Regionen börjar med AI-journaler – trots avrådan

Region Gävleborg inför AI-journaler trots varningar om dataskyddsrisker

I december förra året ingick Region Gävleborg ett avtal med det svenska företaget Tandem Health för att effektivisera journalföringen med hjälp av artificiell intelligens. Systemet spelar in läkar-patientsamtal, transkriberar dem automatiskt och genererar förslag på journalanteckningar – en lösning som enligt regionens beräkningar kan spara läkare inom primärvården upp till en timme per arbetsdag i administrativt arbete.

Beslutet togs dock trots uttryckliga varningar från regionens egna säkerhetsexperter. I en intern rapport från hösten 2023, som tidningen Fokus först uppmärksammade, avråder tjänstemän som arbetar med informationssäkerhet och dataskydd från att köpa in tjänsten.

”Vår rekommendation är att Region Gävleborg inte bör gå vidare med en upphandling […] i dagsläget”, framgår det av skrivelsen där tjänstemännen pekar på ”betydande dataskyddsrisker”.

Riskerna är särskilt kopplade till att Tandem Health använder en molnlösning från amerikanska Microsoft och AI-teknik från OpenAI, företaget bakom ChatGPT. Det centrala problemet är att känsliga patientuppgifter lagras på servrar som kontrolleras av amerikanska företag.

Amerikanska lagar som Cloud Act och FISA 702 ger landets myndigheter och underrättelsetjänster rätt att begära ut data från inhemska teknikföretag, oavsett var i världen informationen fysiskt lagras. Detta skapar en potentiell risk för att känsliga patientuppgifter skulle kunna hamna i händerna på amerikansk underrättelsetjänst.

Johan Linåker, datavetare vid Lunds universitet och forskningsinstitutet Rise, påpekar problematiken: ”Sannolikheten att det sker är en annan fråga, men problemet är att möjligheten finns där. Därför är det problematiskt när svenska myndigheter väljer att lagra känsliga uppgifter i amerikanska moln.”

På frågan om han skulle känna sig trygg som patient i ett system där uppgifter skickas till amerikanska molntjänster svarar Linåker: ”Generellt sett skulle jag inte det, utan hade frågat mig hur beslutsfattarna menar att mina patientdata skulle kunna hanteras säkert och i enighet med europeisk datalagstiftning.”

Region Gävleborg hävdar dock att man gjort en noggrann avvägning mellan nytta och risk. Simon Nilsson, utvecklingschef i regionen, motiverar beslutet: ”Hälso- och sjukvårdslagen säger att vi ska arbeta kostnadseffektivt, och vi menar att den stora nytta vi kan dra av systemet överväger vad vi upplever som en mindre risk kring informationssäkerhet. Därför är vi skyldiga att göra det här.”

Nilsson betonar att han känner sig trygg med de säkerhetsåtgärder som Tandem Health implementerat för att skydda patientdata. Företaget uppger att de endast lagrar transkriberade textfiler, inte ljudinspelningar, i Microsofts moln och att dessa filer raderas efter sju dagar. De har även avtal som förhindrar att patientdata används för träning av AI-modeller.

Tandem Healths grundare och vd Lukas Saari framhåller att företaget är berett att snabbt byta leverantör om den geopolitiska situationen skulle förändras: ”Vi följer givetvis den regulatoriska och geopolitiska utvecklingen, och vi har alternativ på plats för att snabbt kunna byta till en annan leverantör om det behövs.”

På frågan om riskerna med amerikanska myndigheters möjlighet att begära ut data svarar Saari: ”Oavsett hur du behandlar data finns det alltid risker associerat med det. Vi har gjort allt som står i vår makt för att reducera risken att datan behandlas på ett felaktigt sätt.”

Tandem Health grundades 2023 och har snabbt blivit ett av Sveriges snabbast växande startupbolag. Enligt företaget används deras tjänst redan av en majoritet av Sveriges privatägda vårdgivare, bland annat vårdkoncernen Capio. Region Gävleborg är dock den första regionen som implementerar tekniken i den offentliga vården.

För närvarande använder ett hundratal primärvårdsläkare i regionen tjänsten, men avtalet kan potentiellt omfatta mellan 2 000 och 4 000 licenser om det införs i hela den regionala vården i Gävleborg.