Patientdatalagen och AI, vad gäller egentligen?

Frågan kommer alltid. En klinikchef hör att grannkliniken testar AI i receptionen, vill själv göra något liknande, och möts av en jurist som mumlar om Patientdatalagen, GDPR och personuppgiftsbiträden. Här är klartexten, vad som faktiskt gäller, och var nålögat sitter.

Den här guiden är inte juridisk rådgivning. Den är en strukturerad genomgång för dig som driver klinik och vill kunna ställa rätt frågor till en leverantör eller en dataskyddsombud. För skarp tolkning av enskilda fall, kontakta jurist eller IMY.

Tre regelverk, inte ett

När man pratar om AI och svenska vårdgivare blandas ofta tre regelverk ihop. De gäller samtidigt, och de säger delvis olika saker:

• GDPR (EU 2016/679), generell dataskyddsförordning. Reglerar personuppgifter i alla branscher.
• Patientdatalagen (2008:355), svensk lag som reglerar vårdgivares behandling av patientuppgifter, inklusive journalföring och inre sekretess.
• EU AI Act (förordning 2024/1689), riskbaserad reglering av AI-system, infas mellan 2025 och 2027.

För en tand- eller estetikklinik som använder AI för bokning, callback eller autobesvarelser gäller alla tre. Patientdatalagen är dock den som styr mest av det dagliga arbetet eftersom den definierar vad som är journal och vem som får läsa vad.

Är AI-mottagningen ens journalföring?

Detta är den första filtreringsfråga. Patientdatalagen 3 kap. 6 § kräver att uppgifter som behövs för patientens vård dokumenteras i journal. Ett samtal där patienten beskriver tandvärk, ett uttalat symtom eller en allergi, innehåller vårdrelevanta uppgifter. Skulle det dokumenteras är det journalpliktigt.

Däremot är "jag vill boka en tandtvätt om två veckor" inte journalpliktigt i sig. Receptioniststödet, bokning, omläggning, "när öppnar ni?", är hanteringen av personuppgifter, inte journalföring. Distinktionen är avgörande för hur du arkitekterar ditt AI-flöde.

Tumregel: så länge AI:n bara bokar tider och svarar på FAQ, hanterar du personuppgifter. Så snart den noterar vårdrelevant information om patienten, då har journalplikten aktiverats.

Personuppgiftsansvar och biträde

Du som klinik är personuppgiftsansvarig. AI-leverantören är personuppgiftsbiträde. Det här är inget förhandlingsbart, och det betyder att ni måste teckna ett personuppgiftsbiträdesavtal (PUB-avtal) innan ett enda samtal går genom systemet. Punkterna att kräva in i avtalet:

• Personuppgifterna ska behandlas endast på dokumenterade instruktioner från dig.
• Personuppgifterna får inte överföras utanför EU/EES utan särskild rättslig grund.
• Underbiträden ska listas och du ska kunna invända mot byten.
• Leverantören ska hjälpa dig vid förfrågningar från registrerade och vid personuppgiftsincidenter.
• Återlämning eller radering av samtliga uppgifter när avtalet upphör.

Var lagras data, och varför EU räcker inte alltid

GDPR tillåter överföring utanför EU/EES endast på vissa rättsliga grunder (adekvansbeslut, standardavtalsklausuler, BCR). Patientdatalagen är dock striktare i praxis: Socialstyrelsen och IMY har båda varnat för molnlösningar där amerikanska bolag har potential till åtkomst, även om servrarna fysiskt står i EU.

Det är därför Welvo lagrar och bearbetar all patientdata i Frankfurt, hos en EU-baserad leverantör utan amerikansk juridisk hemvist. Den biten är inte marknadsföring, det är ett av få sätt att vara verkligt trygg när IMY granskar.

AI-specifika risker

Klassiska personuppgiftsbiträden, journalsystem, kallelsesystem, är välkända och välregulerade. AI tillför fyra specifika fallgropar som inte fanns innan:

1. Träningsdata

Får din leverantör använda dina samtal för att träna sin AI-modell? Det är nästan alltid ett nej för svenska vårdgivare. Kontrollera att avtalet uttryckligen förbjuder modellträning på era data.

2. Modellminne mellan samtal

Patient A:s information får inte läcka till patient B:s samtal. Detta verkar självklart men kan brytas om en leverantör använder "kontextfönster" som spänner över flera samtal. Kräv tekniskt isolerade samtalskontext.

3. Tredjepartsmodeller

En AI-receptionist anropar oftast en stor språkmodell (OpenAI, Anthropic, Mistral). Hur den dataöverföringen ser ut, och om dessa modeller får cacha eller logga input, är avgörande. Be om en arkitekturöversikt, inte bara marknadsmaterial.

4. Inspelningar och transkriberingar

Inspelade samtal är personuppgifter med särskild känslighet. Spara dem så kort tid som möjligt, kräv pseudonymisering där det går, och ha en tydlig rättslig grund (oftast intresseavvägning för kvalitetssäkring, alternativt samtycke).

EU AI Act i korthet

Från augusti 2026 gäller transparenskrav: en patient ska få veta att hen pratar med en AI. Det räcker med en kort introduktion i samtalets början ("Hej, jag är Eira, klinikens AI-receptionist"). High-risk-klassen i AI Act gäller inte standard AI-mottagning eftersom det inte är medicinsk diagnostik, men om ni utökar med triagering är det en helt annan riskklass.

Praktisk checklista innan ni går live

• PUB-avtal påskrivet, inklusive lista över underbiträden.
• EU-hosting verifierad, fråga om servernamn, region och juridisk hemvist.
• Konsekvensbedömning enligt dataskydd (DPIA) genomförd och dokumenterad.
• Information till patient om AI-kontakten finns i kallelser, på webben och i samtalets intro.
• Rutin för personuppgiftsincident, vem ringer ni om något läcker?
• Lagringstider definierade och dokumenterade per typ av data.
• Ert dataskyddsombud (DSO) har granskat lösningen.

När ni bör säga nej till en leverantör

• De vägrar teckna PUB-avtal eller har en standardvariant som inte kan justeras.
• Servrar utanför EU/EES utan tydlig rättslig grund för överföring.
• Modellen tränas på era samtal som default, och opt-out är komplicerad.
• Inga referenskliniker som faktiskt går att ringa upp.
• De säger "det här är inte journaldata" utan att förstå skillnaden.

Bottom line

Patientdatalagen och GDPR förbjuder inte AI i receptionen. Tvärtom, om det är rätt arkitekterat blir AI-mottagningen ofta mer compliance-säker än en manuell rutin eftersom allt loggas, allt är spårbart och allt sker enligt dokumenterade processer.

Det som krävs av er är inte juridisk rädsla. Det som krävs är att ni ställer rätt frågor, om hosting, om träningsdata, om incidenthantering. Då blir beslutet enkelt, oavsett vilken leverantör ni väljer.