av 2026 kan ersättas av ny vägledning inom tolv till arton månader. Administratörer bör följa dessa myndigheter löpande och utforma sina utvärderingsramverk så att de kan anpassas i takt med att reglerna utvecklas.

Vanliga frågor

▶ Vad gör AI-dokumentationsverktyg faktiskt under ett kommunalt hälsobesök?

Verktyget lyssnar, transkriberar och skapar ett utkast som klinikern godkänner innan det förs in i journalsystemet. Det ställer inga diagnoser och ger inga kliniska rekommendationer. Ansvaret för anteckningens innehåll ligger hos klinikern, inte verktyget.

▶ Vilken evidens finns för tidsbesparingar i kommunala folkhälsomiljöer?

De publicerade resultaten är lovande men bygger nästan uteslutande på självrapporterade data. Administratörer bör därför bygga in objektiv tidsmätning i sin egen pilotdesign från start, så att kommunens egna data inte lider av samma metodologiska begränsning som den befintliga litteraturen.

▶ Klassificerar EU:s AI-förordning dokumentationsverktyg som högrisk?

Ett rent transkriberings- och struktureringsverktyg hamnar i en lägre riskklass. Den praktiska kontrollfrågan är om verktyget innehåller dolda beslutsstödsfunktioner som leverantören inte marknadsför tydligt. Begär klassificeringsmotiveringen skriftligt och läs den noggrant.

▶ Vilka GDPR-skyldigheter gäller innan ett pilotprojekt börjar?

Tre saker måste vara klara innan någon data delas: en genomförd konsekvensbedömning avseende dataskydd enligt artikel 35, ett undertecknat databehandlingsavtal enligt artikel 28 och en dokumenterad rättslig grund för behandlingen. Dessa är sekventiella krav, inte parallella.

▶ Hur bekräftar kommuner att patientdata stannar inom EU?

Begär skriftlig bekräftelse för varje steg i kedjan: transkribering, lagring, underleverantörer och eventuell modellträning. Många leverantörer garanterar EU-lagring för huvudtjänsten men lämnar underleverantörernas lokalisering öppen. Det är den luckan som behöver täppas till i avtalet.

▶ När gäller EU:s förordning om medicintekniska produkter för ett AI-dokumentationsverktyg?

Förordningen träder in om verktyget genererar output som påverkar kliniska beslut, till exempel avvikelseflaggning eller diagnosförslag. Be leverantören om en skriftlig klassificeringsmotivering och kontrollera om CE-märkning som medicinteknisk produkt finns, och i så fall under vilken klass.

▶ Vilka upphandlingsregler gäller när en kommun köper ett AI-dokumentationsverktyg?

Direktiv 2014/24/EU gäller, med ett tröskelvärde på 215 000 euro exklusive moms för subcentrala organ. Kontrollera alltid aktuellt värde mot senaste delegerade förordningen. Tekniska specifikationer ska beskriva krav, aldrig peka ut en enskild leverantörs produkt, vilket är förbjudet enligt direktivet.

▶ Vem är ansvarig om en AI-genererad journalanteckning innehåller ett fel?

Klinikern som godkänner anteckningen bär det kliniska och juridiska ansvaret. Kontrollera med leverantören att revisionsspåret loggar vem som godkände varje anteckning och när, och att leverantörsavtalet inte formulerar ansvarsfördelningen på ett sätt som är oklart för klinisk personal.

▶ Hur bör en kommun strukturera ett lågriskpilotprojekt?

Begränsa piloten till ett vårdteam, sätt en tidsram på sex till tolv veckor och definiera framgångskriterier i förväg. Hämta skriftligt godkännande från dataskyddsombudet, upphandlingsansvarig och klinisk ledare innan någon data behandlas. En dokumenterad exitplan ska finnas från dag ett.

▶ Vad bör administratörer verifiera oberoende när de bedömer en leverantör?

Prioritera tre kontroller som leverantörens marknadsföringsmaterial aldrig kan ersätta: det faktiska ISO 27001-certifikatet med rätt omfattning, databehandlingsavtalet granskat mot artikel 28, och skriftlig bekräftelse av datalokalisering för varje steg inklusive underleverantörer. Fråga också uttryckligen om patientdata används för modellträning.